「ISACAのサイバー資格CSXとCISM資格について」

講演者 *ISACA 東京支部 副会長 坂川克己*

ISACA 情報セキュリティマネジャーカンファ
レンス(2016.4.02) 限定資料

1目次

1. CSX (Cyber Security neXus), Cyber Security Framework, CISM ,キャリアパスとの関係
2. Cyber Security Frameworkについて（NIST版を例示）
3. 実務的に焦点が当たっている事(2014 Nov, Las Vegas conference から）

ISACA 情報セキュリティマネジャーカンファ
レンス(2016.4.02) 限定資料

2

1．CSX (Cyber Security neXus), Cyber Security Framework, CISM ,キャリアパスとの関係

CSX とは。
・CSX(*) とは、ISACAが提唱するCyber securityに関わるプロフェショナルの育成と資格認定の体系となります。
・同時に標準キャリアパスとの整合性を持たせています。
標準キャリアパスは、SFIA (*)が提唱するスキル標準レベルと整合しています。
・高等学校教育のカリキュラム標準となるシラバスを提案しています。
(*) CSX (Cyber Security neXus)
SFIA (Skills Framework for the Information Age)ISACA 情報セキュリティマネジャーカンファ
レンス(2016.4.02) 限定資料

3

CSX キャリア ・パス
Level -7 : 業界において屈指の実力
Level -6 :知識や経験を背景に多くの実績

Level -5 :～資格
Level -4 :フレームワーク～
Level -3 :前提知識や入門的な資格を保有

Level -2
ISACA 情報セキュリティマネジャーカンファ
Level -1
レンス(2016.4.02) 限定資料

4

Skills Framework for the Information Age 第6版
SFIA（Skills Framework for the Information Age: 情報化時代のためのスキルのフレームワーク）では、情報通信技術関連の責任において専門家が必要とするスキルについて説明している。
http://www.sfia-online.org/ja/reference-guide/SFIA6-reference
各スキルは、スキルが使用される最大7つの各レベルの定義の概要と説明で構成されている。これらの説明は、スキルとレベルの組合せによって、各スキルを使用するコンピテンシーレベルがどのように決定されるかの詳細に関する参考情報を提供する。

http://www.sfia-online.org/en© Copyright SFIA Foundation Ltd 2003–2014.SFIAの商標は世界35ヶ国以上で保護されています。
SFIA Foundation Ltd.は保証有限会社です。イングランドでの登記番号は04770377です。
登録所在地：5 Fleet Place London EC4M 7RD, UK

ISACA 情報セキュリティマネジャーカンファレンス(2016.4.02) 限定資料

5

CSX 資格の４区分
CSX
Fundamentals
Certificate

Exam
Availability

Available by accessing
the Cybersecurity
Fundamentals
Certificate Exam fromthe ISACA website

Requirements Knowledge basedcertificate for thosewant to obtainknowledge.

Certification
CSXPractitioner

CSXSpecialistCSXExpert

From August 2015

To Be Determined

To Be Determined-Passage-Holda CSX Practitioner orof CSX Practitioner a CSX Expert
certification
examinationin good standing-Compliance-Passagewith ISACA’sof a CSX Specialty
Code of Professional examination(s)-Compliance
Ethicswith ISACA’s
Code of Professional-Compliance
Ethicswith ISACA’s-Compliance
CSX CPE Policy is with ISACA’s
CSX CPE Policy isrequiredrequiredto maintainto maintain certification-Passageof CSX Expert
examination-Compliancewith ISACA’sCode of Professional
Ethics-Compliancewith ISACA’s
CSX CPE Policy isrequired
to maintain certification

certification

ISACA 情報セキュリティマネジャーカンファレンス(2016.4.02) 限定資料

6

CSX Fundamentals Certificate

Certification
CSX Practitioner
CSX Specialist

CSX Expert

Exam Availability

Available by accessing theFrom August 2015
Cybersecurity Fundamentals
Certificate Exam from the ISACA
websiteTo Be Determined

To Be Determined

Requirements

Knowledge based certificate forthose want to obtain knowledge.

