人的セキュリティ(教育・訓練・内部不正対策)の一問一答

組織における情報セキュリティ教育の目的に関する記述として、最も適切なものはどれか。

• ①情報システム部門の担当者にのみ実施すればよく、他部門には特に不要である。
• ②全従業員に重要性やルールを理解させ、業務で適切に実践できるようにする。
• ③新入社員研修の際に一度実施すれば、以後は繰り返す必要がないとされる。
• ④情報セキュリティ教育の内容は一切公開せず、経営層のみが把握しておくこと。

「標的型攻撃メール訓練」の目的として、最も適切なものはどれか。

• ①実際の攻撃者を特定し、警察に告発するための証拠を収集すること。
• ②メールサーバの処理性能を測定し、増強の要否を判断すること。
• ③疑似攻撃メールを送信し、不審メールへの対応力や意識を高める。
• ④従業員のメール利用時間を集計し、業務効率を評価すること。

内部不正の発生要因を説明する「不正のトライアングル」を構成する3要素として、最も適切なものはどれか。

• ①機会、動機、正当化
• ②権限、責任、報酬
• ③資産、脅威、脆弱性
• ④計画、実行、隠蔽

従業員や取引先と締結する「秘密保持契約(NDA)」の目的として、最も適切なものはどれか。

• ①契約の相手方に対し、自社製品を優先的に購入する義務を課すこと。
• ②契約の相手方の給与や報酬の金額を、一方的に決定すること。
• ③契約の相手方に対し、将来の転職先を制限し職業選択の自由を奪うこと。
• ④業務上の秘密情報を、契約目的以外に利用・開示しないよう定めること。

従業員の退職に伴う情報セキュリティ上の対応として、最も適切なものはどれか。

• ①退職から半年程度が経過した後、時間に余裕を持ってアカウントを削除する。
• ②退職日に合わせて、システムアカウントや入退室権限を速やかに無効化する。
• ③業務の引き継ぎが完了するまでは、退職後も無期限にアクセス権を維持する。
• ④アカウントの削除は情報システム部門の判断のみで行い、人事部への連絡を省略する。

情報セキュリティに関する誓約書や就業規則の位置づけとして、最も適切なものはどれか。

• ①法的な効力を持たない、単なる努力目標であり違反しても懲戒対象にならない。
• ②外部の取引先にのみ適用され、自社の従業員には適用されないとされる。
• ③従業員が遵守すべき義務を明確にし、違反時の懲戒処分等の根拠となる。
• ④情報システムの技術的な設定手順のみを記載した、開発者向けのマニュアルである。

内部不正の防止策としての「職務のローテーション」の効果に関する記述として、最も適切なものはどれか。

• ①特定の担当者に業務を長期間固定させ、専門性を極限まで高めること。
• ②従業員同士の私的な交流を制限し、業務上の会話のみを許可すること。
• ③退職予定者にのみ適用し、在職期間の長い従業員には適用しないこと。
• ④特定の担当者が業務を独占する状況を避け、不正の発見や抑止を図る。

電話や対面での会話を通じて機密情報を聞き出す「ソーシャルエンジニアリング」への対策として、最も適切なものはどれか。

• ①本人確認を徹底し、不審な問い合わせに安易に情報を伝えない意識を教育する。
• ②全ての電話・来客対応を一切禁止し、外部との接触を完全に断つこと。
• ③社員番号を全従業員が常に胸元に大きく表示し、誰でも読み取れるようにする。
• ④パスワードを全社員で共通の1種類に統一し、覚えやすくすること。

情報セキュリティ違反に対する懲戒規定の周知に関する記述として、最も適切なものはどれか。

• ①懲戒規定は経営層のみが把握していればよく、一般従業員に周知する必要はない。
• ②懲戒規定は形式的に作成すれば十分であり、実際に適用された前例がなくても問題ない。
• ③違反行為とその処分内容を就業規則等で明確に定め、周知することで抑止効果を高める。
• ④懲戒の対象となる行為を意図的に曖昧にし、都度経営者の裁量のみで判断できるようにする。

システム管理者などが利用する「特権ID」の管理に関する記述として、最も適切なものはどれか。

• ①業務の効率化のため、一般利用者にも特権IDを常時付与しておく。
• ②利用者を最小限に限定し、利用状況を記録・監視する等、厳格に管理する。
• ③特権IDのパスワードは一度設定したら、以後変更する必要はないとされる。
• ④特権IDの利用ログは記録せず、利用者の自己申告等で運用を管理する。