情報処理安全確保支援士 2018年 秋期 午前2 問08

EDSAの評価対象と項目対応【午前2解説】

正解の理由

解法ステップ

1. 問題文の「評価対象」がどの階層（製品／システム／施設／組織）に該当するかを判別する。
2. EDSAで定義される評価項目の適用先（技術的試験は製品単位、物理的管理は組織・施設、方針は組織管理、など）を確認する。
3. 評価対象の責任範囲・評価境界がその評価項目の前提と一致するかを検証する（例：試験の再現性、責任主体の一致、構成の固定性）。
4. 各選択肢を「対象階層」と「項目の前提」照らして整合性が取れるかで判定する。
   （本問では、製品＝機器 と 技術的試験＝ロバストネス が直接対応するため ア を選ぶ）

選択肢別の誤答解説

• イ：組込み機器が運用されている施設 ← 入退室管理の評価
  誤りのポイント：入退室管理は「物理的セキュリティ」であり、評価対象として想定されるのは施設を管理・運営する主体（組織）の管理体制や運用拠点そのものです。本選択肢は「機器が置かれている場所（顧客側プラント等）」を評価対象としていますが、EDSAでの製品認証・評価は通常、製品（機器）やそれを提供するベンダー／運用組織の管理体制に焦点を当てます。端的に言えば、機器が設置される多数の顧客施設ごとの入退室管理は評価の対象外または評価範囲外（再現性・責任主体が不明確）であり、項目の前提と一致しません。例：サードパーティの顧客工場の入退室はデバイス認証の評価範囲に含まれない。
• ウ：複数の制御機器から構成される制御システム ← 脆弱性試験
  誤りのポイント：脆弱性試験（ペネトレーションや脆弱性スキャン）は有用ですが、EDSAにおける「脆弱性試験」は通常、明確に定義された製品／ソフトウェア単位で実施されます。制御システムのように複数機器・多様なベンダー・可変のネットワーク構成が混在する場合、試験の再現性と対象境界が不明確になりやすく、評価結果の一般化が困難です。したがって、個々の機器やそのファームウェア等の製品単位で脆弱性評価を行うのが原則であり、システム全体を対象とする脆弱性試験は、対象が「統合された製品として定義されている」場合に限定される点で本選択肢は不適切です。例：顧客ごとに異なるSCADA統合構成を一律に脆弱性試験することは評価基準上問題がある。
• エ：複数の制御機器から構成される制御システムを管理する組織 ← セキュリティポリシの評価
  誤りのポイント：組織に関する評価項目として「セキュリティポリシ（ポリシー）」の評価は確かに存在し得ますが、EDSAの評価対象として想定される「組織」は主に製品の開発・提供・保守を担うベンダーや運用・管理の責任主体です。本選択肢が指す「制御システムを管理する組織」が顧客の運用組織（エンドユーザー）であり、EDSAの評価目的（製品の安全性・堅牢性担保やベンダーのセキュリティ開発体制の検証）と必ずしも一致しません。さらに、EDSAで組織評価を行う際は「方針の有無」だけでなく、実装（手順・監査・教育）の有効性まで確認する点に留意する必要があり、単に「ポリシーがあるか」だけでは成立しません。

よくある誤解

• 「脆弱性試験＝どの階層にも適用できる」
  → 脆弱性試験は有効ですが、評価対象の境界が明確であること（製品単位やソフトウェア単位）が前提です。システム全体への適用は構成ごとに結果が異なるため限定的です。
• 「施設に対する入退室管理は常に評価対象」
  → 施設の物理セキュリティは評価対象になり得ますが、それは評価の責任主体（評価される組織）がその施設を管理している場合に限られ、単に“機器が置かれている場所”を評価するのとは意味合いが異なります。

補足コラム

FAQ