Question 1

A社の総務部に配属されて間もない田中さんは、上司から情報資産台帳の整備を任された。情報資産の重要度を評価する観点として、最も適切なものはどれか。

Accepted Answer

情報の機密性・完全性・可用性の三観点で評価する。【解説】情報資産の重要度は、機密性(限られた者だけがアクセスできる状態が保たれているか)、完全性(情報が正確かつ改ざんされていない状態が保たれているか)、可用性(必要なときに情報にアクセスできる状態が保たれているか)の三つの観点から総合的に評価するのが基本である。これらの観点ごとに損なわれた場合の影響度を評価し、情報資産台帳に記録することで、後のリスクアセスメントの基礎データとなる。【他の選択肢が不適切な理由】従業員数の多さは情報そのものの重要度とは関係がない。保管場所の広さも情報の価値を示す指標ではない。アクセスできる者の役職の高さだけを基準にすると、実際には機密性が低い情報でも役員しか扱わないという理由だけで過大評価される一方、現場の機密情報が見落とされるおそれがある。

Question 2

B社の情報システム部門でリスクアセスメントを実施したところ、複数のリスクが組織のリスク受容基準を超えることが判明した。限られた予算の中でリスク対応を検討する際に、最も適切な進め方はどれか。

Accepted Answer

リスクの大きさと対策費用を踏まえて対応の優先順位を付ける。【解説】リスクアセスメントの結果、受容基準を超えるリスクが複数ある場合は、リスクの大きさ(発生可能性と影響度)と対策に要する費用対効果を総合的に勘案し、優先順位を付けてリスク対応(低減・保有・回避・移転)を検討するのが基本である。限られた資源を最も効果的に配分するため、経営層を交えたリスク基準に基づく合理的な判断が求められる。【他の選択肢が不適切な理由】全リスクに同額を割り当てる方法はリスクの大小を無視しており非効率である。単に対策費用の安さだけで順序を決めると、影響の大きいリスクへの対応が後回しになりかねない。リスク対応は経営に関わる意思決定であるため、情報システム部門だけの裁量で決定せず経営層の承認を得る必要がある。発生確率の低いリスクだけを優先するのは影響度を無視した判断であり適切でない。

Question 3

C社の営業部門では、顧客リストを含む表計算ファイルが、社内規程上の情報分類(社外秘・部外秘・公開等)を付与されないまま共有フォルダで扱われていた。情報セキュリティ委員会の指摘を受けた際にとるべき対応として最も適切なものはどれか。

Accepted Answer

社内の情報分類基準に照らして直ちに格付けを行い取扱制限を明示する。【解説】情報資産は組織で定めた分類基準(機密性の高さ等に応じた社外秘・部外秘・公開といった区分)に従って格付けし、格付けに応じた取扱制限(アクセス権限、保管方法、廃棄方法等)を明示する必要がある。顧客リストのような個人情報を含むファイルは特に機密性が高いと考えられるため、速やかに正しい分類を付与し、既存の未分類ファイルも遡って点検・是正することが求められる。【他の選択肢が不適切な理由】指摘事実を報告書に残さないことは問題の隠蔽であり、是正の機会を失わせ組織全体のリスクを高める。情報分類基準は組織横断で適用される全社的なルールであり、特定の部門の資産だからといって適用を免れることはできない。既存のファイルを対象外とすると、既に存在するリスクを放置することになり是正にならない。

Question 4

D社では新たにクラウド型の勤怠管理サービスを導入することになった。導入前のリスクアセスメントにおいて、機密性の観点からの検討に加えて確認すべき事項として最も適切なものはどれか。

Accepted Answer

サービス障害時の復旧目標時間など可用性に関するリスクも確認する。【解説】クラウドサービスの導入検討では、不正アクセスによる情報漏えいといった機密性の観点だけでなく、サービス提供者側の障害によって業務が停止する可用性の観点や、データが意図せず改ざん・消失する完全性の観点も含めて多面的にリスクを洗い出す必要がある。特に勤怠管理のように日々の業務で継続的に利用するシステムでは、目標復旧時間(RTO)やバックアップ体制などの可用性リスクの確認が欠かせない。【他の選択肢が不適切な理由】操作性やデザインの好みは業務継続や情報保護に直結するリスクではなく、リスクアセスメントで優先的に扱うべき事項ではない。値引き交渉の余地はコストの観点であり、情報セキュリティリスクの評価とは別の検討事項である。

Question 5

E社の情報システム担当者が全ての識別済みリスクに対して一律に高コストな対策を導入しようとしたところ、上司から再検討を指示された。上司の意図として最も適切なものはどれか。

Accepted Answer

リスクの大きさに見合う対応を選ばせる意図。【解説】リスク対応の検討では、リスクの大きさ(発生可能性と影響度)に見合った対策を選定することが重要であり、影響の小さいリスクにまで一律に高コストな対策を講じることは、限られた経営資源の非効率な配分につながる。上司の指摘は、費用対効果を踏まえてリスクごとに適切な対応レベル(低減・保有・回避・移転)を選び直すよう促すものと考えるのが最も自然である。【他の選択肢が不適切な理由】予算消化を目的化することは本末転倒であり、リスク対応の合理性を欠く。現場の担当者が具体的な対策案を検討すること自体は通常の業務プロセスであり、全ての決定を上司に集約すべきという意図とは考えにくい。再検討の指示は対策の質を高める趣旨であり、対策そのものの縮小を意味するものではない。

