【IPA対策】情報セキュリティマネジメント見直しポイント

契約上は業務委託であるのに実態は労働者派遣となっている状態。

• 請負契約：SIerとパートナーに指揮命令関係がある
• 労働者派遣：事業会社とパートナーに指揮命令関係がある

偽装請負とは，本来SIerとパートナーに指揮命令関係があるはずなのに事業会社が直接パートナーに指揮命令を下している状態のことを指す。例えば休暇取得ルールの指示などが指揮命令に該当する。受託者は委託者と呼ばれることもあるので注意する。

公開しなくてもよい。公開が求められているのは基本方針だけ。

統一させるべき

ソフトウェア開発・機械設計・放送番組制作などの専門的な知識と技能が求められる26業務には派遣期間の制限がなかったが，改正後はどのような業務にも有効期限の上限は3年となった

双方が合意した時点。例えば購入元が注文書を送り，購入先が注文請書を送り返した時点で売買契約が整理する

含まれない。AESは共通鍵暗号方式

ストレージ装置内の記憶領域を再配置して空き領域を連続した状態にすること

デジタル署名が手書きの署名と同等の効力を持つことを定める法律

含まれない

いずれも合意文書である。誰と誰が合意するかが異なる。

含める必要はない

考慮する必要がある。「監査は独立しているはずだ」と誤解しやすいので注意する。点ではなく線。

不正競争防止法

いずれも公正な競争を確保する点では共通しているが，

• 独占禁止法：市場の独占を禁止
• 不正競争防止法：商標や特許の侵害や秘密の漏洩などを保護

という違いがある。

購入者の損害を防ぐこと

Microsoftネットワークのファイル共有通信で用いられていたSMBv1の脆弱性を利用したワーム感染マルウェア

発生確率 $\times$ 損害の大きさ＝(脅威 $\times$ 脆弱性) $\times$ 資産価値

保護される

保護されない

保護されない

保護される

保護されない

デジタル証明書の有効期限が切れるまで

JAN。格納されている情報は

• 国コード
• メーカーコード
• 商品コード
• チェックディジット

である。製造日やロット番号は格納されていないので注意する。POSはPoint Of Salesの略称。

認められていない

認められていない

著作物ではあるが，どこにも帰属しない

• 特許法：自然法則に基づく技術的思想（のうち高度なもの）
• 著作権法：思想や感情を創造的に表現したもの
• 実用新案法：物品の形状や構造およびその組み合わせ
• 意匠法：物品の形状や色彩など視覚を通じて美感を想起させるもの
• 商標：文字や図形・記号・立体的形状などで表した商品のマーク

インシデント対応においてグループ企業のCSIRT間で連携を行う。CCはコーディネーションセンター。

規定しない

労働者と使用者が協定を書面で締結し，行政官庁に届け出ること

• 脅威：情報資産に害を与え得る事象の原因
• 脆弱性：情報資産に内在してリスクを顕在化させる弱点

ただし，略語は下記のように覚えるとよい。

禁止されていない。任意標準規格である。

• 食品：JAS（日本農林規格）が担当
• 医薬品：日本薬局方が担当

善管注意義務を負って作業を受託する契約のこと。善管注意義務とは「その人の社会的な地位から一般的に要求される注意義務」のことを指す。「その人」とは受託者のSIerを指し，注意の矛先はSIerが雇っているパートナーとなる。

準委任契約は請負契約とは異なり成果物の完成を契約目的としておらず，委託された仕事の遂行自体を目的としている。ただし「仕事を遂行すること」だけでは質が担保されないため，SIerの常識的な管理を担保するために善管注意義務という言葉を利用している。

Advanced Persistent Threatsの略称で，持続的に行われる標的型攻撃のことを指す。

内閣

• ISO：電気分野を除く全産業分野の国際規格
• IEC：電気分野の国際規格
• JIS：各産業分野に対する日本規格

ISO/IEC 9000では定められた用途に対する要求事項を満たされていることを担保する「妥当性確認」がキーワード。JIS Q 15000としてはJIS Q 15001はプライバシーマーク制度，JIS Q 27000としてはJIS Q 27001のISMS適合性評価制度をおさえておきたい。

