ITパスポート 2021年 問79

SECURITY ACTION に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを把握する：「IPA」「創設」「制度」「普及」「加速化」など。
2. 各選択肢の意味を短く整理する：
   • ア：補助（金銭支援）制度か？
   • イ：対象が営利組織のみか？
   • ウ：自己宣言制度か？
   • エ：第三者認定制度か？
3. SECURITY ACTION の特徴を思い出す：これは「自己宣言（セルフチェック）」で、ステッカー表示などで取り組みを外部に示す仕組みである。
4. 比較して最も合致するのが ウ であると決定する。

選択肢別の誤答解説

• ア：ISMS認証取得に必要な費用の一部を国が補助する制度
  誤り。これは「費用補助」を述べていますが、SECURITY ACTION は補助金制度ではありません。ISMS（Information Security Management System：情報セキュリティマネジメントシステム）認証は第三者審査を伴う別の仕組みで、認証取得には監査や費用がかかりますが、それを直接補助する制度がSECURITY ACTIONというわけではありません。
• イ：営利を目的としている組織だけを対象とした制度
  誤り。SECURITY ACTION は中小企業や小規模事業者を主な対象としていますが、営利・非営利の区別で排除するものではありません。目的は広く事業者の情報セキュリティ対策の促進です。
• ウ：情報セキュリティ対策に取り組むことを自己宣言する制度
  正しい。SECURITY ACTION は組織が自らチェックリストに基づいて対策を実施・宣言する制度で、1つ星（基本対策）や2つ星（より進んだ対策）などの表示が可能です。第三者審査を伴う認証制度ではありません。
• エ：情報セキュリティ対策に取り組んでいることを第三者が認定する制度
  誤り。第三者による認定・認証を行うのは ISMS（ISO/IEC 27001 等）のような別制度です。SECURITY ACTION はあくまで自己宣言型で、第三者認定ではありません。

よくある誤解

1. 「自己宣言＝意味がない」と考える誤解
   • 誤り：自己宣言でも、チェックリストに従って具体的な対策を実施することが前提です。対外的な信頼性向上や内部の改善を促す実用的な第一歩になります。
2. 「SECURITY ACTION は補助金制度だ」と思う誤解
   • 誤り：資金的支援を行う制度ではありません。対策の宣言と可視化（ステッカー等）が主目的です。
3. 「中小企業以外は対象外」という誤解
   • 誤り：主な対象は中小企業ですが、広く事業者の参加を促す制度であり、対象が狭く限定されるわけではありません。

補足コラム

• 星のランクについて：SECURITY ACTION には主に「一つ星（基本）」と「二つ星（上位）」の区分があります。簡単に言うと、基本チェックリストを満たすと一つ星、さらに進んだ項目を満たすと二つ星、というイメージです。
• 何をチェックするか：パスワード管理、ソフトウェアの更新、バックアップ、マルウェア対策、従業員教育など、実務的な基本対策が中心です。
• 次のステップ：SECURITY ACTION は初めの一歩として有効です。より厳格な外部審査や国際標準の認証（ISMS/ISO27001）を目指す場合は、別途監査や準備が必要になります。
• 利用メリット：顧客や取引先に「セキュリティに取り組んでいます」と分かりやすく示せる点が大きな利点です。

FAQ