さめじんSOC、CSIRT、JPCERT/CC…略語を「役割」と「対象」で整理しよう。
情報処理安全確保支援士の学習に出てくる組織・活動、情報共有、評価制度、検査手法をまとめます。名前だけを覚えるのではなく、場面に当てはめて違いを確認してください。
本文と自作図は学習用の要約です。2026年10月27日に確認した公式案内を各節へ付け、旧制度や過去の呼称は現在の状況と分けています。過去問では設問が指定する年度・版も確認しましょう。
なぜ「セキュリティ組織」はごちゃごちゃになるのか？
名前が似ていても、誰を対象に、何をするかは違います。「監視・分析」「インシデント対応」「組織間の調整」「情報共有」を先に分け、制度や規格は「組織」「製品」「暗号モジュール」など評価対象から整理しましょう。
最初に、役割と対象を分けよう同じ図の中にあるからといって、上下関係や同じ制度であるとは限りません。
情報セキュリティ｜組織・機関
さめじんまずは、監視する役割と対応を進める役割を区別しよう。実際の担当範囲は、組織や契約によって重なることもあるよ。
情報セキュリティ委員会
組織の情報セキュリティ方針や重要な対策を検討・承認し、関係部署の調整を行う体制の例です。CISOはChief Information Security Officerの略で、情報セキュリティの責任を担う役職を指します。
方針を決め、実行を支える委員会の構成やCISOとの関係は組織ごとに定めます。「必ず経営層だけで構成」と固定しないようにします。
SOC(セキュリティオペレーションセンター)
SOC（Security Operation Center、Security Operations Centerとも表記）は、ログや通信などからセキュリティ上の異常を監視・分析する機能や組織です。外部サービス事業者だけでなく、自組織内に設ける場合もあります。
SOCとCSIRT：まず覚える違い厳密な境界は一律ではありません。組織の体制や契約で担当範囲を確認します。
参照：ISOG-J「セキュリティ対応組織の教科書」第3.1版、6.1節
IPAセキュリティセンター
IPAのセキュリティに関する活動では、相談、脆弱性関連情報の届出受付、対策情報の提供などが行われています。
早期警戒パートナーシップの役割脆弱性の届出、ウイルス・不正アクセスの届出、一般の相談は同一の窓口ではありません。対象に合う公式案内を確認します。
CSIRT
CSIRTはComputer Security Incident Response Teamの略です。インシデントを受け付け、状況や影響を確認し、対応・復旧・再発防止に向けた調整などを行います。日常的な準備や情報共有も重要で、原因解析だけをする組織ではありません。
対応を、関係者につなぐコーディネーションセンター
複数の組織が関わるインシデントについて、連絡や情報共有を調整する機能です。JPCERT/CCは日本における調整機関の例であり、国内外のCSIRTなどと連携します。
組織内CSIRT
自組織をサービス対象として、インシデント対応を進めるCSIRTです。技術担当だけで完結せず、業務、法務、広報、経営などとの連絡手順も定めます。
国際連携CSIRT
国・地域を越えたインシデントに対応するための連携という観点です。各国のNational CSIRTや、FIRST・APCERTなどのコミュニティを通じた協力があります。全てが「組織内CSIRTの代表」という同じ組織構造を持つわけではありません。
組織内対応と、組織間調整を区別ISAC
ISACはInformation Sharing and Analysis Centerの略です。業界や分野などで、脅威や対策の情報を共有・分析するための組織・活動です。共有された情報は、自組織への影響や必要な対策を考える材料にします。
共有した情報を、自組織の対策へ共有先、機微な情報の扱い、再配布の条件を確認します。
J-CRAT(サイバーレスキュー隊)
J-CRATはCyber Rescue and Advice Team against targeted attack of Japanの略です。IPAによる、標的型サイバー攻撃の被害低減や攻撃の連鎖の遮断を支援する活動です。一般的な監視サービスの名称とは区別します。
標的型攻撃への相談・支援NOTICE
NOTICEはNational Operation Towards IoT Clean Environmentの略です。総務省、NICT、ISPなどが連携し、サイバー攻撃に悪用されるおそれのあるIoT機器を調べ、利用者への注意喚起や対処につなげる取組です。単に英単語の「通知」を指すわけではありません。
IoT機器の調査から注意喚起へNICTの公開説明では、2024年度から調査対象を拡充しています。弱いパスワードだけの取組と限定しないでください。
参照：NICT：NOTICEとナショナルサイバーオブザベーションセンター
NICTER
NICTERは、無差別型サイバー攻撃の動向を把握するための観測・分析システムです。未使用のIPアドレス空間であるダークネットに届く通信などを分析します。
