セキュリティインシデント管理の成熟度の評価制度｜情報処理安全確保支援士試験 令和6年春期午前Ⅱ 問8
出典：令和6年春期 午前Ⅱ 問8
分野：セキュリティ ／ 情報セキュリティ管理
組織のセキュリティインシデント管理の成熟度を評価するためにOpen CSIRT Foundationが開発したモデルはどれか。
- ア：CMMC
- イ：CMMI
- ウ：SAMM
- エ：SIM3
TSUNAGARU-ADVICE
まず押さえたいこと
SIM3は、CSIRTなどのセキュリティインシデント対応組織について、インシデント管理の成熟度を評価するためのモデルです。
迷ったときの判断軸
CMMCはサイバーセキュリティ成熟度、CMMIは組織のプロセス成熟度、SAMMはソフトウェアセキュリティ成熟度の文脈で使われます。一方で、CSIRTの成熟度評価に結び付くものはSIM3と整理すると判断しやすくなります。
科目Bにつなげるために
科目Bでは、インシデント対応体制を考える場面で、組織がどれだけ継続的・体系的に対応できる状態かを評価する視点が問われます。CSIRTは設置するだけでなく、役割、プロセス、人材、ツールなどの成熟度を高める必要があると理解しておきましょう。
SIM3（Security Incident Management Maturity Model）は、CSIRTなどのセキュリティインシデント対応組織の成熟度を評価するためのモデルです。
組織・人材・プロセス・ツールなどの観点から、インシデント管理能力の成熟度を評価します。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：CMMC
⇒米国防総省の調達などで用いられるサイバーセキュリティ成熟度モデルです。CSIRTのインシデント管理成熟度を評価するOpen CSIRT Foundationのモデルではありません。
イ：CMMI
⇒組織のプロセス成熟度を評価・改善するためのモデルです。ソフトウェア開発やサービス提供などに広く用いられますが、CSIRTのインシデント管理成熟度評価モデルではありません。
ウ：SAMM
⇒ソフトウェアセキュリティ保証の成熟度を評価するOWASPのモデルです。CSIRTのインシデント管理成熟度を評価するモデルではありません。