ISO/IEC 15408（JIS X 5070）

代表的なISO/IECシリーズとJISシリーズを覚えるだけでは解答できない例外。JISECと関連。

ITU-T X.509U（JIS X 5731-8）

ISO/IEC 17799

ISMS適合性評価制度自体はJIS Q 27001に基づくため注意。

ISO/IEC 13335

ISO/IEC 14516

JISEC自体が評価制度であり，ISMSは情報セキュリティマネジメントシステムのことを指す。

決まる

128ビット/192ビット/256ビットから選択する

刑法

Bring Your Own Deviceの略称で，私用デバイスを業務に利用することを指す。

特許所有者が相互に使用を許可する戦略

ソフトウェア違法複製の防止

Business E-mail Compromiseの略称で，ビジネスメール詐欺により金銭を騙し取ること。

システムと情報セキュリティを比べるとシステムのほうが広義な印象を持つため，システム管理基準に情報戦略や投資の話が含まれると覚えましょう。

工業所有権は産業財産権とも呼ばれる。

Robotic Process Automationの略称で，定常的な作業をソフトウェアにより自動化すること。

消費者。メーカーを保護するものではない。

SIer

Business Continuity Planの略称で，事業継続計画のこと。

SECURITY ACTION

• SMTP-AUTH：SMTPサーバアクセス時に利用者認証
• SMTPS：サーバはクライアント証明書で利用者認証（over TLSであるため）

情報システムの基盤となるライフライン

既存のツールを用いて不正アクセスを試みる初心者のこと

産業標準化法に基づいてJIS規格の制定などを行う機関

標的型サイバー攻撃の被害低減や拡大防止の支援を行う組織であり，J-CRATと呼ばれている。

承認を得る必要がある。「所有者と受容の決定は独立させるべき」と誤解しやすいので注意。リスク所有者に無断で受容するとシンプルに迷惑がかかるからと理解する。

政府機関等の情報セキュリティ対策のための統一基準。行政機関や独立行政法人には適用されるが，全ての民間企業に適用される訳ではない。特定の法律により設立された指定法人には適用される。サイバーセキュリティ基本法に基づいて制定された。

ハードウェアやソフトウェアに対し物理的な接触によりデータを解析・改変・抽出しようとする攻撃への耐性のことを指す。タンパはTamper（手を加える）のこと。

C（Check）

SIer

• オプトイン：事前に同意が必要
• オプトアウト：事後に受け取り側で拒否設定を行う

ソフトウェアのパッケージを開封した時点で使用許諾契約に同意したとみなす方式のこと。shrink-wrapはビニール製の包装紙のことを指す。

Webサイト上の悪意のあるプログラムにより，利用者に気付かれないようにマルウェアをダウンロードさせる攻撃のこと。USB経由でマルウェアを侵入させるautorun.infを悪用した攻撃と混同しないように注意。

J-CSIP。Initiative for Cyber Security Information sharing Partnership of Japanの略称で，サイバー情報共有イニシアティブと呼ばれる。

ストレージの最も先頭にある小さな領域で，起動に必要となる情報が格納されている。

CSR調達は委託先などを含めたサプライチェーン全体に対してCSRを求めるものであります。

• 助言型：今後の体制管理に関して改善提言する監査
• 保証型：監査実施時点で体制管理が適切であることを表明する監査

　助言型を行った上で保証型に進む流れが一般的。

個人情報保護方針。ガイドラインでも規程でもマニュアルでもなく方針。

• ガイドライン：共通マスタのイメージ
• 規程：個人情報取扱事業者が自主的に定めるイメージ
• マニュアル；プライバシーマーク作成のイメージ
• 方針：Webサイト上で公開するプライバシーポリシーのイメージ

攻撃対象のドメインにサブドメインをランダムで作成してDNSクエリを大量に発行することで，対象ドメインの権威サーバに負荷をかけるという原理。攻撃対象は権威DNSサーバ。

