情報セキュリティに関する制度や基準のうち、SECURITY ACTION の説明として 最も適切なものはどれか。
正解：エ
ア政府機関が調達するクラウドサービスについて、あらかじめ安全性を評価し登録する制度。
誤り。これはISMAP（政府情報システムのためのセキュリティ評価制度）です。 政府機関がクラウドサービスを選ぶときの前提となる仕組みで、対象が民間企業 一般ではなく、政府調達である点が違います。
イクレジットカードの会員データを扱う事業者が守るべき、国際的なセキュリティ基準。
誤り。これはPCI DSSです。カード情報を扱う加盟店や決済事業者に求められる 業界共通の基準で、自ら宣言するものではなく、要求事項への準拠を求められる 点が異なります。
ウ不正アクセスによる被害を受けた者が届け出て、被害の状況が集計・公表される制度。
誤り。これはコンピュータ不正アクセス届出制度です。被害の実態を把握して 注意喚起につなげる仕組みで、被害が起きた後に届け出るものです。対策への 取組を表明する制度ではありません。
エ中小企業が情報セキュリティ対策に取り組むことを自ら宣言する、IPAの取組。
正解。第三者の審査を受けるのではなく、自社で対策に取り組むと宣言することで ロゴマークを使えるようになります。対策の第一歩を踏み出しやすくすることが ねらいです。
まず「やります」と手を挙げる仕組み
情報セキュリティの認証や基準は、審査に費用も時間もかかるものが多く、 人手の限られた中小企業にとっては最初の一歩が重くなりがちです。 SECURITY ACTIONは、その入口を軽くするために作られました。自社で対策に 取り組むと宣言すれば、ロゴマークを使って対外的に示せます。
対象と目的で並べて覚える
制度名は多いのですが、「誰のための、何のための仕組みか」で整理すると混ざりません。
- SECURITY ACTION：中小企業が自ら宣言する。審査ではなく自己宣言
- ISMAP：政府が調達するクラウドサービスの安全性を、あらかじめ評価して登録する
- PCI DSS：クレジットカードの会員データを扱う事業者が守る国際的な基準
- 届出制度：不正アクセスやウイルスの被害を届け出て、実態把握と注意喚起に使う
宣言するのか、評価・審査を受けるのか、被害を届け出るのかという行為の違いが、 そのまま見分けの手がかりになります。
混同しやすいものとの違い
| 制度・基準 | 主な対象 |
|---|---|
| SECURITY ACTION | 中小企業（自らの宣言） |
| ISMAP | 政府情報システムで使われるクラウドサービス |
| PCI DSS | クレジットカードの会員データを扱う事業者 |
| コンピュータ不正アクセス届出制度 | 被害を受けた個人・組織からの届出 |
試験では制度名と対象の組合せで問われます。中小企業と結び付く語はSECURITY ACTION、 政府調達ならISMAP、カード業界ならPCI DSSと覚えておけば選び分けられます。