国家資格「情報処理安全確保支援士」制度について ·...

2019年7月

IPA IT人材育成センター

国家資格・試験部登録・講習グループ

国家資格「情報処理安全確保支援士」制度について

国家資格「情報処理安全確保支援士」がわかる！制度説明会

All Rights Reserved, Copyright © IPA 2019 1

目次

１．情報処理安全確保支援士（登録セキスペ）とは

２．業務範囲、期待される役割

３．制度活用のメリット

４．登録状況について


１．情報処理安全確保支援士（登録セキスペ）とは

All Rights Reserved, Copyright © IPA 2019

１．情報処理安全確保支援士（登録セキスペ）とは制度創設の背景

試験制度見直し過程での国家資格創設の提言(*1)を受け

「情報処理の促進に関する法律」を改正し情報処理安全確保支援士制度が開始

このような人材確保に必要なものは・・・

・知識・スキルの評価（だけでなく）

・知識・スキルの維持、最新化

・義務遵守のしくみ

・(試験で測りにくい)意識の醸成など

社会のIT依存度が高まり、社会的脅威が拡大

サイバー攻撃の増加・高度化

「セキュリティ人材の質的・量的不足」

企業・組織でのサイバーセキュリティ対策を強い倫理感のもと推進できる人材の必要性

サイバーセキュリティ対策の重要性の高まり

3

（*1）セキュリティ人材の確保に関する研究会中間報告 http://www.meti.go.jp/committee/sankoushin/shojo/johokeizai/pdf/006_s01_00.pdfセキュリティ人材の確保に関する研究会：経済産業省とＩＰＡが事務局で2015年8月に開催された研究会。


情報処理の促進に関する法律施行令（政令）・施行規則（経済産業省令）

情報処理の促進に関する法律

（情報処理安全確保支援士の業務）第6条情報処理安全確保支援士は、サイバーセキュリティに関する相談に応じ、必要な情報の提供及び助言を行うと

ともに、必要に応じその取組の実施の状況についての調査、分析及び評価を行い、その結果に基づき指導及び助言を行うことその他事業者その他の電子計算機を利用する者のサイバーセキュリティの確保を支援することを業とする。

（登録事務の代行）第22条経済産業大臣は、機構に、登録の実施に関する事務（第19条の規定による登録の取消し及び命令に関する

事務を除く。次条第1項及び第2項並びに第43条第2項において「登録事務」という。）を行わせることができる。

（受講義務）第26条情報処理安全確保支援士は、経済産業省令で定めるところにより、

機構※の行うサイバーセキュリティに関する講習（第28条において単に「講習」という。）を受けなければならない。 ※独立行政法人情報処理推進機構

（業務の範囲）第43条機構は、第３２条の目的を達成するため、次の業務を行う。

六サイバーセキュリティに関する講習を行うこと。

【情報処理の促進に関する法律】

１．情報処理安全確保支援士（登録セキスペ）とは制度創設の背景（２）

4

・平成28(2016)年 4月22日改正情促法公布

・平成28(2016)年10月21日改正情促法・政省令施行


１．情報処理安全確保支援士（登録セキスペ）とは制度創設の背景（3）全体スケジュール

2015 FY2016 FY2017 FY2018 FY2019

4 7 10 1 4 7 10 1 4 7 10 1 4 7 10

検討

法令

試験および申請登録

講習

▲8月セキュリティ人材の確保に関する研究会中間報告

▲4月産業構造審議会商務情報流通分科会情報経済小委員会試験ワーキンググループ中間とりまとめ

▲4/22公布

【改正情促法】

【政省令整備】

▲10/21施行

①登録セキスペ

試験

▲案内開始

（以降、繰り返し）

▲春期

▲合格発表

▲秋期

▲合格発表

▲募集開始

▲春期

▲合格発表

▲秋期

▲合格発表

▲春期

▲合格発表

▲秋期

申請・登録審査審査▲登録 ▲登録審査

（以降、繰り返し）

審査 ▲登録

受付～8/15

▲登録審査 ▲登録

受付～1/31受付～7/31受付受付

講習（オンライン／集合）実施

▲春期

▲合格発表

▲秋期

▲合格発表

申請・登録審査審査審査

受付～2018/8/19受付受付受付

▲登録 ▲登録 ▲登録審査10/24～ ▲登録

登録セキスぺ誕生②

経過措置(SC試験等)


１．情報処理安全確保支援士（登録セキスペ）とは参考）経済産業省のニュースリリースー産業構造審議会試験ワークキング報告ー

http://www.meti.go.jp/press/2016/04/20160427006/20160427006-1.pdf

経済産業省ニュースリリース（2016年4月27日）「情報経済小委員会試験ワーキンググループの検討結果を取りまとめました」（http://www.meti.go.jp/press/2016/04/20160427006/20160427006.html）


１．情報処理安全確保支援士（登録セキスペ）とは参考）経済産業省のニュースリリース -制度開始時-

http://www.meti.go.jp/press/2016/10/20161021002/20161021002-1.pdf

経済産業省ニュースリリース（2016年10月21日）「サイバーセキュリティ分野において初の国家資格となる「情報処理安全確保支援士」制度を開始しました」（http://www.meti.go.jp/press/2016/10/20161021002/20161021002.html）


