ぞうログ情報セキュリティは組織の中だけで完結せず、外部の専門機関との連携や、第三者による認証制度の活用が重要になる。組織名や制度名は、その役割とセットで覚えることが得点につながる。
組織内の体制と関連機関
- CISO：組織の情報セキュリティに関する統括責任者。経営層の一員として方針決定に関与する。
- CSIRT：インシデントの検知・分析・対応を担う専門チーム。
- SOC：ネットワークや機器を24時間体制で監視し、脅威の兆候を検知することを主な役割とする組織。
- JPCERT/CC：国内のインシデント情報を受け付け、対応の支援や注意喚起を行う一般社団法人。
- IPA（情報処理推進機構）：脆弱性関連情報の届出受付、「情報セキュリティ10大脅威」の公表などを行う独立行政法人。
- NISC：国のサイバーセキュリティ戦略を統括する内閣官房の組織。
- J-CSIP：参加組織間で標的型攻撃などの情報を共有し、被害の拡大を防ぐ取り組み。
認証制度と評価基準
- ISMS適合性評価制度：組織の情報セキュリティマネジメントシステムがJIS Q 27001に適合しているかを第三者機関が審査・認証する制度。
- プライバシーマーク制度：JIS Q 15001に適合し、個人情報を適切に取り扱っていると認められた事業者にマークの使用を認める制度。
- 情報セキュリティ管理基準：組織が情報セキュリティマネジメントを確立する際の実践規範をまとめた基準。
- CVSS：脆弱性の深刻度を共通の基準で数値化して評価する手法。組織をまたいで同じ尺度で比較できる。
- SECURITY ACTION：中小企業が情報セキュリティ対策への取組を自己宣言する制度。
- JVN：国内で使用されているソフトウェアの脆弱性情報と対策情報を公開するポータルサイト。
CSIRTとSOCは役割で区別する。SOCは「常時監視して見つける」、CSIRTは「見つかった後に対応する」。ISMS適合性評価制度は組織のマネジメント、プライバシーマークは個人情報の取扱いが対象という違いも頻出。