観測するNICTER／対処につなぐNOTICEダークネットは、ここでは未使用のIPアドレスを指します。匿名のWebサイト群という意味ではありません。
セキュリティ情報共有技術・データベース
番号・分類・点数は別の情報識別子や点数を一つ見ただけで、自組織の優先順位が決まるわけではありません。
OWASP
OWASPは、アプリケーションのセキュリティ向上を目的とする非営利の活動・コミュニティです。公開資料は目的が異なり、「重要なリスクを知る資料」と「検証要件を決める標準」を分けて使います。
OWASP Top 10
Webアプリケーションの重要なセキュリティリスクを、カテゴリとして整理する啓発資料です。「具体的な脆弱性を10件だけ挙げた一覧」ではありません。2026年10月27日に、公式でTop 10:2025を確認しました。
Top 10とASVSの使い分けZAP（旧称：OWASP ZAP）
ZAPはZed Attack Proxyの略で、Webアプリケーションのセキュリティテストに利用されるオープンソースのツールです。2023年8月以降はOWASPプロジェクトではなく、公式は「ZAP」または「ZAP by Checkmarx」と案内しています。過去の教材での呼称と現在の名称を区別しましょう。
参照：ZAP公式：現在の名称
OWASP ASVS
ASVSはApplication Security Verification Standardの略です。WebアプリケーションやWebサービスの設計、開発、テストで使うセキュリティ要件を整理します。2026年10月27日に、公式公開の安定版5.0.0（2025年5月30日公開）を確認しました。
参照：OWASP ASVS公式
脆弱性データベース(JVN)
JVN（Japan Vulnerability Notes）は、日本で利用されるソフトウェアなどの脆弱性と対策の情報を提供するポータルです。IPAとJPCERT/CCが共同運営しています。
情報を読んだら、対象を照合記事の点数だけでなく、対象版と開発元の最新案内も確認します。
参照：JVNとは
CRYPTREC
CRYPTRECはCryptography Research and Evaluation Committeesの略です。電子政府で利用される暗号技術の評価などを行う活動で、暗号リストは次の3種類に分かれます。2026年10月27日に公式ページが示す2026年3月30日更新版を確認しました。
3つの暗号リストを区別リスト掲載だけで全ての鍵長・実装・運用が安全という意味ではありません。
電子政府推奨暗号リスト
安全性や実装性能の評価を踏まえて、電子政府の調達などで参照する推奨暗号のリストです。利用時はアルゴリズムだけでなく、鍵長の条件や運用期間も確認します。
推奨候補暗号リスト
安全性・実装性能などが確認された暗号技術のうち、今後の電子政府推奨暗号リストへの掲載候補とするリストです。「既に電子政府推奨」と同じ扱いにはしません。
運用監視暗号リスト
推奨すべき状態ではなくなった暗号技術のうち、互換性維持などのために継続利用を容認するものを整理したリストです。新規採用を積極的に勧めるリストではありません。
サイバー・フィジカル・セキュリティ対策フレームワーク
経済産業省のCPSFは、サイバー空間とフィジカル空間が結び付く産業社会で、サプライチェーン全体のセキュリティ対策を整理する枠組みです。
つながりを分けて、リスクを捉える学習用の要約です。実務で使う場合は、公式のフレームワークと分野別の資料を確認します。
情報セキュリティ｜認証
何を評価するかで整理SCAP・CWE・PCI DSSは、それぞれ技術仕様・弱点の分類・セキュリティ標準です。同じ「認証制度」として一括りにしません。
ISMS適合性評価制度
組織のISMSが、JIS Q 27001（ISO/IEC 27001）などの認証基準に適合するかを第三者が審査する制度です。組織を認証することと、認証機関の能力を認定することは別です。
認証と認定を混同しない「要因認証」ではなく「要員認証」です。組織の認証範囲も確認します。
CSMS適合性評価制度
CSMSはCyber Security Management Systemの略です。従来のCSMS適合性評価制度は、産業用オートメーション・制御システムに関するセキュリティ管理を対象にしていました。
旧制度と現在の案内を分けるこれはIEC 62443シリーズ全体の廃止を意味しません。現行の認証や規格を調べるときは、対象・規格版・実施機関を個別に確認します。
ISO/IEC 15408
IT製品などのセキュリティ機能と、その確実性を評価するための基準です。CC（Common Criteria）とも呼ばれます。評価対象はTOE（Target of Evaluation）と表記されます。
STとEALは、役割が違うEALが大きければ、用途や前提の異なる全ての製品より安全という意味ではありません。機能・運用条件・評価範囲と併せて読みます。
SCAP
SCAPはSecurity Content Automation Protocolの略で、セキュリティ状態の確認などを標準化・自動化するためにNISTが整備する技術仕様です。構成や参照仕様は版によって変わるため、「常に6個だけ」と固定しません。NISTの公開ページにはSCAP 1.4を含む版別の案内があります。
