IPAとは？

IPAの意味

日本のIT国家戦略を技術面・人材面から支える独立行政法人。情報処理技術者試験（本試験含む）の実施のほか、脆弱性情報の届出受付、各種セキュリティガイドラインの策定・普及を行う。

IPAの具体例

ソフトウェア製品に脆弱性を発見した研究者が、IPAの脆弱性関連情報の届出窓口を通じて製品開発者に情報を伝達する仕組み（脆弱性情報ハンドリング）を利用する。

IPAは試験でどう引っ掛けられる？

JPCERT/CCと役割が違う。脆弱性の届出を受け付ける窓口がIPA、製品開発者との公表日程の調整（コーディネート）を担うのがJPCERT/CCで、両者が共同で運営する公表サイトがJVN。またIPAは独立行政法人であり、NISCや個人情報保護委員会のような国の行政機関ではない。

IPAと関連する用語

• SECURITY ACTION
• JPCERT/CC

IPAが出た過去問

• サイバーレスキュー隊（J-CRAT）の役割はどれか。

  正解：標的型サイバー攻撃を受けた組織や個人から提供された情報を分析し、社会や産業に重大な被害を及ぼしかねない標的型サイバー攻撃の把握、被害の分析、対策の早期着手の支援を行う。

  要点：J-CRATは標的型攻撃の被害分析と早期対処を支援する

  J-CRAT（サイバーレスキュー隊）はIPAが運営し、標的型サイバー攻撃を受けた組織からの相談・情報提供を受けて分析し、被害の拡大や連鎖を防ぐための早期対処を支援する。特に攻撃の連鎖の起点になりやすい組織を助けることで、社会全体への波及を抑えることを狙う。政府機関の監視を担うGSOCやJ-CSIP、ISOGとは役割が異なる。

  出典：平成29年度 秋期 高度共通_午前I試験 am1 問14（IPA）

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver1.1）”の説明はどれか。

  正解：企業がIT活用を推進していく中で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部に，経営者が指示すべき事項をまとめたもの

  要点：経営ガイドラインは3原則と重要10項目で経営者の関与を促す

  サイバーセキュリティ経営ガイドラインは、経営者向けに、セキュリティを経営課題として認識するための3原則と、CISOなど対策の責任者に指示すべき重要10項目を示したものである。技術者向けの手引ではなく、経営層の関与を促すことに主眼がある。ISMS規格やCOBIT、サイバーセキュリティ基本法とは位置付けが異なる。

  出典：平成29年度 春期 高度共通_午前I試験 am1 問14（IPA）

• 経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver2.0）”の説明はどれか。

  正解：企業がIT活用を推進していく中で、サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と、サイバーセキュリティ対策を実施する上での責任者となる担当幹部に、経営者が指示すべき重要10項目をまとめたもの

  要点：経営ガイドラインは3原則＋担当幹部への指示10項目

  サイバーセキュリティ経営ガイドラインは、経済産業省とIPAが策定した経営者向けの手引で、経営者が認識すべき「3原則」と、対策の実行を任せる担当幹部（CISO等）に経営者が指示すべき「重要10項目」で構成される。技術者向けの実装手順書ではなく、経営層がセキュリティ投資を判断するための文書である。

  出典：令和3年度 春期 高度共通_午前I試験 am1 問13（IPA）