注意喚起がどこに影響するのか？——情報の集め方・確かめ方・自組織への当てはめ方｜支援士解説1の6

この記事の重要度：Cランク（主に午前II（科目A-2）で問われる論点。午後では問題文の前提として読めれば十分）

この記事で分かること：

• 脆弱性・攻撃の手口・規格の動向を、どの情報源から集め、どう確かめるか

• 注意喚起を、自組織の資産と業務に当てはめる手順

• 脅威インテリジェンス、OSINT、STIX・TAXII、CPSFの要点

シラバスとの対応：小項目1-6「情報セキュリティに関する動向・事例の収集と分析」。攻撃のモデル（サイバーキルチェーン、ATT&CK）は支援士解説3の2、脆弱性の評価（CVSS・EPSS・KEV）は支援士解説3の6、IoCを使ったログの分析は支援士解説3の4で扱います。

「重大な脆弱性が公表されました」という注意喚起を受け取ったとき、最初に考えるべきことは何でしょうか。脆弱性の深刻さを調べることも大切ですが、その前に「自分たちはその製品を、どの版で、どこで使っているか」が分からなければ、何も判断できません。

午後の試験では、情報の収集そのものが大問の主題になることは多くありません。一方、問題文には「ISACから情報提供を受けた」「セキュリティ機関からインディケータ情報が提供された」といった場面が出てきます。この記事では、外部の情報を自組織の判断へつなぐ流れと、午前IIで問われる用語を整理します。

1. 何を集めるか：脅威・脆弱性・事例・規格

集める情報は、脆弱性だけではありません。

• 脆弱性：ソフトウェアの欠陥や弱い設定など、害が起きる経路になり得る弱点

• 攻撃の手口と事例：他の組織で起きた事故、観測された攻撃の方法

• 技術の変化：新しい攻撃の対象になる技術、使われなくなる方式

• 規格・ガイドライン・法令の変化：JIS、ISO/IEC、NISTなどの改訂、法令の改正

まず、用語を区別します。脅威は害を与え得る要因、脆弱性は害が現実になる経路になり得る弱点、インシデントは実際に起きた（又は疑われる）事態です。ある製品に脆弱性が公表されても、その製品を使うすべての組織で侵害が起きたことにはなりません。

情報によって急ぐ度合いも違います。悪用が進んでいる脆弱性の通知は、その日のうちの判断を求めることがあります。一方、規格の改訂は、適用の開始や契約の更新に合わせて計画的に見直します。

2. 情報源と、その使い分け

主な情報源には、次のものがあります。

• 製品の開発者のセキュリティアドバイザリ：対象の版、回避策、修正版を確かめる一次資料

• JPCERT/CC・IPAの注意喚起：関係する発表を整理し、国内向けに伝える

• JVN（Japan Vulnerability Notes）：IPAとJPCERT/CCが共同で運営する脆弱性対策情報のポータル。国内外の脆弱性対策情報を蓄積するデータベースとしてJVN iPediaがあり、脆弱性対策情報を効率よく収集するためのMyJVNのツールも提供されている

• 傾向をまとめた報告：IPAの「情報セキュリティ10大脅威」は、前年に社会的影響が大きかった事故・攻撃から選考会が選んだもの。JPCERT/CCは、受け付けた報告をまとめた四半期レポートを公表している

• 情報共有の場：業界ごとのISAC、IPAが情報のハブとなるJ-CSIP（サイバー情報共有イニシアティブ）など。参加組織どうしが秘密保持の取決めを結んだうえで、攻撃の情報を共有する

• 規格の原文：標準化団体の公式な改訂情報

• 報道・SNS・研究発表：早い兆候をつかめるが、未確認の情報を自組織の事実として扱わない

傾向の報告を読むときは、集計の作り方も見ます。「10大脅威」の順位は脅威を学ぶ入口になりますが、そのまま自組織の対策の優先順位になるわけではありません。報告の件数の増減も、報告の集まり方や検知の仕組みの変化で動きます。

