この章で学ぶこと

第1〜11章は「知識」（科目A相当）でしたが、この章は「技能」（科目B相当）を扱います。SCの技能項目は、そのほとんどが「〜について，必要な指導・助言を行い，支援する」という文体で書かれています。つまりSCに求められるのは、自分で手を動かすだけでなく、組織のセキュリティ推進を指導・助言する立場としての振る舞いです。そこでこの章は、中堅商社「サンプル商事株式会社」に登録セキスペとして年間契約で関わる支援士橋本さんが、同社情報システム部の担当者小林さんからの相談に応じながら1年間を過ごす物語として構成しています。技能4グループ・31項目を、橋本さんの実務を通じて順に体験していきましょう。

大項目1: 情報セキュリティマネジメントの組織的推進又は支援に関すること

契約初月、橋本さんはまず経営層・組織全体を対象にした支援から着手します。

1-1. 情報セキュリティ方針の策定

社長から「セキュリティ方針を作り直したい」と相談された橋本さんは、第3章で学んだ情報セキュリティの基本原則を踏まえ、経営者自身の言葉で方針を語れるよう、たたき台の作成と改定のポイントを指導・助言しました。方針は他人事の文書ではなく、経営者自身が守るものだと伝えます。

1-2. 情報セキュリティリスクアセスメント

続いて、第3章で学んだリスク基準の設定からリスクアセスメントのプロセス(特定・分析・評価)の実施までを小林さんと一緒に進め、初めてのリスクアセスメントでも迷わないよう、進め方をひな形として残しました。

1-3. 情報セキュリティリスク対応

アセスメント結果をもとに、橋本さんはリスク対応の選択肢(回避・低減・移転・保有)のどれを選ぶべきかを小林さんに助言し、実行可能なリスク対応計画の策定を支援しました。

1-4. 情報セキュリティ諸規程の策定

近年増えたクラウド・AI利用の実態に合わせ、第4章で学んだAI事業者ガイドラインも踏まえながら、情報セキュリティ諸規程・クラウドやAI利用の指針・事業継続計画の改定を支援しました。

1-5. セキュリティ運用状況の点検

規程を作って終わりにせず、橋本さんは四半期ごとにISMSの運用・適合性確認を行い、規程どおりに現場が動いているかを点検する仕組みづくりを助言しました。

1-6. サプライチェーンの情報セキュリティの推進

取引先の1社でセキュリティインシデントが起きたニュースを見た小林さんの求めに応じ、橋本さんは第5章で学んだ供給者関係における情報セキュリティの観点から、契約へのセキュリティ要求事項の追加と、既存委託先の対応状況の評価を支援しました。

1-7. コンプライアンス管理

個人情報保護法・AI関連法令の改正動向を踏まえ、諸規程の改定と、全社員向けの意識向上プログラムの企画を助言しました。

1-8. 人的管理

新入社員の入社時研修に、第5章で学んだ雇用条件・秘密保持契約の説明を組み込むよう提案し、退職者の雇用の終了又は変更後の責任の運用も見直しました。

1-9. 情報セキュリティ監査及びデジタルガバナンス確保への対応

年度末の内部監査で、橋本さんは監査人への技術的な説明を支援し、指摘事項への改善計画づくりと、DX推進に伴うデジタルガバナンス体制の助言も行いました。

1-10. 情報セキュリティに関する動向・事例の収集と分析

第1〜2章で学んだような新しい攻撃手口や脆弱性の情報を橋本さんが定期的にまとめ、自社への影響を評価したレポートを小林さんに共有する習慣を作りました。

1-11. 関係者とのコミュニケーション

インシデント対応訓練の場で、橋本さんは経営層への報告の仕方と、外部のセキュリティ機関・情報共有コミュニティとの連絡窓口としての振る舞い方を小林さんに手本として示しました。

