CISSPドメイン6 セキュリティの評価と試験 - Cyber SEC TSM | サイバーセキュリティTSM

CISSPドメイン6 セキュリティの評価と試験

CISSP の8ドメインのうち、組織の守りが意図どおりに働いているかを、評価・試験・監査で確かめ、結果を報告して直すことを扱うドメインの学習ページです（英語では Security Assessment and Testing）。このwikiの用語ページを、学ぶ順に、一行の説明を付けて並べています。

このドメインの問い

• 何を、どの方法で、誰が確かめるか（評価・試験・監査の戦略）
• 管理策が効いているかを、どんな試験で確かめるか（脆弱性スキャン、ペネトレーションテスト、ログの確認）
• 守りの状態を示すデータを、何から集めるか（アカウントの見直し、バックアップの確認、指標）
• 結果をどう分析し、報告し、直すか。見つけた脆弱性をどう開示するか
• 監査を、内部・外部・第三者のどの立場で行うか（セキュリティ監査）

ISC2 の試験アウトライン（2024年4月15日発効）は、このドメインを5つの項目に分けています。6.1 評価・試験・監査の戦略の設計と検証、6.2 セキュリティの管理策の試験、6.3 セキュリティの過程のデータの収集、6.4 試験の結果の分析と報告、6.5 セキュリティ監査の実施や支援です。2027年4月15日発効の新しいアウトラインでも5つの項目の枠は変わらず、6.4 の名前が「試験と監査の結果の分析と報告」（Analyze test/audit output and generate report）になるなどの表現の変更があります。細目では、6.2 の「Breach attack simulations」が「Attack simulations」に、6.4 の「Ethical disclosure」が「Responsible disclosure」（責任ある開示）に変わり、6.2 のペネトレーションテストの例示（レッド・ブルー・パープルのチームの演習）が外れます。

要点：3つの評価の方法

NIST SP 800-115（技術的なセキュリティの試験と評価の手引き、2008年9月）は、セキュリティの評価を、対象が特定のセキュリティの目標をどれだけ効果的に満たしているかを決める過程とし、方法を3つに分けています。

方法	内容	このwikiのページの例
試験（testing）	決めた条件の下で対象を動かし、実際の振る舞いと期待した振る舞いを比べる	脆弱性スキャン・ペネトレーションテスト
調査（examination）	対象を確認・点検・観察・分析して、理解を深めたり証拠を得たりする	ログ管理（ログの確認）・セキュリティ監査
聞き取り（interviewing）	組織の中の人と話し合って、理解を深めたり、証拠のありかを見つけたりする	セキュリティ監査

SP 800-115 は、どの手法も1つだけではシステムやネットワークのセキュリティの全体像は得られないので、手法を組み合わせるよう求めています。

学ぶ順序

• ''1. 確かめ方を決める''
  • セキュリティ監査：方針や基準に合っているかを、独立した立場から記録と活動を調べて評価する
• ''2. 管理策を試験する''
  • 脆弱性スキャン：既知の脆弱性の情報と照らし合わせて、脆弱性がありそうな所を自動で洗い出す
  • ペネトレーションテスト：攻撃者の手法をまねて、弱点が実際に悪用できるかを確かめる
  • ログ管理：出来事の記録を作り、守り、保管し、定期的に分析する
• ''3. 守りの状態のデータを集める''
  • セキュリティの指標：管理策の実装・有効性・効率・影響を、数値などで示して判断に使う（KPI・KRI）
  • アカウント管理：アカウントと権限を、決めた頻度で見直す
  • バックアップ：取れているだけでなく、戻せることを復元の試験で確かめる
  • BCP：事業を続ける計画を、演習や切り替えの試験で確かめて見直す
• ''4. 結果を直し、開示する''
  • 脆弱性管理：見つけた脆弱性に優先度を付けて直し続ける
  • ゼロデイ攻撃：その中の「脆弱性を見つけたら」に、日本での届出と調整の流れ