収集の体制は、届くのを待つ仕組みと、自ら探しに行く仕組みの両方が必要です。通知の購読だけに頼ると、登録漏れや、委託先だけが知っている製品の見落としが起きます。担当する資産に合わせて、確かめる情報源、頻度、休日の連絡先を決めます。反対に、すべての新着を全員に転送すると、受け手が必要な情報を見失います。送る先は、影響する資産と業務に合わせて絞ります。

3. 情報の確かさを確かめる

「重大な脆弱性がある」という投稿を見たら、行動の前に次の点を確かめます。

• 発信元と一次資料：元のアドバイザリをたどる。複数のメディアが同じ投稿を引用していても、独立した確認が増えたとは限らない

• 日付と版：公開日・更新日、対象の製品と版。一次資料が後で訂正されることもあるので、取得した日時を残す

• 成立する条件：問題の機能が有効か、外部から届くか、認証が必要か。同じ製品名でも、提供形態や設定で影響が違う

• 観測と推定の区別：攻撃事例の記事に載っているIPアドレスやハッシュ値は、検知に使える指標（IoC）になり得る。ただし、共有サービスのIPアドレスは正規の利用者も使い、攻撃者の基盤は変わる。一致しても即断せず、一致しなくても攻撃がない証明にはならない

確からしさと緊急性は別です。まだ確認が取れない情報でも、影響が大きいなら、資産の確認やログの保全など、元に戻せる初動を先に進められます。一方、不確かな段階で「侵害された」と断定して広く伝えると、不要な混乱を招きます。

4. 自組織の資産と業務に当てはめる

外部の情報は、自組織の資産と照合して初めて、自組織の問題になります（図1）。

1. 対象：その製品・部品・版を使っているか。問題の機能や設定は有効か

2. 経路：外部・内部・連携先から、攻撃の条件を満たして届くか

3. 影響：どの情報とサービスに影響し、住民・顧客と業務にどのような害が出るか

4. 対策：修正版への更新か、暫定策か。試験の方法と、失敗したときの切り戻しを決める

照合には資産台帳を使います。製品名だけでなく、版、設置場所、利用の形、責任者、委託先、接続先、業務上の重要度、更新の方法を結び付けておくと役立ちます。ソフトウェア部品表（SBOM）は、組み込まれた部品を見つける助けになります。ただし、台帳やSBOMは出発点です。実際の構成や更新日とずれていないかを照合します。

判断の記録にも注意します。

• 「対象外」と判断するには根拠が要る。開発者や委託先から「対象外」と回答を得たなら、どのシステム・版・構成についての回答かを残す

• 分からない資産は「対象外」にせず「調査中」とし、担当者と回答の期限を付ける

• 委託先やクラウドサービスでは、脆弱性の発見、通知、影響の調査、更新、動作の確認、完了の報告を誰が行うかを、契約や運用手順で確かめる

架空の例で考える：施設予約サービスで使っているソフトウェアの特定の版に、外部から不正な操作を許すおそれがある、と開発者が公表し、修正版も出たとします。担当者はまず、原文で対象の版、成立する条件、回避策を確かめます。次に、構成資料と委託先への照会で、予約画面がその部品を使っているか、版が該当するか、問題の機能が有効か、インターネットから届くかを確かめます。同時に、調査に使えるログが残っているかも確かめます。

• 該当し、外部から届く場合：悪用の状況と、影響する予約情報、止めたときの利用者への影響を整理する。不審な操作の兆候があれば、脆弱性の対応だけでなく、インシデント対応の手順に沿って証拠の保全と調査を始める（支援士解説4の3）。兆候が見つからなくても、ログの範囲と保存期間を確かめるまでは「侵害なし」と断定しない

• 該当しない場合：設定画面、構成資料、委託先の回答など、判断の根拠と確認した日時を残す。担当者の記憶だけで「対象外」にしない

すぐに更新すると数時間の停止が必要で、次の定期保守まで待てば停止をまとめられる、という場面もあります。比べるのは作業の費用だけではありません。保守まで残る攻撃の経路、暫定策がどこまで経路を減らせるか、急いで更新した場合の障害と切り戻しの負担も並べ、権限を持つ責任者が選べる形にします（リスク対応の考え方は支援士解説1の2）。

