情報セキュリティ知識項目
SecBoK 2021概要～BoKの原点に返り、ディクショナリーとして、より多くの方が利用できるよう改訂～

情報セキュリティ知識項目（SecBoK）改訂委員会

Copyright (c) 2000-2021 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1

SecBoK2021説明内容
1. セキュリティ知識分野（SecBoK）とは
2. SecBoK2021の方向性
3. SecBoK2021の特長
4. グローバル標準との連携
参考：利用例
Copyright © 2021 Japan Network Security Association2

１．セキュリティ知識分野（SecBoK）とは「セキュリティ知識分野（SecBoK）」とは、
JNSA教育部会では、独立行政法人情報処理推進機構（IPA）からの委託事業の実施を契機として、情報セキュリティに関する業務に携わる人材が身につけるべき知識とスキルを体系的に整理した「情報セキュリティスキルマップ」の作成に2003年度から取り組ん
で い ま す 。 2007 年 か ら は 名 称 を 「 セ キ ュ リ テ ィ 知 識 分 野 SecBoK （ Security Body ofKnowledge）」と改め、2016年以降は定期的に改定を行っています。
現行公開版SecBoK2019は、セキュリティ関連業務に従事する人材に求められる1000を超える知識項目の集合になります。多くの方に利用いただけるように、大項目・ 中項目といった構造化された構成となっており、あわせて下記も提示しています。
・想定している「セキュリティ関連業務」の分類（ロール・役割）を提示
・各ロールとそれに要求される/会得しているべき知識項目との対応を提示

今回SecBoKは、BoK（Body of Knowledge）の原点に返って、「ディクショナリー的な位置付け」として多くの方に利用いただけることが目的であることを再確認し、「SecBoK2021」として最新の改訂版を公開しました。
Copyright © 2021 Japan Network Security Association3

２．SecBoK2021の方向性
１．SecBoK（Security Body of Knowledge）の原点に返ってSecBoKは、名前の通り「Body of Knowledge」であるので、ディクショナリー的な位置付けとして多くの方に利用いただけることが目的であることを再確認。

２．ディクショナリーとして、より多くの方が利用できるようにディクショナリーであるならば、SecBoKを引用していただき、多くの方が使い易い形態にすべきである。多くの方とは、セキュリティ専門人材だけではなく、近年その必要性と人材不足が叫ばれている「プラス・セキュリティ人材」への対応を実現。またジョブチェンジおよび組織異動（事業部門→セキュリティ/IT、セキュリティ/IT→事業部門）される方々も容易に利用できるように改定。

３．Job description（ジョブディスクリプション）の考え方を広め、人材エコシス
テムの推進に貢献
セキュリティ人材の可視化が様々な方面で進んでいるが、可視化の際のスキル項目として利用いただき、セキュリティ人材不足対応への貢献。

４．グローバル標準との連携で、海外での利用も推進
NIST SP800-181rev.1（NICE Framework）が、2020年11月にRev1版として改定されたが、SecBoK独自の点は残しつつも、海外での利用も想定し、グルーバル標準との連携も進めていく。
Copyright © 2021 Japan Network Security Association

4３．SecBoK2021の特長
１．カテゴリーの改定で、プラス・セキュリティ人材や大学でも使い易く今注目されている「プラス・セキュリティ人材」は、ある定義された人材が存在するわけではなく、本来従事している業務にプラスしてセキュリティスキルを身に付けておいてほしい人材のため、業務の種類や立場などによって求められるスキルが異なるが、その中でも共通となるベースのスキルを下記のカテゴリーに集めて、使い易く改定した。
１）まずは、全てのベースとなる「00基礎」「01IT・セキュリティ基礎」「02ITヒューマンスキル」分野のスキルをチェック
2021ID1

