Question 1

情報セキュリティの3要素は、英語の頭文字を取って「CIA」と呼ばれる。このうち「A」が表す要素はどれか。

Accepted Answer

可用性（Availability）。情報セキュリティの3要素は、Confidentiality（機密性）・Integrity（完全性）・Availability（可用性）の3つで、その頭文字を並べるとCIAになります。したがって「A」が指すのは可用性です。可用性とは、必要になったときに情報やシステムをきちんと使える状態を保つことをいいます。サーバが故障して業務が止まってしまえば、情報が外部に漏れていなくても情報セキュリティは損なわれたことになります。「守る＝隠す」だけではない、という点が最初につまずきやすいところです。他の選択肢について：・真正性（Authenticity）：頭文字はAですが3要素には含まれず、利用者や機器が名乗るとおりの相手であることを指す追加の特性です。・完全性（Integrity）：CIAの「I」に当たり、情報が正しく保たれ、勝手に書き換えられていないことを指します。・機密性（Confidentiality）：CIAの「C」に当たり、権限のない人に情報を見せないことを指します。

Question 2

情報セキュリティで守る対象である「情報資産」の範囲について、正しいものはどれか。

Accepted Answer

紙の名簿やパソコン本体も含む。情報資産とは、組織にとって価値があり守るべき対象のすべてを指します。パソコンやサーバの中の電子データだけでなく、紙の顧客名簿や契約書、それらを扱うパソコン・サーバ・USBメモリなどの機器、さらには公表していない業務ノウハウのような形のない情報まで含まれます。守る範囲を電子データだけに狭めてしまうと、書類の置き忘れや持ち出し、離席中の机上からの盗み見といった、実際に多く起きている事故を見落とすことになります。学習の第一歩としては、まず自分の職場にどんな情報資産があるかを洗い出し、重要度に応じて分類する（＝情報資産台帳を作る）という流れを押さえておくとよいでしょう。他の選択肢について：・電子データだけが対象：紙媒体の紛失や盗難も情報漏えいの主要な原因であり、対象から外すことはできません。・社外へ公開した情報だけが対象：むしろ非公開の社内資料こそ、守るべき情報資産の中心です。・金額を算定できる情報だけ：信用や個人の権利など、金額に換算しにくい価値をもつ情報も含まれます。

Question 3

情報セキュリティにおける「脆弱性」の説明として正しいものはどれか。

Accepted Answer

脅威に付け込まれる弱点のこと。脆弱性とは、情報資産や管理体制がもともと抱えている弱点のことです。修正プログラムを当てていないソフトウェア、推測しやすいパスワード、施錠されていない書庫、退職者のまま残っているアカウントなどが該当します。覚え方としては、脅威（＝危険をもたらす側）と脆弱性（＝それを受け入れてしまう弱点）が組み合わさって初めて実際の被害につながる、という関係で整理すると分かりやすくなります。攻撃という脅威が存在しても、弱点がなければ被害には至りません。そして、こちらの努力で減らせるのは主に脆弱性の側です。だからこそ、更新の適用やアカウントの棚卸しが対策の柱になります。他の選択肢について：・損害を与えうる事象や行為：これは「脅威」の説明で、攻撃・盗難・災害など外から来る要因を指します。・被害額を金額で見積もったもの：これはリスクを評価するときの「影響度」に当たる考え方です。・対策後に残る危険の大きさ：これは「残留リスク」と呼ばれるもので、脆弱性そのものではありません。

Question 4

情報セキュリティにおける「インシデント」に当たるものとして正しいものはどれか。

Accepted Answer

セキュリティを損なう出来事。情報セキュリティインシデントとは、情報の漏えい・改ざん・利用できない状態など、情報セキュリティを損なう出来事や、その一歩手前で損なうおそれのある出来事をいいます。大切なのは、実際の被害が確定していなくてもインシデントとして扱うという点です。ノートパソコンを紛失した、不審なメールの添付ファイルを開いてしまった、宛先を間違えてメールを送ったという時点で、すでに報告の対象になります。「たいしたことはないだろう」と個人で判断して黙っていると、同じ攻撃が他の社員にも届いていた場合に組織として気付くのが遅れ、被害が広がります。迷ったら報告する、という姿勢が何より重要です。他の選択肢について：・対策の効果を点検する活動：これは監査や見直しに当たる活動で、インシデントそのものではありません。・守るべき規則をまとめた文書：これは情報セキュリティポリシーなどの規程類を指します。・重要性を伝える社内の研修：これはインシデントを防ぐための人的な対策の一つです。

Question 5

サーバの故障に備えて可用性を高める対策として正しいものはどれか。

Accepted Answer

予備のサーバへ自動で切り替える。可用性とは、必要なときに情報やシステムを使える状態を保つ特性です。したがって、同じ構成のサーバをもう一台用意して故障時に自動で切り替える冗長化は、可用性を高める代表的な対策になります。ほかにも、定期的なバックアップの取得、停電に備えた無停電電源装置（UPS）の設置、通信回線の二重化などが可用性の対策です。ここで身につけたいのは、対策を覚えるときに必ず「3要素のどれを守るのか」とセットで理解する、という考え方です。同じ「対策」という言葉でも、暗号化は機密性、履歴の記録は完全性、二重化は可用性というように守る対象が違います。この対応付けは繰り返し問われます。他の選択肢について：・ファイルの暗号化：権限のない者に内容を読ませないための対策で、主に機密性を高めます。・変更履歴の記録：情報が正しく保たれているかを確かめる対策で、主に完全性を高めます。・利用者ごとの権限分け：見せる範囲と操作できる範囲を絞るアクセス制御で、主に機密性を高めます。