対策の決め方（修正プログラムの適用か、暫定策か）は支援士解説3の6、適用の手順と切り戻しは支援士解説2の7で扱います。修正版を適用しても、業務が動くこと、同じ版の機器が残っていないことを確かめるまで、完了にはしません。

5. 脅威インテリジェンス、OSINT、STIX・TAXII

脅威インテリジェンスは、攻撃者や攻撃の手口に関する情報を集めて分析し、防御の判断に使える形にしたものです。「攻撃に使われたドメインが報告された」は情報にすぎません。それが自組織の通信記録に現れるか、どの業務に影響するか、検知や遮断に使えるかまで検討して、判断の材料になります。経営層には業務への影響と資源の配分を、対策を設計する担当者には想定する手口と守る経路を、監視の担当者には確かめるログと検知の条件を渡す、というように、使う人の判断に合わせます。

OSINT（Open Source Intelligence）は、公開されている情報を集めて分析し、活用する手法です。攻撃者は、公開Webサイト、ニュース、SNSなどから標的の情報を集めます（サイバーキルチェーンの「偵察」）。守る側も、自組織の外から見える情報や公開しているサービスを確かめるのに使えます。外部から見える資産を管理するASM（Attack Surface Management）もOSINTを活用する取組みです（支援士解説3の6）。

STIX（Structured Threat Information eXpression）は、サイバー攻撃活動に関する情報を記述するための標準の仕様です。攻撃者、攻撃の手口（TTPs）、検知の指標、観測事象（ファイル名、ハッシュ値、通信先など）、対処の措置などの情報を関連付けて表します。TAXIIは、脅威情報をやり取りするためのプロトコルです。STIXは「何をどう表すか」、TAXIIは「どう交換するか」と区別します。形式が整っていても、内容の真偽や、自組織に当てはまるかは自動では保証されません。

受け取った指標を検知や遮断に使うときは、出所、観測した日、有効な期間、誤検知の可能性、共有してよい範囲を記録します。自動で遮断するなら、正規の通信を止めたときの影響と、解除の条件も決めます。共有してよい範囲を示すTLP（Traffic Light Protocol）の区分は支援士解説1の7で扱います。

午後で出てくる場面

• 平成30年度秋期 午後I問2：ワームの感染への対応が題材だった。セキュリティ機関からワームのインディケータ情報がある形式で提供されており、その形式名を答える空欄があった。解答はSTIXだった。その情報を使ってファイルを検索し、感染の有無を確かめた

• 令和元年度秋期 午後I問2：ISACに加盟した会社が、同業他社の被害と攻撃グループの手口（C&C通信にHTTPかDNSを使い、DNSの場合は特定のパブリックDNSサービスを経由する）の情報提供を受け、自社を調べる場面が題材だった。最新の定義ファイルでは検知できなかったマルウェアを、ISACが提供したマルウェアの情報を使ってEDRで発見した。情報の持ち出しが成功した可能性が高いと判断できる痕跡として、C&CサーバのIPアドレスへのHTTP通信が成功したログ、パブリックDNSサービスへのDNS通信が成功したログが問われた。調べた結果をISACへ返す場面もあった

どちらも、外部から得た情報を自組織のログや端末の調査に当てはめる流れです。提供された攻撃の手口から「成功していれば、どこに何が残るか」を考える力が問われています。IoCを使ったログの調べ方は支援士解説3の4で扱います。

6. 攻撃のモデルと、脆弱性の識別子・スコア

詳しくは別の記事で扱うので、ここでは役割の違いだけを押さえます。

• サイバーキルチェーン：攻撃を偵察から目的の実行までの段階に分けたモデル。段階ごとに対策を考える

• MITRE ATT&CK：攻撃者の戦術（目的）と技術（手段）を、実際の観測に基づいて整理したナレッジベース。二つのモデルを無理に一対一で対応させない（支援士解説3の2）