ま ず は 、ベースとなるスキルをチェックし易くするため分野カテゴ
リーを改定

2

KSA
旧2019ID -ID
1
2

新旧別

旧NICEに類似
00基礎項あり
旧NICEに類似
K0030
00基礎項あり

K0052

38991

K0380

新規

39992

K0576

新規

62
63

分野

01IT・セキュリ
ティ基礎
01IT・セキュリ
ティ基礎

大項目

新規

レ
ベル

小項目

1数物情報学

L 数学に関する知識（例：対数、三角法、線形代数、微積分、統計、操作解析）

2計算機・通信工学

L

コンピュータアーキテクチャ（例：回路基板、プロセッサ、チップ及びコンピュータハードウェア）に適用される電気工学に関する知識

1ICT・・ L コラボレーションツールと環境に関する知識
1ICT利活用

1ICT

1ICT利活用

02ITヒューマンス 1コミュニケーション
キル力
02ITヒューマンス 1コミュニケーション
1087 S0070 旧NICEと同一
キル
力1086 K0239

中項目

L 情報環境に関する知識・・
L

書面、口頭及び視覚メディアを介して通知する代替方法を含む、メディア制作、コミュニケーション及び普及の手法および方法に関する知識

L 情報を効率的に伝達するための他者とのコミュニケーションに関するスキル２）以降、各自の業務に応じて、セキュリティ専門分野や、ビジネススキルなどをチェックする
Copyright © 2021 Japan Network Security Association

5

３．SecBoK2021の特長
２．Job description（ジョブディスクリプション）の考え方を広め、人材エコシス
テムの推進役へ
SecBoKのスキル項目を活用して、ジョブディスクリプションに基づく、ジョブ型採用の際にも利用できるような下記職種の例を提示
・POC（Point of Contact）
自組織外・自組織内連絡担当、IT部門調整担当

・リサーチャー
自組織外・自組織内連絡担当、IT部門調整担当

・脆弱性診断士
脆弱性の診断、評価担当
Copyright © 2021 Japan Network Security Association6

ジョブディスクリプション例① PoC募集
項目記載例

SecBoKのID
NICE（旧版）ID()内は旧ID

ロール名

POC
自組織外・自組織内連絡担当、IT部門調整担当
社外窓口として、JPCERT/CC、NISC、警察、監督官庁、NCA、他CSIRT等との連絡窓
職務内容口となり、情報連携を行う。
（NCA資料より）社内窓口として、IT部門、法務、渉外、広報、各事業部等との連絡窓口となり、情報連携を行う。
コミュニケーションスキル（相手の意図や感情を理解する）
要追加
63(1087)
任用前提知識・スキル 情報を効率的に伝達するための他者とのコミュニケーションに関するスキル
65(1089)（SecBoKの対象）
レポーティングスキル（難しい内容を、読み手に合わせて書き砕く能力）
41(994)
ITSSレベル2程度の基礎的なITリテラシー
コミュニケーションスキル（組織として発信する文書の作成スキル）
要追加
メディアリテラシーに相当するスキル（すべての情報をうのみにしてはいけないとい80(1104)
う批判的視点など）
112(81)
セキュリティマネジメントに関する知識120(89)
自社のセキュリティポリシー、規則、実施方法等に関する知識346(315)
追加教育知識・スキル 企業のインシデントレスポンスプログラム、役割及び責任に関する知識（SecBoKの対象）
ボードメンバーを含むすべてのレベルの管理者とのコミュニケーションを行うスキ75(1099)ル （例：対人関係スキル、アプローチ力、効果的なリスニングスキル、視聴者のためのスタイルと言語の適切な使用など）
209(178)
脆弱性情報の発信源（例：アラート、アドバイザリ、正誤表、報告書）に関する知識
情報収集ならびに情報を生成、報告及び共有するための主要な方法、手順及び879(1055)
技術に関する知識
必要な経験・資格
経験： 業務を通じた顧客・取引先・関係機関等との対話・交渉経験（参考）
資格： なしあると望ましい経験・ 経験： 広報・渉外等部署での業務経験
資格（参考）
資格： 情報セキュリティマネジメント試験
Copyright © 2021 Japan Network Security Association－S0070
なし
なし
－なし
K0276
なし
K0150
S0356
K0040
K0315

