問題 No.5814
情報セキュリティマネジメントにおけるベンチマーキングの説明として、最も適切なものはどれか。
【正解の解説】
業界の優れた競合他社や先進的な模範事例と比較して自社のセキュリティ水準を測定し、ギャップを分析して改善に役立てること
いわば「他社のすごいところを徹底的に真似して自社をパワーアップさせる鏡」のような手法です。スポーツの世界で日本代表が世界王者のプレイを分析して自分たちの現在地を知るように、セキュリティでも優良企業の対策を物差しにして「うちの会社はここが弱いな」とギャップを見つけ、次の強化策に繋げます。
スポンサーリンク
【その他の選択肢の解説】
自社のセキュリティポリシーに基づいて定期的な監査を実施し、組織全体における規程の遵守状況を客観的に評価して是正すること
これは「社内監査」や「セキュリティ監査」の説明であり、外部の優れた他社と比較するベンチマーキングとは異なります。監査が自社のルール通りに動いているかをチェックする「社内向けの成績表」だとすれば、ベンチマーキングは「他校というライバルと模試の偏差値を比べる行為」であり、比較の矢印の向きが内側か外側かで区別します。
過去のインシデント発生時の対応記録を詳細に分析し、類似した脅威に対する防御策や復旧手順の実効性を継続的に検証すること
これは「インシデント分析」や「フォレンジック調査、 lessons learned（教訓の活用）」と呼ばれる活動の説明です。過去の失敗から学ぶことは非常に重要ですが、他社と比較して自社の相対的な位置づけを測るベンチマーキングとは目的が全く異なるため、試験では用語の意味を混同しないよう注意が必要です。
ネットワーク上の脆弱性診断ツールを自動実行してシステムに潜む技術的な欠陥を網羅的に検出し、優先順位をつけて対処すること
これは「脆弱性診断（セキュリティスキャン）」の説明であり、システム自体の穴を探す技術的な作業を指します。ベンチマーキングが経営や管理体制のレベルを含めたセキュリティ水準全体を他社と比較するアプローチであるのに対し、こちらはツールで機械的にシステムを調べるピンポイントな作業なので、アプローチの規模感が大きく異なります。