iot時代の技術者にも求められる情報セキュリティマネジメント知識 · 問...

All rights reserved, Copyright © IPA 2016

IoT時代の技術者にも求められる情報セキュリティマネジメント知識～国家試験情報セキュリティマネジメント試験のご紹介～

IT人材育成企画部

情報処理技術者試験センター

1


情報セキュリティの現状と課題

標的型攻撃による内部情報漏えい

Webサービスへの不正ログイン

巨大組織の情報漏洩

マルウェア遭遇

インターネットバンキング等による金銭被害


■出典：「2014年度情報セキュリティ事象被害状況調査」（2015年2月,IPA）http://www.ipa.go.jp/security/fy26/reports/isec-survey/

図２ウィルスの遭遇経験図１個人情報の漏えい原因別内訳

個人情報の漏えい原因は，約8割が人的要因（図１）多くの企業で、コンピュータウィルスの感染・遭遇経験あり（図２）

■出典：「2013年情報セキュリティインシデントに関する調査報告書」（改訂版）（2015年2月,JNSA） http://www.jnsa.org/result/incident/index.html

大企業では約8割、中小では約6割が感染・発見

3

個人情報の漏えい原因は、約8割が「人的要因」

情報セキュリティの現状と課題

All rights reserved, Copyright © IPA 2016 4

情報セキュリティ人材の不足

経済産業省「IT人材の最新動向と将来推計に関する調査結果」

現在13万人不足


今後必要となるセキュリティ人材像

5

今後必要となるセキュリティ人材は、①ホワイトハッカーのような高度セキュリティ技術者、②安全な情報システムを作るために必要なセキュリティ技術を身につけた人材、③ユーザー企業において、社内セキュリティ技術者と連携して企業の情報セキュリティ確保を管理する人材。

セキュアなシステムの構築、サービス提供

ＩＴベンダ（Sier等）

セキュリティベンダ

提供

セキュリティ製品・ツールの開発者

セキュリティサービスプロバイダ

セキュリティ監視・運用サービス技術者

システム開発者

システム運用・保守技術者

情シス部門事業部門

自社の製品・サービスにセキュリティを実装する技術者

自社システムの開発技術者

自社システムの運用技術者

情報システムの利用者

ユーザー企業

委託先

高度セキュリティ技術者（いわゆるホワイトハッカー）

部門の情報

セキュリティ管理者

全社の情報セキュリティ管理者指示・協力

指示・

協力

ＣＩＳＯセキュリティ監査者

①

②②

②

③製品・サービスにセキュリティを実装する技術者②

産業構造審議会商務流通情報分科会情報経済小委員会 IT人材ワーキンググループ第2回ＷＧ（平成27年3月25日）配付資料より


業務別に求められるセキュリティスキル例

※IT人材白書の人数推計による

区分業務分類必要なスキルの例

IT人材（エンジニア）約107万人※

ITベンダー企業（エンジニア対象）

他者に安心・安全な情報サービスを提供する上で必要なスキル

情報セキュリティ専門企業（エンジニア）

セキュリティ脅威をビジネスチャンスに変える高度なスキル

ユーザー企業の情報システム部門

自社に安心・安全な情報サービスを提供する上で必要なスキル

IT人材以外の全般

企業の業務担当社会人としての

情報セキュリティリテラシ

現場部門の情報セキュリティ管理者部門のセキュリティ管理スキル

学生・非社会人一般的な情報セキュリティ

リテラシ

6

「サイバーセキュリティ戦略」（平成27年9月4日閣議決定）では「サイバーセキュリティは、同分野の専門家はもちろん、一般的な情報通信技術者、ひいてはIoTシステムの利用者に至るまで、程度に差はあるものの様々な層の人材に必須の素養」としています。


