IPAとは？

IPAの意味

日本のIT国家戦略を技術面・人材面から支える独立行政法人。情報処理技術者試験（本試験含む）の実施のほか、脆弱性情報の届出受付、各種セキュリティガイドラインの策定・普及を行う。

IPAの具体例

ソフトウェア製品に脆弱性を発見した研究者が、IPAの脆弱性関連情報の届出窓口を通じて製品開発者に情報を伝達する仕組み（脆弱性情報ハンドリング）を利用する。

IPAは試験でどう引っ掛けられる？

JPCERT/CCと役割が違う。脆弱性の届出を受け付ける窓口がIPA、製品開発者との公表日程の調整（コーディネート）を担うのがJPCERT/CCで、両者が共同で運営する公表サイトがJVN。またIPAは独立行政法人であり、NISCや個人情報保護委員会のような国の行政機関ではない。

IPAと関連する用語

• SECURITY ACTION
• JPCERT/CC

IPAが出た過去問

• JVN（Japan Vulnerability Notes）はどれか。

  正解：脆弱性対策情報などを提供するポータルサイト

  要点：JVNは脆弱性対策情報を公開する国内ポータルサイト

  JVNはJPCERT/CCとIPAが共同運営する脆弱性対策情報のポータルサイトで、届出のあった脆弱性とその対策情報を「JVN#」や「JVNVU#」といった番号を付けて公開している。利用者は製品名から自分に関係する脆弱性を検索し、対策の適用状況を判断できる。脆弱性そのものの識別子であるCVEや、深刻度の評価手法であるCVSSとは役割が異なる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問4（IPA）

• システム管理者に対する施策のうち、IPA“組織における内部不正防止ガイドライン”に照らして、内部不正防止の観点から適切なものはどれか。

  正解：夜間・休日のシステム管理者の単独作業を制限する。

  要点：特権者の単独作業を避け、相互牽制を働かせる

  システム管理者は強い権限をもつため、不正が起きても本人以外に気づかれにくいという構造的な問題がある。夜間や休日の単独作業を制限すれば、必ず第三者の目がある状態で作業が行われ、相互牽制が働く。IPAの内部不正防止ガイドラインでも、単独作業の禁止や作業の複数人化、休暇取得による業務の可視化といった牽制策が示されている。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問11（IPA）

• IPA“組織における内部不正防止ガイドライン”にも記載されている、組織の適切な情報セキュリティ対策はどれか。

  正解：インターネット上のWebサイトへのアクセスに関しては、コンテンツフィルタ（URLフィルタ）を導入して、SNS、オンラインストレージ、掲示板などへのアクセスを制限する。

  要点：内部不正対策では情報の持出し経路をフィルタで制限する

  内部不正防止の観点では、業務に不要なWebサービスへのアクセスを技術的に制限し、情報の持ち出し経路をふさぐことが有効である。オンラインストレージやSNS、掲示板は組織外へ情報を送り出す経路になり得るため、URLフィルタで統制する。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）

• 利用者アクセスログの取扱いのうち、IPA“組織における内部不正防止ガイドライン”にも記載されており、内部不正の早期発見及び事後対策の観点で適切なものはどれか。

  正解：ログを定期的に確認する。

  要点：アクセスログは定期的に確認してこそ不正の早期発見に効く

  ログは取得するだけでは意味がなく、定期的に点検して初めて不審な操作の早期発見につながる。また「ログを見られている」と従業員が認識すること自体が、不正の機会や正当化を減らす抑止効果を生む。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問10（IPA）

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver 1.1）”に従った経営者の対応はどれか。

  正解：サイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。

  要点：経営者はセキュリティ人材の処遇と予算の確保を指示する

  サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、担当幹部へ指示すべき重要10項目を示している。その中でセキュリティ人材の育成・確保は経営者の責務とされ、適切な処遇と予算の確保を指示することが求められている。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問1（IPA）