7

ジョブディスクリプション例② リサーチャー募集
項目
ロール名

記載例
リサーチャー
情報収集担当職務内容
セキュリティイベント、脅威情報、脆弱性情報、攻撃者のプロファイル情報、国際（NCA資料より）情勢の把握、メディア情報などを収集し、キュレーターに引き渡す。
単独機器の分析は行うが、相関的な分析はしない。
英語で書かれた文書を素早く読解する能力
任用前提知識・スキル 英語で書かれた文書を正確に読解する能力（SecBoKの対象）
基本的なサイバーセキュリティの概念、原則、制限及び効果に関する知識
情報検索の実施に関するスキル
メディアリテラシーに相当するスキル（すべての情報をうのみにしてはいけないという批判的視点など）
レポーティングスキル（難しい内容を、読み手に合わせて書き砕く能力）
脆弱性情報の発信源（例：アラート、アドバイザリ、正誤表、報告書）に関する知識各メディアの特性に関する知識（情報発信の素早さ、正確さ、スタンス、信ぴょう性など）
追加教育知識・スキル チャット/バディリスト、新興の技術、VOIP、IP経由のメディア、VPN、VSAT /ワイヤレス、ウェ
ブメール、クッキーのためのコレクション検索/分析技術及びツールに関する知識（SecBoKの対象）

必要な経験・資格（参考）あると望ましい経験・資格（参考）

国家間の関係に関する知識（歴史、政治、地理、経済、軍事、文化、宗教など）
エラー、例外、アプリケーションの障害を記録できるアプリケーションとロギングに関する知識
サイバー環境の脅威と脆弱性に関する知識
ネットワーク層における一般的な攻撃手法に関する知識
経験： 英文のウェブサイトや文献を機械翻訳に頼らずに読解した経験
資格： なし
経験： ネットワークログやアクセスログの分析経験
資格： CEH（Certified Ethical Hacker）、 認定ネットワークディフェンダー（CND）
Copyright © 2021 Japan Network Security Association

SecBoKのID NICE（旧版）ID67(1091)
68(1092)
49(42)
29(29)

なし
なし
K0435
S0011

80(1104)

なし65(1089)
209(178)434(403)

なし
K0040
なし

644(613)

K0388

435(404)なし

258(237)K0229

376(345)385(354)

K0005
K0160

8

ジョブディスクリプション例 ③脆弱性診断士募集
項目
ロール名
職務内容
（NCA資料より）

記載例

SecBoKのID NICE（旧版）ID

脆弱性診断士
脆弱性の診断、評価担当
OS、ネットワーク、ミドルウェア、アプリケーションが安全かどうかの検査を行い、診断結果の評価を行う。
41(994)208(177)
193(162)210(179)385(354)

なし
なし
K0062
K0342
K0160

レポーティングスキル（難しい内容を、読み手に合わせて書き砕く能力）

65(1089)

なし

コミュニケーションスキル（わかりやすくプレゼンテーションできる）

要追加－

評価結果と検出事項を含む最終的なセキュリティ評価報告書を作成する能力

166(135)

A0156

926(808)
48(41)
384(353)

K0029
K0335K0151

209(178)K0040

213(182)

K0013

ITSSレベル2程度の基礎的なITリテラシー
脆弱性診断に関する基礎知識
任用前提知識・スキル
パケットレベル解析に関する知識（SecBoKの対象）
ペネトレーションテストの原理、ツール及び技術に関する知識
ネットワーク層における一般的な攻撃手法に関する知識

追加教育知識・スキル 組織のLAN/WANの接続に関する知識
現在及び新興のサイバーセキュリティ技術に関する知識（SecBoKの対象）
現在及び新興の脅威/攻撃手法に関する知識

必要な経験・資格（参考）

脆弱性情報の発信源（例：アラート、アドバイザリ、正誤表、報告書）に関する知識
サイバー防衛と脆弱性評価ツール及びその能力に関する知識
経験： ユーザー側でのIT利用経験
資格： なしあると望ましい経験・資格（参考）経験： セキュリティツールの利用経験
資格： SecuriST/認定脆弱性診断士
Copyright © 2021 Japan Network Security Association

