情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問04

SECURITY ACTION制度【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを抽出：「中小企業」「自己宣言」「IPAのガイドライン」。
2. 選択肢の性質を確認する：
   • 第三者による適合性評価や製品評価など、認証・評価制度は「自己宣言」ではない。
   • サービス名や脆弱性情報提供サービスも「自己宣言制度」ではない。
3. 「自己宣言」に該当する制度を選ぶ。自己宣言制度に該当するのは エ であるため正解と判断する。

選択肢別の誤答解説

• ア: ISMS適合性評価制度
  ISMS（Information Security Management System：情報セキュリティマネジメントシステム）は、組織の情報セキュリティ管理体制のことです。ISMS適合性評価制度はISO/IEC 27001などに基づく第三者認証・適合性評価の仕組みで、外部審査を受けて認証を取得する必要があります。自己宣言ではないため誤りです。
• イ: ITセキュリティ評価及び認証制度
  これは主にIT製品やシステムのセキュリティ評価・認証を行う制度で、製品・機器に対する評価が中心です。中小企業の自発的な自己宣言制度ではないため、該当しません。
• ウ: MyJVN
  MyJVNはIPAなどが提供する脆弱性情報の検索や診断支援サービス（ソフトウェアの脆弱性情報を提供したり診断ツールを提供したりするサービス）です。情報提供や支援が目的で、事業者の自己宣言制度ではありません。
• エ: SECURITY ACTION（正解）
  中小企業がIPAのガイドラインに沿った対策に取り組むことを自ら宣言する仕組みです。第三者審査が不要な「宣言型」の制度で、外部に対するアピールや取引先への信頼獲得に使えます。

よくある誤解

• 誤解1：SECURITY ACTIONは認証制度である
  → いいえ。SECURITY ACTIONは「自己宣言」であり、第三者による認証や審査を必ずしも伴いません。認証の有無を見分けるのがポイントです。
• 誤解2：中小企業向けだから対策は形だけでよい
  → 宣言する以上、ガイドラインに沿った実務的な対策（パスワード管理、バックアップ、教育など）を実行する必要があります。宣言は運用のきっかけです。

補足コラム

• まずIPAのガイドラインやチェックリストを確認して、自社の現状と不足点を洗い出す。
• 優先順位をつけて、アクセス制御やバックアップ、ソフトウェア更新、社員への教育を実施する。
• 実施した内容をウェブや名刺、営業資料で「自己宣言」として示す。これにより取引先からの信頼を得やすくなります。
  ただし、重要な取引先や高度なセキュリティ要件がある場合は、ISMS認証などの第三者評価が求められることもあります。自己宣言は「まずは基本を実行する」ための実践手段と考えてください。

FAQ