Registered Information Security Specialist Examination cheat sheet

情報セキュリティ方針は経営層が承認し、目的・適用範囲・責任体制・違反時の扱いを明記する最上位文書。下位規程（管理規程、運用規程、実施手順）は方針に整合させる。

リスクアセスメントは「リスク特定→リスク分析→リスク評価」の順。リスク分析では影響度と発生可能性を評価し、資産価値×脅威×脆弱性の考え方でレベルを算定する。

リスク対応の選択肢は4つ：リスク回避（活動停止）、リスク低減（管理策導入）、リスク移転（保険・外部委託）、リスク受容（残留リスクの承認）。適用除外はリスク受容とは別概念。

リスク基準はアセスメント前に定める。許容可能なリスクレベル、評価尺度（例：5段階）、受容判断の承認者を事前に決めておかないと評価が恣意的になる。

ISO/IEC 27001ではリスクアセスメント結果とリスク対応計画を文書化した情報として保持し、リスク対応の有効性を監視することを求める。

資産台帳には資産の分類・所有者・保管場所・重要度を記録する。情報資産の所有者は管理責任を負い、管理策の実施責任者と区別されることがある。

適用宣言書（Statement of Applicability）は管理策ごとに適用可否と理由、実施状況を記載する。適用しない管理策にも根拠が必要。

残留リスクは経営層が明示的に受容・承認する。承認記録がないまま運用している状態はマネジメントシステム上の不適合となる。

リスクコミュニケーションと協議を計画し、関係者間でリスク情報を共有する。内部監査・マネジメントレビュー・是正処置でPDCAを回す。

調達仕様書にはセキュリティ要件（認証方式、暗号化範囲、ログ取得、脆弱性対応期限、再委託の承認）を検収条件として明記する。要件なき品質は検収で争えない。

委託先選定ではセキュリティ管理体制、過去のインシデント、第三者認証（ISMS等）を評価軸にする。契約には秘密保持、監査権、再委託制限、インシデント報告義務を盛り込む。

開発ライフサイクル（SDLC）の各フェーズにセキュリティ活動を組み込む：要件定義で脅威分析、設計でセキュア設計レビュー、実装で静的解析、テストで脆弱性診断。

設計段階では入力値検証、認可制御、エラー処理、ログ出力を設計書に明記する。実装後に追加するより設計段階での組込みが低コスト。

本番移行前に受入テストとして脆弱性診断を実施し、重大度に応じた修正完了を移行条件とする。診断結果は委託先と共有し是正を確認する。

開発環境と本番環境を分離し、本番データを開発・テストに用いる場合は匿名化・マスキングを行う。テスト用アカウントは本番移行時に削除する。

外部ライブラリ・OSSの利用時はライセンスと脆弱性を管理し、SBOM（ソフトウェア部品表）で構成を把握する。サポート終了製品は更新計画を立てる。

保守・運用フェーズでは変更管理手続を定め、緊急変更でも事後承認と記録を残す。委託先の作業ログを取得し立会いや作業報告で確認する。

共通鍵暗号（AES等）は高速だが鍵配送が課題。公開鍵暗号（RSA、楕円曲線）は鍵配送と署名に使い、実際のデータ暗号化はハイブリッド方式で共通鍵を用いるのが一般的。

ハッシュ関数（SHA-256等）は一方向性と衝突耐性で改ざん検知・パスワード保存に用いる。パスワードはソルト付き・ストレッチング（bcrypt、PBKDF2、Argon2等）で保存する。

TLSは通信路の暗号化とサーバ認証を提供する。証明書の有効期限・失効（CRL/OCSP）・ホスト名一致を検証し、古いプロトコルや弱い暗号スイートを無効化する。

マルウェア対策はパターンマッチだけでは未知の脅威に弱い。振る舞い検知、EDR、サンドボックス、メール添付のサンドボックス検査を多層で組み合わせる。

脆弱性対応は資産のソフトウェア構成を把握し、脆弱性情報（CVE、CVSSスコア、JVN）を収集、影響評価のうえ修正期限を重要度別に設定する。

CVSSは脆弱性の深刻度を0.0〜10.0で表す共通指標であり、環境固有の影響は別途評価する。スコアだけで対応優先度を決めず、露出状況と資産重要度を加味する。

エンドポイント対策として、OS・アプリの自動更新、不要サービス停止、最小権限の付与、USB等外部媒体の制御、アプリケーション許可リスト（ホワイトリスト）を実施する。