Question 6

F社の営業担当者が顧客訪問時に使用するノートPCとUSBメモリについて、リスクアセスメントの結果、紛失・盗難時の情報漏えいリスクが高いと評価された。取り得るリスク低減策として最も適切なものはどれか。

Accepted Answer

保存データを暗号化し持ち出しに承認手続きを設ける。【解説】紛失・盗難による情報漏えいリスクへの代表的な低減策は、保存データそのものを暗号化しておくことである。万一端末を紛失しても、暗号化により第三者が中身を読み取ることは実質的に困難になる。あわせて、持ち出し自体を許可制にし、必要最小限のデータしか持ち出さないよう承認手続きを設けることで、リスクをさらに引き下げることができる。【他の選択肢が不適切な理由】始末書の様式を用意することは事後対応の準備であり、漏えいそのものを防ぐ低減策にはならない。購入価格を安価な製品に変更しても情報漏えいリスクとは無関係である。訪問件数を減らすことは営業活動そのものを制約する対応であり、情報セキュリティ上合理的なリスク低減策とはいえない。

Question 7

G社では、ある部門が保有する設計図面データについて、管理責任者(情報資産のオーナー)が明確に定められていないまま長年運用されてきたことが監査で判明した。是正措置として最も適切なものはどれか。

Accepted Answer

当該情報資産のオーナーを定め管理責任の所在を明確にする。【解説】情報資産には、その資産の分類・取扱いに関する意思決定や管理を行う責任者(オーナー)を定めることが情報セキュリティ管理の基本である。オーナーが不明確なまま運用されると、アクセス権限の見直しや廃棄の判断など重要な意思決定が滞り、結果として不適切な取扱いが放置されるリスクが高まる。監査での指摘を受けて、速やかにオーナーを指定し責任の所在を明確化することが適切な是正措置である。【他の選択肢が不適切な理由】業務上必要なデータを直ちに削除することは事業継続に支障を来し、過剰な対応である。監査指摘を公表せず処理することは組織のガバナンス上不適切であり、是正の実効性も担保できない。責任を全従業員に等しく分散させることは、実質的に誰も責任を負わない状態を招き、オーナー不在の問題を解決しない。

Question 8

H社では、対策を講じた後もなお残るリスク(残留リスク)について、情報システム部門の担当者レベルの判断で受容するかどうかを決めていた。この運用を見直す際に最も適切な考え方はどれか。

Accepted Answer

残留リスクの受容は経営者やリスクオーナーが判断する。【解説】対策を講じてもなお残るリスク(残留リスク)をどこまで受容するかは、組織全体の事業への影響を踏まえた経営判断であるため、現場の担当者レベルではなく、経営者や各リスクの責任を負うリスクオーナーが判断すべき事項である。受容の判断内容と根拠は記録として残し、後日の見直しに活用できるようにすることも重要である。【他の選択肢が不適切な理由】対策後もリスクが完全にゼロになることは通常なく、残留リスクを存在しないものとして扱うことは実態を無視した誤った運用である。外部監査法人は監査を通じて意見を述べる立場であり、組織の内部意思決定である受容判断そのものを代行する立場にはない。記録を残さない運用は、後日の説明責任を果たせず、また同様の判断基準の継続性も損なう。

Question 9

I社の情報セキュリティ委員会は、これまでリスクアセスメントを新システム導入時にしか実施していなかったが、運用体制の見直しを検討している。今後の実施タイミングとして追加すべき最も適切なものはどれか。

Accepted Answer

定期的な見直しに加え組織や環境に大きな変化があった時にも実施する。【解説】リスクアセスメントは一度実施すれば終わりというものではなく、あらかじめ定めた周期(年一回など)での定期的な見直しに加え、組織改編、新たな脅威の出現、業務プロセスの変更、新システムの導入など、リスクの状況に大きな変化が生じた場合にも、その都度実施することが望ましい。継続的にリスクの状況を把握し、対策の見直しにつなげることが情報セキュリティ管理の基本である。【他の選択肢が不適切な理由】初回導入時だけで終える運用では、その後の環境変化に伴う新たなリスクを見逃すおそれがある。監査での指摘を待つ姿勢は受動的であり、リスクが顕在化する前の予防的な取組みにならない。経営者からの要望だけに依存する運用は、体系的・継続的なリスク管理としては不十分である。

Question 10

J社のオフィスでは、離席時にPC画面をロックせず、机上に書類を出したままにする従業員が散見された。クリアデスク・クリアスクリーンの考え方に基づいて実施すべき対応として最も適切なものはどれか。

Accepted Answer

離席時の画面ロックと書類の施錠保管を全社ルールで徹底する。【解説】クリアデスク・クリアスクリーンは、離席時にPC画面をロックし、机上に重要な書類を放置せず施錠可能な場所に保管するという物理的セキュリティの基本原則である。第三者による覗き見や書類の持ち出しといったリスクを低減するため、特定の従業員だけでなく全社的なルールとして定め、周知徹底することが適切である。【他の選択肢が不適切な理由】特定の従業員のみを対象とした席替えでは、組織全体のリスクを低減する仕組みにならない。画面ロックを任意設定にすると、実施しない従業員が残りルールとしての実効性を欠く。照明を明るくすることは作業環境の改善であり、画面や書類が放置されていること自体のリスクを解消するものではない。

事例問題:情報資産管理とリスクアセスメントの実践の一問一答