情報セキュリティについて企業の関心事

ＩＴ企業、ユーザ企業とも、「攻撃」「セキュリティマネジメント（運用・体制）」の関心が高い。

IT企業、ユーザ企業ともに、セキュリティマネジメント人材のニーズが高いと推測できる。

7

ユーザ企業

出典：IPA IT人材白書2016

ＩＴ企業

情報セキュリティについて企業の関心事


情報セキュリティ人材の育成状況

• IT企業の半数近く、ユーザー企業の約8割が人材育成が不十分である、又は未検討であり、情報セキュリティ人材の育成に取り組めていない状況です。

8

ＩＴ企業

情報セキュリティ人材育成の取り組み状況

ユーザー企業

出典：IPA IT人材白書2016


新たな国家試験の創設

経済産業省が新たな試験を創設！

情報セキュリティマネジメント試験

国

平成28年度春期から開始

IT利用者に必要な情報セキュリティの知識を

体系的に習得できる

新たな国家試験

家試験

9


SGが対象とする情報セキュリティマネジメント人材業務領域（ユーザ部門）を中心とした情報セキュリティ人材マップ

事業部門、管理部門

情報システム部門

情報セキュリティ推進組織、自社内SOC

情報セキュリティポリシ・関連規程

情報セキュリティ要件の提示

（課長）

（係長／主任）

・・・

（部員）

IT技術者

報告・相談

必要に応じて規程の見直し調達・委託、

契約管理

機密保持の教育訓練等

機密情報等の管理

監視等による不正防止

事後対応

セキュリティ専門家

情報セキュリティマネジメント人材

下記のセキュアな提供

情報システム開発・運用

ＩＴ機器、ソフトウェア

クラウドサービス

企業外部のSOC

ベンダ系企業（IT開発・提供側）

業務委託先

あらゆる業務の現場で、機密情報を守り、

安全にITを利活用できる人材が

求められています！

ITパスポート


※十分な情報セキュリティ体制が保てない小規模な組織でもITベンダ等と連携してトラブル等に対処できる情報セキュリティマネジメント人材が必要

組織全体のセキュリティレベルの底上げ

セキュリティを含むITリテラシーの底上げ

10


求められる役割・スキルの例

各重要度やリスクを踏まえて様々な機密情報を管理できる01

情報漏えい等を防止するためのルール作りができる02

情報システムを調達する際、必要な情報セキュリティ要件をまとめられる03

情報セキュリティの重要性をメンバに対して教育できる04

情報セキュリティ上のトラブルが発生した際に、技術者と協力して適切な事後対応がとれる

05

業務を委託する際、委託先を管理し情報セキュリティ対策の実施状況を確認し指導できる

06

情報セキュリティマネジメント人材

（主な人材像）

事業部門・管理部門において、業務遂行に

必要な情報セキュリティ対策や組織が定め

たセキュリティポリシーを理解し、情報シ

ステムの安全利用及び適切な情報管理を行

う人材。

SGが対象とする情報セキュリティマネジメント人材主な人材像、役割・スキルの例

11


SGの概要位置づけ、実施時期等

・春期・秋期の年2回

春期：4月第3日曜

秋期：10月第3日曜

実施時期

試験の位置づけ

経済産業省所管の国家試験である「情報処理技術者試験」の新たな試験区分として創設。

IT利用者の情報セキュリティ対策に特化した

国家試験。社会人として必要な情報セキュリティの

知識が体系的に習得可能。


とは

・CCSF レベル２相当

レベル

初回試験結果

・応募者数 22,903名

・合格率 88％12


SGの概要

受験をお勧めする方

受験をお勧めする方

業務で個人情報を取り扱う全ての方01

業務部門・管理部門で情報管理を担当する方02

調達を担当する方、外部委託先に対する情報セキュリティ評価・確認を行う方

03

情報セキュリティ管理の知識・スキルを身に付けたい全ての方

04

ｉパス（ITパスポート試験）合格から更なるステップアップを目指す方

05

13


SGの概要

出題の形式・内容等①（午前・午後の2部構成）

情報セキュリティの考え方をはじめ、情報セキュリティ管理の実践規範、各種対策、情報セキュリティ関連法規などに加えて、経営管理、システム監査、ネットワークなどの関連分野の知識を問います。

試験時間

90分出題形式

多肢選択式(四肢択一)

出題／解答数

50問／50問

(小問50問)

合格基準点

60点(100点満点)

