令和7年度 春期 情報処理安全確保支援士 午前II 問12

各選択肢の解説

ア

CONTROL

誤りです。CONTROLはCSF 2.0のコアの機能ではありません。CSF 2.0の機能は、GOVERN、IDENTIFY、PROTECT、DETECT、RESPOND、RECOVERの六つです。個々の対策(コントロール)は機能の名前ではなく、カテゴリやサブカテゴリに対応づけて扱われます。

イ

DIRECT

誤りです。DIRECTはCSF 2.0のコアの機能ではありません。組織の方針・役割・責任・監督を示す機能として2.0で追加されたのはGOVERN(GV)です。指示や統制にあたる内容は、GOVERNの中の「方針」「監督」「役割・責任・権限」などのカテゴリで扱われます。

ウ

GOVERN

正しいです。2024年2月26日に公開されたNIST CSF 2.0では、従来の五つの機能に加えてGOVERN(GV)が新設されました。GOVERNは、組織のサイバーセキュリティリスク管理の戦略・期待・方針が確立され、伝達され、監視されている状態を目指す機能です。他の五つの機能をどう実施するかを方向づけるため、機能の輪の中心に置かれています。

エ

MANAGE

誤りです。MANAGEはCSF 2.0のコアの機能ではありません。「リスクを管理する」という表現はフレームワーク全体の目的に使われますが、六つの機能の一つとして追加されたのはGOVERNです。MANAGEという名前の機能は定義されていません。