CISSP認定継続要件変更

既にホルダーには、メールで連絡が来ていますが、認定継続要件が変更されます。

●認定継続要件変更のご連絡およびFAQ
(ISC)2理事会（Board of Directors of (ISC)2）は、 2008年4月30日から有効となる、CISSP・SSCP・CAP認定保持者の継続教育単位（CPEクレジット）の新取得要件を承認しました。

現状においては、認定継続のためには、3年毎に取得要件を満たすことのみが必要となっています。今回の変更により、2008年4月30日以降は、CISSP・SSCP・CAP認定保持者は、 CPEクレジットの年間最低取得要件を満たすことと、年会費（AMF）を支払うという、1年毎の要件を満たさなければなりません。

前述のCPEクレジットの年間最低取得要件に関しての注意点として、 3年間の資格更新期間に、必要とされているクレジット数よりも多いCPEクレジットを取得している認定保持者であっても、毎年、年間最低取得CPEクレジットを取得し、申請しなければなりません。

ということで、CPEは3年間120クレジット以上の取得、かつ1年間で20クレジット以上の取得が必要となりました。
これで、ISACAのCISA、CISMなどと同じ条件になりました。

最後の1年で追い込みCPE取得、というのは通用しなくなりましたので、毎年コツコツCPE取得のための活動をしましょうね。

(ISC)2 メンバーズページの使い方

CISSPホルダーの方とお会いする際、多い会話に「CPEは、獲得できてますか？」というのがあります。
「はい、順調に」とか「いいえ、なかなか・・・」とか答えはさまざまなのですが、最近かなり多い答えが「ところで、どうやって申請するんですか？」というもの。
「それじゃ、クレジット獲得しても申請も確認もできないですよね。『メンバーズページ』はご存知ですか？」
「えっ、それは何ですか？」

ってことで、今回は「メンバーズページ」の使い方をご紹介します。

(ISC)2 のホームページに「メンバーズページの利用方法」という説明があります。

画面コピーを使って、21ページにもわたる丁寧な解説です。
ここで「メンバーズページ」の使い方とCPEの申請や確認の仕方をマスターしてください。

ここで使う「初期パスワード」は、認定証と一緒にエアメールで送られてきてますので、そちらでご確認ください。

ちなみに、CPEについてはこちらを参照ください。
・「CPEクレジット」

・「CPEクレジット取得モデルのご紹介」

これで、CPE申請と確認はできますね？
（もちろん、対象となる活動は別途必要です、あしからず・・・）

（ISC）2、第1回ISLS開催

昨日6/7、（ISC）2で第1回のISLSが開催されました。
多くのCISSPが集まりました。
4月24日のフォーラム以来のCISSP同窓会という感じでした。
（何名かのホルダーの方とは、歓談することができ楽しかったです）

概要は、以下の通り。

……………………………………………………………………………………………

(ISC)2 Japanでは、日本在住のCISSP認定保持者の皆様の情報発信、情報共有、
スキルアップ等を目的として、(ISC)2 Information Security Leadership Series
(ISLS)をスタートいたします。
本シリーズでは、毎回数名のCISSP認定保持者の方に、
得意分野に関するトピック、日常の業務から得られた事例など、
皆様のスキルアップや業務に役立つ発表を行って頂きます。
参加者には、CPEクレジット 2ポイントが付与されます。

第一回開催を6月7日（木）に実施します。ぜひふるってご参加下さい。

┏★【開催概要】
┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
……………………………………………………………………………………………
▼名称： (ISC)2 Information Security Leadership Series 第1回

▼会期： 2007年 6月 7日(木)　18時30分～20時00分
　　　　　▽受付　18時00分より

▼会場： 東京大学　駒場リサーチキャンパス　駒場コンベンションホール
         東京都目黒区駒場4-6-1 生産技術研究所 An棟(総合研究実験棟)　2階
　　　　（キャンパス案内： http://www.iis.u-tokyo.ac.jp/map/index.html ）
　　
▼主催： (ISC)2 Japan

▼対象来場者： CISSP認定保持者

▼記念すべき第1回の発表者は、下記3名のCISSP認定保持者です。

   ―アイ・ビー・エム　ビジネスコンサルティング　サービス（株）
     アプリケーションイノベーション　e-セキュリティソリューション
     シニア・コンサルタント
     小熊　慶一郎氏

