SSCP CBK 7ドメイン概要
情報システムセキュリティの中心はアクセス制御となり、これを実現するための様々な方策を論理的、物理的に展開していきます。SSCPでは論理的アクセス制御を中心に構成されていますので、物理セキュリティはドメインに含まれませんが、アクセス制御の中で一部カバーしています。
具体的な対策としてのネットワークと通信、暗号、アプリケーションについては、専門家がこれまでに経験した内容をカテゴリごとにまとめあげ、実際の対策を選択するときや、インシデントレスポンスにおける分析や対応の際に活用しやすく体系化しています。
正しい対策を実施しているかどうかは機能面だけではなく、効果についても測定しなければいけません。そのための情報収集として分析とモニタリング（監視）があり、本来の情報セキュリティの目的と合致しているかどうかを理解していきます。
情報セキュリティの目的や方針などは情報セキュリティの運用と管理のドメインで、その詳しい手順などはインシデントレンスポンス・リカバリのドメインでまとめています。この中には情報セキュリティのライフサイクルだけではなく、事業継続計画や、災害復旧計画なども含まれており、情報セキュリティ管理者からの指示を適切に判断し、対策を提案していくために必要な知識と手順が示されています。
SSCP CBKには、法律や倫理、セキュリティアーキテクチャといった、コーポレートガバナンスに関連するものが含まれていませんが、SSCPは現場の作業者や他の専門家が有しておくべき情報セキュリティの必須項目について重点的にまとめあげており、情報セキュリティポリシーを作成するよりも、定められたポリシーに従ってどのようにセキュリティ機能要件を実装していくのかを中心にしているためです。
- セキュリティの運用と管理
- アクセス制御
- リスクの特定、モニタリングと分析
- インシデントレスポンスとリカバリ
- 暗号化
- ネットワークと通信のセキュリティ
- システムとアプリケーションセキュリティ
このドメインでは、リソースへのアクセスを管理するメカニズムとして大まかに定義される論理的なアクセス制御と、これらのリソースに対して行う操作を対象とします。通常、アクセス制御システムには識別、認証、認可、説明責任（監査）のメカニズムが含まれ、アクセス制御システムの基本原則と、実装、管理、セキュリティ対策の方法についての理解が求められます。また、認証メカニズムや、単要素／多要素認証、シングルサインオン、デバイス認証などの用語に精通している必要があり、異なるシステムをまたいだネットワーク間信頼アーキテクチャやフェデレーテッドID管理を理解していることが必要です。認可、プルーフィング、プロビジョニング、保守、エンタイトルメントを含むID管理ライフサイクルを完全に理解していなければなりません。最後に、強制、任意、ロールベース、属性ベースなどのさまざまな種類のアクセス制御フレームワークの実装および管理に関しての知識も必要とされます。
このドメインでは、基本的なセキュリティの概念と、それらの概念を企業コンピュータシステムおよびシステムが取り扱う情報の日常の運用・管理へ応用する事を対象とします。CIAと呼ばれる機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）の三要素の原則について完全に理解しているだけでなく、これらをあらゆる状況で適用できる必要があります。その他、プライバシー、最小権限、否認防止、職務の分離などのセキュリティ概念に対しても理解が必要です。人員、設備、ハードウェア、ソフトウェア、情報を含む資産の管理について、システム開発ライフサイクル（SDLC）、ハードウェア、ソフトウェア、破棄、データ消失防止などのあらゆる側面からの理解を求めます。セキュリティ制御の実装と評価、IT企業における変更管理プロセスとプロシージャ、構成管理および変更管理のすべての内容に関する知識が求められます。最後に一般的な倫理的な事項、その中でもISC2倫理規約についての理解が要求されます。
このドメインでは、リスク管理の概念、評価活動、モニタリングの用語、テクニック、システムを対象とします。リスクの可視化と報告、リスク管理の概念、リスク評価、リスク処理と監査所見について法的遵守事項も含めた知識の保有が求められます。セキュリティ評価活動には、内部および外部セキュリティ評価とコンプライアンス監査、ペネトレーションテストなどの脆弱性評価に関するすべての内容が含まれます。そして、対象イベント、ソースシステム、およびログの完全性と保存、アグリゲーション、イベントソースの構成、イベント相関システム、モニタリング結果の分析と解釈を含むロギングとモニタリングに関するすべての内容を知っている必要があります。また、パケットキャプチャおよびネットワークトラフィック分析ツールの使い方と解析方法を知っている必要があります。
このドメインでは、インシデント処理プロセスの手順を適切に実施および実行し、迅速で一貫した方法論的アプローチでセキュリティインシデントに対応する能力を問います。発見、エスカレーション、報告、対応と予防など、インシデント処理のさまざまな内容についての理解を要求されます。証拠の特定、保存、収集、検討、分析およびプレゼンテーションによるフォレンジック調査を支援する能力についても保有している必要があります。災害後復旧の計画などを含めた事業継続計画の全てについての理解と、立案、実装、維持、および災害復旧計画と事業継続性計画の両方のテストついての知識保有が求められます。
ここでは、暗号の基本的な概念と暗号の使用に関する要件について理解をしている必要があります。ハッシュ、ソルト、対称／非対称暗号、デジタル署名などの一般的な暗号の概念、手法と技術の理解、また否認防止の概念および実現のためのツールとテクニックについての理解も求められます。そして、主な鍵管理概念、公開鍵インフラストラクチャ、管理と検証、信頼の網、セキュアプロトコルの実装と使用に関する暗号システムの実装と運用に関する全般的な知識を知っている必要があります。かつ、暗号の使用と暗号システムに関する法令および規制要件と制約を理解している必要があります。
このドメインでは、ネットワークアーキテクチャ、プロトコル、転送フォーマット、制御デバイス、およびセキュリティ対策を網羅的に理解している必要があります。ネットワークの管理や、ネットワークトポロジー、TCP/IPプロトコルスイート、OSIおよびTCPモデル、IPアドレッシング、スイッチングとルーティング、ドメインネームシステム（DNS）などのネットワークの基礎に関する十分な知識を持っていなければなりません。ネットワークアクセス制御全般と、特にリモートアクセスについて理解していることが必要とされます。ネットワークの論理および物理セグメンテーションと暗号化は、ネットワーク通信のセキュリティ対策において広範囲に使用されており、それぞれについて理解している必要があります。加えて、ルーターとスイッチの運用と構成、ファイアウォールとプロキシ、ワイヤレス技術とWAN最適化についても理解している事が求められます。
このドメインでは、悪意のあるコードの概念や種類を幅広く知り、これらの攻撃への対処法などを適切に選択できるような知識が求められます。また、攻撃を受けた際の対処法や再発防止策などの提案ができるようそれらの知識を保有している必要があります。加えて、仮想化技術およびセキュリティの有効性、仮想化技術によりもたらされる課題について十分な理解と活用するための知識を有している必要があります。クラウドの概念とアウトソースされたIT全般におけるセキュリティの意味合いについて、知識を有している必要があります。またビッグデータシステムとそこに付随するセキュリティの課題について精通する事が求められます。