＜制度開始前の体系図＞＜現在の体系図＞

➣情報処理技術者試験の情報セキュリティスペシャリスト試験を踏襲し、情報処理安全確保支援士試験として新設

➣ 両試験の運営は一体的に実施

１．情報処理安全確保支援士（登録セキスペ）とは情報処理技術者試験制度との関係


１．情報処理安全確保支援士（登録セキスペ）とは対象者像、名称、ロゴマークについて

法律名情報処理安全確保支援士

通称名登録セキスペ（登録情報セキュリティスペシャリスト）

英語名RISS：アールアイエスエス（Registered Information Security Specialist）

ロゴマーク

サイバーセキュリティに関する専門的な知識・技能を活用して、

企業や組織における安全な情報システムの企画・設計・開発・運用を支援し、

また、サイバーセキュリティ対策の調査・分析・評価を行い、

その結果に基づき、必要な指導・助言を行う者。

説明

フレーム：盾（シールド）を意味し、様々な脅威から情報組織や社会を守る存在であること、深みのある青は誠実と冷静さを意味する。

地球：国際社会とデジタル社会を現す。

羽：ＩＴによる人々の生活と拡がりと飛翔を意味する。

４つの星：技術水準レベル４という重要性の高い資格として目指す存在となることをイメージ。

名称

対象者像

IPA 情報処理安全確保支援士試験ホームページより https://www.jitec.ipa.go.jp/1_11seido/sc.html


１．情報処理安全確保支援士（登録セキスペ）とは制度の全体像

３．活動・維持する２．登録する１．登録資格を取得する

情報処理安全確保支援士となる資格を有する者

情報処理安全確保支援士

登録申請

登録簿への登録

登録情報の公開

資格名称の独占使用

登録セキスペとしての義務遵守

必須項目（登録番号等）を除き、公開する項目は選択可能

登録セキスペ以外が名称を使用した場合は、30万円以下の罰金刑

（１）信用失墜行為の禁止

（２）秘密保持

（３）講習受講

・義務に違反した場合は、1年以下の懲役又は50万円以下の罰金刑が課される。

・オンライン講習を年1回、集合講習を3年に1回受講。(やむを得ない事由の場合、期限延長措置

あり)

・所定の要件を満たした者は、講習のみなし受講を認める。（2018年4月～）

登録取消し

一定期間の名称使用停止

義務違反の場合

取消し後、2年間は

再登録不可

又は

人材の質の担保

人材の見える化

人材活用の安心感

※本資格維持のための費用は、講習受講費のみ。その他継続のために必要な費用及び手続きはございません。

② 資格試験合格と同等以上の能力を有する方

① 試験合格者（情報処理安全確保支援士試験）

・情報セキュリティスペシャリスト試験をベース

に新設

・全部又は一部免除制度

- 情報処理技術者試験との連携による一

部免除

- 国内外の類似資格合格者や大学等で

セキュリティを専門とする教育課程の修

了者を一部免除

⇒告示（CoE：全部免除、

大学・大学院・専門学校(4年制)：

午前Ⅱ免除）2017/9/29施行

・国が指定するポストであって、当該ポスト

での従事年数が一定期間を超える場合

を想定。

⇒第一弾告示（警察・自衛隊）

2017/4/7施行

⇒第二弾告示（内閣官房、試験委員）

2017/9/29施行

・欠格事由に該当する場合は登録不可。・登録手数料（10,700円）及び登録免許税（9,000円）の納付が必要。・登録簿記載事項に変更が生じた場合、届出及び変更手続（手数料（900円））が必要。

※登録簿への登録、登録証の交付は、次のとおり年２回とする4月1日【申請締切日：2月15日（当日消印有効）】

10月1日【申請締切日：8月15日（当日消印有効）】


１．情報処理安全確保支援士（登録セキスペ）とは登録資格の獲得

１．登録資格を取得する

国家資格情報処理安全確保支援士（登録セキスペ）への

登録資格を有する

○ 情報処理安全確保支援士試験は、平成２９年度春期（４月）から実施

○ 試験時間や出題形式、出題範囲、シラバスなどは、

情報処理技術者試験「情報セキュリティスペシャリスト試験」を踏襲

○ 実施回数など：年２回（４月・１０月）

情報処理技術者試験と同日・同一会場

情報処理安全確保支援士試験概要

試験に合格


１．情報処理安全確保支援士（登録セキスペ）とは申請受付・審査・登録のサイクル

２．登録する

○ 登録申請は随時受付※詳細は第４部の「登録方法について」でご説明します。

○ 登録簿への登録は年２回

登録日：４月１日 → 申請締切日：２月１５日（当日消印有効）

登録日：１０月１日 → 申請締切日：８月１５日（当日消印有効）

2 3 4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 9 10

登録申請④（8.16～2.15）

審査①

審査②

審査③登録申請①

（2.16～8.15）登録申請③

（2.16～8.15）10/１登録①

登録申請②（8.16～2.15）

4/１登録②

10/１登録③▲

▲

▲


１．情報処理安全確保支援士（登録セキスペ）とは欠格事由

１．登録資格を取得する

○ 以下のいずれかに該当する者は、情報処理安全確保支援士となることができない。

（情報処理の促進に関する法律第８条）

① 成年被後見人又は被保佐人

② 禁錮以上の刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から起算して２年を経過しない者

③ この法律の規定その他情報処理に関する法律の規定であって政令で定めるもの（※）により、罰金の刑に処せられ、その執行を終わり、又は執行を受けることがなくなった日から起算して２年を経過しない者

④ 第１９条第１項第２号又は第２項の規定により登録を取り消され、その取消しの日から起算して２年を経過しない者

※ 刑法（第１６８条の２及び第１６８条の３）不正アクセス行為の禁止等に関する法律（第１１条～１３条）

２．登録する


１．情報処理安全確保支援士（登録セキスペ）とは登録証、資格名称・ロゴマーク利用

２．登録する

＜登録証のイメージ＞＜資格名称・ロゴマークの利用例＞

登録番号の併記が必要


１．情報処理安全確保支援士（登録セキスペ）とは登録情報の公開（1）

３．活動、資格を維持する

○ 情報処理安全確保支援士の見える化を行い、企業等がその人材を安心して活用できるようにするため、登録情報などをＩＰＡのウェブサイトで公開

（１）公開情報

（２）任意公開情報 ※ 本人からの届出に基づき公開

① 登録番号② 登録年月日③ 支援士試験の合格年月④ 講習の修了年月日

① 氏名② 生年月③ 試験合格証書番号④ 自宅住所（都道府県のみ）⑤ 勤務先名称⑥ 勤務先住所（都道府県のみ）

２．登録する


１．情報処理安全確保支援士（登録セキスペ）とは登録情報の公開（2）

３．活動、資格を維持する２．登録する

国が認めた情報セキュリティの専門家の所在が可視化され、その活躍の場が広がり、わが国の情報セキュリティ対策の強化につながることを期待しています。勤務先所在地や連絡先情報（電話番号、メールアドレス）の公開有無による検索が可能です。コネクテッド・インダストリーズ税制（IoT税制）の申請時など、各都道府県において情報セキュリティのサービス提供事業者を探す際に、本検索サービスを活用できます。