9

４．グローバル標準との連携
NIST SP800-181rev.1（NICE Framework）◼ 正式名： Workforce Framework for Cybersecurity◼ 組織のサイバーセキュリティ業務を記述するための『共通言語』として、業務と学習者に求められるものを定義◼ 2017年に公表したものの改訂版（2020年11月16日）⚫ 公的機関と民間の双方のニーズに応えるために柔軟性を向上➢ 「コンピテンシー」（＝日本で一般で受け入れられている「行動特性」的な意味ではなく、組織で求められる能力的な概念）を導入➢ スキルの構造要素を「知識（K）」「スキル（S）」「能力（A）」の組合せから、「知識（K）」「スキル（S）」のみの構造に見直し⚫ サイバーセキュリティ分野の変化に対応➢ 変化に迅速に対応できるよう、フレームワーク本体から、知識・スキル・コンピ
テンシー・ロール等のリストを分離（SP800-181本体は12ページ）➢ 分離したリストの更新版については2021年以降に公表予定

SecBoKでは、分離したリストの更新が公開された後、連携の方向を検討予定
Copyright © 2021 Japan Network Security Association10

参考：各ロールとの適合度の例（１）「保有スキル」列に、自身の保有しているスキルに●を入力すると、各ロールに対応するポイントが算出される。その結果のロール別対応ポイン
トを棒グラフ化した例が次ページになる。
Copyright © 2021 Japan Network Security Association

11参考：各ロールとの適合度の例（２）

この例では、この人材は脆弱性診断士に求められるスキルに適合しており、セルフアセスメントや情報セキュリティ監査人が続いていることがわかる。
Copyright © 2021 Japan Network Security Association

12参考：大学シラバスとの連携例（１）
各授業とSecBoK項目とのマッピング
大学各授業*J17とは、世界標準である米国IEEE/ACMのCC2001-CC2005を土台として、日本の情報専
門教育の状況に対応した見直しを行い、まとめたカリキュラム標準。
＜ロール毎の必須知識・スキル＞＜知識・スキルのレベル＞

K0055 旧NICEと同一 00基礎

55

K0061

66

旧NICEに類似
K0108
00基礎項あり

77K0109

旧NICEに類似
00基礎項あり2計算機・通信工学

88K0113

旧NICEとほぼ
00基礎同一2計算機・通信工学

99K0114

旧NICEとほぼ00基礎
同一

2計算機・通信工学

1010K0138

旧NICEに類似
00基礎項あり

1111K0395

旧NICEとほぼ00基礎
同一

2計算機・通信工学
2計算機・通信工学

1212K0491

新規

00基礎

1313K0516

新規

00基礎

1414K0555

新規

00基礎

1515K0556

新規

00基礎

旧NICEとほぼ00基礎
同一

2計算機・通信工学
2計算機・通信工学
2計算機・通信工学
2計算機・通信工学●●

L マンマシンインタラクションの原理に関する知識●

L マイクロプロセッサに関する知識●

ネットワーク上でトラフィックがどのように流れるか（例： TCP/IP、OSI、ITIL現行版）に関する知識通信メディアの基本概念、用語及び幅広い範囲での運用に関する知識（コンL
ピュータと電話のネットワーク、衛星、ファイバ、無線）
多様な構成要素と周辺機器の機能を含む、物理的なコンピュータの構成要素とアーキテクチャに関する知識（例：CPU、ネットワークインターフェースカード、データス
Lトレージ）の機能を含む、物理的なコンピュータコンポーネントとアーキテクチャに関する知識
さまざまな種類のネットワーク通信に関する知識（例：LAN、WAN、MAN、W​​LAN、
L
WWAN）
電子デバイスに関する知識（例：コンピュータシステム/コンポーネント、アクセス制御デバイス、デジタルカメラ、デジタルスキャナ、電子オーガナイザ、ハードドライブ、メモL リカード、モデム、ネットワークコンポーネント、ネットワークアプライアンス、ネットワーク
ホームコントロールデバイス、プリンタ、リムーバブルストレージデバイス、電話機、複写機、ファクシミリなど）

●

●

L

●
●

L Wi-Fiに関する知識●

コンピュータネットワークの基礎に関する知識（ネットワークの基本的なコンピュータコンポーネント、ネットワークの種類など）
ネットワークとインターネット通信に関する知識（すなわち、デバイス、デバイス構
成、ハードウェア、ソフトウェア、アプリケーション、ポート/プロトコル、アドレッシング、L
ネットワークアーキテクチャとインフラストラクチャ、ルーティング、オペレーティングシステ
ムなど）
ハブ、スイッチ、ルータ、ファイアウォールなどを含む物理的および論理的なネットL
ワークデバイスおよびインフラストラクチャに関する知識●