午前試験知識を問う

全般

出題内容

重点分野

関連分野

機密性・完全性・可用性、脅威、脆弱性、サイバー攻撃手法、暗号、認証ほか

管理

対策

関連法規

情報セキュリティ

に関する

情報資産、リスク、ISMS、インシデント等の各種管理策、CSIRT ほか

各種対策（マルウェア、不正アクセス、情報漏えい）、アクセス管理、啓発ほか

サイバーセキュリティ基本法、個人情報保護法、不正アクセス禁止法ほか

テクノロジ

マネジメント

ストラテジ

ネットワーク、データベース、システム構成要素

システム監査、サービスマネジメント、プロジェクトマネジメント

経営管理、システム戦略、システム企画

14


SGの概要出題の形式・内容等②（午前・午後の2部構成）

午前試験

問システム管理者による内部不正を防止する対策として,適切なものはどれか。

アシステム管理者が複数の場合にも,一つの管理者IDでログインして作業を行わせる。

イシステム管理者には,特権が付与された管理者IDでログインして,特権を必要としない作業を

含む全ての作業を行わせる、

ウシステム管理者の作業を本人以外の者に監視させる。

エシステム管理者の操作ログには,本人にだけアクセス権を与える。

正解：ウ

Webで初回問題公開中（https://www.jitec.ipa.go.jp/1_04hanni_sukiru/

mondai_kaitou_2016h28.html#28haru）

問従業員の守秘義務について,”情報セキュリティ管理基準”に基づいて監査を行った。指摘事項に該当するものはどれか。

ア雇用の終了をもって守秘義務が解消されることが,雇用契約に定められている。

イ定められた勤務時間以外においても守秘義務を負うことが,雇用契約に定められている。

ウ定められた守秘義務を果たさなかった場合,相応の措置がとられることが,雇用契約に定めら

れている。

エ定められた内容の守秘義務契約書に署名することが,雇用契約に定められている。

正解：ア

初回問題（平成28年4月実施・午前）

15

https://www.jitec.ipa.go.jp/1_04hanni_sukiru/mondai_kaitou_2016h28.html#28haru

https://www.jitec.ipa.go.jp/1_04hanni_sukiru/mondai_kaitou_2016h28.html#28haru


SGの概要出題の形式・内容等③（午前・午後の2部構成）

業務の現場における情報セキュリティ管理の具体的な取組みである情報資産管理、リスクアセスメント、委託先管理、教育などのケーススタディによる出題を通して、情報セキュリティ管理の実践力を問います。

試験時間

90分出題形式

多肢選択式出題／解答数

3問／3問

(大問3問)

合格基準点

60点(100点満点)

