SIM3とは
Security Incident Management Maturity Modelの概要と日英対訳

SIM3（Security Incident Management Maturity Model）は、セキュリティインシデントマネジメントに関する組織の能力・成熟度を評価するためのモデルです。

CSIRT（Computer Security Incident Response Team）をはじめとするセキュリティインシデントマネジメントを担う組織や機能について、単に「インシデントに対応できるか」だけではなく、その活動が組織としてどの程度整備され、文書化され、実行され、評価されているかを確認するために用いられます。

SIM3を管理するOpen CSIRT Foundation（OCF）では、CSIRTの成熟度を「チームが、その機能をどの程度適切に統治し、文書化し、実行し、測定しているか」を示すものとして説明しています。

現在の参照版は、2023年1月1日に公開された「SIM3 v2 interim」です。Open CSIRT Foundationでは、SIM3 v2 interimをSIM3 v1から大幅に更新したものと位置付けており、CSIRTだけでなく、ISAC、SOC、PSIRTなどへの適用を見据えたSIM3 v2の開発を進めています。

SIM3はどういう仕組みか

SIM3では、セキュリティインシデントマネジメントの成熟度を、多数の「Maturity Parameter（成熟度パラメータ）」によって確認します。

それぞれの成熟度パラメータは、次の4つの区分（Quadrant）に分類されています。

O：Organisation（組織）
H：Human（人材）
T：Tools（ツール）
P：Processes（プロセス）

それぞれのパラメータについて、ルールや手順等が存在するか、文書化されているか、正式に承認されているか、監査されているかといった観点から成熟度を確認します。

成熟度は基本的に0～4のレベルで表現されます。

このためSIM3は、CSIRTが存在するか、セキュリティ製品を導入しているかといった単純なチェックリストではありません。組織、人材、ツール、プロセスという複数の側面から、セキュリティインシデントマネジメントの仕組みが組織としてどこまで定着しているかを確認できることが特徴です。

Open CSIRT Foundationでは、SIM3による自己評価を行うためのオンラインツールも公開しています。

SIM3は国際的にどう使われているか

SIM3は、Open CSIRT Foundationだけで利用されているモデルではありません。

Open CSIRT Foundationによれば、TF-CSIRTのTrusted Introducerでは2010年にSIM3を採用し、その後、FIRST、GFCE、ITU、AfricaCERT、ENISA及びEU CSIRTs Network、LACNIC、OASなど、さまざまな国際的・地域的なコミュニティで活用されてきました。

日本との関係で分かりやすい例の一つが、FIRST（Forum of Incident Response and Security Teams）への加盟手続です。

FIRSTは、世界各国・地域のCSIRT等が参加する国際的なインシデント対応コミュニティです。

JPCERT/CCは2022年に公開した「FIRSTの加盟手続きが変わりました」において、FIRSTへの加盟を希望するCSIRTが行う手続の一つとして、SIM3による自己評価を紹介しています。

そこでは、SIM3について「CSIRTの成熟度を自己診断するためのツール」と説明し、組織、人材、ツール、プロセスの4カテゴリーについて評価する仕組みが紹介されています。

FIRST自身が現在公開しているMembership Processにおいても、加盟希望チームによる「SIM3 self-assessment」が正式な加盟プロセスの一つとして位置付けられています。

このようにSIM3は、CSIRTの内部的な成熟度確認だけではなく、国際的なCSIRTコミュニティにおいて、組織の成熟度を確認するための共通的な枠組みとしても利用されています。