ホーム > 情報処理安全確保支援士試験 > 2024年 春期
情報処理安全確保支援士試験 2024年 春期 午前2 問08
組織のセキュリティインシデント管理の成熟度を評価するためにOpen CSIRT Foundationが開発したモデルはどれか。
ア：CMMC
イ：CMMI
ウ：SAMM
エ：SIM3（正解）
解説
組織のセキュリティインシデント管理の成熟度を評価するためにOpen CSIRT Foundationが開発したモデルはどれか【午前2 解説】
要点まとめ
- 結論：Open CSIRT Foundationが開発したセキュリティインシデント管理の成熟度モデルはSIM3です。
- 根拠：SIM3はSecurity Incident Management Maturity Modelの略で、CSIRTの成熟度評価に特化しています。
- 差がつくポイント：CMMCやCMMIは別分野の成熟度モデル、SAMMはアプリケーションセキュリティに焦点があるため混同しないことが重要です。
正解の理由
SIM3はOpen CSIRT Foundationが策定したモデルで、組織のセキュリティインシデント対応能力の成熟度を段階的に評価・改善するために設計されています。CSIRT（Computer Security Incident Response Team）の運用状況やプロセスの成熟度を体系的に評価できるため、インシデント管理に特化したモデルとして最適です。
よくある誤解
CMMIはソフトウェア開発やプロセス改善の成熟度モデルであり、セキュリティインシデント管理専用ではありません。SAMMはアプリケーションセキュリティの成熟度評価モデルで、CSIRTの成熟度評価とは異なります。
解法ステップ
- 問題文のキーワード「Open CSIRT Foundation」と「セキュリティインシデント管理の成熟度モデル」を確認する。
- 各選択肢のモデルの目的や対象分野を整理する。
- CMMCは米国国防総省のサイバーセキュリティ成熟度モデル、CMMIはプロセス改善モデル、SAMMはアプリケーションセキュリティ成熟度モデルであることを理解する。
- SIM3がCSIRTの成熟度評価に特化したモデルであることを確認し、正解とする。
選択肢別の誤答解説
- ア: CMMC
米国国防総省が策定したサイバーセキュリティ成熟度モデルで、主に防衛産業のサプライチェーン向け。CSIRTの成熟度評価モデルではない。 - イ: CMMI
ソフトウェア開発や組織のプロセス改善に用いられる成熟度モデル。セキュリティインシデント管理専用ではない。 - ウ: SAMM
OWASPが提唱するアプリケーションセキュリティ成熟度モデル。CSIRTのインシデント管理とは対象が異なる。 - エ: SIM3
Open CSIRT Foundationが開発した、CSIRTのセキュリティインシデント管理成熟度を評価するためのモデル。正解。
補足コラム
SIM3はCSIRTの運用成熟度を5段階で評価し、組織のインシデント対応能力向上を支援します。成熟度モデルは組織の現状把握と改善計画策定に役立ち、セキュリティ対策の効果的な推進に不可欠です。
FAQ
Q: CMMCとSIM3の違いは何ですか？
A: CMMCは防衛産業向けのサイバーセキュリティ成熟度モデルで、SIM3はCSIRTのインシデント管理成熟度評価に特化しています。
A: CMMCは防衛産業向けのサイバーセキュリティ成熟度モデルで、SIM3はCSIRTのインシデント管理成熟度評価に特化しています。
Q: SAMMはどのような分野に使われますか？
A: SAMMはアプリケーションセキュリティの成熟度評価に使われ、ソフトウェア開発プロセスのセキュリティ強化を目的としています。
A: SAMMはアプリケーションセキュリティの成熟度評価に使われ、ソフトウェア開発プロセスのセキュリティ強化を目的としています。
関連キーワード: CSIRT, セキュリティインシデント管理, 成熟度モデル, SIM3, CMMC, CMMI, SAMM