解説

SIM3（Security Incident Management Maturity Model）はOpen CSIRT Foundationが開発した、組織のセキュリティインシデント管理能力の成熟度を評価するフレームワーク。CSIRTの組織的成熟度を4段階で評価する。

なぜ他の選択肢は違うのか

選択肢 ア

CMMC（Cybersecurity Maturity Model Certification）は米国防省（DoD）の防衛産業サプライヤー向けサイバーセキュリティ成熟度認証制度。CSIRTの成熟度評価ではない。

選択肢 イ

CMMI（Capability Maturity Model Integration）はソフトウェア開発プロセスの成熟度モデル。セキュリティインシデント管理専用ではない。

選択肢 ウ

SAMM（Software Assurance Maturity Model）はOWASPが開発したソフトウェアセキュリティの成熟度モデル。CSIRTの評価ではなくソフトウェア開発のセキュリティ成熟度を評価する。

解くときのポイント

セキュリティ成熟度モデルの整理: CMMC（DoD調達先）、SAMM（ソフトウェア開発）、SIM3（CSIRT運営成熟度）。目的に応じたモデルの使い分けを理解する。