     発表テーマ：グローバル情報セキュリティにおける課題と推進のポイント

   ―マイクロソフト（株）
　　 コンサルティングサービス統括本部
　　 シニアコンサルタント
　　 河野　隆志氏

　　 発表テーマ：IPsec を使用したサーバーおよびドメインの分離の概要

   ―（株）ラック
　　　SNS事業本部　コンサルティング事業部　カスタマーサービス部
　　　システムエンジニア
　　　富田　一成氏

　　　発表テーマ：情報セキュリティトレーニング講師になって

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━　　　　　

ISLSは海外ではすでに開催されていますが、日本では今回が初開催でした。
このようなイベントがあるものCISSPならではのことです。

第2回以降も、楽しみです。
（秋のフォーラムも楽しみですが）

私のCPE

「CPEって、どれくらい取ってますか？」
これも、よく聞かれる質問です。

実は、図の通りです。

昨年中に次の更新までのCPEは取得済みです。
ということで、しばらくCPEは必要ありません。

ですからCPE関連イベントも、もう行きません。
CPEのための活動もしません。
なんていうのは、もちろんウソです。

もちろん、CPEのためだけにイベント参加にしたり、活動をしているわけではないですから。
しかし、ホッとしたのは確かです。
CISSPホルダーにとって、やはりCPEはもっとも気になるものですから。

それから、このCPEが取得できたのは、多くの方々にお世話になり、機会を与えていただいたからでもあります。心より、深く感謝、感謝しております。

情報セキュリティ関連イベント（10～11月）

未紹介の主な情報セキュリティ関連イベント（10～11月）を、開催順にいくつか。
（講師業務などで、私はすべて行けそうにありません。残念・・・）

●Security Solution 2006
　日時： 2006年10月18日（水）～20日（金）　10:00ー17:30
　場所： 東京ビッグサイト

●東京大学CCR 情報セキュリティコミュニティ 第二回情報セキュリティシンポジウム ～ITガバナンス時代に求められる情報セキュリティ～
　日時： 2006年10月25日（水）　10:30～18:00
　場所： 東京大学　駒場リサーチキャンパス　駒場コンベンションホール

　→ CISSP Trusted CPE（6credits）対象イベント

●JNSA Network Security Forum 2006
　日時： 2006年11月13日（月）～14日（火）　10:00～17:30
　場所： ベルサール神田

　→ CISSP Trusted CPE対象イベント

●ITガバナンス協会 設立記念カンファレンス
　日時： 2006年11月18日（土）13:00～17:40
　場所： ベルサール九段

　→ ITガバナンス協会の設立に関する記事は、こちら。

「A」クレジットと「B」クレジット

今回もCPEのお話です。

CPEのクレジットには、2種類あります。

「A」クレジット
「A」クレジットとは、CBK（Common Body of Knowledge）10ドメインに直接関連するものとして(ISC)²が認めるCPEクレジットを指します。（例：Trusted CPE プロバイダー・トレーニングコースへの参加など）
120ポイントのうち、少なくとも80ポイント以上の「A」クレジットが必要です。

「B」クレジット
「B」クレジットとは、CBK（Common Body of Knowledge）10ドメインに直接関連しない(ISC)²が認めるCPEクレジットを指します。（例：(ISC)²サーベイへの協力など）
120ポイントのうち、40ポイントを上限として取得が可能です。

ということで、2/3以上は、「A」クレジットを獲得しなければなりません。

というよりも、基本的にはこの「A」クレジットの対象の活動をしてCPEとしましょう、ということです。

（ちなみに私の場合は、今のところすべて「A」クレジットで申請しています）

「A」クレジットを獲得するには、以下のような活動をします。

下記12項目の活動について、CPE 「A」 クレジットが付与されます。

1.セキュリティ関連のトレーニングコース参加
参加1時間に対して1ポイント付与。
＊必要提出事項：　コース名、コース提供者名、参加時間

2.セキュリティ関連展示会参加
参加1時間に対して1ポイント付与。
＊必要提出事項：　展示会名、展示会提供者名、参加時間

3.セキュリティ団体の会合参加
参加1時間に対して1ポイント付与。
＊必要提出事項：　団体名、参加時間

4.セキュリティ団体の役員活動
セキュリティ団体の役員活動をすることで最大40クレジットまで付与。クレジットはそれぞれの団体に対する寄与度に応じて付与が決定されます。 原則は活動参加1時間につき1ポイント付与とします。
また(ISC)²に関するボランティア、例えば役員、委員会のメンバーになったり、試験問題作成に寄与したりという活動をすることでも クレジットが付与されます。どの活動にどれだけのクレジットと付与するかは(ISC)²の役員会で決定されます。
＊必要提出事項： 団体名、資格有効期間内で役員であった年数

