この章で学ぶこと

前章では、組織がリスクをどう測り、どう手を打つかという「型」を学びました。この章では、その型を実際に動かすための組織内の方針・規程・体制、困ったときに頼れる・報告すべき国内外の関連組織と届出制度、第三者にセキュリティ対策を証明する評価制度、そして世界共通の物差しとなる国際標準・ガイドラインを学びます。34語とこのコースでは小ぶりな章ですが、固有名詞（組織名・標準名）が多いため、「誰が」「何のために」作った制度かを意識して整理すると覚えやすくなります。

組織内の方針・規程・体制

組織がセキュリティにどう取り組むかを明文化した最上位の文書が情報セキュリティ方針(情報セキュリティポリシー)です。実際にインシデントが起きたときの動き方を定めた情報セキュリティインシデント対応規程、特にマルウェア感染という具体的な事象へのマルウェア感染時の対応手順、個人情報の取り扱い方針を示すプライバシーポリシー(個人情報保護方針)も、組織が備えるべき基本文書です。これらの方針・規程を策定・維持する経営層直下の会議体が情報セキュリティ委員会で、第3章で学んだリスク対応計画の承認などもここで行われます。

扱う用語（精選・5語）

• 情報セキュリティ方針(情報セキュリティポリシー)／情報セキュリティインシデント対応規程／マルウェア感染時の対応
• プライバシーポリシー(個人情報保護方針)／情報セキュリティ委員会

国内外の関連組織と届出・情報共有制度

組織内でインシデント対応を専門に担う情報セキュリティ関連組織として、自組織のインシデント対応を担うCSIRT、自社製品の脆弱性対応に特化したPSIRT、24時間体制でネットワークを監視するSOC(Security Operation Center)があります。外部からの通報を受け付けるため、abuse@ドメイン名のような組織への設置が推奨されている窓口を用意しておくことも実務上重要です。

国レベルの体制としては、政府全体の司令塔であるサイバーセキュリティ戦略本部、その事務局にあたる国家サイバー統括室(NCO)、日本国内のインシデント対応の調整を担うJPCERTコーディネーションセンターがあります。国際的な情報共有の枠組みとしては、世界各国のCSIRTが加盟するFIRST(Forum of Incident Response and Security Teams)、業界単位で脅威情報を共有するセキュリティ情報共有組織(ISAC)が代表的です。暗号技術の安全性を評価・監視するCRYPTREC、米国の標準化機関である米国国立標準技術研究所(NIST)、攻撃手法の分類（第2章で学んだATT&CK）で知られるMITREも、標準・研究の両面で頻出する組織です。

不正アクセスやウイルスに遭った場合、法律に基づき届け出るコンピュータ不正アクセス届出制度・コンピュータウイルス届出制度があります。ソフトウェアの脆弱性を発見した研究者と開発者の橋渡しをする情報セキュリティ早期警戒パートナーシップガイドライン、開発者側の脆弱性開示の進め方を定めた国際規格ソフトウェア製品開発者の脆弱性開示(ISO/IEC 29147)、受け取った脆弱性情報をどう処理するかを定めた脆弱性情報取扱手順(ISO/IEC 30111)、被害情報をどこまで公表すべきかを示すサイバー攻撃被害に係る情報の共有・公表ガイダンスも、組織が「困ったときにどこに・どう報告するか」を定める重要な仕組みです。

扱う用語（精選・16語）

• 情報セキュリティ関連組織(CSIRT・PSIRT・SOC)／組織への設置が推奨されている窓口
• サイバーセキュリティ戦略本部／国家サイバー統括室(NCO)／JPCERTコーディネーションセンター／FIRST／セキュリティ情報共有組織(ISAC)／CRYPTREC／米国国立標準技術研究所(NIST)／MITRE
• コンピュータ不正アクセス届出制度／コンピュータウイルス届出制度／情報セキュリティ早期警戒パートナーシップガイドライン／ソフトウェア製品開発者の脆弱性開示(ISO/IEC 29147)／脆弱性情報取扱手順(ISO/IEC 30111)／サイバー攻撃被害に係る情報の共有・公表ガイダンス

セキュリティ評価制度と経営ガイドライン

組織のセキュリティ対策を第三者が評価・保証する仕組みとして、セキュリティサービスの品質を示す情報セキュリティサービス基準、サプライチェーン全体の対策状況を評価するサプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)、政府が利用するクラウドサービスを評価するISMAP(政府情報システムのためのセキュリティ評価制度)があります。政府機関自身が守るべき水準を定めた政府機関等のサイバーセキュリティ対策のための統一基準群も、公共調達に関わる際に押さえておきたい基準です。

経営層向けには、経営者がセキュリティにどう関与すべきかを示すサイバーセキュリティ経営ガイドライン、体力の限られた中小企業向けに実務的な対策を示す中小企業の情報セキュリティ対策ガイドラインがあります。支援士が経営層・中小企業を指導・助言する場面では、これらのガイドラインが実務上の拠り所になります。