L TCP/IPネットワーキングプロトコルに関する知識●

L 通信の基礎に関する知識

●

L

●
●

この例では、赤枠内は大学の各授業である。その授業内で学べる内容をSecBoKスキル項目とマッピングしている。これによりシラバス作成の際にも、各授業で学べるスキルを明確にすることができる。またSecBoKは、情報系大学のカリキュラム標準である「情報セキュリティ（J17-CyberSecurity）」と連携して
Copyright © 2021 Japan Network Security Association
13
いるためカリキュラム標準に沿ったシラバス作成が可能となる。

プロジェクトマネジメント

K0036 旧NICEと同一 00基礎

4

コンピュータアーキテクチャ（例：回路基板、プロセッサ、チップ及びコンピュータハードウェア）に適用される電気工学に関する知識

著作権・プライバシー保護

3

4

L

セキュリティマネジメント

3

2計算機・通信工学
2計算機・通信工学
2計算機・通信工学
2計算機・通信工学
2計算機・通信工学

リスクマネジメント

2インシデント対応

2

小項目

L 数学に関する知識（例：対数、三角法、線形代数、微積分、統計、操作解析）

コンピュータフォレンジック

1レベル

ネットワークセキュリティ

1数物情報学

1

中項目

Web構築

旧NICEに類似00基礎項あり
旧NICEに類似
K0030
00基礎
項あり

K0052

大項目

認証とアクセス制御分野

ペンディング（情報収集・インテリジェンスに関するもの。今回はレベル付けの対象外）

プログラミング演習基礎

新旧別P

オペレーティングシステム

KSA
旧2019ID -ID

高（経験10年以上または高度な研修受講を前提とする専門実務経験者または「突出した人材」なら対応可能）

データベース論

2021ID

H

情報数学

参考スキル（職務遂行に際して必須ではないが、あると望ましい知識・スキル）※「前提スキル」と「必須スキル」の関係
前提スキルを有する人材を確保し、必須スキルに関する教育・トレーニングを行うと、当該職務を担うことができる人材となる

情報セキュリティ概論

L 低（概ね経験３年未満でも対応可能）
M 中（経験３年以上または関連する演習・トレーニング受講者なら対応可能）

必須スキル（職務遂行の実施に際して必要となる知識・スキル）

コンピュータネットワーク

前提スキル（職務遂行の前提として有しておくべき知識・スキル）

コンピュータアーキテクチャ

1
2
0.5

参考：大学シラバスとの連携例（２）
各授業とSecBoK役割（ロール）とのマッピング

CISOPOC

ノーティフィケーション

コマンダー、トリアージ

インシデントマネージャー、インシデントハンドラー

キュレーター

リサーチャー

セルフアセスメント・
ソリューションアナリスト

脆弱性診断士

教育・啓発

フォレンジックエンジニア

インベスティゲーター

リーガルアドバイザー

ＩＴ企画部門ITシステム部門

情報セキュリティ監査人

SecBoK役割

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

大学各授業
授業
情報数学
コンピュータアーキテクチャ

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

データベース論
コンピュータネットワーク
情報セキュリティ概論

●

●

●

オペレーティングシステム
プログラミン演習基礎●

認証とアクセス制御

●
●

●

●

●

●
●

●

●

●

●

●

●

●

●

●

●
●

●

Web構築

●

ネットワークセキュリティ

●

●●

●

●

●

●

●

●

コンピュータフォレンジック
インシデント対応

●

●

●

●

●

リスクマネジメント

●

●

●

●

●

セキュリティマネジメント

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

●

著作権・プライバシー保護
プロジェクトマネジメント

●

●

●

●

●

●
●

●

●

この例では、赤枠内は大学の各授業である。その授業内で学べる内容とSecBoK各役割（ロール）とマッピングしている（青枠）。これにより、授業内容作成の際に、どんな人材育成を目標にしているかを明確にすることができる。また、学生側も自身の目指す人材像を意識して必要なスキルを学べる授業
Copyright © 2021 Japan Network Security Association
14の履修を選択することが可能となる。

Copyright © 2018 Japan Network Security Association15