5.政府・公共機関でのボランティア活動
政府・公共機関でのボランティア活動にもCPEクレジットが付与されます。その場合、参加1時間に対して1ポイント付与されます。
＊必要提出事項： 政府・公共機関名、活動時間

6..大学院のセキュリティコース参加

参加1時間に対して1ポイント付与。合格点以上の成績で終了することが条件となります。
＊必要提出事項： コース名、大学院名、参加時間

7.セキュリティベンダーとの打合せやプレゼン参加
1時間のベンダーとの打合せやプレゼン参加で1ポイント付与。
＊必要提出事項： ベンダー名、参加時間

8.トレーニングコース開発
トレーニング、講義資料を作成することに対してもCPEクレジットが付与されます。 その場合は1時間のトレーニングに必要な資料を作成することに付き、4ポイントが付与されます。 ただし、実際の講義やトレーニング実施の時間はクレジット付与の対象とはなりません。
＊必要提出事項： 開発コース分野名、申請クレジット数

9.セキュリティ関連記事執筆
セキュリティ関連記事の執筆も独自作成のものであればCPEクレジット対象となります。 執筆原稿については10ポイントが付与され、セキュリティ関連本の執筆については1冊に付き40ポイントが付与されます。
＊必要提出事項： 記事名、本のタイトル

10.自己学習、オンライントレーニングコース完了
自己学習型またはオンライン型のトレーニングの終了によってもCPEクレジットが付与されます。 参加1時間に対して1ポイントが付与され、監査の対象となった場合には、終了したという証明、終了証明書や学位証明書などの提出が求められます。
＊必要提出事項： コース名、参加時間

11.セキュリティ関連本読了
情報セキュリティ関連本の読了で年間最大5ポイント付与されます。また情報セキュリティ関連雑誌の講読で年間最大5ポイントが付与されます。
年間で本1冊、購読雑誌1誌に限定。本・雑誌に関して、実際に読了した本、購読している雑誌の下記情報を提出しなければなりません。

タイトル、著者 （本） / 出版社 （雑誌）、ISBN番号
監査になった場合、読了した本や雑誌を保有している事の証明（本自体の提出、購入時のレシート・請求書、図書館の貸出記録、雑誌購読記録など） の提出が必要となります。
＊必要提出事項： 本のタイトル・雑誌名、著者・出版社、ISBN番号

12.セキュリティ本のレビュー執筆
レビューについては、(ISC)²での英語での審査が必要となるため、申請は英語のみ可能です。

ほとんどの方は、この中の1.～3.でCPEを獲得しています。

特にTrusted（監査などが必要のないもの）のトレーニングコースや展示会に参加するなどが多いのです。

3.の場合は、JNSAのISSJP-WGの活動などが該当します。

それから私の場合は、8.でもCPEを獲得しています。

上記以外の活動が「B」クレジットということになりますが、（ISC）2からくるレターのアンケートに答えるなどがこれに該当します。

もちろん、「B」クレジットだけでは必要なCPEは獲得できませんので、こちらは活動の中心と考えてはいけません。

あくまで「A」クレジットの対象となる活動を中心としましょう。

CPE Credit

CPEは、その資格の知識やスキルを維持継続する、ということで重要かつ有効な制度です。CISSP以外の国際標準的資格（CISA、CISMなど）も同様の制度を持っています。

（私もそういう資格を所有していますが）「取ったら一生もの」という資格には、このような手間もありませんが、知識やスキル、ひいてはホルダーとしての価値の低下を招くこともあります。

CPEは、基本的に1時間あたり1creditという計算をします。
ですから、10時～17時、ランチ休憩1時間というようなトレーニングコースに参加すれば、CPEは6creditsということになります。

維持のために必要になるのは3年間で120credits、ということは1年あたり40creditsです。つまり、40時間以上のトレーニングコースやイベントへの参加が必要だということです。
そしてCPEを獲得するためには、時間やコストが発生することも考慮しておく必要があります。

CPE獲得に苦労されている方が多いのが現状です。
獲得をする機会がなかったり、普段からCPEを獲得できるトレーニングコースやイベントに参加するような業務や活動をしていなかったり、ということがその原因であることが多いようです。