関連する仕様・情報の役割関連用語の整理例で、現行SCAPの構成仕様を網羅する表ではありません。
CPEはCommon Platform Enumeration、OVALはOpen Vulnerability and Assessment Languageです。CVE IDはCNA（CVE Numbering Authority）など、CVEプログラムで認められた組織が割り当てます。「全てをMITREだけが採番」としないようにします。
CVSSはCommon Vulnerability Scoring Systemです。v3系の基本・現状・環境という整理を、全ての版へ一律に当てはめないでください。v4.0にはBase、Threat、Environmental、Supplementalのグループがあり、Supplementalは最終スコアを変えません。
参照：NIST：SCAP仕様
CWE
CWE（Common Weakness Enumeration）は、ソフトウェアやハードウェアの弱点を分類するための一覧です。個別製品の具体的な脆弱性を識別するCVEとは対象が異なります。
「何の弱点か」と「どの脆弱性か」PCI DSS
PCI DSSはPayment Card Industry Data Security Standardの略です。カード会員データなどを保護するセキュリティ標準であり、学習では評価対象と12の主な要求事項の役割を押さえます。2026年10月27日、PCI SSCの公式ライブラリでv4.0.1の掲載を確認しました。
PCI DSS v4.0.1：12要件の学習用要約要件8は要件7の繰返しではなく、利用者の識別と認証です。これは要約であり、適合判断に必要な全ての条件や試験手順ではありません。
過去問を読むときは設問の対象版を確認し、実務では対象範囲、詳細要件、適用日などを公式文書で確認してください。
JISEC(ITセキュリティ評価および認証制度)
JISECはJapan Information Technology Security Evaluation and Certification Schemeの略です。ISO/IEC 15408などに基づき、IT製品のセキュリティ機能の適切性・確実性を評価し、その結果を認証する日本の制度です。
評価と認証を分ける製品が、条件を問わず絶対に安全だと保証する制度ではありません。
参照：IPA：JISEC
JCMVP(暗号モジュール試験および認証制度)
JCMVPはJapan Cryptographic Module Validation Programの略です。暗号機能を実装したハードウェアやソフトウェアなどの暗号モジュールを対象とする、試験・認証の制度です。
暗号アルゴリズムと実装を区別暗号名が同じでも、実装や運用条件は別に確かめます。
参照：IPA：JCMVP
情報セキュリティ対策ベンチマーク
自組織の対策状況を自己評価し、望まれる水準や他組織との比較から課題を探すためのツールです。第三者の審査による認証制度とは区別します。
自己評価は、改善の入口従来の診断用URLは、2026年10月27日の確認でIPAの教材・ツール一覧へ転送されました。現在利用できる診断の説明や提供方法は、IPA公式の教材・ツール案内から確認してください。
情報セキュリティ｜脆弱性検査
検査は、何を確かめるかで選ぶどの手法でも、実施前に対象・範囲・権限・影響・連絡方法を定めます。
ファジング
細工した様々な入力を与え、異常な動作、停止などの挙動を調べるテストです。バグや未知の脆弱性を見つける手掛かりになりますが、異常が出なかったことだけで脆弱性がないとは判断できません。
参照：IPA：ファジングFAQ
ペネトレーションテスト
許可された範囲で攻撃者の行動を模擬し、侵入や目的達成の可能性などを検証するテストです。個別の弱点を列挙する診断とは、目的や進め方が異なる場合があります。
実施の承認、対象、禁止事項、停止条件、影響が出た場合の連絡先を事前に合意します。教材の説明を読んだことは、他者のシステムを検査する許可にはなりません。
ポートスキャナ
対象ホストのポートの応答などを調べるツールです。対象はWebサーバに限りません。開いているポートや、フィルタリングの状態などは、観測する位置や方法によっても変わります。
サービス識別やOS推定、スクリプト検査などはツールの追加機能です。ポートが開いているだけで脆弱性がある、または閉じていれば安全、と決めつけないようにしましょう。
参照：Nmap公式：Port Scanning Basics
最後の一言
さめじん組織は「誰に何をするか」、規格や制度は「何を評価するか」を自分の言葉で説明してみよう。曖昧な用語は公式資料に戻り、過去問の条件に当てはめて確認してね。
ほかの論点は解説記事一覧、演習は過去問記事一覧から確認できます。説明の補足や演習を増やしたい場合は、以下の教材や参考書比較を検討してください。
さめじん参考書や問題集は、対象年度・説明の詳しさ・演習量を比較して選ぼう。