午後試験実践力を問う

・業務委託におけるアクセス制御に関する設問

・情報セキュリティ自己点検に関する設問

その他の出題テーマ：

初回問題（平成28年4月実施･午後）

問標的型攻撃メールに関する次の記述を読んで，設問1 , 2に答えよ。

Y社は，事務用機器を主力商品とする販売代理点である。従業員は1,200名であり,本社には営業部,情報システム部,総務部などがある。

～

設問1 【受信したメール】について（1）～（4）に答えよ。～～

16

Webで初回問題公開中（https://www.jitec.ipa.go.jp/1_04hanni_sukiru/

mondai_kaitou_2016h28.html#28haru）

https://www.jitec.ipa.go.jp/1_04hanni_sukiru/mondai_kaitou_2016h28.html

https://www.jitec.ipa.go.jp/1_04hanni_sukiru/mondai_kaitou_2016h28.html


（参考）

平成28年度春期情報処理技術者試験応募者数グラフ

注記 ITパスポートについては，直近6ヶ月（平成27年11月～平成28年4月）の応募者数の値を用いている。

3,635

26,864

4,205

13,980

16,173

44,102

61,281

45,090

21,691

0 10,000 20,000 30,000 40,000 50,000 60,000 70,000

1

2

3

4

5

6

7

8

9

（単位：人）

情報セキュリティマネジメント試験（ＩＴを利活用する者向け，レベル2）

17


（参考）試験区分別応募者の構成比（学生，社会人）

注記グラフ上の数値は28春期試験の応募者数。なお，ITパスポートについては平成27年の年度合計の値を用いている。

情報セキュリティマネジメント試験の応募者は，95％が社会人であった

750

18,642

35,389

1,035

26,114

42,639

45,560

20,656

0% 20% 40% 60% 80% 100%

1

2

3

4

系列1 系列2

5% 95%情報セキュリティマネジメント試験（ＩＴを利活用する者向け，レベル2）

44% 56%

30% 70%

3% 97%

18


（参考）

試験区分別社会人応募者の内訳（１．勤務先別の構成比）

注記１グラフ上の数値は28春期試験の応募者数。なお，ITパスポートについては平成27年の年度合計の値を用いている。注記２ここでのベンダ企業とユーザ企業の分類は次のとおり。当該アンケートに「その他，無記入」の応募者は，グラフに含めていない。

ベンダ企業に従事している割合（58%）が，ユーザ企業に従事している割合（42%）を上回った

16,605

19,750

20,446

9,307

3,430

5,442

20,999

6,851

0% 20% 40% 60% 80% 100%

1

2

3

4

系列1 系列2

58% 42%

49% 51%

78% 22%

83%


17%

ベンダ企業ユーザ企業

ソフトウェア業，情報処理・提供サービス業，コンピュータ及び周辺機器製造又は販売業

農業，林業，漁業，鉱業，建設業，製造業，電気・ガス・熱供給・水道業，運輸・通信業，卸売・小売業，飲食店，金融・保険業，不動産業，サービス業，調査業，広告業，医療・福祉業，教育（学校，研究機関），官公庁，公益団体

19


（参考）

試験区分別社会人応募者の内訳（２．業務別の構成比）

注記１グラフ上の数値は28春期試験の応募者数。なお，ITパスポートについては平成27年の年度合計の値を用いている。注記２ここでのＩＴ系業務と非ＩＴ業務の分類は次のとおり。当該アンケートに「その他，無記入」の応募者は，グラフに含めていない。

ＩＴ系業務に従事している割合（73%）が，非ＩＴ系業務に従事している割合（27%）を大きく上回った

17,230

19,024

11,769

9,996

1,635

3,115

15,892

3,640

0% 20% 40% 60% 80% 100%

1

2

3

4

系列1 系列2

73% 27%

43% 57%

86% 14%

91%


9%

ＩＴ系業務非ＩＴ系業務

システム化戦略・企画・計画，プロジェクト管理，システム設計，プログラム開発，ネットワーク技術支援，データベース技術支援，エンベデッドシステム開発，情報セキュリティ技術支援・管理・運用，ＩＴサービスマネジメント（システム管理・運用），システム監査

研究・開発，調査・企画，総務・人事，営業・販売，製造，教育・研修

20


（参考）

試験区分別応募者の年齢分布

注記グラフの縦軸は28春期試験の応募者数。ITパスポートについては，直近6ヶ月（平成27年11月～平成28年4月）の応募者数の値。

0

5,000

10,000

15,000

20,000

25,000

1 2 3 4 5 6 7 8 9 10 11 12

系列1 系列2 系列3 系列4


平均年齢：応募者 39.8歳合格者 40.2歳

平均年齢は39.8歳であり，レベル4の試験である情報セキュリティスペシャリスト試験の平均年齢（36.4歳）よりも高かった

（単位：人）



平均年齢：応募者 36.4歳合格者（－）

21


（参考）

試験区分別社会人応募者の内訳（３．経験年数別の構成比）

注記１グラフ上の数値は28春期試験の応募者数。なお，ITパスポートについては平成27年の年度合計の値を用いている。注記２経験年数のアンケート項目に未記入の応募者は，グラフに含めていない。