バックアップは3-2-1原則（3副本、2種類の媒体、1つは遠隔地）で取得し、ランサムウェア対策としてオフライン/不変バックアップと復元訓練を行う。

インシデント対応は「準備→検知・分析→封じ込め→根絶→復旧→教訓」の段階で進める。封じ込めでは被害拡大防止を最優先し、証拠保全とのバランスを取る。

CSIRTは役割（受付、トリアージ、技術分析、広報、法務連携）を定め、連絡先・エスカレーション基準・判断権者を事前に決めておく。

インシデントの定義と重大度分類（例：レベル1〜4）を規程で定め、初動報告の期限と報告先を明確にする。判断に迷う段階で報告する運用が有効。

初動では対象端末のネットワーク隔離、侵害アカウントのパスワード変更・セッション無効化、必要に応じたサービス停止を行う。電源断はメモリ上の証拠を失うため慎重に判断する。

連絡体制として社内（経営層、法務、広報、人事）と社外（委託先、警察、監督官庁、顧客）の経路を整備し、個人情報漏えい時は法に基づく報告・通知を検討する。

訓練と机上演習を定期実施し、連絡先の有効性と手順の実効性を確認する。訓練結果は手順改訂に反映する。

インシデント記録には発生日時、検知経路、影響範囲、実施した対応、原因、再発防止策を残す。タイムラインは証拠としても監査でも使える。

再発防止は原因分析（なぜなぜ分析、根本原因分析）に基づき、技術的対策・手続的対策・教育を組み合わせ、完了まで追跡する。

脅威分析の手法：脅威モデリング（データフロー図と信頼境界でSTRIDE等を用いる）、 attack tree、過去インシデント・脆弱性情報の収集。資産ごとに想定脅威を列挙する。

ネットワーク防御は境界（FW、IPS）と内部（セグメント分割、VLAN、ゼロトラスト）を組み合わせる。DMZに公開サーバを置き内部網への直接到達を制限する。

認証の三要素は知識・所持・生体。多要素認証は異なる要素を組み合わせる。パスワードは十分な長さと使い回し禁止、ログイン試行回数制限を設ける。

認可は最小権限と職務分離で設計する。アクセス制御はRBAC（役割ベース）やABAC（属性ベース）で表現し、IDの使い回しを避ける。

データベース対策：SQLインジェクションはプレースホルダ（バインド機構）で防ぐ。入力値検証、最小権限のDBアカウント、監査ログ有効化、保存データの暗号化を行う。

フィルタリング：メールのSPF/DKIM/DMARC、WebのURLフィルタ・プロキシ、WAF、アプリケーション許可リスト。遮断だけでなく検知・記録とセットで運用する。

ロギングは取得目的・保存期間・アクセス権を定める。時刻同期（NTP）、改ざん防止（追記専用・外部転送）、個人情報の取扱いに注意し、相関分析で異常を検知する。

暗号技術の用途整理：機密性は暗号化、完全性はハッシュ/MAC、真正性はデジタル署名と証明書。用途を取り違えると対策が成立しない。

個人情報保護法は個人情報の適正取得、利用目的の特定・通知・公表、安全管理措置、第三者提供の制限、漏えい等の報告・本人通知を求める。要配慮個人情報は取得に本人同意等が必要。

不正アクセス禁止法は他人のID・パスワードの不正取得・提供、識別符号の入力による不正アクセスを禁止する。サイバーセキュリティ基本法は国の基本施策と重要インフラ事業者の努力義務を定める。

契約・就業規則で秘密保持、情報資産の私的利用制限、退職時のアカウント削除と返却を定める。著作権法・不正競争防止法（営業秘密）も情報管理に関係する。

証拠収集は「完全性・一貫性・連続性（chain of custody）」を確保する。取得日時・取得者・手順・ハッシュ値を記録し、原本の複製（イメージ）で分析する。

揮発性の高い順に取得する：メモリ、ネットワーク接続状態、プロセス、ディスク。端末の電源を切るとメモリ上の証拠が失われる。

ログ分析ではタイムスタンプのずれ（タイムゾーン・時刻同期）に注意し、複数ログ（認証、FW、プロキシ、EDR）を突き合わせて相関を取る。

情報セキュリティ監査は独立性・客観性を確保し、監査基準に基づき証拠を収集して合否判断する。監査員は被監査部門の業務から独立させる。

監査の種類：システム監査（保証型/助言型）、内部監査と外部監査、準拠性監査と有効性監査。指摘事項は是正計画・期限・フォローアップまで管理する。

監査証跡はログや設定情報、ヒアリング記録など。サンプリングの妥当性と証拠の十分性を説明できるようにする。