問題 No.3754
サイバーセキュリティに関する国際標準であるCSF（Cybersecurity Framework）の構成要素として不適切なものはどれか。
【正解の解説】
ソフトウェアの不具合を自動的に修正するパッチ配布機能
パッチ配布機能はセキュリティ対策の具体的なツールや製品の機能であり、NISTが定めた大枠のフレームワークであるCSFの構成要素ではありません。料理に例えると、CSFが「美味しいカレーを作るためのレシピの全体手順」を示すのに対し、パッチ機能は「特定の野菜を切るための包丁の種類」のような個別ツールの話なので、レイヤーが異なります。
スポンサーリンク
【その他の選択肢の解説】
組織のセキュリティリスクを管理するための特定、防御、検知、対応、復旧という5つの機能
これはCSFの骨組みとなる「コア」の5つの機能そのものです。学校のテストで言う「国・数・英・理・社」の主要科目のようなもので、サイバー攻撃を受けてから立ち直るまでのプロセスを網羅しています。試験ではこれが「予測、予防、解決…」などの似た非なる言葉にすり替えて出題されることが多いので、5つの正確な漢字と順番をセットで覚えましょう。
重要インフラストラクチャにおけるサイバーセキュリティリスクを低減するための共通言語
CSFは、異なる業種や規模の組織がサイバーセキュリティのリスクを共通の言葉で話し合うために作られました。例えば、社内のシステム担当者と経営層、さらには取引先企業との間で「いまウチのセキュリティレベルはどの段階にあるか」を共通の物差しで評価できるようにするための架け橋となり、組織全体の共通言語として機能します。
組織がサイバーセキュリティの対策状況を評価し改善するためのコア機能と実装階層
CSFは、何をすべきかを示す「コア」と、その対策が組織にどれほど定着しているかを測る「実装階層」という仕組みで成り立っています。これは通信簿の「通知表の項目」と「評価の段階（1から4）」のようなもので、自分たちのセキュリティ対策が現在どのレベルにあるかを客観的に自己採点し、次のステップへ改善していくために活用されます。