“経験年数が18年以上”の割合が，半数以上（52%）を占めた同割合は，レベル4の情報セキュリティスペシャリスト試験でも32%に留まっており，

経験豊富な方々が情報セキュリティマネジメント試験の応募者の多くを占めた

4,203

14,719

16,844

1,642

5,294

5,212

7,789

3,085

4,221

2,384

4,231

3,201

2,987

1,589

4,175

3,602

3,371

1,430

4,093

4,854

0% 20% 40% 60% 80% 100%

1

2

3

4

系列1 系列2 系列3 系列4 系列5

20% 22%

45% 21%

58% 21%

21% 17%


9%

15%

11%

30%19%10%

11%11%

6% 6%

26%21%

22


試験区分 SG FE

合格率 88.0% 30.4%

受験者

人数 17,959 44,184

平均年齢 39.8 歳 25.8 歳

合格者

人数 15,800 13,418

平均年齢 40.1 歳 25.3 歳

社会人／学生社会人学生社会人学生

合格率 90.3% 57.1% 29.4% 32.0%

受験者

人数 13,826 936 17,255 15,594

人数比 93.7% 6.3% 52.5% 47.5%

合格者

人数 12,481 534 5,075 4,983

人数比 95.9% 4.1% 50.5% 49.5%

23

（参考）受験結果（SG・FE）

SGの合格率は88%。


SGの活用で期待される効果

組織

1.情報漏えいリスクを低減。

2.適切な事後対応で被害を最小限に。

3.より安全で積極的なIT利活用を実現。


推進組織

製造部門

部門の情報セキュリティ

担当者

その他の部員

人事部門


担当者

その他の部員

営業部門

その他の部員

委託先

周知啓発トラブル

発生！

セキュリティベンダ企業

安全性確保IT利活用促進

業績UP

連携対処


担当者

安全性を考慮した調達・管理

1 2 3

情報セキュリティエンジニア

・採用情報

・マイナンバー

・技術仕様

・調査資料

・販売戦略

・顧客情報

ＩＴ利用部門には機密情報が山盛り

24


SGの活用で期待される効果情報漏えいリスクを低減

人事部門

部門の情報セキュリティ担当者

その他の部員

周知啓発


部門全体の情報セキュリティ意識を高め、情報漏えいリスクを低減する！

情報セキュリティ上、気を付けるべき要点を理解し、意識も向上（対策の取組意欲が高まり、トラブル発生時の「見て見ぬフリ」も防ぐ）

情報セキュリティマネジメントを適切に運用し、情報漏えいを防ぐ環境を作る

情報セキュリティの周知・啓発を行う

その他の部員

組織全体で一定の情報セキュリティ水準を確保。

セキュリティ面で「穴」のない堅牢な組織へ

組織

期待される活用効果

SG・ｉパス活用で相乗効果！

1

1

25


SGの活用で期待される効果適切な事後対応で被害を最小限に



万が一トラブルが発生しても適切な事後対応により、被害を最小限に食い止める！

トラブルが発生した際に、ルールに従い適時・適切に報告

適切な初期対応を行うとともに、組織内の情報セキュリティ推進組織と連携対処

サービス継続の要否や影響を判断し、関係者への連絡等の事後対処を実施

その他の部員

どの部門でトラブルが発生しても、迅速なエスカレーションで被害を低減！

組織


推進組織製造部門


担当者

その他の部員

トラブル発生！

セキュリティベンダ企業

連携対処

情報セキュリティエンジニア

2

2

26


SGの活用で期待される効果より安全で積極的なIT利活用を実現

営業部門

その他の部員


情報セキュリティを確保することで、より安全で積極的なIT利活用を実現する！

安心して積極的にITを業務で活用。また、本質的な営業活動にも注力でき成績向上

システム導入の際、利便性だけでなく、リスクも考慮。後々のセキュリティ対応による改修費等のコストを削減

その他の部員

安全なシステム導入や効率的なIT利活用により、コスト削減や業績向上を実現

組織


委託先

安全性確保IT利活用促進

業績UP

安全性を考慮した調達・管理

業務で利用するシステムの安全面の状況を把握し、適切な利用を促進する


3

3

27


試験や管理者に関する資料

28

パンフレット

職場の


管理者のための

スキルアップ

ガイド

新試験の対象者像、出題範囲などを掲載

