CISSPドメイン1 セキュリティとリスク管理
CISSP の8ドメインのうち、土台になるドメインの学習ページです。このwikiの用語ページを、学ぶ順に並べています。
このドメインの問い
技術の問いではなく、組織の問いです。
- 何を守るのか（守る性質と、その優先順位）
- どこまで守るのか（リスクをどう見積もり、どう扱うか）
- 誰が決め、どう書き残すのか（方針・規程・手順）
- 外から何を求められるのか（法令・規格・倫理）
答えるのは技術者ではなく、組織のセキュリティに責任を持つ立場の人です。
学ぶ順序
- 守る性質を知る：CIAトライアド → 機密性・完全性・可用性 → 反対側の DAD → 非否認・責任追跡性
- 全体像をつかむ：セキュリティの基本原則、情報セキュリティ
- 相手を知る：脅威、攻撃者の種類，攻撃の動機、ソーシャルエンジニアリング
- リスクを分ける：リスクタイプ、BIA
- 決めたことを書く：セキュリティポリシー、セキュリティ管理、職務の分離、最小権限の原則
- 型を借りる：フレームワーク、サイバーセキュリティフレームワーク、iso/iec 27001、iso/iec 27002
- 外の決まりを知る：oecdプライバシーガイドライン、pci dss、HIPAA、プロバイダ責任制限法、発信者情報の開示請求
解説
このドメインの考え方（CIA の緊張、due care と due diligence、リスクの見積もりと5つの対応、第三者のリスク、Equifax と SolarWinds の事例）は、Zenn の連載で解説しています。
このページは、用語のページへの道案内と、日本の法令との対応表に絞っています。
日本で働くなら：対応する法令
CISSP の教材は米国の法制度を前提にした記述が多いので、日本の法令に読み替えます。
| CISSP で出てくる考え方 |
日本で対応するもの |
| 個人データの侵害の通知（EU の GDPR 第33条は、不当な遅滞なく、可能な場合は気づいてから72時間以内に監督機関へ。権利と自由へのリスクが生じにくい侵害は除く） |
個人情報保護法の漏えい等の報告。報告の対象は、要配慮個人情報・財産的被害のおそれ・不正の目的によるおそれ・本人が1,000人超のいずれか（人数の条件があるのは最後の類型だけで、ほかは1人分でも対象）。速報は事態を知った後速やかに（委員会の目安は概ね3〜5日以内）、確報は知った日から30日以内（不正の目的によるおそれがある場合は60日以内）。本人への通知も原則として必要（困難な場合の代替措置などの例外あり）。高度な暗号化などの措置がとられていれば報告は不要。ただし、漏えいしたデータが暗号化された状態のままで、復号鍵が適切に管理されていることが前提（委員会の Q&A 6-19。アプリケーション経由で平文のまま持ち出された場合は当たらない。保存時暗号化） |
| 情報セキュリティマネジメントシステム |
iso/iec 27001 と、その日本産業規格 jis q 27001 |
| 個人情報の保護の管理 |
jis q 15001 |
| プラットフォーム事業者の責任と発信者情報の開示 |
プロバイダ責任制限法（2025年4月1日施行の改正で題名が改められた。略称は情報流通プラットフォーム対処法） |
施行前の改正：2026年7月17日公布の個人情報保護法の改正法で、本人への通知の例外が広がるなど、決まりが変わる予定です（本体は公布から2年以内に政令で定める日に施行）。施行までは上の表の決まりが適用されます。出典：
個人情報保護委員会「改正法の公布について」
確認問題
- 次の3つの情報で、CIA のうちどれを最も優先して守るべきかを答え、理由を述べてください。(a) 救急外来の電子カルテ (b) 発売前の新製品の設計図 (c) 銀行の口座残高
- 次の4つの文を、方針・標準・手順・ガイドラインに分けてください。(a)「顧客の個人情報は、業務上必要な者だけが扱う」(b)「新規アカウントは申請・承認・設定の順に作成する」(c)「パスワード管理ツールの利用を推奨する」(d)「個人情報を扱うシステムには多要素認証を必須とする」
- リスクへの対応の5つ（受容・回避・低減・共有・移転）のどれに当たるかを答えてください。(a) 使っていない古い顧客データを削除する (b) 侵入検知の仕組みを入れる (c) サイバー保険に加入する (d) 許容度の範囲内なので経営層が承認して記録する
- あるクラウド事業者に顧客データの処理を任せることになりました。契約の前と後に、委託元として確かめるべきことを挙げてください。
模範解答
- (a) 可用性：必要なときに見られないことが命に関わる。(b) 機密性：発売前に漏れると事業の価値が失われる。(c) 完全性：残高が正しいことが最も重要（もちろん機密性も高い）。どれが優先かは、情報の性質と業務で決まります。
- (a) 方針（目的の宣言）、(b) 手順（作業の順序）、(c) ガイドライン（推奨で拘束力なし）、(d) 標準（全社共通の必須要件）。方針には目的を書き、具体的な方式や製品は、全社の必須要件なら標準に、推奨ならガイドラインに書くと、技術が変わるたびに方針を改定せずに済みます。
- (a) 回避（リスクを生む活動自体をやめる）、(b) 低減、(c) 移転（SP 800-39 は保険を移転の例に挙げている。起こりやすさと結果は減らない。実際の保険には免責額や支払いの上限があり、移せるのはその範囲まで）、(d) 受容。
- 契約の前：委託先の管理の態勢の評価、再委託の可否と事前承認、データの保管・処理の場所（外国なら個人情報保護法の外国にある第三者への提供の規律も）、事故の通知の期限、監査の権利。契約の後：定期的な報告と監査で、契約どおりに運用されているかを確かめる。個人情報の委託では、委託先の監督が委託元の義務です（個人情報保護法第25条）。ただし、クラウドの使い方によっては、個人データの取扱いの委託に当たらない場合もあるので、委員会の Q&A で確かめてください。
出典
確認日：2026年10月14日（同日、レビューを受けて要点・事件・法令・確認問題を改訂）
最終更新：2026年10月15日 09:53
