ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問8 SIM3 とは

情報処理​安全確保​支援士 令和6年度 春期 午前II、全25問のうちの問8。

出典：令和6年度 春期 情報処理安全確保支援士試験 午前II 問8

組織のセキュリティインシデント管理の成熟度を評価するために Open CSIRT Foundation が開発したモデルはどれか。

  1. アCMMC
  2. イCMMI
  3. ウSAMM
  4. エSIM3
答えと解説を開く

正解はエです。

SIM3 は、組織のセキュリティインシデント管理がどこまで整っているかを評価するモデルで、Open CSIRT Foundation が開発しました。組織、人、道具、手順の分野に分けて多くの項目を並べ、項目ごとに、決めていない、決めてある、文書になっている、評価して改善している、のような段階で達成の度合いを見ます。CSIRT の立ち上げや点検の物差しとして使われます。正解はエです。

ほかの選択肢が違う理由

  • アCMMC (Cybersecurity Maturity Model Certification) は、米国の国防総省が、取引先の企業のサイバーセキュリティの水準を確かめるために作った認証の枠組みです。
  • イCMMI (Capability Maturity Model Integration) は、ソフトウェアの開発などの組織のプロセスの成熟度を段階で評価するモデルです。インシデント管理のためのモデルではありません。
  • ウSAMM (Software Assurance Maturity Model) は、OWASP がまとめた、ソフトウェア開発のセキュリティの取組みの成熟度を測るモデルです。

仕組み

成熟度のモデルは、いまの組織がどの段階にいて、次に何をすれば一段上がるかを示す物差しです。他社と点数を比べるより、自分の組織の弱い所を見つけるのに向いています。

CSIRT は、インシデントが起きたときの受付、分析、対応、関係者への連絡をまとめて受け持つチームです。手順を決め、訓練し、振り返って直すことを続けると、成熟度が上がっていきます。