いずれも事業会社側がSIerに対して情報提供を求めるもの。RFI→RFPの順番が一般的。RFQはRFPに含める場合もある。

派遣元

派遣先，委託元。「指揮命令側と同一」と理解する。

比例しない。特別な定めがない限り50:50となる。

管理すべきではない。個人番号はマイナンバーのこと。

作成させてよい。フリーランスの税理士をイメージすると分かりやすい。

6ヶ月

• 請負元：発注側（事業会社）
• 請負先：受託側（SIer）

10年という時効が存在する

特定の条件（実質的に製造元とみなせるような表示など）をした場合は損害賠償を負う

• 電子消費者契約法：誤操作による申し込みなどから消費者を保護する
• 特定電子メール法：広告目的の宣伝メールを規制する

特許法

Envelop・Enveloped・Detachedの主語は「署名」であると理解するとよいです。

不正競争防止法。著作権法と誤解しやすいため注意。

身代金

• ターンアラウンドタイム：処理要求〜全ての結果を受け取るまで
• レスポンスタイム：処理要求〜最初の結果を受け取るまで

ばれないように少しずつ不正行為を繰り返すこと。サラミの薄いスライスをイメージする。

定められていない。内部監査は定期的に実施するべきだとしている。

取引内容も含めたデータに署名を付ける方式のこと

0.0〜10.0

• 基本：固定基礎点のイメージ
• 現状：その時点における深刻度のイメージ
• 環境：利用者の環境を含めて最終的な深刻度を評価するイメージ

• サイトライセンス：使用場所を限定。台数や人数に制限はない。
• ボリュームライセンス：大量購入向け。マスタを提供してインストール数を制限。

IPAが発行しているソフトウェア取引に関するガイドライン。システム開発で共通認識を揃えるためのツール。共通のものさし。

ない。そんなことしていたらISOがパンクする。

• RTO（Recovery Time Objective）：復旧時間の目標
• MTTR（Mean Time To Repair）：復旧時間の平均実績

事業継続計画では目標値を定めるためRTOが該当します。

いずれも内部統制を構成する要素の一つであり，下記のような違いがある。

• 統制環境；内部統制のベース。「ルールを守るんだ」という雰囲気を指す概念。
• 統制活動：統制環境のベースの上で成り立つ活動。「ルールを守りなさい」と求めるもの。

例えば「トップが経営方針を明示する」は統制環境であり，「発注業務と検収業務を独立させる」は統制活動となる。統制活動には職務分掌が含まれると覚えてしまう。

• 動機：不正を行うプレッシャー。そもそも動機がないと不正は始まらない。
• 機会：不正を行うことができる環境。不正ができない環境であれば不正は起こらない。
• 正当化：不正行為の合理化。動機と機会の条件が揃った上で正当化すると不正に走る。

• 派遣：労働者は派遣会社と労働契約を結ぶ
• 出向：労働者は派遣先の事業会社と労働契約を結ぶ

デジタル署名により信頼性が担保された最低限のソフトウェアだけを起動させる方式のこと

対象ではない

マクロでは

• 需要基準決定→リスクアセスメント→対応

であり，リスクアセスメントのミクロは

• 特定→分析→評価

である。これらを合体させると

• 基準→特定→分析→評価→対応

となる。障害対応的な理解をしていると「まずは対応をしなくてはいけない」と考えてしまうが，ISMSで扱うリスクは障害ではないため，地に足ついた分析と計画に基づいて最後に対応すればよい。

リスク対応のプロセスにおける「リスク対応のための管理策選択」の後。適用宣言書を作成してからリスク対応計画を作成する。「リスク対応のための管理策選択」はメタな管理策と理解し，リスク対応計画とは異なるものであると捉えるとよさそう。「適用宣言書は一番最後だ」と曖昧な覚え方をしていると間違えるため注意。宣言してから対応する。

有さない。AuthenticationのAであるため認証だけ。

Japan Vulnerability Notesの略称で，日本国内で使用されているソフトウェアの脆弱性対応状況を公開するポータルサイトのことを指す。

Data Loss Preventionの略称で，機密情報保護のためデータを常に監視する機能

Uninterruptible Power Systemの略称で，停電時に電気を一定時間供給し続ける仕組み

正しい

• WBS：作業を階層化して分解する
• ガントチャート：作業日程をバーで表して進捗を可視化する

デジタル証明書の失効状態に関する問い合わせに応答すること

• インシデント管理の目的：障害に繋がり得る事象の解決をSLA以内に達成すること
• 問題管理の目的：インシデントの原因究明とその解決策・防止策の管理

派遣元

正しくない。J-CRATはIPAが設置したサイバーレスキュー隊のことを指すが，上はNISC（内閣サイバーセキュリティセンター）の説明。

正しくない。対策費も見積もる。

正しい。情報セキュリティ文脈では純粋リスクのみを対象とするが，経営目線では投機的リスクも対象にする。

情報資産には紙や記憶などシステム以外も含まれるということ。それによりコンピュータを設置していなくても監査が必要となること。

Common Weakness Enumerationの略称で，脆弱性一覧のことを指す。Enumerationは一覧という意味。

正しい。多国籍文字を2byteの文字コードで表現する。

派遣元と派遣先が結ぶ契約。雇用契約は派遣元と労働者が結ぶ契約。

正しくない。発生確率を掛ける。