▎情報処理安全確保支援士検索サービスについて https://riss.ipa.go.jp/→業務の拡大や自己PR等への活用が可能

情報処理安全確保支援士検索サービスの機能

◆ プロフィールのビジュアル化→顔写真の掲載も可能。

◆ リアルタイムにプロフィール編集→マイページが一人ひとりに用意され、いつでも編集が可能。

登録セキスぺ向け機能

◆ Web上からの登録セキスぺ検索→様々な条件を指定した検索が可能。

◆ 登録セキスぺの詳細プロフィール閲覧

一般利用者向け機能

※ 氏名（併記氏名含む）、フリガナ、生年月日、自宅住所、勤務先名称、勤務先住所等の登録者の基本的な属性情報はサイト上では編集できません。所定の手続きに則り、IPAに変更を届け出てください。


１．情報処理安全確保支援士（登録セキスペ）とは義務と罰則

信用失墜行為の禁止・秘密保持

・義務に違反した場合は、1年以下の懲役又は50万円以下の罰金刑が課される。

（信用失墜行為の禁止）

第24条情報処理安全確保支援士は、情報処理安全確保支援士の信用を傷つけるような行為をしてはならない。

（秘密保持義務）

第25条情報処理安全確保支援士は、正当な理由がなく、その業務に関して知り得た秘密を漏らし、又は盗用してはならない。情報処理安全確保支援士でなくなった後においても、同様とする。

（罰則）

第51条第25条の規定に違反した者は、一年以下の懲役又は五十万円以下の罰金に処する。

【情報処理の促進に関する法律】

➣ 個人の法的責任について

• 他の国家資格（技術士、弁護士、税理士、他）も同様の守秘義務や罰則があり、本制度においても同様の法規定がある。『正当な理由がなく、その業務に関して知り得た秘密を漏らし、又は盗用してはならない』等

• 顧客との契約（守秘義務契約含む）に基づく会社業務として、会社のルールを遵守して業務遂行している限りにおいては、刑事罰に問われる事態になることは通常想定されない。

• ただし、会社業務ではない個人としての活動は個人の責任に帰することに注意



１．情報処理安全確保支援士（登録セキスペ）とは講習の受講義務 ①

○ 経済産業省の認可を受けてＩＰＡが実施するサイバーセキュリティに関する法定講習を、継続的に受講することにより資格を維持。

⇒ 法定講習未受講の場合は、資格名称の使用停止又は登録取消しとなることがある。

① 知識：攻撃手法及びその技術的対策、関連制度等の概要及び動向② 技能：脆弱性・脅威の分析、情報セキュリティ機能に関する企画・要件定義・開発・運用・保守、

情報セキュリティ管理支援、インシデント対応③ 倫理：登録セキスぺとして遵守すべき倫理

（２）実施形式及び時間

● オンライン講習と集合講習を組み合わせて実施。● 集合講習は、ケーススタディによるグループ演習が中心。

（１）科目及び範囲

（３）受講期限及び回数

● オンライン講習は毎年１回、集合講習は３年に１回を基本とする。● ただし、試験合格日から登録日までの期間が３年を超えている者は、登録日から１年以内に、

オンライン講習及び集合講習を受講。● やむを得ない事由（海外勤務、疾病・負傷、災害罹災など）による受講期限延長制度あり。



１．情報処理安全確保支援士（登録セキスペ）とは講習の受講義務 ②

基本パターン試験合格日から登録日までの

期間が３年以内

① オンライン講習：登録日を起点として、年１回受講

② 集合講習：登録日を起点として、３年目に１回受講

③ ４年目以降は、①と②の３年サイクルの繰り返し

○ 登録日を起点として、１年以内にオンライン講習と集合講習を受講

○ ２年目以降は、基本パターン（上記①～③）のサイクルと同様

（参考）試験合格日から登録日までの期間が３年を超えている場合



１．情報処理安全確保支援士（登録セキスペ）とは資格維持に必要な費用について

１.受験

資格取得【初期費用】

受験手数料5,700円

○ 資格取得～資格維持に必要な費用は以下のとおり。本制度においては、更新のための手続きや手数料、年会費等の費用は発生しない。

２.申請・登録

登録免許税： 9,000円登録手数料：10,700円

３.講習受講

講習受講料・オンライン講習：20,000円・集合講習：80,000円

１年目２年目３年目

オンライン講習



集合講習

オンライン講習20,000円

オンライン講習20,000円

オンライン講習：20,000円集合講習：80,000円

受講基本パターンでの費用イメージ

（以降、3

年サイクルで繰り返し）

３年間で講習受講料の合計140,000円

● 登録手数料には、以下を含みます

①資格登録時に送付・登録証・講習受講計画

● 講習受講料の中には、以下を含みます

①当該年次の講習受講修了時・受講修了証・講習受講計画

・登録簿および登録者公開情報の更新

②年４回程度のメール配信受講状況確認、情報共有等

※1~3年目に受講を義務付けられている講習が明記される

※次年度からの3年間に受講を義務付けられている講習が明記される

合格

登録

活動・資格の維持【維持費用】申請・登録【登録費用】

１．登録資格を取得する２．登録する３．活動、資格を維持する


１．情報処理安全確保支援士（登録セキスペ）とは講習の基本方針

※インストラクショナルデザイン（ID）とは、ADDIE（分析→設計→開発→実施→評価）と呼ばれるインストラクショナルデザインのプロセスに基づき、効果的・効率的に教育を行う科学的な手法。

