脆弱性診断におけるIPAとは？

IPAについて

IPAとは「独立行政法人 情報処理推進機構」の略称です。絶え間なく進化するIT社会の潮流や技術動向を拾い視野で捉え、社会課題の解決や産業の発展につながる指針を示していく役割を担っています。また、情報セキュリティ対策の強化や優れたIT人材を育成するための活動に取り組み、安全で利便性の高い「頼れるIT社会」の実現を目指している団体です。様々な書籍や刊行物の掲載を行っており、「中小企業の情報セキュリティ対策ガイドライン」も公開しています。

IPAが提供している脆弱性診断ツール

「脆弱性対策関連情報」を提供しており、脆弱性のリスクと対策について情報発信しています。「共通セキュリティ設定一覧CCE概説」「共通プラットフォーム一覧CPE概説」「共通脆弱性識別子CVE概説」などの解説も公開しています。

「脆弱性体験学習ツール AppGoat」は、脆弱性の概要や対策など、基礎的な知識を実習形式で学べるツールです。活用することで自社の開発者のセキュリティスキル向上につなげられます。

IPAがセキュリティ対策で担う役割

脆弱性診断チェックリストの公開

IPAは脆弱性診断におけるチェックリストを公開しています。セキュリティの強化をしたいけれど、具体的な方法が分からない企業のセキュリティ対策の情報源です。IPAのチェックリストを基準に脆弱性診断サービスを提供しているベンダーも多数あり、専門的なサービスに活用されていることから、高い信頼性があるツールと言えます。

サイバー攻撃やセキュリティ対策の情報発信

サイバー攻撃情報やセキュリティ対策情報の発信、注意喚起も行っています。世界中で毎日サイバー攻撃は起きています。その実態を正確に把握し、対策を講じることに役立てられる情報です。セキュリティの担当者はもちろん、すべての従業員がサイバー攻撃やセキュリティの重要性を認識するためにも、IPAの情報発信を積極的に活用するといいでしょう。

情報セキュリティ関連の試験を実施

情報セキュリティ関連の試験も実施しています。「情報処理技術者試験」「情報処理安全確保支援士試験」を実施。セキュリティに関して高いスキルをもつ人材を認定しています。また、「情報処理技術者試験」の新しい区分として「情報セキュリティマネジメント試験」が実施されています。IPAの資格を持つ人材は高い能力を有していると、客観的に判断しやすいです。脆弱性診断を依頼する際に、有資格者が在籍しているかはベンダー選びのひとつの判断材料になります。

情報セキュリティサービス基準
適合サービスリストとは

IPAでは、経済産業省が策定した「情報セキュリティサービス基準」に適合する情報セキュリティサービスの提供状況について調査を行っています。情報セキュリティサービスを利用しようとする場合の参考資料として、調査の結果を公開しています。それが「情報セキュリティサービス基準適合サービスリスト」です。情報セキュリティサービス基準適合サービスリストは、「情報セキュリティサービス基準」に適合していると認められ、各機関の登録台帳に登録された上で「誓約書」をIPAに提出した事業者が掲載されています。

リストに登録されている企業に依頼するメリット

IPAの診断基準は高い信頼性があり、セキュリティ向上の目安として機能しています。分かりやすい基準として、脆弱性診断サービスを提供する企業でも積極的に取り入れられていることからも、IPAの診断基準をクリアすることが、セキュリティのひとつの目標です。「情報セキュリティサービス基準適合サービスリスト」に掲載されている事業者は、その基準をクリアしています。セキュリティレベルに信頼性があると言えるため、ベンダー選定時には、リストに登録されている企業から選ぶと安心です。

脆弱性診断（セキュリティ診断）とは？
目的や必要性について詳しく見る