• CVE：個々の脆弱性に付ける識別子。CWE：脆弱性の種類の一覧。CPE：製品を識別する名前の付け方

• CVSS：脆弱性の深刻度を評価する共通の基準。EPSS：悪用される可能性を推定する。KEV：実際に悪用が確認された脆弱性のカタログ（支援士解説3の6）

7. 規格・制度の変化を、自組織の要求へ訳す

規格やガイドラインは、発行する団体、対象、性格が違います。ISO/IECの国際規格をJISとして採用することがあり、NISTの文書は米国の基準やガイドとして広く参照されます。新しい版が出たことと、自組織に適用する義務が生じることは別です。法令、調達の仕様、契約、認証の適用範囲などを通じて、どこに効いてくるかを確かめます。

たとえばISMSの要求事項を定めるISO/IEC 27001は2022年に改訂され、対応するJIS Q 27001は2023年に改正されました（管理策の変更は支援士解説1の1）。改訂を知ったら、版、発行日、旧版との差、移行の期限、関係する自組織の文書を結び付けます。

CPSF（サイバー・フィジカル・セキュリティ対策フレームワーク）は、経済産業省が2019年に公表した枠組みです。サイバー空間とフィジカル空間が融合する産業社会のリスクを、企業間のつながり、フィジカル空間とサイバー空間のつながり、サイバー空間におけるつながりの三層で捉えます。検討の単位として、ソシキ、ヒト、モノ、データ、プロシージャ、システムの六つの構成要素も示しています。

情報を集めた成果は、ニュースの一覧ではありません。判断した対象、理由、担当、期限、実施の結果、再評価の予定です。影響がないと判断した場合も、どの情報とどの資産を確かめてそう判断したかを残します。

