3情報セキュリティ管理と技術評価

• 3.1リスクマネジメント

  情報資産の分類から始まり、リスクアセスメント（リスク特定・リスク分析・リスク評価）の手順、定性的リスク分析と定量的リスク分析の使い分け、リスク対応（移転・回避・受容・低減）の選択基準、残留リスクとリスクマトリックス、JIS Q 31000の考え方を学びます。

• 3.2ISMSと管理策

  組織的な情報セキュリティ管理の枠組みであるISMS（情報セキュリティマネジメントシステム）、要求事項を定めるJIS Q 27001と管理策を例示するJIS Q 27002の役割分担、情報セキュリティポリシーの方針・対策基準・実施手順の3階層構造、継続的改善のPDCAサイクル、認証取得時に作成する適用宣言書を学びます。

• 3.3インシデント対応と組織

  組織内でインシデント対応を担うCSIRTと、監視・検知を担うSOCの役割分担、検知から報告までのインシデントハンドリングの流れ（トリアージを含む）、国内の中核組織であるJPCERT/CC・NISC・IPAの役割、脆弱性報奨制度バグバウンティ、企業間の情報共有の枠組み（J-CSIP等）を学びます。

• 3.4セキュリティ技術評価

  脆弱性の深刻度を数値化するCVSS（基本値・現状値・環境値）、脆弱性識別子のCVE、脆弱性の型を分類するCWE、国内の脆弱性対策情報を集約するJVN、セキュリティ機能の評価基準ISO/IEC 15408（コモンクライテリア）とEAL、国内認証制度JISEC、実際に侵入を試みるペネトレーションテスト、ハードウェアの解析耐性耐タンパ性を学びます。

• 3.5システム監査と法務

  被監査部門から独立した立場で行うシステム監査（独立性・監査手続・監査証跡）、業務プロセスの適正性を確保する内部統制、そして不正アクセス禁止法・個人情報保護法・サイバーセキュリティ基本法・刑法（不正指令電磁的記録に関する罪）などの関連法規を学びます。