○品質が高く、効果的かつ受講しやすい講習を提供

■効果を意識したカリキュラム設計→インストラクショナルデザインに基づく設計→実践にマッチしたケーススタディ中心による集合講習

→オンライン講習と集合講習の組合せによる反転学習

■教材・最新動向を反映し、かつ実践に即した内容→毎年、内容見直しを実施・支援士として遵守すべき倫理の実施

■理解度の確認・確認テスト実施による理解度チェック

■情報処理安全確保支援士個人へのきめ細かい案内・「講習受講計画」の提示・メールによる受講フォロー

■居住地によらない受講機会の提供

・オンライン講習の提供

・主要都市での集合講習開催よる受講機会の確保

■障害者受講時の配慮

・「障害を理由とする差別の解消の推進に関する法律」に基づく合理的配慮の提供

カリキュラム教材

受講環境集合講習講師

国家資格としての質の保証

■認定講師による講習実施（講師認定基準に基く講師認定）・セキュリティ分野の第一人者・ファシリテーションの実績豊富



１．情報処理安全確保支援士（登録セキスペ）とは集合講習講師

◆講師一覧（現在38名） ※未公開の２名含む

集合講習は、有識者による委員会にて認定された講師が担当

セキュリティ分野の第一線で活躍し、ファシリテーターとしても高い実績を持つ専門家

⚫ IPAのホームページにて認定講師を紹介 https://www.ipa.go.jp/siensi/lecture/inst.html


氏名組織名(社名) 氏名組織名(社名)

上野宣株式会社トライコーダ千葉寛之株式会社日立製作所

江島将和独立行政法人情報処理推進機構永田博司株式会社インターネットイニシアティブ

太田利次ジーブレイン株式会社星智恵（非公開）

大財健治ケー・コンサルタント有馬一也株式会社インフォテック・サーブ

大竹章裕株式会社ラック内藤剛株式会社インフォセック

加賀谷伸一郎独立行政法人情報処理推進機構久野玲 NECソリューションイノベータ株式会社

小柴宏記ジーブレイン株式会社藤井仁志日本アイ・ビー・エム株式会社

小林浩史 NECマネジメントパートナー株式会社奥田剛大阪大学

嶋倉文裕富士通関西中部ネットテック株式会社小原哲也トレンドマイクロ株式会社

白井雄一郎株式会社ラック横内豊樹株式会社エネルギア・コミュニケーションズ

富田一成株式会社ラック阿部敦子 NECソリューションイノベータ株式会社

濱本常義株式会社エネルギア・コミュニケーションズ星代介株式会社ラック

平山敏弘 NPO日本ネットワークセキュリティ協会齋藤聖悟（非公開）

淵上真一日本電気株式会社橘喜胤楽天ウォレット株式会社

山田英史株式会社ディアイティ佐藤公信国立研究開発法人情報通信研究機構

樂満俊幸 NECマネジメントパートナー株式会社松原良樹トレンドマイクロ株式会社

阿部英嗣株式会社大塚商会香山哲司アジリティ・コンサルティング株式会社

木下稔雅学校法人電子学園日本電子専門学校松本照吾アマゾンウェブサービスジャパン株式会社


１．情報処理安全確保支援士（登録セキスペ）とは身体障害者等の受講への合理的配慮について

⚫IPAにおける障害者対応の基本方針

障害者差別解消法(※)の主旨に則り合理的配慮を

行うことを基本方針として対応する。

(出典)内閣府リーフレット「障害者差別解消法が制定されました」よりhttp://www8.cao.go.jp/shougai/suishin/pdf/leaf_seitei.pdf

(※) 障害を理由とする差別の解消の推進に関する法律

国連の「障害者の権利に関する条約」の締結に向けた国内法制度の整備の一環として、全ての国民が、障害の有無によって分け隔てられることなく、相互に人格と個性を尊重し合いながら共生する社会の実現に向け、障害を理由とする差別の解消を推進することを目的として、平成25年6月、「障害を理由とする差別の解消の推進に関する法律」（いわゆる「障害者差別解消法」）が制定され、平成28年4月1日から施行されました。

(出典)内閣府HPhttp://www8.cao.go.jp/shougai/suishin/sabekai.html

⚫ 視覚障害者オンライン講習にて読み上げソフトへの対応

⚫ 聴覚障害者集合講習テキストの事前提供および当日の要約筆記者配置等

⚫ 肢体不自由者バリアフリー設備のある会場での集合講習開催

※講習受講時の特別措置を必要とする場合は、登録申請書類の「現状調査票」にご記入ください。また、具体的な調整を行うため、必ず、講習の申し込み前に講習運営事業者へお申し出ください。



２.業務範囲、期待される役割


「情報処理の促進に関する法律」第六条より

情報処理安全確保支援士は、

サイバーセキュリティに関する相談に応じ、

必要な情報の提供及び助言を行うとともに、

必要に応じ

その取組の実施の状況についての調査、分析及び評価を行い、

その結果に基づき指導及び助言を行うこと

その他事業者その他の電子計算機を利用する者の

サイバーセキュリティの確保を支援すること

を業とする。

25

２.業務範囲、期待される役割法律上の定義


２.業務範囲、期待される役割高度情報セキュリティ人材の位置づけ

セキュリティについて専門的なスキル・知識を保有すべき人材（レベル4以上）

セキュリティ・ITベンダ企業

ＩＴのスキルレベル

トップガン人材 CISO

啓発対象

PCやスマホの利用者

トップレベル

ハイレベル

ミドルレベル

ユーザ企業

（セキュリティを専門としない）システムの設計/開発/運用等を行うエンジニア

（事業部門において）ITを活用した事業の企画・推進を実施。平時はセキュリティポリシーの運用を行い、トラブル時には部門長やセキュリティ技術者と連携し対応する人材

自社システムの開発、運用、実装を行うエンジニア

情報セキュリティマネジメント試験

対応するレベルの試験

セキュリティ企業等でユーザ企業のセキュリティ対策のサポート

を行うエンジニア

【ご参考】

高度情報セキュリティ人材情報処理安全確保支援士試験（通称：登録セキスペ試験）


情報処理安全確保支援士とは

IT活用に伴うリスクに応じた具体的・効果的なセキュリティ対策を企画し、セキュリティ専門家のみならず、IT・セキュリティを専門としない人にも説明、連携して、安心・安全な環境の確保を支援する人