8. 午前II（科目A-2）で正誤を見分けるポイント

• 「脆弱性が公表された製品を使っていれば、侵害されている」→ 誤り。脆弱性とインシデントは別。対象の版、設定、経路を確かめる

• 「多くのメディアが報じていれば、情報は確かである」→ 誤り。同じ発信元の引用かもしれない。一次資料をたどる

• 「IoCに一致しなければ、攻撃を受けていない」→ 誤り。攻撃者は基盤やファイルを変える

• 「OSINTは、非公開の情報を不正に入手する手法である」→ 誤り。公開されている情報を集めて分析する手法

• 「TAXIIは、脅威情報を記述するための言語である」→ 誤り。記述はSTIX、交換のプロトコルがTAXII

• 「CVEは脆弱性の深刻度を表す点数である」→ 誤り。CVEは識別子。深刻度はCVSS

• 「JVN iPediaは、脆弱性を悪用する攻撃コードのデータベースである」→ 誤り。脆弱性対策情報のデータベース

• 「10大脅威の順位が、自組織の対策の優先順位になる」→ 誤り。自組織の資産と業務への影響で決める

• 「新しい規格が発行されれば、すべての組織に直ちに適用義務が生じる」→ 誤り。法令・契約・認証などを通じて適用されるかを確かめる

• 「CPSFは、サイバー空間の中だけのリスクを扱う」→ 誤り。企業間、フィジカルとサイバーの間を含む三層で捉える

理解度チェック

本文の理解を確かめるためのオリジナル問題です。実際の過去問ではありません。

問1　情報の確かさ

SNSで「ある製品に重大な脆弱性がある」という投稿が広がっている。最初に行うこととして、最も適切なものはどれか。

• ア：投稿を全職員に転送し、注意を呼びかける

• イ：製品の開発者のアドバイザリなど一次資料をたどり、対象の版と成立する条件を確かめる

• ウ：多くの人が共有しているので、事実と判断して製品の利用を停止する

• エ：公式の発表がないので、何もしない

正解：イ。一次資料で対象と条件を確かめます。アとウは未確認の情報を事実として扱っています。エは、一次資料を確かめる前に判断を止めています。

問2　自組織への当てはめ

保守を委託しているシステムについて、委託先から「今回の脆弱性は対象外」と回答があった。記録として、最も適切なものはどれか。

• ア：「対象外」とだけ記録して閉じる

• イ：どのシステム・版・構成についての回答か、回答者と日時を記録する

• ウ：委託先の回答は信用できないので、記録しない

• エ：回答の有無にかかわらず、すべてのシステムを直ちに停止する

正解：イ。対象外という判断には根拠が要ります。アは後から確かめられず、ウとエは極端な対応です。

問3　STIXとTAXII

STIXとTAXIIの説明として、最も適切なものはどれか。

• ア：STIXは脅威情報を交換するプロトコル、TAXIIは脅威情報を記述する仕様である

• イ：STIXは脅威情報を記述する仕様、TAXIIは脅威情報を交換するプロトコルである

• ウ：どちらも脆弱性の深刻度を点数で表す基準である

• エ：STIX形式の情報は、内容の正しさが保証されている

正解：イ。アは逆です。ウはCVSSの説明です。エのように、形式が整っていても内容の真偽は保証されません。

問4　傾向の報告の読み方

IPAの「情報セキュリティ10大脅威」の使い方として、最も適切なものはどれか。

• ア：順位どおりに、自組織の対策の優先順位を決める

• イ：脅威を学ぶ入口とし、自組織の資産と業務への影響に当てはめて優先順位を判断する

• ウ：10位以内に入らない脅威は、対策しなくてよい

• エ：毎年順位が変わるので、参考にしない

正解：イ。10大脅威は、社会的な影響が大きかった事故・攻撃から選ばれたもので、自組織の優先順位そのものではありません（ア、ウ）。エは、入口としての価値まで捨てています。

実務と国・自治体では

• 政府機関等の統一基準：利用するソフトウェアの脆弱性対策の状況を、定期的に、また必要なときに確かめ、対策されていなければ影響を考えて対策計画を作ることを求めている。政府機関等向けの基準なので、自治体や企業の直接の義務として読み替えない（統一基準群の位置付けは支援士解説1の1）

• 自治体向けガイドライン：総務省のガイドラインは、セキュリティホールや不正プログラムの情報を収集し、関係者で共有し、緊急度に応じて更新などを行う例文を示している。解説では、収集の体制、情報源、共有先を決めておくことや、予定時期の後に対策の実施を確かめることを勧めている

• 企業：経済産業省とIPAのサイバーセキュリティ経営ガイドラインは、情報共有活動への参加と、得た情報を活用する環境の整備を、経営者が指示すべき項目の一つに挙げている

• 実務の注意：注意喚起は後から更新・訂正されることがある。追いかける担当を決め、いったん閉じた判断も見直す

まとめ

• 外部の情報は、資産と照合して初めて自組織の問題になる。 対象・経路・影響・対策の順に確かめる。

• 一次資料をたどり、日付・版・成立条件を確かめる。 確からしさと緊急性は別。

• 「対象外」には根拠、「不明」には担当と期限。

• STIXは記述、TAXIIは交換。OSINTは公開情報の分析。 攻撃モデルは3の2、スコアは3の6で。

さらに深く学ぶなら

この記事の範囲を超えて、仕組みをもっと深く知りたい人向けの本です（試験対策の本ではありません）。

• 脅威インテリジェンスの収集・分析・活用・共有を、フレームワークとともに体系的に学べる

関連記事

• 次に読む：脆弱性対応の優先順位はどう決める？｜支援士解説3の6（CVSS・EPSS・KEVと対応の判断）

• あわせて読む：ウイルス対策ソフトだけで防げるのか｜支援士解説3の2（サイバーキルチェーン・ATT&CK）

• あわせて読む：ログを取るだけで攻撃に気付ける？｜支援士解説3の4（IoCとログの分析）

• あわせて読む：その情報で誰が動くのか？｜支援士解説1の7（外部の組織との情報共有）

2026年10月改訂：外部の情報を自組織に当てはめる手順と、午前IIで問われる用語に絞り、攻撃モデルと脆弱性の評価は他の記事へのリンクにしました。