IPAとは？

IPAの意味

日本のIT国家戦略を技術面・人材面から支える独立行政法人。情報処理技術者試験（本試験含む）の実施のほか、脆弱性情報の届出受付、各種セキュリティガイドラインの策定・普及を行う。

IPAの具体例

ソフトウェア製品に脆弱性を発見した研究者が、IPAの脆弱性関連情報の届出窓口を通じて製品開発者に情報を伝達する仕組み（脆弱性情報ハンドリング）を利用する。

IPAは試験でどう引っ掛けられる？

JPCERT/CCと役割が違う。脆弱性の届出を受け付ける窓口がIPA、製品開発者との公表日程の調整（コーディネート）を担うのがJPCERT/CCで、両者が共同で運営する公表サイトがJVN。またIPAは独立行政法人であり、NISCや個人情報保護委員会のような国の行政機関ではない。

IPAと関連する用語

• SECURITY ACTION
• JPCERT/CC

IPAが出た過去問

• サイバーレスキュー隊（J-CRAT）の役割はどれか。

  正解：標的型サイバー攻撃を受けた組織や個人から提供された情報を分析し、社会や産業に重大な被害を及ぼしかねない標的型サイバー攻撃の把握、被害の分析、対策の早期着手の支援を行う。

  要点：J-CRATは標的型攻撃の被害分析と対策着手を支援する

  J-CRAT（サイバーレスキュー隊）はIPAが運営する組織で、標的型サイバー攻撃を受けた組織や個人からの相談・情報提供を受けて分析し、被害の拡大や連鎖を防ぐための助言や支援を行う。攻撃の把握、被害分析、早期の対策着手の支援が役割である。

  出典：平成29年度 秋期 応用情報技術者試験 午前 問42（IPA）

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”の説明はどれか。

  正解：企業がIT活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの

  要点：サイバーセキュリティ経営ガイドラインは3原則と経営者の指示事項

  サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが経営者向けにまとめた文書である。サイバー攻撃から企業を守るうえで経営者が認識すべき3原則と、セキュリティ対策の実務責任者に対して経営者が指示すべき重要項目から構成される。経営課題としてセキュリティを扱う点が特徴である。

  出典：平成29年度 春期 応用情報技術者試験 午前 問39（IPA）

• サイバーレスキュー隊（J-CRAT）は、どの脅威による被害の低減と拡大防止を活動目的としているか。

  正解：標的型サイバー攻撃

  要点：J-CRATは標的型サイバー攻撃の被害低減と拡大防止を担う

  サイバーレスキュー隊（J-CRAT）はIPAが運営する組織で、標的型サイバー攻撃を受けた（あるいはその疑いのある）組織からの相談を受け、被害の低減と攻撃の連鎖的な拡大の防止を目的に活動している。攻撃の起点となった組織から取引先などへ被害が広がるのを食い止める点が主眼である。

  出典：平成30年度 春期 応用情報技術者試験 午前 問40（IPA）

• ソフトウェア製品の脆弱性を第三者が発見し、その脆弱性をJPCERTコーディネーションセンターが製品開発者に通知した。その場合における製品開発者の対応のうち、“情…

  正解：脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し、決定する。

  要点：製品開発者は調整機関と脆弱性の公表時期を調整する

  早期警戒パートナーシップでは、JPCERT/CCが調整機関として製品開発者と発見者の間に立ち、対策の準備状況を踏まえて公表時期を調整する。製品開発者は修正の見通しを共有しつつ、JPCERT/CCと公表スケジュールを決めるのが適切な対応である。JVNへの掲載や統計の公表は調整機関やIPAが行う役割である。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問38（IPA）

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver2.0）”の説明はどれか。

  正解：企業がIT活用を推進していく中で、サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と、サイバーセキュリティ対策を実施する上での責任者となる担当幹部に、経営者が指示すべき重要10項目をまとめたもの

  要点：経営ガイドラインは3原則と重要10項目からなる経営者向け指針

  サイバーセキュリティ経営ガイドラインは、経営者がサイバーセキュリティを経営課題として捉えるために策定されたもので、経営者が認識すべき3原則と、担当幹部（CISOなど）に指示すべき重要10項目から構成される。技術者向けの実装手引ではなく、経営層向けの指針である点が特徴である。

  出典：令和3年度 春期 応用情報技術者試験 午前 問41（IPA）