セキュリティは経営課題と言われるものの

事業リスクと技術を“繋ぐ”人材が不足

•事業リスクとしてのセキュリティリスクを説明できない

•正常時、事故発生時ともにセキュリティリスクに応じた対策の要否を説明できない、対策導入の協力を得られない

•事業成長を法規制等に準拠しつつ、新たな技術を安全に利用できず、競争に乗り遅れる

情報処理安全確保支援士がステークホルダーとの連携の

ハブとなり、経営とITが一体となったセキュリティの企画・推進

•情報処理安全確保支援士とは、技術を安全に事業に活かすという新たな視点を持った専門家

• ユーザ企業、ITベンダー双方に配置することで、事業リスクの中の情報セキュリティリスクを経営層、事業部門にも平易に説明し、必要な支援、協力、連携を取り付ける

• セキュリティ事故発生時も必要な専門家と連携しながら、早期に回復できるよう、経営層、事業部門、情シス部門の橋渡しを推進

ユーザ企業情シス部門

ITベンダユーザ企業事業部門

ユーザ企業経営層

セキュリティは経営課題

技術？経営？丸投げされても・・・X

X X

ユーザ企業事業部門

ユーザ企業経営層

セキュリティは経営課題

理解と協力

登録セキスペユーザ企業情シス部門

ホワイトハッカー

ユーザ企業事業部門長

ユーザ企業CISO

システム設計・開発者

ユーザ企業情シス部門長

ITベンダー

ユーザ企業情シス運用者

ルールの遵守専門性の提供対策の実装

意思決定支援説明と推進連携

ユーザ企業ｾｷｭﾘﾃｨ統括室

27

２.業務範囲、期待される役割期待される役割


２.業務範囲、期待される役割想定される業務（１）

登録セキスペの業務例（経営層の右腕として）

・CISOが策定するサイバーセキュリティ対応方針を、実践で活用できる確実なものとするよう支援する。

出典：経済産業省サイバーセキュリティ経営ガイドライン（http://www.meti.go.jp/policy/netsecurity/mng_guide.html）

・緊急対応時の経営判断に必要となる情報を経営者やCISOに提供。そのために、普段から事業担当部門のリスク把握と対応計画策定を行っておく。

「サイバーセキュリティの確保は積極的な経営への「投資」であり、経営者の重要な責務の一つ」しかし、経営層が必ずしも技術やセキュリティに詳しいわけではなく、セキュリティ対策の現場担当者は経営層とのコミュニケーションに慣れていない

経営と現場をつなぐ「経営層の右腕」としての活躍が期待されている経営者が認識する必要のある「3原則」に基づき、経営者がCISO等に指示すべき「重要10項目」の概要


２.業務範囲、期待される役割想定される業務（２）

想定される業務

2．システム等の設計・開発設計段階までのセキュリティ対策、セキュアコーディングの推進、セキュリティテストの実施・評価等

3．運用・保守ポリシー実践、脆弱性への対応品質管理、情報収集教育・啓発活動等

4．緊急対応緊急時に備えた準備、インシデント対応の全体統制、インシデント処理・復旧

１．経営課題への対応セキュリティ対策策定・更改・実施指導組織・技術上のリスク評価上記のための監査・検査・調査・分析

支援

活躍○セキュアなものづくりにおける

技術者としての活躍○ユーザー企業へのコンサル、

研修等への対応

○自社セキュリティ対策の企画・立案

○システムの運用・保守、監視、調査等の実施

ITベンダ企業での期待・効果

○システムの運用・保守、監視、インシデントの調査分析等への対応

（自社人材として又は外部実施者との調整者として）

○自社セキュリティ対策の企画・立案○社内情報セキュリティ教育の実施○ＣＩＳＯ、ＣＩＯ（又は補佐）への

登用

ITユーザ企業・官公庁等での期待・効果 ○国家資格の取得により、最新の情報

セキュリティに関する知識・技能を有することの証し

○登録セキスペとして義務を果たしていることによる、資格保有者個人の信頼度の付加又は向上

○企業内におけるステイタスの獲得

○IPAによる登録状況の見える化（登録セキスペであることの表示・公表）

情報処理安全確保支援士のメリット最新の知識・技能を有することの証明、

個人の信頼度向上⇒ 活躍の場の拡大

情報処理安全確保支援士を活用する企業のメリット提供する機能やサービスの信頼性確保、企業の社会的信用度の向上

⇒ ビジネスチャンスの拡大


２.業務範囲、期待される役割参考）ITSS+のセキュリティ領域

▌ ITSS+（プラス）：2017年4月7日公開

領域

専

門

分

野

情

報

セ

キ

ュ

リ

テ

ィ

デ

ザ

イ

ン

セ

キ

ュ

ア

開

発

管

理

情

報

セ

キ

ュ

リ

テ

ィ

ア

ド

ミ

ニ

ス

ト

レ

ー

シ

ョ

ン

情

報

セ

キ

ュ

リ

テ

ィ

ア

ナ

リ

シ

ス

C

S

I

R

T

キ

ュ

レ

ー

シ

ョ

ン

C

S

I

R

T

リ

エ

ゾ

ン

C

S

I

R

T

コ

マ

ン

ド

イ

ン

シ

デ

ン

ト

ハ

ン

ド

リ

ン

グ

デ

ジ

タ

ル

フ

ォ

レ

ン

ジ

ク

ス

情

報

セ

キ

ュ

リ

テ

ィ

イ

ン

ベ

ス

テ

ィ

ゲ

ー

シ

ョ

ン

情

報

セ

キ

ュ

リ

テ

ィ

監

査

レベル7

レベル6

レベル5

レベル4

レベル3

レベル2

レベル1

運用・保守監査緊急対応設計・開発登録ｾｷｽﾍﾟ

想定業務

経営

課題

脆

弱

性

診

断

セキュリティ領域

情

報

リ

ス

ク

ス

ト

ラ

テ

ジ

▌ 企業等でのセキュリティ対策の本格化を踏まえ、専門的なセキュリティ業務の役割の観点により、経営課題への対応から設計・開発、運用・保守、セキュリティ監査における13の専門分野を具体化