私の場合は幸いなことに、CPEを獲得できる機会に恵まれているので（今のところ）、心配の必要がありません。今年も既に40creditsを稼いでいます。

ところで、CPEって何？

今更ながら、CPEについて・その1です。
CPEとは何か？

（ISC）2 JapanのHPで以下のように紹介されています。

継続教育単位（CPEクレジット：Continuing Professional Educations credits）の取得について

CISSP®ホルダーは資格継続のため、資格取得時から毎3年間で120ポイント以上のCPEクレジットを取得しなければなりません。

●「A」クレジット
「A」クレジットとは、CBK（Common Body of Knowledge）10ドメインに直接関連するものとして(ISC)2が認めるCPEクレジットを指します。（例：Trusted CPE プロバイダー・トレーニングコースへの参加など）
120ポイントのうち、少なくとも80ポイント以上の「A」クレジットが必要です。
●「B」クレジット
「B」クレジットとは、CBK（Common Body of Knowledge）10ドメインに直接関連しない(ISC)2が認めるCPEクレジットを指します。（例：(ISC)2サーベイへの協力など）
120ポイントのうち、40ポイントを上限として取得が可能です。

つまり、CISSP資格を取得したら、それを継続するために、トレーニングコースやイベントに参加しなければならず、そうすることによって、それが資格維持（スキルの維持）の活動として認められ、CPEのポイントが与えられる、ということです。
これは資格維持の必須条件で、規定の上記のポイントを確保できないと、更新できず「失効」ということになってしまいます。

そうならないように、CISSPホルダーはCPEを一生懸命取得しているいうことですね。

ブラックハット・ジャパン・２００６

ブラックハット・ジャパン2006は、今年で3回目のCPE対象イベントです。

ちょっとディープなイベントですが、世界の著名人が多数講演します。（同時通訳ついてます）どっぷりとセキュリティ漬けになれます。

行きたいんだけど、スケジュールが調整つくかな、有料だから受講料どうしようかな、同時通訳のセッションに丸2日も耐えられるかな、などなどが心配なため、私は現在は態度保留中。

ブラックハット・ジャパン・２００６・ブリーフィングス

東京・新宿　京王プラザホテル • ２００６年１０月５日（木）－６日（金）

Black Hatと財団法人インターネット協会は、2006年10月5日と6日の2日間、第3回ブラックハット・ブリーフィングス・ジャパン (Black Hat Briefings Japan) を東京にて共同で開催いたします。

アメリカ、ヨーロッパ、アジアでそれぞれ開催されるブラックハット・ブリーフィングスには、セキュリティに関する最新の開発トピックスと技術についての情報交換と議論のために、毎年世界中から総数2000人を超えるコンピューターと情報と技術のセキュリティ・エキスパートが集まります。

　東京で開催されて3年目となるブラックハット・ジャパンでは、これらのエキスパートが東京に集結し、今年の最新のセキュリティに関する知識と研究と経験を発表します。参加者にとっては、彼らと間近に接して具体的に質問できる数少ない機会です。これは、日本とアジアの参加者がセキュリティについての国際的で高度な情報交換を行うことを促進するでしょう。

情報セキュリティ監査シンポジウム

「2006年 情報セキュリティ監査シンポジウム in TOKYO」

今日（正確には昨日）、行われたNPO日本セキュリティ監査協会（JASA）のシンポジウムです。

このイベントは、CISSPのTrusted CPEイベントです。

本シンポジウムはCISSP Trusted CPEイベントに認定されております。全てのセッションに対し、【1セッション1ポイント】付与されます。

と、いうことでしたので、最大7ポイントになるってことですね。

今回は、「保証型監査」がメインテーマですね。
う～ん、大変ですよ、奥が深いですよ、「保証（assurance）」って。（CISSPでも、しょっちゅう出てくる重要キーワードですが）
合理的保証、限定的保証、段階水準保証、画一水準保証・・・
何がなんだかわからなくなっていた方もいらっしゃったようで。（自分のことか？）

今回のシンポジウムでは、JASA広報誌「Security Eye」第4号も配布されました。

こちらの号のブックレビューとCAIS資格に関してのインタビューで、私が掲載されております。
「Security Eye」は、年3回発行、購読無料（現在のところ）ですので、ご興味のある方は申し込んで読んでみてください。

ブックレビューでは、基調講演をされた日大の堀江教授の著書「IT保証の概念フレームワーク -ITリスクからのアプローチ-」について書かせていただいております。

この書籍を読んでブックレビューを書きましたで、「保証」についてはそれなりに知識がつきました。でもまだまだ奥が深い（「保証」も、「情報セキュリティ」も）です・・・