社内のセキュリティ研修で、「サイバーセキュリティ」という言葉を、サイバーセキュリティ基本法の 定義に沿って説明することになった。同法の定義として最も適切なものはどれか。

正解：ウ

各選択肢の解説

1. アサイバー攻撃を受けた後に、被害の拡大を防いでシステムを復旧させるために行う対処の活動

   誤り。これはインシデント対応の説明です。攻撃への対処は確かにサイバーセキュリティの一部なので 選びたくなりますが、法律の定義は事後の活動に限りません。被害を防ぐ措置が講じられ、 その状態が維持されていることまで含めて定めています。

2. イ紙の文書を含む組織のすべての情報資産について、漏えいや紛失を防ぐための管理の仕組み

   誤り。対象の範囲が広すぎます。基本法の定義が対象にするのは、電子的・磁気的な方式など、 人が直接は認識できない方式で記録・送受信される情報と、情報システム・ネットワークです。 紙の文書まで含めて管理するのは、組織の情報セキュリティマネジメントの考え方です。

3. ウ電子的に扱う情報の保護やシステムの安全確保の措置が講じられ、その状態が適切に維持管理されていること

   正解。基本法は、情報の漏えい・滅失・毀損の防止やシステム・ネットワークの安全性・信頼性の 確保の措置が講じられ、「その状態が適切に維持管理されていること」をサイバーセキュリティと定めています。

4. エ国の機関が、重大なサイバー攻撃に使われるサーバにアクセスし、無害化するために行う措置

   誤り。これはサイバー対処能力強化法（能動的サイバー防御）の仕組みの一つです。 「サイバー」と付く国の施策なので混同しやすいのですが、特定の場面で国が行う権限であって、 基本法が定める「サイバーセキュリティ」という言葉の意味ではありません。

理解を深めるために