IPAとは？

IPAの意味

日本のIT国家戦略を技術面・人材面から支える独立行政法人。情報処理技術者試験（本試験含む）の実施のほか、脆弱性情報の届出受付、各種セキュリティガイドラインの策定・普及を行う。

IPAの具体例

ソフトウェア製品に脆弱性を発見した研究者が、IPAの脆弱性関連情報の届出窓口を通じて製品開発者に情報を伝達する仕組み（脆弱性情報ハンドリング）を利用する。

IPAは試験でどう引っ掛けられる？

JPCERT/CCと役割が違う。脆弱性の届出を受け付ける窓口がIPA、製品開発者との公表日程の調整（コーディネート）を担うのがJPCERT/CCで、両者が共同で運営する公表サイトがJVN。またIPAは独立行政法人であり、NISCや個人情報保護委員会のような国の行政機関ではない。

IPAと関連する用語

• SECURITY ACTION
• JPCERT/CC

IPAが出た過去問

• JPCERTコーディネーションセンターと情報処理推進機構（IPA）が共同運営するJVN（Japan Vulnerability Notes）で，“JVN#123…

  正解：ソフトウェアなどの脆弱性関連情報とその対策

  要点：JVNは脆弱性情報と対策を識別子付きで公開する仕組み

  JVNは、国内で使われるソフトウェア製品の脆弱性情報と、その対策情報を集約して公表する仕組みである。届出を受けて調整された脆弱性には固有の識別番号が付けられ、影響を受ける製品や想定される被害、対策方法とともに公開される。ライセンス情報や定義ファイルの版数、工業規格を扱う仕組みではない。

  出典：平成30年度 春期 ITパスポート試験 問82（IPA）

• 経営戦略上、ITの利活用が不可欠な企業の経営者を対象として、サイバー攻撃から企業を守る観点で経営者が認識すべき原則や取り組むべき項目を記載したものはどれか。

  正解：サイバーセキュリティ経営ガイドライン

  要点：サイバーセキュリティ経営ガイドラインは経営者向け指針

  サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが公表しているもので、経営者が認識すべき原則と、セキュリティ担当役員に指示すべき重要項目を示している。セキュリティを技術部門任せにせず、経営課題として取り組むことを促す内容である。

  出典：令和1年度 秋期 ITパスポート試験 問25（IPA）

• IPA“組織における内部不正防止ガイドライン（第4版）”にも記載されている、内部不正防止の取組として適切なものだけを全て挙げたものはどれか。 a システム管理者…

  正解：b, c

  要点：権限は一人に集中させず、経営者が方針を示す

  内部不正防止では、権限を一人に集中させないこと（職務分離や相互牽制）が基本であり、全権限の集中はむしろリスクを高める。一方、不正が起きた際の処罰と再発防止措置の実施、経営者による基本方針の策定と周知は、いずれもガイドラインが求める取組である。

  出典：令和1年度 秋期 ITパスポート試験 問61（IPA）

• 中小企業の情報セキュリティ対策普及の加速化に向けて、IPAが創設した制度である“SECURITY ACTION”に関する記述のうち、適切なものはどれか。

  正解：情報セキュリティ対策に取り組むことを自己宣言する制度

  要点：SECURITY ACTIONは中小企業の自己宣言型の制度

  SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度である。第三者による審査・認定を伴うISMS認証とは異なり、自己宣言によってロゴマークを使えるようにすることで、取組みの裾野を広げることを狙っている。

  出典：令和3年度 秋期 ITパスポート試験 問79（IPA）

• J-CRATに関する記述として、適切なものはどれか。

  正解：相談を受けた組織に対して、標的型サイバー攻撃の被害低減と攻撃の連鎖の遮断を支援する活動を行う。

  要点：J-CRATは標的型攻撃の被害低減と連鎖遮断を支援

  J-CRAT（サイバーレスキュー隊）はIPAが運営する組織で、標的型サイバー攻撃を受けた、あるいは兆候を相談してきた組織に対し、被害の拡大を抑え、他組織へ攻撃が連鎖することを断ち切るための支援を行う。分析結果を助言する立場であり、被害組織に代わって対応の主体となるわけではない。

  出典：令和3年度 秋期 ITパスポート試験 問81（IPA）