最終更新日：2026年9月2日

fe fe-technology security guideline

まず結論

情報セキュリティ関連のガイドラインは、文書名を丸暗記するより、「誰を・何を対象にしているか」で切り分けると判断しやすくなります。

対象 文書・枠組み
産業社会全体・サプライチェーン CPSF
テレワークを行う企業や従業員 テレワークセキュリティガイドライン
クラウドの利用者と提供者 クラウド関連ガイドライン
データセンターの利用者と事業者 データセンターセキュリティガイドブック

試験では、次の一文を判断軸にします。

文書名ではなく、対象範囲を見る。

また、テレワークの運用ルールでは次の考え方も重要です。

セキュリティ対策を従業員個人の判断に任せず、組織が条件・制限を定める。

直感的な説明

4つの文書は、守ろうとしている範囲が違います。

産業社会全体を見る
→ CPSF

働く場所を見る
→ テレワーク

クラウドの利用関係を見る
→ クラウド

施設と運用を見る
→ データセンター

同じ「情報セキュリティ」の文書でも、対象が違えば目的も変わります。

テレワークでは、会社の外で仕事をしていてもセキュリティ管理まで個人任せになるわけではありません。

組織が方針・条件・制限を決める
        ↓
従業員がルールに従って利用する

この関係を押さえておくと、運用規程を問う問題にも対応しやすくなります。

定義・仕組み

CPSF

CPSFは、サイバー空間とフィジカル空間が融合した産業社会において、サプライチェーン全体のリスクと対策を整理するための枠組みです。

対象は、特定の会社や施設だけではありません。

企業間のつながり
サイバー空間とフィジカル空間のつながり
サイバー空間におけるつながり

といった広い関係を見ます。

詳しくは、サイバー・フィジカル・セキュリティ対策フレームワークの記事で整理しています。

テレワークセキュリティガイドライン

テレワークを安全に導入・運用するための考え方を示します。

主な対象は、次のような働き方です。

  • 在宅勤務
  • サテライトオフィス勤務
  • モバイル勤務

判断ワードは、次のとおりです。

自宅
社外
モバイル端末
VPN
公衆Wi-Fi
のぞき見
端末の紛失

テレワークのルールは誰が決める？

試験では、テレワーク中のセキュリティ対策を従業員が自由に判断してよいかを問うことがあります。

基本的な考え方は次のとおりです。

組織
→ テレワークの条件・制限を定める
→ 必要なセキュリティ対策を決める

従業員
→ 定められたルールを守る

たとえば、次のような事項を組織側で決めて運用します。

  • 利用できる端末
  • マルウェア対策
  • ファイアウォールなどの保護
  • 社内システムへのアクセス方法
  • 家族や訪問者による端末・情報へのアクセス

したがって、「マルウェア対策ソフトを導入するかどうかは従業員各自で判断する」という考え方は不適切です。

クラウド関連ガイドライン

クラウドサービスを安全に利用するために、利用者と提供者がどのように役割を分担し、管理策を実施するかを整理します。

判断ワードは、次のとおりです。

クラウドサービス
利用者
提供者
責任分担
管理策
SLA

クラウドでは、すべてを提供者に任せるのではなく、利用者側にも設定・アカウント管理・データ管理などの責任があります。

データセンターセキュリティガイドブック

データセンターの利用者と事業者が、施設や運用の安全性について共通理解を持つための文書です。

判断ワードは、次のとおりです。

データセンター
入退室管理
電源
空調
災害対策
設備
利用者と事業者

科目Aでどう出る？

科目Aでは、文書名そのものよりも、説明文から対象を見抜く問題が出ます。

典型的な切り分け

選択肢の表現 対応する文書
新たな産業社会、サプライチェーン、全体像 CPSF
柔軟な働き方、在宅勤務、社外利用 テレワークセキュリティ
クラウド利用者と提供者の連携 クラウド関連ガイドライン
データセンターの利用者と事業者 データセンターセキュリティ

問題文で見る順番

1. 対象は人・働き方か
2. 対象はクラウドか
3. 対象は施設か
4. 産業社会やサプライチェーン全体か

この順で確認すると、選択肢を切りやすくなります。

テレワーク運用規程を問われたら

テレワークの具体的な運用ルールでは、次の切り分けが使えます。

選択肢の考え方 判断
組織が利用条件や制限を定める ○
組織が利用端末を指定する ○
組織が家族・訪問者によるアクセスのルールを定める ○
マルウェア対策の要否を従業員それぞれが判断する ×

試験では、次の一文を思い出します。

「個人の判断に任せる」が出たら要注意。

どんな場面で使う？

CPSF

製造、物流、サービス、IoTなどがつながる産業社会のリスクを整理するときに使います。

テレワークセキュリティ

自宅や社外から業務システムへ接続するときの安全対策を考える場面で使います。

特に、端末、ネットワーク、マルウェア対策、アクセス方法などについて、組織としてどこまで許可し、何を禁止するかを決めるときに重要です。

クラウド関連ガイドライン

クラウドサービスを選定・導入・運用し、利用者側と提供者側の責任を整理するときに使います。

データセンターセキュリティ

データセンターの施設、設備、運用、入退室管理、災害対策などを評価するときに使います。

よくある誤解・混同

テレワークなら従業員が自分で安全対策を決める

誤りです。

働く場所が会社の外になっても、業務で使用する情報やシステムのセキュリティ管理まで個人任せになるわけではありません。

組織が基準を決める
→ ○

従業員ごとに自由に決める
→ ×

会社支給PCに限定するのは不適切である

必ずしも誤りではありません。

組織がリスクを考慮して、利用する端末を会社支給PCに限定する運用も考えられます。重要なのは、組織が方針を決めて管理することです。

家族の利用を禁止するのは厳しすぎる

セキュリティ上の理由から、家族や訪問者による業務端末・業務情報へのアクセスについてルールを設けることは不自然ではありません。

CPSFとクラウドセキュリティ

どちらもデジタル技術を扱いますが、対象範囲が違います。

CPSF
→ 産業社会やサプライチェーン全体

クラウドセキュリティ
→ クラウド利用者と提供者の関係

テレワークとクラウド

テレワークでクラウドを使うことはありますが、文書の目的は別です。

働き方の安全
→ テレワーク

クラウドサービスの利用と提供
→ クラウド

データセンターとクラウド

クラウドサービスはデータセンター上で提供されることがありますが、試験では次のように分けます。

サービス利用の責任分担
→ クラウド

施設・設備・入退室・電源
→ データセンター

ガイドラインは法律である

誤りです。

ガイドラインは、関係者が安全対策を進めるための指針です。法律のようにすべての記載事項が直ちに強制されるとは限りません。

一次情報

まとめ（試験直前用）

  • 産業社会全体・サプライチェーンならCPSF
  • 在宅勤務・社外勤務・柔軟な働き方ならテレワーク
  • テレワークのセキュリティ対策は個人任せにせず、組織が条件・制限を定める
  • 利用者と提供者の責任分担ならクラウド
  • 施設・設備・入退室・電源ならデータセンター

試験直前には、次の順で思い出します。

産業社会全体
→ CPSF

働き方
→ テレワーク

サービス利用
→ クラウド

施設
→ データセンター

テレワークの運用問題では、さらに次の一文を加えます。

組織が決める
→ ○

従業員各自に任せる
→ ×

文書名を暗記するより、誰を・何を対象にしているかで切る。

© 2024-2026 stemtazoo. All rights reserved.