CISSPドメイン2 資産のセキュリティ - Cyber SEC TSM | サイバーセキュリティTSM

CISSPドメイン2 資産のセキュリティ

CISSP の8ドメインのうち、守る対象そのもの（情報と資産）を扱うドメインの学習ページです。このwikiの用語ページを、学ぶ順に並べています。

このドメインの問い

• 何を持っているか（資産の一覧と持ち主）
• どう扱うか（分類と、分類ごとの扱いの決まり）
• どう手放すか（保存期間、媒体の消去、サポートの終わった製品）

学ぶ順序

1. 持っているものを知る：情報資産管理
2. 分ける：情報分類、CIAトライアド
3. 守る：保存時暗号化、通信の暗号化、アクセス制御
4. 漏らさない：DLP、IRM、CASB、情報漏えい
5. 手放す：媒体の消去、鍵管理（暗号消去）
6. 法の側から：営業秘密、個人情報保護法（下の対応表）

解説と演習

このドメインの考え方（6つの項目、データの役割、ライフサイクル、データの状態、サポートの終了）は Zenn の連載で解説し、現場の判断を問う演習（8つの場面。場面1は無料で読めます）は note で公開しています。

• CISSP ドメイン2 ― 何を持ち、どう扱い、どう手放すか（Zenn、無料）
• CISSP ドメイン2 演習編 ― 資産をめぐる8つの判断（note、有料）

日本で働くなら：対応する法令

法令は、2026年10月時点で施行されている条文に基づきます。個人情報保護法は、改正法が2026年7月17日に公布されており、施行（一部を除き、公布から2年以内）の後は変わる条文があります。

考え方	日本で対応するもの
分類と表示	営業秘密の「秘密管理性」の前提になる（不正競争防止法 第2条第6項）
データの保存期間と消去	個人情報保護法 第22条：利用する必要がなくなった個人データは、遅滞なく消去するよう努める
安全管理	個人情報保護法 第23条（安全管理措置）、第24条（従業者の監督）、第25条（委託先の監督）
データの所在	個人情報保護法 第28条：外国にある第三者への個人データの提供の規律。外国の事業者への委託も含む（個人情報保護委員会 Q&A 12-1）
保存期間の下限	法令ごとに異なる。例：法人税法施行規則 第59条（青色申告法人の帳簿書類は、起算日から7年間）。欠損金が生じた事業年度の帳簿書類は、繰越しを受けるなら10年間（同規則 第26条の3）

確認問題

1. 次の4つのうち、FIPS 199 の考え方で「完全性」の影響度が最も高くなりうるのはどれですか。(a) 社内報 (b) 振込先の口座の一覧 (c) 公開済みのプレスリリース (d) 会議室の予約表
2. 次の役割を、組織の中の役割と、GDPR 上の法的な主体とに分けてください。持ち主（owner）、管理者（controller）、保管者（custodian）、処理者（processor）
3. 次の3つの媒体について、上書き（Clear）で済ませられない理由と、代わりに使う方法を答えてください。(a) SSD (b) 紙の書類 (c) クラウドのストレージ

模範解答

1. (b)。振込先が書き換えられると、送金が攻撃者に流れます。機密性も重要ですが、ここでは改ざんの影響が特に大きい情報です。
2. 組織の中の役割：持ち主、保管者。GDPR 上の法的な主体：管理者、処理者。
3. (a) SSD：予備の領域があり、書き込む場所も分散するので、上書きが届かない領域が残る。媒体に組み込まれた標準の消去の命令や暗号消去（Purge）を使う。(b) 紙：Clear も Purge も当てはまらず、Destroy（破壊）を使う。(c) クラウド：利用者は物理的な媒体に触れられない。利用者の側で削除し、利用者が管理する鍵で暗号化していた場合はその鍵を削除し（暗号消去）、事業者の消去の方針を確かめる。なお SP 800-88 Rev. 2 は、Purge が使える媒体では、可能な場合は Clear ではなく Purge を使うべきだとしている。

出典

• ISC2 CISSP 試験アウトライン
• e-Gov 法令検索「個人情報の保護に関する法律」
• e-Gov 法令検索「不正競争防止法」
• e-Gov 法令検索「法人税法施行規則」
• 個人情報保護委員会「令和8年改正個人情報保護法について」（施行期日は、掲載されている法律の本文の附則第1条）
• 個人情報保護委員会 Q&A 12-1
• NIST SP 800-88 Rev. 2 Guidelines for Media Sanitization

確認日：2026年10月15日