▌ これらの専門分野は、登録セキスペが想定する業務を包含しており、登録セキスペにとっては、ITSS+を用いて実務の場で具体的に自らの専門分野を明示することができる


２.業務範囲、期待される役割参考）ITSS+のセキュリティ領域（２）

●専門分野の説明専門分野説明

情報リスクストラテジ

自組織または受託先における業務遂行の妨げとなる情報リスクを認識し、その影響を抑制するための、組織体制の整備や各種ルール整備等を含

む情報セキュリティ戦略やポリシーの策定等を推進する。自組織または受託先内の情報セキュリティ対策関連業務全体を俯瞰し、アウトソース

等を含むリソース配分の判断・決定を行う。

情報セキュリティデザイン「セキュリティバイデザイン」の観点から情報システムのセキュリティを担保するためのアーキテクチャやポリシーの設計を行うとともに、こ

れを実現するために必要な組織、ルール、プロセス等の整備・構築を支援する。

セキュア開発管理情報システムや製品に関するリスク対応の観点に基づき、機能安全を含む情報セキュリティの側面から、企画・開発・製造・保守などにわたる

情報セキュリティライフサイクルを統括し、対策の実施に関する責任をもつ。

脆弱性診断ネットワーク、OS、ミドルウェア、アプリケーションがセキュアプログラミングされているかどうかの検査を行い、診断結果の評価を行う。

情報セキュリティ

アドミニストレーション

組織としての情報セキュリティ戦略やポリシーを具体的な計画や手順に落とし込むとともに、対策の立案や実施（指示・統括）、その見直し等

を通じて、自組織または受託先における情報セキュリティ対策の具体化や実施を統括する。また、利用者に対する情報セキュリティ啓発や教育

の計画を立案・推進する。


アナリシス

情報セキュリティ対策の現状に関するアセスメントを実施し、あるべき姿とのギャップ分析をもとにリスクを評価した上で、自組織または受託

先の事業計画に合わせて導入すべきソリューションを検討する。導入されたソリューションの有効性を確認し、改善計画に反映する。

CSIRTキュレーション情報セキュリティインシデントへの対策検討を目的として、セキュリティイベント、脅威や脆弱性情報、攻撃者のプロファイル、国際情勢、メ

ディア動向等に関する情報を収集し、自組織または受託先に適用すべきかの選定を行う。

CSIRTリエゾン自組織外の関係機関、自組織内の法務、渉外、IT部門、広報、各事業部等との連絡窓口となり、情報セキュリティインシデントに係る情報連携

及び情報発信を行う。必要に応じてIT部門とCSIRTの間での調整の役割を担う。

CSIRTコマンド自組織で起きている情報セキュリティインシデントの全体統制を行うとともに、事象に対する対応における優先順位を決定する。重大なインシ

デントに関してはCISOや経営層との情報連携を行う。また、CISOや経営者が意思決定する際の支援を行う。

インシデントハンドリング

自組織または受託先におけるセキュリティインシデント発生直後の初動対応（被害拡大防止策の実施）や被害からの復旧に関する処理を行う。

セキュリティベンダーに処理を委託している場合には指示を出して連携する。情報セキュリティインシデントへの対応状況を管理し、CSIRTコ

マンドのタスクを担当する者へ報告する。

デジタルフォレンジクス悪意をもつ者による情報システムやネットワークにを対象とした活動の証拠保全を行うとともに、消されたデータを復元したり、痕跡を追跡し

たりするためのシステム的な鑑識、精密検査、解析、報告を行う。


インベスティゲーション

情報セキュリティインシデントを対象として、外部からの犯罪、内部犯罪を捜査する。犯罪行為に関する動機の確認や証拠の確保、次に起こる

事象の推測などを詰めながら論理的に捜査対象の絞り込みを行う。

情報セキュリティ監査情報セキュリティに係るリスクのマネジメントが効果的に実施されるよう、リスクアセスメントに基づく適切な管理策の整備、運用状況につい

て、基準に従って検証又は評価し、もって保証を与えあるいは助言を行う。


３.制度活用のメリット


３. 制度活用のメリット情報処理安全確保支援士のメリット、所属組織のメリット

情報処理安全確保支援士 ITベンダーユーザ企業

スキルアップ

ビジネス

社会的評価

専門家同士の繋がり

関連資格取得の優遇

入札要件の充足税制優遇

知識の最新化

就業機会の増加

セキュアな社会実現への貢献

経営者と一体となったセキュリティ対策の推進

セキュアに必要なシステム要求の提示

セキュアなシステムの設計・開発・運用

顧客視点のセキュリティ要求事項の理解

情報処理安全確保支援士になることで得られるメリットは、本人に留まらず、セキュアな社会実現への貢献にも繋がる。

33


３. 制度活用のメリット税制優遇の要件

⚫ 2018年6月6日に施行された「コネクテッド・インダストリーズ税制（IoT税制）」において、税制優遇の条件の一つ「一定のサイバーセキュリティ対策が講じられている」ことを担保する役割を登録セキスペが担う。

◆コネクテッド・インダストリーズ税制PR用チラシhttp://www.meti.go.jp/policy/it_policy/data-katsuyo/iot-zeisei/flyer.pdf

◆コネクテッド・インダストリーズ税制について

http://www.meti.go.jp/policy/it_policy/data-katsuyo/iot-zeisei/iot-zeisei.html

34


３. 制度活用のメリット入札要件の充足

⚫内閣官房情報通信技術(IT)総合戦略室と総務省行政管理局の定める「政府情報システムの整備及び管理に関する標準ガイドライン」※において、調達の部分に情報処理安全確保支援士が掲載

→ 情報処理安全確保支援士の配備が入札要件となる案件が、今後増えていくことが予測される

P442.調達仕様書の作成等1)調達仕様書の記載内容設計・開発を行う担当者には、情報処理の促進に関する法律(昭和45年５月22日法律第90号)第15条の規定に基づく情報処理安全確保支援士の登録を受けている者又は同等の資格を有する者を含むこと)。