Question 6

ファイルが途中で書き換えられていないことを確かめる仕組みは、情報セキュリティの3要素のうち主にどれを守るものか。

Accepted Answer

完全性。完全性とは、情報が正確かつ完全な状態に保たれ、正当な手続によらずに書き換えられたり壊されたりしていないことをいいます。ファイルが途中で書き換えられていないことを確かめる仕組みは、この完全性を守るものです。具体的な手段としては、ファイルから計算したハッシュ値を送信前と受信後で照合する方法や、デジタル署名を検証する方法があります。どちらも「内容が同じかどうか」を機械的に判定するもので、内容を隠すわけではない点に注意してください。暗号化は中身を読ませないための技術、ハッシュ値の照合は中身が変わっていないことを確かめるための技術であり、目的がまったく異なります。他の選択肢について：・可用性：使いたいときに使える状態を保つ特性で、書き換えの有無とは別の観点です。・機密性：権限のない者に情報を見せない特性で、暗号化やアクセス制御が対応します。・責任追跡性：操作を行った本人までたどれる特性で、書き換えを検知することそのものとは別の観点です。

Question 7

情報セキュリティの脅威は「意図的脅威」「偶発的脅威」「環境的脅威」に分けられる。意図的脅威に当たるものはどれか。

Accepted Answer

退職予定の社員が情報を転売した。意図的脅威とは、不正アクセス、情報の持ち出し、盗難、なりすましなど、人が悪意をもって故意に行う行為をいいます。退職予定の社員が顧客の情報を私的に持ち出して転売した例は、まさにこれに当たります。ここで初心者が意外に感じるのは、内部の従業員による行為も立派な意図的脅威だという点です。攻撃者は外部にいるものだと考えがちですが、実際の情報漏えい事故では、正規の権限をもつ内部者による持ち出しが大きな割合を占めます。だからこそ、権限を必要最小限に絞る、操作の履歴を残す、退職時にアカウントを速やかに無効化するといった内部への備えが欠かせません。他の選択肢について：・宛先の取り違え：悪意のない人為的なミスであり、偶発的脅威に分類されます。・落雷による停電：自然現象に起因するもので、環境的脅威に分類されます。・操作の誤りによる削除：これも故意ではない誤操作であり、偶発的脅威に分類されます。

Question 8

情報セキュリティ対策のうち「物理的対策」に分類されるものはどれか。

Accepted Answer

サーバ室の入口に認証装置を置く。物理的対策とは、施錠、入退室の管理、監視カメラの設置、書類の施錠保管、不要書類のシュレッダーによる裁断など、場所や物そのものを守る対策をいいます。サーバ室の入口にICカードの認証装置を設置するのは、この物理的対策の典型例です。情報セキュリティの対策は、組織的（規程や体制を整える）・人的（教育や誓約書）・物理的（施錠や入退室管理）・技術的（暗号化や対策ソフト）の4つに分けて整理するのが一般的です。どれか一つだけでは守り切れず、組み合わせて初めて効果が出ます。この4分類は言い換えの形で問われやすいので、それぞれの代表例を一つずつ言えるようにしておくと安心です。他の選択肢について：・セキュリティ研修：従業員の意識と行動に働きかけるもので、人的対策に分類されます。・マルウェア対策ソフトの導入：機器やソフトウェアの仕組みで守るもので、技術的対策に分類されます。・手順の文書化と社内規程：管理の枠組みを定めるもので、組織的対策に分類されます。

Question 9

情報セキュリティポリシーは一般に3階層で構成される。最上位に位置し、経営者の考え方や取組の方針を示す文書はどれか。

Accepted Answer

基本方針。情報セキュリティポリシーは、最上位の「基本方針」、守るべき事項を分野ごとに定めた「対策基準」、具体的な作業のやり方を示した「実施手順」という3階層で整理するのが一般的です。最上位に位置し、経営者の考え方や取組の方針を示すのが基本方針です。基本方針は、組織として情報セキュリティにどう取り組むかを経営者の言葉で宣言する文書で、社外にも公表されることが多いものです。上の階層ほど内容は抽象的で変わりにくく、下の階層ほど具体的で見直しの頻度が高くなる、という関係を押さえておくと、三つの違いが整理しやすくなります。実施手順は業務のやり方が変われば随時見直されます。他の選択肢について：・対策基準：基本方針を受けて、守るべき具体的なルールを分野ごとに定めた第2階層の文書です。・実施手順：対策基準をどう実行するかを手順書の形で示した最下層の文書です。・監査報告書：ポリシーが守られているかを点検した結果をまとめたもので、ポリシーの階層には含まれません。

Question 10

「シャドーIT」の説明として正しいものはどれか。

Accepted Answer

許可なく私物の機器を業務で使う。シャドーITとは、組織の管理部門が把握も承認もしていない機器やクラウドサービスを、従業員が業務のために勝手に使ってしまうことをいいます。私物のUSBメモリで資料を持ち帰る、無料のファイル共有サービスに業務データを置く、私用のチャットアプリで連絡を取る、といったものが典型です。やっかいなのは、悪意ではなく「その方が早くて便利だから」という善意から始まることが多い点です。しかし管理部門の目が届かないため、そのサービスが停止しても誰も把握できず、設定を誤って外部に公開していても気付けません。禁止するだけでは減らないため、業務上必要な機能を正規の手段で用意することが、実効性のある対策になります。他の選択肢について：・夜間や休日の保守作業：正規に計画された運用作業であり、管理外の利用を指す言葉ではありません。・遠隔地の予備システム：これはバックアップサイトなど、事業継続のための備えを指します。・外部への運用委託：これはアウトソーシングで、契約に基づく正規の利用形態です。

基礎-1 情報セキュリティの3つの柱と基本用語の一問一答