「政府機関等の情報セキュリティ対策のための統一基準群」について

https://togetter.com/li/1714221 高木浩光氏による「デジタル庁によるnote発信における問題点の指摘」が話題になっているが、この焦点となっている 「政府機関等の情報セキュリティ対策のための統一基準群」（通称：統一基準群）について、誤解を前提としたブコメがあまりに多いので簡単に概要説明。 あくまで「統一基準群って何？」という大前提についての話で、高木氏の指摘内容自体は説明しない。 ●原本はここ https://www.nisc.go.jp/active/general/kijun30.html 現在令和3年度版策定中なのでこれが現行。全文が公開されている。 「群」と言われている通り、規範－指針－基準及び基準策定ガイドライン、という階層構造の文書群。 専門家でなくても判るよう噛み砕いた文章にはなっているが、規定である以上正確性を担保した文章で、読み飛ばせないゆえに

[natu3kan]

結構、ルールがしっかり考えられてるが故に煩雑になって、読み解いて対策する専門知識がいるみたいな感じになってる訳な。

[Dragoonriders]

"何も言われなくても仕様書の一行に対し数百項目の対策リストを出してくる"ベンダーって、それはろくに専門性がなくまともに運用も検証もできなくて官僚はバカばっかですーって証左だろそれ。なんともしょうもない。

[hasiduki]

罰則ないから無視してOKってことをデジタル庁が率先して示した

[kjin]

“把握できてない以上意図してなくても本件のようなやらかしを踏み抜く可能性がつきまとうわけで（SaaS事業者は統一基準群に守れているか、なんて回答してくれない）、そこを恐れる実務者の気持ちは分からないでもな

[sangping]

NISC（もしくは基準群に精通した相談窓口専門の政府組織）が正式に各機関のセキュリティ運用をサポートしてくれる体制にはならないのかな。あっ、それがデジタル庁か！