P91・92別紙6-1 調達する作業内容ごとの人材に関する要求条件(参考) 「設計・開発」「運用」「保守」に、情報処理安全確保支援士が記載

参考）「政府情報システムの整備及び管理に関する標準ガイドライン実務手引書」URL: http://www.soumu.go.jp/main_content/000348295.pdf

※「政府情報システムの整備及び管理に関する標準ガイドライン」とは「デジタル・ガバメント推進標準ガイドライン(世界最先端IT国家創造宣言に基づき、サービス・業務改革並びにこれらに伴う政府情

報システムの整備及び管理について、その手続・手順に関する基本的な方針及び事項並びに政府内の各組織の役割等を定める体系的な政府共通ルール)」の内容解説書

中小企業庁運営の「官公需情報ポータルサイト（http://www.kkj.go.jp/s/）」において、「情報処理安全確保支援士」が記載される入札情報は、230件（2019年6月末時点）

http://www.soumu.go.jp/main_content/000348295.pdf


３. 制度活用のメリット参考）関連資格取得の優遇

⚫情報処理安全確保支援士は、情報セキュリティ監査人の業務に携わるための資格取得の優遇制度があります。–１日のトレーニングで「情報セキュリティ監査人補」の資格取得ができます（通常5日間）–筆記試験が免除されます

詳細は以下をご覧ください：日本セキュリティ監査協会「高度情報セキュリティ資格特例制度」http://www.jasa.jp/qualification/info_secure_supporter.html

情報セキュリティ監査人補について

• 情報セキュリティ監査制度（経済産業省）に則り情報セキュリティ監査を行う専門家です。

• 情報セキュリティ監査人補は内部監査を行うことができます。

• 情報セキュリティ監査人補が実務経験に基づき、試験に合格した場合には、公認情報セキュリティ監査人として、外部監査を行うことができます。


３. 制度活用のメリット参考）活用企業インタビュー（カブドットコム証券株式会社様）

カブドットコム証券株式会社常務執行役（CIO）阿部吉伸様システムリスク管理室伊藤公樹様システムリスク管理室中村健太様（全員が情報処理安全確保支援士）

「情報処理安全確保支援士制度は、高度なリスクマネジメント実現の重要ポイントである、”業務執行部門とリスク管理部門の独立したディフェンスライン体制”を支えるツールの1つです。」

カブドットコム証券では「リスク管理追求型の次世代オンライン証券システムを創る」をコンセプトに、セ

キュリティを最重要視して業務を遂行しています。そのため、業務執行部門とリスク管理部門が独立したディフェンスライン体制をとり、業務遂行の中で、常にお客様の資産を脅かすリスクを可視化し、

管理しています。我々はITを前提とした金融ビジネスを展開しているため、情報セキュリティに関するリスクは最大のリスクと考え、経営陣も一体となってサイバーセキュリティ対策に取り組んでいます。

そのような体制下で働く人材に求められることは、新たな脆弱性情報の発生や新たなテクノロジーの導入など

の変化があった時に「当社のビジネスのどこに影響するのか？」と、ビジネスと技術の両方の知識をもって影響を測る力です。そのために、普段から経営層との会話の機会をもち、経営層の視点に触れてお

くことや、各部門間で役割分担を明確にしながら信頼できる関係を構築しておくことが重要と考えています。

そこで情報セキュリティにおける社員の共通言語や、共通の認識・理解・レベルを作るために、情報処理技術者試験・情報処理安全確保支援士（登録セキスペ）制度を活用しています。具体的に

は、全ての情報システム部門、リスク管理部門には登録セキスペを配置し、CSIRTメンバーは登録セキスペであることを基準として選定しています。その結果、金融関連企業の中ではトップレベルの登録セキスペの登録人数となっており、これは経営陣も一体となってサイバーセキュリティ対策に取り組んでいることを示すデータの1つです。

これからは、更に高度なサイバーセキュリティ対策を実現するために、見えないリスクも可視化して管理していく活動が求められています。それには、経営目標達成とのギャップを分析し「いつまでに何をする」を約束させる経営的な視点やスキルが必要と考えています。当社の登録セキスペにはこういった視点・スキルを身につけさせていきたいです。

社員の登録セキスペの登録に積極的なユーザ企業はまだ少ないようですが、それはビジネス遂行におけるITの位置づけが、まだ「文房具」という意識にとどまっているからではないでしょうか。当社ではITはビジネス遂行に欠かせないものであり、サイバー攻撃が大きなビジネスリスクと認識し情報処理安全確保支援士を登録

しています。ユーザ企業においてもビジネスに対する危機意識が高まれば、ITガバナンスに真剣に取り組まざるを得なくなるため、情報処理安全確保支援士のような人材はますます必要となってくると思います。 ◆その他のインタビューは配布チラシまたは下記URLへ