大項目2: 情報システムのライフサイクルプロセスにおけるセキュリティ確保の推進又は支援に関すること

夏、社内で新しい受注管理システムの刷新プロジェクトが始まりました。

2-1. 企画・要件定義（セキュリティの観点）

橋本さんは第2章の脅威分析結果を踏まえたセキュリティ要件定義と、調達仕様書のセキュリティ条項のレビューを支援しました。

2-2. 製品・サービスのセキュアな導入

クラウドサービスの選定にあたり、第3章のクラウドサービスの責任共有モデルを確認しながら、導入時に確認すべきセキュリティ項目を助言しました。

2-3. アーキテクチャの設計（セキュリティの観点）

第8章で学んだゼロトラストアーキテクチャの考え方を踏まえ、システム・ネットワークの設計と利用技術の評価を支援しました。

2-4. セキュリティ機能の設計・実装

決めたセキュリティ要件・アーキテクチャに基づき、認証方式や暗号化の実装方針（第7章参照）を具体化する設計レビューを行いました。

2-5. セキュアプログラミング

開発ベンダーのコーディング標準に、第8章で学んだセキュアコーディングの指針を反映するよう助言しました。

2-6. セキュリティテスト

リリース前、実装したセキュリティ機能のテスト計画と脆弱性診断（第8章）の実施を支援し、結果を評価しました。

2-7. 運用・保守（セキュリティの観点）

本番稼働後は、運用文書のレビューと、運用担当者へのセキュリティ教育・訓練の企画を助言しました。

2-8. 開発環境のセキュリティ確保

第8章で学んだ依存ライブラリの更新管理・署名付きコミットを踏まえ、リポジトリ・バージョン管理の運用ルールと、外部委託契約に盛り込むべき要求事項を整理しました。

大項目3: 情報及び情報システムの利用におけるセキュリティ対策の適用の推進又は支援に関すること

秋、既存システムの日常運用における対策強化が課題になりました。

3-1. 暗号利用及び鍵管理

第7章で学んだ鍵のライフサイクルを踏まえ、暗号の利用方針と鍵管理諸規程の改定を支援しました。

3-2. マルウェア対策

第5章で学んだマルウェアに対する保護の観点から、対策ソフトの導入・運用と、感染時の初動対応手順の設計を助言しました。

3-3. データ保護

不要データの削除・マスキング、DLPの適用、バックアップ・復旧計画（第6章）の改定を支援しました。

3-4. セキュリティ監視並びにログの取得及び分析

第6章で学んだログ設計を見直し、インシデントの検知・調査に十分な取得範囲・保存期間になっているかを確認しました。

3-5. ネットワーク及び機器のセキュリティ管理

リモートワークの拡大に伴い、第6〜7章の内容を踏まえてエンドポイント・クラウド環境のセキュリティ管理方針を助言しました。

3-6. 技術的脆弱性への対応

第6章で学んだ脆弱性情報の収集と適用判断・パッチ管理の運用ルールを整備し、利用者へのソフトウェア管理規程の周知を支援しました。

3-7. 物理的セキュリティ管理

サーバー室の入退管理を点検し、第6章の入退管理システム・アンチパスバックが適切に機能しているかを確認しました。

3-8. アカウント管理及びアクセス管理

退職者・異動者のアカウント棚卸しを機に、第6章で学んだ特権アクセス管理(PAM)の観点からアクセス制御方針を見直しました。

大項目4: 情報セキュリティインシデント管理の推進又は支援に関すること

年度末、実際に取引先を装ったフィッシングメールによる不正アクセスの疑いが発覚します。

4-1. 情報セキュリティインシデント対応体制の構築

橋本さんはこの経験を踏まえ、第6章で学んだCSIRTの構築・運用を正式な体制として整備し、インシデント管理規程を改定してサイバーレジリエンスを高める提案を行いました。

4-2. 情報セキュリティ事象の評価

検知直後、橋本さんは第6章のインシデント対応プロセスに沿って初動対応を主導し、事実関係を確認しながら本当にインシデントと判断すべきかを小林さんとともに評価しました。

4-3. 情報セキュリティインシデントへの対応

被害・損失の評価、第2章で学んだ攻撃手法を踏まえた根本原因の特定、復旧と再発防止策の策定、監督官庁への報告までを一貫して支援しました。

4-4. 証拠の収集及び分析

第8章で学んだ証拠保全・Chain of Custodyの手順に沿って対応しつつ、専門的なデジタルフォレンジックが必要な部分は外部の専門家・法的措置の専門家への依頼を橋本さんが手配しました。

こうして1年間の支援を終えた橋本さんは、小林さんが自ら判断・行動できる場面が増えたことに、支援士としての役割を実感します。

AIで学ぶ

ここまでのケーススタディは、ChatGPTやClaudeなどの生成AIに以下のプロンプトを投げかけると、別のシナリオでも練習できます。コピーして使ってみましょう。

あなたは情報処理安全確保支援士試験の科目B（実務スキル）の出題者です。以下の31の実務項目から1つを選び、架空の企業を舞台にした具体的なケーススタディ（状況設定・発生した問題・とるべき対応の選択肢）を1つ作成してください。最後に、なぜその対応が適切かの解説も付けてください。

情報セキュリティ方針の策定、情報セキュリティリスクアセスメント、情報セキュリティリスク対応、情報セキュリティ諸規程の策定、セキュリティ運用状況の点検、サプライチェーンの情報セキュリティの推進、コンプライアンス管理、人的管理、情報セキュリティ監査及びデジタルガバナンス確保への対応、情報セキュリティに関する動向・事例の収集と分析、関係者とのコミュニケーション、企画・要件定義（セキュリティの観点）、製品・サービスのセキュアな導入、アーキテクチャの設計（セキュリティの観点）、セキュリティ機能の設計・実装、セキュアプログラミング、セキュリティテスト、運用・保守（セキュリティの観点）、開発環境のセキュリティ確保、暗号利用及び鍵管理、マルウェア対策、データ保護、セキュリティ監視並びにログの取得及び分析、ネットワーク及び機器のセキュリティ管理、技術的脆弱性への対応、物理的セキュリティ管理、アカウント管理及びアクセス管理、情報セキュリティインシデント対応体制の構築、情報セキュリティ事象の評価、情報セキュリティインシデントへの対応、証拠の収集及び分析

これまでの章のプロンプトは「用語を説明させる」ものでしたが、この章のプロンプトは「問題そのものを作らせる」ものです。同じ項目でも、AIに業種や企業規模を変えて何度も出題させれば、実質的に無限のケーススタディで練習できます。

章末チェック

最後に、この章で学んだ内容をケーススタディ形式でアウトプットして定着させましょう。全問に答えたら「答え合わせ」を押してください。

この章のまとめ

この章では、登録セキスペとして企業を支援する橋本さんが、情報セキュリティマネジメントの組織的推進、システムライフサイクルにおけるセキュリティ確保、日常運用での対策適用、そしてインシデント管理という技能4グループ31項目を、1年間の実務として体験しました。SCに求められるのは「自分で作業すること」以上に「組織が自走できるよう指導・助言すること」です。橋本さんが繰り返し実践していたように、知識を一方的に伝えるのではなく、相手（小林さん）が納得し自分で判断できるようになるまで伴走する姿勢が、支援士にとって最も重要な技能です。

これで全12章の学習は完了です。お疲れさまでした。コースTOPで、総復習に取り組みましょう。