情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和6年度春期 午前Ⅱ 問8: 組織のセキュリティインシデント管理の成熟度を評価するために Open CSIRT Foundation が開発したモデルはどれか。

問題本文

組織のセキュリティインシデント管理の成熟度を評価するために Open CSIRT Foundation が開発したモデルはどれか。

選択肢

• ア.CMMC
• イ.CMMI
• ウ.SAMM
• エ.SIM3

正解

エ. SIM3

解説

SIM3(Security Incident Management Maturity Model)は、Open CSIRT FoundationがCSIRTのインシデント管理能力の成熟度を、組織・人材・ツール・プロセスのパラメータで評価するために開発したモデル。エが正しい。実務ではCSIRTの自己点検や第三者評価に用い、体制の弱点を可視化して改善計画につなげる。CMMCは防衛サプライチェーン、CMMIは開発プロセス、SAMMはソフトウェア保証の成熟度モデル。

選択肢ごとの解説

• ア.CMMCは米国防衛産業向けのサイバーセキュリティ成熟度認証で、CSIRT評価モデルではない。
• イ.CMMIは開発・サービスのプロセス成熟度モデルで、インシデント管理専用ではない。
• ウ.SAMMはソフトウェアセキュリティ保証の成熟度モデルで、CSIRT評価モデルではない。
• エ.Open CSIRT FoundationがCSIRTの成熟度評価のため開発したSIM3で正しい。