https://www.ipa.go.jp/siensi/data/interview.html#section1



◼ 登録者数（これまでの登録状況）

https://www.ipa.go.jp/siensi/data/20190401newriss.html

2017年4月登録

2017年10月登録

2018年4月登録

2018年10月登録

2019年4月登録

新規登録者数

4,172 2,822 2,206 8,214 1,052

2017年4月1日時点 2017年10月1日時点 2018年4月1日時点 2018年10月1日時点 2019年4月1日時点

ご参考）平成３１年度春期情報処理安全確保支援士試験合格者：2,744名

情報処理安全確保支援士の登録人数は18,330名

となりました（2019年4月1日時点）


４．登録状況について登録者内訳（1）性別・勤務先業種

プレスリリースURL：https://www.ipa.go.jp/siensi/data/20190401newriss.html

18,330名（2019年4月1日時点）

【勤務先業種別】

勤務先の業種人数割合

情報処理・提供サービス業 6,623 49.6%

ソフトウェア業 2,435 18.2%

コンピュータ及び周辺機器製造又は販売業

430 3.2%

製造業 925 6.9%

建設業 186 1.4%

卸売・小売業、飲食店 131 1.0%

サービス業 461 3.4%

運輸・通信業 852 6.4%

農業、林業、漁業、鉱業 3 0.0%

電気・ガス・熱供給・水道業 85 0.6%

金融・保険業、不動産業 329 2.5%

調査業、広告業 20 0.1%

官公庁、公益団体 378 2.8%

教育（学校、研究機関） 174 1.3%

医療・福祉業 63 0.5%

その他（学生など） 265 2.0%

女性1,095名6.0％

男性17,235名94.0％


４．登録状況について登録者内訳（2）年代・地域別

登録日平均年齢 10代 20代 30代 40代 50代 60代 70代

2019年4月1日 40.0歳154 364 369 177 8

14.6％ 34.6％ 33.2％ 16.8％ 0.8％

2018年10月1日 41.0歳4 1,322 6,258 7,180 2,380 213 3

0.0% 7.6% 36.0% 41.4% 13.7% 1.2% 0.0%

2018年4月1日 39.9歳2 264 813 813 292 20 2

0.1% 12.0% 36.9% 36.9% 13.2% 0.9% 0.1%

2017年10月1日 39.6歳3 293 1,135 1,056 320 15

0.1% 10.4% 40.2% 37.4% 11.3% 0.5%

2017年4月1日 40.5歳4 320 1,642 1,642 507 57

0.1% 7.7% 39.3% 39.3% 12.2% 1.4%

合計 13 2,199 9,848 10,691 3,499 305 5

登録日北海道東北関東中部・東海

近畿中国四国九州・沖縄

海外

2019年4月1日10 32 729 83 111 17 12 58

1.0% 3.0% 69.3% 7.9% 10.6% 1.6% 1.1% 5.5%

2018年10月1日228 425 12,215 1,525 1,899 351 172 545

1.3% 2.4% 70.4% 8.8% 10.9% 2.0% 1.0% 3.1%

2018年4月1日23 31 1,607 188 223 42 23 69

1.0% 1.4% 72.8% 8.5% 10.1% 1.9% 1.0% 3.1%

2017年10月1日44 89 2,015 248 281 40 31 74

1.6% 3.2% 71.4% 8.8% 10.0% 1.4% 1.1% 2.6%

2017年4月1日66 134 2,928 358 424 85 26 150 1

1.6% 3.2% 70.2% 8.6% 10.1% 2.0% 0.6% 3.6% 0.1%

合計 361 679 18,765 2,319 2,827 518 252 838 1

単位：人

単位：人

50代13％

http://ipa-portal/sites/kitei/DocLib/11-8.docx?web=1

All Rights Reserved, Copyright © IPA 2019 42(2019年4月1日時点）（単位：人）

４．登録状況について登録者内訳（3）都道府県別

都道府県人数都道府県人数

北海道北海道 234

近畿

京都府 206

大阪府 1,030

東北

青森県 46

岩手県 74 滋賀県 78

宮城県 218 兵庫県 528

秋田県 36 奈良県 124

山形県 36 和歌山県 29

福島県 43

中国

鳥取県 26

関東

東京都 5,985 島根県 37

茨城県 289 岡山県 81

栃木県 71 広島県 183

群馬県 103 山口県 38

埼玉県 1,434

四国

徳島県 30

千葉県 1,556 香川県 76

神奈川県 3,458 愛媛県 57

中部東海

新潟県 85 高知県 19

富山県 96

九州沖縄

福岡県 344

石川県 129 佐賀県 28

福井県 48 長崎県 32

山梨県 27 大分県 38

長野県 142 熊本県 57

岐阜県 123 宮崎県 19

静岡県 180 鹿児島県 15

沖縄県 65

愛知県 713 海外 1

三重県 63 合計 18,330


４．登録状況について登録者内訳（4）担当業務･登録のきっかけ

担当セキュリティ関連業務（N＝13,510）

登録のきっかけ（N＝13,510）

⚫ 登録者の現状調査票※に基づく内訳（対象：2019年4月1日登録までの13,510名）※現状調査票登録申請書に添付しご提出いただくもの。2017年6月21日より運用を開始。


関連URL

⚫ 試験ワーキンググループ中間取りまとめ～情報処理安全確保支援士制度～平成２８年４月

産業構造審議会商務流通情報分科会情報経済小委員会試験ワーキンググループhttp://www.meti.go.jp/committee/sankoushin/shojo/johokeizai/shiken_wg/pdf/report_01_01_00.pdf

⚫ サイバーセキュリティ分野において初の国家資格となる「情報処理安全確保支援士」制度を開始しましたhttp://www.meti.go.jp/press/2016/10/20161021002/20161021002.html

⚫ 登録制の新国家資格“情報処理安全確保支援士”の登録可能対象者、申請手続き、資格維持の方法などを公表https://www.ipa.go.jp/about/press/20161024.html

⚫ セキュリティ人材の確保に関する研究会中間報告平成２7年8月http://www.meti.go.jp/committee/sankoushin/shojo/johokeizai/pdf/006_s01_00.pdf

プレスリリース日：平成28年10月21日

プレスリリース日：平成28年10月24日


まとめ

個人としても、組織としても、

ぜひ情報処理安全確保支援士制度をご活用ください

情報処理安全確保支援士

サイバーセキュリティ分野初の登録制の国家資格として2016年10月に創設されました

サイバーセキュリティに関する専門的な知識・技能を活用して

企業や組織における安全な情報システムの企画・設計・開発・運用を支援し、

また、サイバーセキュリティ対策の調査・分析・評価を行い、

その結果に基づき必要な指導・助言を行うことを想定しています。

⚫ 18,000人を超える情報処理安全確保支援士が誕生しています。

⚫ 制度を活用される企業・組織も増えつつあります。

★次回の登録日は2019年10月1日（火）です。

→ 2019年8月15日（木）消印有効


■情報処理安全確保支援士に関する詳細や手続きについて、IPAのホームページでご案内しています。

http://www.ipa.go.jp/siensi/index.html

ご清聴ありがとうございました。

■制度に関するお問い合わせは、以下にお願いいたします。

IPA IT人材育成センター国家資格・試験部

登録・講習グループ

E-mail: [email protected]

国家資格「情報処理安全確保支援士」制度について ·...

Documents