「セキュリティ管理」の過去問(テクノロジ・43問+午後16大問)

1. この分野は何か

セキュリティ管理分野は、技術的な防御手段だけでなく、組織全体として情報セキュリティを維持・向上させるためのマネジメントの手法や体制づくりに関する領域です。
情報セキュリティマネジメントシステム（ISMS）の構築や運用、リスクアセスメント（リスクの特定、分析、評価）の手法、万が一インシデントが発生した際の対応体制（CSIRTなど）や自社製品の脆弱性管理（PSIRT）など、組織的・人的・物理的なセキュリティ対策のルールやガイドラインについて学びます。

2. 実際の出題のされ方

午前問題では、各種ガイドラインやマネジメントフレームワークの定義、セキュリティ対応組織の役割に関する知識が問われます。

• インシデント対応体制: 組織内で発生したセキュリティインシデントに対応する「CSIRT（Computer Security Incident Response Team）」の業務（インシデントハンドリングなど）や、自社製品の脆弱性に対応する「PSIRT（Product Security Incident Response Team）」の役割を問う問題が頻出です。
• リスクマネジメント: JIS Q 31000（リスクマネジメント―指針）などに基づき、「リスク特定」の段階で何を考慮すべきか、あるいはリスク対応の4つの手法（回避、低減、受容、移転）の具体例を分類させる問題が出題されます。
• 管理策とポリシー: 情報セキュリティポリシーの階層構造（基本方針、対策基準、実施手順）や、物理的セキュリティ対策（クリアデスク、クリアスクリーン、入退室管理など）に関する常識的な判断を問う問題も見られます。

3. 学習のポイント

マネジメント分野は実務のプロセスとガイドラインの用語を紐付けることが得点のカギとなります。

• 対応組織の区別: 似たような略語であるCSIRT、PSIRT、SOC（Security Operation Center）の違いを明確にしましょう。CSIRTは定められた対象範囲のインシデント対応、PSIRTは自社が開発・提供する製品の脆弱性対応、SOCはシステムやネットワークの監視・分析を中心とする機能です。組織によって役割分担や対象範囲は異なります。
• リスク対応策の分類: リスクの「回避（リスクを生む活動をやめる）」「低減（発生確率や影響を小さくする）」「移転・共有（保険や契約などで影響を分担する）」「受容（認識した上で許容する）」の分類について、具体的なシナリオとセットで覚えましょう。
• PDCAサイクルの意識: ISMSの構築・運用はPDCAサイクル（計画、実行、点検、処置）に基づいて行われます。各フェーズで実施される具体的な活動（例えば、内部監査はどのフェーズか）を把握しておくことが重要です。

4. 間違えやすいところ

リスクアセスメントの各ステップである「リスク特定」「リスク分析」「リスク評価」の順番や内容を混同するミスが目立ちます。

1. リスク特定：どこにどんなリスク（情報資産、脅威、脆弱性）があるかを見つけ出す。
2. リスク分析：そのリスクが顕在化した場合の影響度と発生確率を見積もる。
3. リスク評価：分析結果を受容基準と比較し、対策を打つべき優先順位を決定する。
   この一連の流れ（アセスメント）の後に「リスク対応」が続く、という大枠のプロセス順序を正確に理解しておくことで、引っかけ問題に対応できるようになります。