令和3年度 秋期 システム監査技術者試験 午前Ⅱ 問19
テクノロジ／セキュリティNIST“Cybersecurity Framework：重要インフラのサイバーセキュリティを改善するためのフレームワーク（1.1版）”にある機能とカテゴリの組みのうち，対応しているものはどれか。 （注：本サイトでは原問題の表を文字表記に変換しています）
出典：令和3年度 秋期 システム監査技術者試験 午前Ⅱ 問19
- ア機能：検知，カテゴリ：データセキュリティ 説明：情報と記録が，情報の機密性，完全性，可用性を保護するための自組織のリスク戦略に従って管理されている。
- イ機能：識別，カテゴリ：リスクアセスメント 説明：自組織は，組織の業務，組織の資産及び個人に対するサイバーセキュリティリスクを把握している。
- ウ機能：対応，カテゴリ：セキュリティの継続的なモニタリング 説明：情報システムと資産は，サイバーセキュリティイベントを識別し，保護対策の有効性を検証するために，モニタリングされている。
- エ機能：防御，カテゴリ：分析 説明：分析は，効果的な対応を確実にし，復旧活動を支援するために実施される。
正解：イ
解説
NIST Cybersecurity Frameworkでは，「識別（Identify）」「防御（Protect）」「検知（Detect）」「対応（Respond）」「復旧（Recover）」の五つの機能が定義され，それぞれの機能の下に複数のカテゴリが設けられている。“識別”機能には“リスクアセスメント”カテゴリが含まれ，組織の資産や個人に対するサイバーセキュリティリスクを把握するプロセスと定義されている。設問中の他の選択肢は，機能名とカテゴリ・説明文の組合せがそれぞれ入れ替わっている。
選択肢ごとの解説
- ア誤り。示された説明は「防御」機能の「データセキュリティ」カテゴリの説明であり，機能名「検知」とは対応していません。
- イ正しい。「識別」機能の「リスクアセスメント」カテゴリは，組織の業務・資産・個人に対するサイバーセキュリティリスクを把握することと定義されており，機能とカテゴリ，説明が対応しています。
- ウ誤り。示された説明は「検知」機能の「セキュリティの継続的なモニタリング」カテゴリの説明であり，機能名「対応」とは対応していません。
- エ誤り。示された説明は「対応」機能の「分析」カテゴリの説明であり，機能名「防御」とは対応していません。