扱う用語（精選・6語）

• 情報セキュリティサービス基準／サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)／ISMAP／政府機関等のサイバーセキュリティ対策のための統一基準群
• サイバーセキュリティ経営ガイドライン／中小企業の情報セキュリティ対策ガイドライン

国際標準とAI・IoT関連ガイドライン

セキュリティ対策の成熟度を測る国際的な物差しとして、米国発のNISTサイバーセキュリティフレームワーク、より詳細な実装ガイドであるNIST SP 800シリーズ(SP 800-53・SP 800-61・SP 800-171・SP 800-207など)が広く参照されます。個人情報保護マネジメントの国際規格であるJIS Q 27701(ISO/IEC 27701)は、第5章で学ぶISMS(JIS Q 27001)の拡張として位置づけられます。

2027年シラバスで新たに加わったのが、AI関連の標準です。AIを組織的に管理するための国際規格ISO/IEC 42001(AIマネジメントシステム)、日本国内でのAI利活用の指針であるAI事業者ガイドライン（第2章で学んだAIセキュリティ対策の拠り所にもなります）が明記されています。IoT機器の増加を踏まえた指針として、経済産業省が示すつながる世界の開発指針、より実務的なIoT開発におけるセキュリティ設計の手引きもあわせて押さえておきましょう。

扱う用語（精選・7語）

• NISTサイバーセキュリティフレームワーク／NIST SP 800シリーズ／JIS Q 27701(ISO/IEC 27701)
• ISO/IEC 42001(AIマネジメントシステム)／AI事業者ガイドライン
• つながる世界の開発指針／IoT開発におけるセキュリティ設計の手引き

AIで学ぶ

ここまでの用語は、ChatGPTやClaudeなどの生成AIに以下のプロンプトを投げかけると、比較表つきでさらに深く掘り下げて学習できます。コピーして使ってみましょう。

あなたは情報処理安全確保支援士（SC）試験の講師です。「情報セキュリティ関連組織・標準・ガイドライン」の範囲について、以下の用語を初学者向けに**関連づけながら**説明してください（単体の丸暗記より、「誰が」「何のために」作った制度かを軸に理解したほうが記憶に定着しやすいためです）。組織名・標準名が多く紛らわしいので、「主体（国・業界団体・国際標準化機関など）」と「目的（インシデント対応・届出・評価・ガイドライン）」の2軸で整理した**比較表**を作ってください。

【組織内の方針・規程・体制】情報セキュリティ方針、情報セキュリティインシデント対応規程、マルウェア感染時の対応、プライバシーポリシー、情報セキュリティ委員会
【国内外の関連組織と届出・情報共有制度】CSIRT、PSIRT、SOC、サイバーセキュリティ戦略本部、国家サイバー統括室(NCO)、JPCERTコーディネーションセンター、FIRST、ISAC、CRYPTREC、NIST、MITRE、コンピュータ不正アクセス届出制度、コンピュータウイルス届出制度、情報セキュリティ早期警戒パートナーシップガイドライン、ISO/IEC 29147、ISO/IEC 30111
【評価制度と経営ガイドライン】情報セキュリティサービス基準、SCS評価制度、ISMAP、政府機関等のサイバーセキュリティ対策のための統一基準群、サイバーセキュリティ経営ガイドライン、中小企業の情報セキュリティ対策ガイドライン
【国際標準とAI・IoT関連ガイドライン】NISTサイバーセキュリティフレームワーク、NIST SP 800シリーズ、JIS Q 27701、ISO/IEC 42001(AIマネジメントシステム)、AI事業者ガイドライン、つながる世界の開発指針、IoT開発におけるセキュリティ設計の手引き

このプロンプトが「主体×目的」の2軸整理を指示しているのは、この章が組織名・標準名という固有名詞の暗記になりがちだからです。「JPCERTは日本のインシデント調整」「ISMAPは政府クラウドの評価」のように、主体と目的をセットで覚えると、初見の選択肢でも消去法で対応しやすくなります。

章末チェック

最後に、この章で学んだ知識をアウトプットして定着させましょう。全問に答えたら「答え合わせ」を押してください。

この章のまとめ

この章では、組織内の方針・規程・体制、CSIRT・JPCERTなど国内外の関連組織と届出・情報共有制度、ISMAPなどの評価制度、そしてNIST CSFやAIマネジメントシステムといった国際標準・ガイドラインを学びました。ここで押さえた「誰が・何のために作った仕組みか」という視点は、次章で学ぶISMSの運用管理策が、これらの標準（特にISO/IEC 27001）とどう対応しているかを理解する土台になります。

次章では、情報セキュリティマネジメントの集大成として、ISMS(情報セキュリティマネジメントシステム)の具体的な運用管理策を学びます。→ 第5章 ISMSの運用管理策