-Passageof CSX Practitioner
examination-Compliancewith ISACA’s
Code of Professional Ethics-Compliancewith ISACA’s
CSX CPE Policy is required
to maintain certification-Holda CSX Practitioner ora CSX Expert certificationin good standing-Passageof a CSX Specialty
examination(s)-Compliancewith ISACA’s
Code of Professional Ethics-Compliancewith ISACA’s
CSX CPE Policy is required
to maintain certification-Passageof CSX Expert
examination-Compliancewith ISACA’s
Code of ProfessionalEthics-Compliancewith ISACA’s
CSX CPE Policy isrequired
to maintain certification

DomainPercentage

Domain1-Cybersecurity
Concepts (10%)
Domain2-Cybersecurity
Architecture Principles (20%)
Domain3-Network, System,
Application, & Data (40%)
Domain4-Incudent Response(20%)
Domain5-Security of Evolving
Technology (10%)

Domain 1-Identify (13-15%) To be determined
Domain 2-Protect (33-37%)
Domain 3-Detect (21-25%)
Domain 4-Respond (1618%)
Domain 5-Recover (1012%)

To be determined

Type/Length ofExam

Given 2 hours(120 minutes) to complete thecomputerbased exam and 75
multiple-choice questions, thepassing score is 65%.

The exam is acomputerbased
exam delivered at a
Prometric testing center(*).
Four hours seat time isscheduled.

The exam is acomputerbased
exam delivered at a
Prometric testing center.
Four hours seat time isscheduled.

Language

EnglishThe exam is acomputerbased
exam delivered at a
Prometric testing center.
Four hours seat time isscheduled.

ISACA 情報セキュリティマネジャーカンファレンス(2016.4.02)
限定資料 English
EnglishEnglish7まず、知識ベースの ”Cybersecurity Fundamentals Certificate” がエントリーレベルの資格となります。この資格は、• the National Institute of Standards and Technology (NIST),
http://www.nist.gov/cyberframework/upload/cybersecurity-framework-021214.pdf• National Initiative for Cybersecurity Education (NICE),
http://csrc.nist.gov/nice/documents/nicestratplan/nice-strategic-plan_sep2012.pdfという世界レベルの知識体系との互換性を維持しながら開発されています。また、• The Skills Framework for the Information Age (SFIA) という英国に本部を持つスキルフレームワークにも準拠しています。
・UK’s cyber security skills (参考）https://www.gov.uk/government/uploads/system/uploads/attachment_data/file/289806/bis14-647-cyber-security-skills-business-perspectives-and-governments-next-steps.pdf

キャリアパス図からも読み取れる様に、上位の資格を目指すためには、まずエントリーレベルの”Cybersecurity Fundamentals Certificate” に合格する必要があります。
前表に概要を一覧します。(*) Prometric testing center での受験地は、2015年8月時点で東京と大阪でも受験可能となっています。

現在、試験やトレーニングは英語のみでの提供になりますが、セキュリティ運用やCSIRT要員にとって大変実行力のある資格ですので、是非ご検討下さい。
日本語のマニュアル、トレーニング、試験の提供時期は未定ですが、現在本部で検討中です。下記に主なCSXの関連情報のリンクを載せます。(P.15参照）
ISACA 情報セキュリティマネジャーカンファ
レンス(2016.4.02) 限定資料

