情報処理安全確保支援士試験 令和7年度 春期 午前II 問12

【正解】ウ

NISTのサイバーセキュリティフレームワーク、CSF 2.0のコアは、GOVERN、IDENTIFY、PROTECT、DETECT、RESPOND、RECOVERという六つの機能で構成されています。GOVERNは、組織のサイバーセキュリティ戦略、方針、役割、責任、法令上の要求、リスク許容度などを定め、ほかの五つの機能を方向付ける機能です。CSF 1.1までの五つの機能に、CSF 2.0でGOVERNが加えられたため、ウが正解です。

アのCONTROLは誤りです。セキュリティ対策を表す一般的な用語として「コントロール」が使われることはありますが、CSF 2.0のコアを構成する正式な機能名ではありません。具体的な対策は各機能のカテゴリーやサブカテゴリーなどで整理されます。

イのDIRECTは誤りです。「指示する」という意味ではガバナンス活動の一部を表せますが、CSF 2.0の正式な機能名ではありません。組織全体の方針や監督を扱う正式名称はGOVERNです。

エのMANAGEは誤りです。「管理する」という一般的な表現であり、六つの機能には含まれません。リスク管理の方針や優先順位の決定は、主にGOVERNに位置付けられます。

【ポイント】 CSF 2.0では、従来の五機能にGOVERNが追加されました。 六機能は「統治、特定、防御、検知、対応、復旧」の順で覚えましょう。 GOVERNは独立した一工程ではなく、ほかの五機能を継続的に方向付ける機能です。