責任ある開示

SP 800-53 Rev. 5 の管理策 RA-5（脆弱性の監視とスキャン）の解説は、脆弱性の監視に、一般の人からの脆弱性の報告を受ける窓口と手順を含めるとしています。監視しているメールアドレスやウェブのフォームを公開するだけでもよく、善意の調査と開示を認める旨の通知を含めることもあるとしています。報奨金（バグバウンティ）で外部の研究者の報告を促すこともあると書いています。ただし、組織が調査を認めるとしても、その範囲はその組織が示した範囲に限られます。日本では、IPA（情報処理推進機構）が、ウェブサイトについて必要以上に調べると不正アクセス禁止法などに触れるおそれがあると注意しています（筆者の整理と、ゼロデイ攻撃の「脆弱性を見つけたら」）。また、ソフトウェア製品とウェブサイトの脆弱性の届出を IPA が受け付ける「情報セキュリティ早期警戒パートナーシップ」があります（ゼロデイ攻撃の「脆弱性を見つけたら」）。

日本で働くなら：対応する法令とガイドライン

2026年10月時点の内容に基づきます。

考え方	日本で対応するもの
許可のない試験は違法になりうる	不正アクセス禁止法第2条第4項は、不正アクセス行為から、そのアクセス制御機能を付加したアクセス管理者がするものと、そのアクセス管理者の承諾を得てするものを除いている。脆弱性を突く型（第2号・第3号）は、利用権者の承諾だけでは除かれない（詳しくはペネトレーションテスト）
ログの分析と、取扱状況の点検・監査	個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」の「10（別添）講ずべき安全管理措置の内容」：個人情報取扱事業者は、情報システムを外部からの不正アクセスなどから守る仕組みを導入し適切に運用すること（技術的安全管理措置）と、個人データの取扱状況を把握し、安全管理措置の評価・見直し・改善に取り組むこと（組織的安全管理措置）を、講じなければならない。それぞれの手法の例に、「ログ等の定期的な分析により、不正アクセス等を検知する」と、「個人データの取扱状況について、定期的に自ら行う点検又は他部署等による監査を実施する」がある。同じガイドラインは、手法について、例示の全てを講じなければならないわけではないとしている
評価を依頼する先を探す	IPA は、経済産業省の「情報セキュリティサービス基準」に適合すると審査登録機関に認められたサービスを、情報セキュリティ監査サービス、脆弱性診断サービス（オプションのペネトレーションテスト（侵入試験）サービスを含む）などの区分で一覧にして公開している。IPA は、掲載は IPA がその事業者やサービスについて何かを請け合うものではないとしている

確認問題

1. NIST SP 800-115 は、セキュリティの評価の方法を、どんな3つに分けていますか
2. 脆弱性スキャンとペネトレーションテストは、何が違いますか
3. 日本で、取引先のシステムの脆弱性を検査する前に、不正アクセス禁止法の観点から確かめることは何ですか

模範解答

1. 試験（決めた条件の下で対象を動かし、実際と期待の振る舞いを比べる）、調査（文書・設定・ログなどを確認・分析する）、聞き取り（組織の中の人と話し合う）。
2. 脆弱性スキャンは、ホストとその属性を特定し、既知の脆弱性の情報と照らし合わせて、脆弱性がありそうな所を自動で洗い出す。誤検知がありうるので、専門知識を持つ人が結果を解釈する。ペネトレーションテストは、攻撃者の手法をまねて、それが実際に悪用できるかを確かめる。システムに損害を与えるリスクがあるので、慎重な検討・関係者への通知・計画の後にだけ行う（SP 800-115）。
3. 対象のシステムの利用を制限しているアクセス制御機能を付加したアクセス管理者（第3号の型では、そのアクセス制御機能を持つ別のコンピュータのアクセス管理者）の承諾を得ていること。不正アクセス禁止法第2条第4項は、そのアクセス管理者の承諾を得てするものを不正アクセス行為から除いている。脆弱性を突く型（第2号・第3号）は、利用権者の承諾だけでは除かれない。依頼者がアクセス管理者でない場合（委託先や、クラウド・データセンターで動くシステムなど）は、承諾の権限を持つ者を確かめる（この最後の文は筆者の整理）。

次に読む

• 外部の資料：リンク集

出典

• ISC2 CISSP 試験アウトライン（2024年4月15日発効。2027年4月15日発効の新版も公表済み）
• NIST SP 800-115 Technical Guide to Information Security Testing and Assessment（2008年9月）
• NIST SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations（Release 5.2.0、2025年8月）（RA-5）
• e-Gov 法令検索「不正アクセス行為の禁止等に関する法律」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）
• IPA「情報セキュリティサービス基準適合サービスリスト」（2026年10月9日更新）

確認日：2026年10月18日