8

2. Cyber Security Frameworkについて（NIST版を例示）
Cyber Security Framework って何？。

この５つのエリア、観たことありますよね。

ISACA 情報セキュリティマネジャーカンファ
レンス(2016.4.02) 限定資料

9

＜参考:NISTの説明＞
はじめに
2001年9月11日のテロ以降、米国政府のセキュリティに関する取組は大きく変わったと言われています。 米国NIST（国立標準技術研究所: National Institute of Standards and Technology）では、情報セキュリティに関する様々な規格、標準、ガイドラインを策定していますが、 その背景も9.11前と9.11後では大きな変化が見られます。
NISTの活動に大きな変化をもたらした法律は、FISMA（フィスマ）という法律です。 この法律では、連邦政府機関が情報セキュリティを強化することを義務付け、NISTに対しては、そのための規格やガイドラインの開発を義務付けています。
(注)FISMA：Federal Information Security Management Act of 2002（連邦情報セキュリティマネジメント法)
米国では、このように、情報セキュリティ対策の実施を法律で義務付けています。 この法律の対象となるのは、連邦政府機関や、連邦政府機関より業務委託を受けている民間の外部委託先です。
NISTでは、FISMAの規定を受けて、「FISMA導入プロジェクト （The FISMA Implementation Project）」 を立ち上げ、FISMAリスクマネジメントフレームワークという、 情報セキュリティを継続的に改善・向上させる枠組みや多くの規格、ガイドラインを開発しました。
これらNISTの文書群は、その内容を見ると、政府機関だけではなく、企業の経営者、セキュリティ担当者などが、自組織の情報セキュリティ対策を向上させるために役立つ資料と言えます。
FISMAの規定
2002年12月に制定された「電子政府法」のタイトルIII 「連邦情報セキュリティマネジメント法（FISMA）」 は、各連邦政府機関に対して、情報および情報システムのセキュリティを強化するためのプログラムを開発、文書化、実践することを義務付けています。 また、同法は、NIST（米国国立標準技術研究所）に対しては、連邦政府がFISMAに準拠するための支援をすることを義務付けています。
（注）FISMAの規定は、各連邦政府機関より業務委託を受けている外部委託先にも適用されます。
https://www.ipa.go.jp/security/publications/nist/fisma.html

ISACA 情報セキュリティマネジャーカンファ
レンス(2016.4.02) 限定資料

10

＜参考： NIST を参照できるサイト、US &日本 ＞

Framework for Improving CriticalInfrastructure Cybersecurity
Version 1.0 National Institute of Standards and Technology February 12, 2014
http://www.nist.gov/cyberframework/upload/cybersecurity-framework-021214.pdf

重要インフラのサイバーセキュリティを向上させるためのフレームワーク
1.0 版
米国国立標準技術研究所 (National Institute of Standards and Technology)
2014 年2 月12 日
Copyright © 2014 独立行政法人 情報処理推進機構
https://www.ipa.go.jp/files/000038957.pdf

ISACA 情報セキュリティマネジャーカンファ
レンス(2016.4.02) 限定資料

11NIST Cyber Security Framework 抜粋
FunctionCategory

Subcategory

Information Protection Processes and Procedures(PR.IP):（情報プロテクションのプロセスと手順）
Security policies (that address purpose, scope, roles,
responsibilities, management commitment, andcoordination among organizational entities),
processes, and procedures are maintained and used
to manage protection of information systems andassets.

PROTECT (PR)Informative References

PR.IP-11: Cybersecurity isincluded in human resources
practices (e.g., deprovisioning,personnel screening)（権限が切り離されているかどうか、個々人の権限棚卸など人間系実務などもサイバーセキュリ
ティには含まれる）

Maintenance (PR.MA):(維持管理）
Maintenance and repairs of industrial control andinformation system components is performed
consistent with policies and procedures.

(省略）Protective Technology (PR.PT):（プロテクト技術）
Technical security solutions are managed to ensure
the security and resilience of systems and assets,consistent with related policies, procedures, andagreements.

(省略）

DETECT (DE)(省略）

RESPOND (RS)(省略）

RECOVER (RC)(省略）

ISACA 情報セキュリティマネジャーカンファレンス(2016.4.02) 限定資料

12Function

Category

Subcategory

Informative References• CCS CSC 1
ID.AM-1: Physical devices and• COBIT 5 BAI09.01, BAI09.02
systems within the organization• ISA 62443-2-1:2009 4.2.3.4
are inventoried• ISA 62443-3-3:2013 SR 7.8(組織内の物理的デバイス、シス• ISO/IEC 27001:2013 A.8.1.1, A.8.1.2
テム）• NIST SP 800-53 Rev. 4 CM-8
• CCS CSC 2
ID.AM-2: Software platforms and• COBIT 5 BAI09.01, BAI09.02, BAI09.05
applications within the• ISA 62443-2-1:2009 4.2.3.4
organization are inventoried• ISA 62443-3-3:2013 SR 7.8（組織内のソフトウエア・プラット• ISO/IEC 27001:2013 A.8.1.1, A.8.1.2
フォーム、アプリケーション）• NIST SP 800-53 Rev. 4 CM-8
CP-2 CONTINGENCY PLAN

