APセキュリティ · 情報セキュリティ管理

サイバーセキュリティフレームワーク

Cybersecurity Framework

さいばーせきゅりてぃふれーむわーく

米国NISTが公表したサイバーセキュリティ対策の枠組み。識別、防御、検知、対応、復旧（およびガバナンス）という機能で活動を整理し、業種や規模を問わず現状評価と改善計画の共通言語として使える。

共有:

Past Exams

過去問での出題

過去問で 2 回出題（情報処理安全確保支援士試験 2）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

組織の情報セキュリティを体系的に管理するための仕組み。計画（Plan）、実行（Do）、点検（Check）、改善（Act）のPDCAサイクルで継続的に改善する。JIS Q 27001（ISO/IEC 27001）が要求事項を、JIS Q 27002が管理策の実施の手引きを規定する。

ISMSの確立、運用、監視、改善に関する要求事項を定めた規格（ISO/IEC 27001の日本産業規格版）。認証審査の基準となり、リスクアセスメントの実施、適用宣言書の作成、内部監査などを組織に求める。

情報セキュリティ管理策の実践規範を示した規格（ISO/IEC 27002の日本産業規格版）。JIS Q 27001が「何を満たすか」を定めるのに対し、こちらは各管理策の目的と具体的な実施の手引を提供する。

組織にとって価値があり保護すべき情報と、それを扱う仕組みの総称。顧客データや設計書といった情報そのもののほか、ハードウェア、ソフトウェア、記録媒体、人や役務も含む。台帳で洗い出し、重要度に応じて分類することが管理の出発点となる。

内部不正は「機会」「動機」「正当化」の3要素がそろったときに発生するという理論。アクセス権の限定と監視で機会を、処遇改善で動機を、倫理教育と規程の明示で正当化を、それぞれ断つことが内部不正防止の考え方となる。

総務省と経済産業省が主導するCRYPTRECが、安全性と実装性能を評価してまとめた暗号技術の一覧。電子政府推奨暗号リスト、推奨候補暗号リスト、運用監視暗号リストからなり、政府調達での暗号選定の基準となる。