02試験要綱

問われる知識・技能の幅と深さを体系的に整理・明確化して掲載。学習・教育の指針に

シラバス03

0401

試験の概要を掲載午前・午後問題のサンプルを掲載。

初回合格を目指す方の参考に

サンプル問題

「試験」を知る

！更に詳しく

職場の情報セキュリティ

管理者を育成する

！情報セキュリティ

スキルアップ

ハンドブック

新試験の対象者像を踏まえ作成

Amazonで販売中

※ 関連資料の詳細は、IPAのWebサイトでご確認ください


（参考）情報処理技術者試験情報セキュリティ人材育成の取組み

・情報セキュリティの重要性の一層の高まりや情報セキュリティ人材が不足している状況を踏まえ、情報セキュリティ人材の育成に資する活動を実施。

情報セキュリティに関する知識を含め、国民全体のＩＴリテラシーの向上を図ることが必要（世界最先端IT国家創造宣言 ※ ２０１３年６月１４日閣議決定）

情報セキュリティ人材の発掘、育成、活用を進めることが必要（サイバーセキュリティ戦略 ※ ２０１３年６月１０日政府公表）

「iパス」をはじめとする情報処理技術者試験の全試験区分において、「情報セキュリティ」に関する出題の強化・拡充を実施

i パス情報セキュリティに関する出題比率の大幅な

引き上げ（2倍）

基本情報技術者試験（FE）応用情報技術者試験（AP）

午前試験において「中分類11 セキュリティ」の出題比率を引き上げ

午後試験において「情報セキュリティ分野」を選択問題から必須問題に変更

高度試験

午前Ⅰ試験（共通知識）、午前Ⅱ試験において、「中分類11 セキュリティ」の出題比率を引き上げ

ITストラテジスト試験（ST）、プロジェクトマネージャ試験（PM）において、午前II試験の出題範囲に新たに「中分類11 セキュリティ」を追加（高度全区分で出題）

（※）ｉパスは平成26年5月7日以降、ｉパス以外は26春試験から適用

（ご参考）情報セキュリティスペシャリスト試験情報セキュリティの専門的な知識・スキルを問う試験。情報システムや組織に対する脅威や脆弱性を評価し、技術面・管理面での有効な対策を遂行できるセキュリティエンジニアや情報システム管理者を目指す方に最適。

29


エンベデッドシステムスペシャリスト試験

30

IoT時代に活躍する組込み技術者を目指すなら

ITのプロフェッショナル

組込みシステムを、ハードウェアとソフトウェアを適切に組み合わせて構築し、求

められる機能・性能・品質・セキュリティなどを実現できる組込みエンジニアを目指

す方に最適です。

レベル

・CCSF レベル4相当

IT技術者としてレベルアップ！

IT技術者の登竜門（スタートライン！）

国家試験情報処理技術者試験IT企業等から技術力の指標として高い評価を受けている試験。

対象者別・レベル別13区分で実施。

専門分野において、自らのスキルの活用によって、独力で業務上の課題の発見と解決をリードするレベル

実施時期

・年1回春期試験

（4月第3日曜日）

合格率

・17.2％（平成28年度）

技術者向けIT利用者向け


ぜひ人材育成に情報処理技術者試験をご活用ください！

平成28年度秋期試験のご案内

実施日

申込受付

平成28年10月16日（日）

・インターネット平成28年7月11日（月）～8月19日（金）20時

・郵便平成28年7月11日（月）～8月8日（月）消印有効

実施区分

情報セキュリティマネジメント試験/基本情報技術者試験応用情報技術者試験/ITストラテジスト試験/システムアーキテクト試験/ネットワークスペシャリスト試験/情報セキュリティスペシャリスト試験/ITサービスマネージャ試験

※団体申込は締切りが異なりますのでご注意ください。

※ITパスポート試験は年中実施。

詳細はWebでもご案内しています

情報処理技術者試験

ITパスポート試験 https://www3.jitec.ipa.go.jp/JitesCbt/index.html

http://www.jitec.ipa.go.jp/


「ｉパス」は、ITを利活用するすべての社会人・学生が備えておくべきITに関する基礎的な知識が証明できる国家試験です。

ITパスポート公式キャラクター上峰亜衣（うえみねあい）

【プロフィール：マンガ】 https://www3.jitec.ipa.go.jp/JitesCbt/html/uemine/profile.html

iot時代の技術者にも求められる 情報セキュリティマネジメント知識 · 問...

Documents

iot時代の技術者にも求められる情報セキュリティマネジメント知識 · 問...