IDENTIFY(ID)

Asset Management (ID.AM):
Control: The organization:（アセット・マネジメント）
a. Develops a contingency plan for the
The data, personnel, devices,
information system that:systems, and facilities that
PS-7 THIRD-PARTY PERSONNEL
enable the organization toSECURITY
achieve business purposes areControl: The organization:
identified and managed
consistent with their relative
PM-11 MISSION/BUSINESS PROCESS
importance to business
DEFINITION
ID.AM-6: Cybersecurity roles andControl: The organization:
objectives and the• COBIT 5 APO01.02, DSS06.03
responsibilities for the entirea.
Defines mission/business processesorganization’s risk strategy. workforce and third-party• ISA 62443-2-1:2009 4.3.2.3.3
with consideration for information• ISO/IEC 27001:2013 A.6.1.1（データ、人物、デバイス、シス stakeholders (e.g., suppliers,security and the resulting risk to• NIST SP 800-53 Rev. 4 CP-2, PS-7,
customers, partners) areテム、ファシリティ）
organizational operations, organizational
established（全ての作業要素に対するサイバーセキュリティ役割と責任）

PM-11

ISACA 情報セキュリティマネジャーカンファレンス(2016.4.02) 限定資料

assets, individuals, other organizations,and the Nation; and（ミッション・プロセス、ビジネス・プロセスの定義）
b. Determines information protectionneeds arising from the defined
mission/business processes and revises
the processes as necessary, untilachievable protection needs areobtained.
（プロテクトさせる要求や必要性を決定する）

13

Function

Category

Subcategory

Informative References

ID.GV-1: Organizational
information security policy isestablished

IDENTIFY(ID)

PM-9 RISK MANAGEMENTSTRATEGY （リスク管理戦略）
Control: The organization:
Governance (ID.GV):
a. Develops a comprehensive
The policies, procedures, andstrategy to manage risk toprocesses to manage andorganizational operations and assets,monitor the organization’sindividuals, other organizations, andregulatory, legal, risk,
the Nation associated with theenvironmental, and operational• COBIT 5 DSS04.02
operation and use of information
requirements are understood• ISA 62443-2-1:2009 4.2.3.1, 4.2.3.3, systems;
and inform the management of ID.GV-4: Governance and risk 4.2.3.8, 4.2.3.9, 4.2.3.11, 4.3.2.4.3,（国家的枠組みとの連携）
management processes
cybersecurity risk.
4.3.2.6.3
b. Implements the risk management（サイバーセキュリティ・リスクの address cybersecurity risks• NIST SP 800-53 Rev. 4 PM-9, PM- strategy consistently across theマネジメント、ポリシー、手順、プ
11organization; andロセスを使ったマネジメント）（組織横断的なリスク管理戦略）
c. Reviews and updates the risk
management strategy [Assignment:organization-defined frequency] oras required, to address organizationalchanges.
（リスク管理戦略の更新、維持管理）

ISACA 情報セキュリティマネジャーカンファレンス(2016.4.02) 限定資料

14

<参考： １，２ の参考なリンク先 ＞
１ CSX 全体概要 及びFundamental 試験、
http://www.isaca.org/cyber/Pages/Cybersecurity-Fundamentals-Certificate.aspx２）Get Certified (資格試験) 概要案内；
https://cybersecurity.isaca.org/csx-certifications３）CSX-Fundamental資格概要；
https://cybersecurity.isaca.org/csx-certifications/csx-fundamentals-certificate４）CSX-Fundamental 資格試験のExam Guide（本部サイトからダウンロード可能）
http://www.isaca.org/cyber/Documents/CSX-Exam-Guide_bro_Eng_1014.pdf

５）CSX-Fundamental資格試験のオンラインCBT受験申込サイトへのリンク
http://www.isaca.org/cyber/Pages/Cybersecurity-Fundamentals-Certificate.aspx

ISACA 情報セキュリティマネジャーカンファ
レンス(2016.4.02) 限定資料

15

3. 実務的に焦点が当たっている事(2014 Nov, Las Vegas conference から）

当日、スクリーンのみとなります。

ありがとうございました。
ISACA 情報セキュリティマネジャーカンファ
レンス(2016.4.02) 限定資料

16