【SC試験】ISMSリスクマネジメントとサイバーセキュリティ基本法 — 午前I・午前II・午後 問題セット

正解： イ

解説： ISO/IEC 27001のリスク対応の4選択肢のうち、「回避（Avoidance）」はリスクが生じる活動・環境そのものをやめることで、当該リスクをゼロにできますが、その事業機会や便益も失われます。ア）リスク移転（保険・委託）は財務的影響を第三者に移しますが、事故が発生する確率（リスクの発生可能性）自体は変わりません。ウ）リスク受容はリスク値が受容基準以下の場合に選択するものです。受容基準を超えているのに許容することは適切な受容とは言えません。エ）保険加入・業務委託はリスクの「移転」です。「低減」はファイアウォール導入・アクセス制御など技術・組織的管理策によってリスクの発生可能性や影響度を下げることです。

正解： ウ

解説： IPA（情報処理推進機構）は独立行政法人であり、脆弱性情報の収集・公表（JVNポータル）・情報処理技術者試験（SC試験を含む）の実施・セキュリティガイドラインの策定など、国内向け支援機能を担います。ア）サイバーインシデントの収集・分析・国際連携（CERT/CCとの連携）を主な業務とするのはJPCERT/CCです。NISCの主な役割は国家サイバーセキュリティ戦略の策定・省庁間調整・政府機関へのサイバーセキュリティ対策に関する勧告です。イ）JPCERT/CCは独立行政法人ではなく一般社団法人（民間団体）です。エ）重要インフラは2022年以降14分野（情報通信・金融・航空・空港・鉄道・電力・ガス・政府行政・医療・水道・物流・化学・クレジット・石油）に拡充されており、10分野は誤りです。

正解例（リスクAの対応選択肢）：

選択肢①：低減（Reduction）

• 実施内容：OT環境をITネットワークから分離（エアギャップまたはDMZ構成）、制御システム専用のウイルス対策導入、パッチ管理の徹底、定期バックアップと復旧訓練の実施
• 判断ポイント：制御システム停止による製造ライン停止は事業継続に深刻な打撃を与えるため、技術的管理策によってリスクを許容レベルまで引き下げることが現実的

選択肢②：移転（Transfer）

• 実施内容：ランサムウェア被害の復旧費用・事業中断損失をカバーするサイバー保険の加入、インシデント対応専門会社との契約締結
• 判断ポイント：5,000万円の対策費用に対し、保険料・免責額・補償上限を費用対効果で比較検討する。OT環境を対象とした保険商品の選定と適用範囲の確認が重要

正解例（リスクCの対応）： 低減が最適。費用対効果が高く（30万円/年・50台）、廃棄PC1台あたり約60万円の対策コストは合理的。リスク値が「低」であっても個人情報・機密情報が含まれる場合は受容は不適切であり、専門業者によるデータ消去を実施することで残存データの漏洩リスクを排除する。

採点基準：

• リスクAの対応2つの名称（各1点）
• 各対応の具体的実施内容（各1点）
• 判断ポイント（コスト・事業影響への言及）（各1点）
• リスクCの選択（低減）と理由（費用対効果・データ性質への言及）（2点）

正解例（1）： 経済安全保障推進法の特定社会基盤事業者制度では、電力・ガス・水道・鉄道・通信等の重要インフラ事業者が、重要設備（基幹システム・制御システム等）を新たに導入または更新する際に、事前に政府への届出と審査を受けることが義務付けられる。具体的には、設備の仕様・サプライヤー情報（資本関係・役員の国籍・技術情報管理体制等）を届出書に記載し、国家安全保障上のリスクの有無について審査を受ける。G社が製造する制御システムがこの「重要設備」に該当する場合、電力会社はG社に関する情報を届出に含める必要があり、G社の体制整備状況が審査に影響する。

正解例（2）： ISMSの「供給者関係（サプライヤー管理）」管理策（ISO/IEC 27001 附属書A・組織的管理策）を活用し、電力会社から求められる情報の適切な提供体制と管理体制の文書化を整備する。具体的には、①セキュリティ要求事項を含む供給者契約の見直し、②従業員のバックグラウンドチェック方針の策定・文書化、③技術情報・設計情報へのアクセス制御の強化と記録の整備、④G社の下請けサプライヤーへのセキュリティ要件の伝達と管理。

採点基準：

• 「事前届出・審査」への言及（2点）
• 「重要設備・サプライヤー情報の提出」への言及（2点）
• ISMSの供給者管理/サプライチェーンセキュリティへの言及（2点）
• 具体的管理策（文書化・契約・アクセス制御・下請け管理）の記述（2点）