情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和6年度春期 午前Ⅱ 問8: 組織のセキュリティインシデント管理の成熟度を評価するために Open CSIRT Foundation が開発したモデルはどれか。

正解

エ. SIM3

正答率 75.0%（8人中 6人が正解）

問題の解説

SIM3(Security Incident Management Maturity Model)は、Open CSIRT FoundationがCSIRTのインシデント管理能力の成熟度を、組織・人材・ツール・プロセスのパラメータで評価するために開発したモデル。エが正しい。実務ではCSIRTの自己点検や第三者評価に用い、体制の弱点を可視化して改善計画につなげる。CMMCは防衛サプライチェーン、CMMIは開発プロセス、SAMMはソフトウェア保証の成熟度モデル。

選択肢ごとの解説

• アCMMCは米国防衛産業向けのサイバーセキュリティ成熟度認証で、CSIRT評価モデルではない。
• イCMMIは開発・サービスのプロセス成熟度モデルで、インシデント管理専用ではない。
• ウSAMMはソフトウェアセキュリティ保証の成熟度モデルで、CSIRT評価モデルではない。
• エOpen CSIRT FoundationがCSIRTの成熟度評価のため開発したSIM3で正しい。