平成31年度 春期 午前 問60

✓ これが正解イ機密性の高い情報資産が置かれている部屋には，入室許可を得た者が共通の暗証番号を入力して入室している。

解説

共通の暗証番号での入室は、個々人を追えないので指摘対象です。

情報セキュリティの実践規範では、機密性の高い情報資産を置く区画への入退室は、いつ、誰が、どのように入ったかを個々人の単位で追えるようにしておくことが求められます。この求めに照らすと、入室許可を得た者どうしで同じ暗証番号を共有し、それを入力して入室する形は、記録が残ったとしても、その時点で入室したのが誰であったかまでは特定できません。責任の追跡が個々人の単位で成り立たなくなるため、監査人はこの点を指摘事項として報告書に載せる必要があります。他の三つの記述、すなわち荷物の受渡し場所を情報処理施設と切り離す、機密性の高い区画を人目から遠ざける、外部との打合せの場を執務室や情報資産のある場所から分ける、はいずれも規範の求めに沿った物理的な区分の考え方に合っているので、指摘事項として取り上げる対象にはあたりません。正解の肢は、個々人の単位での追跡が成り立たなくなる運用を述べたものです。

ほかの選択肢はなぜ違うのか

• ア外部からの荷物の受渡しは，サーバ室などの…：外部からの荷物の受渡しを、情報処理施設に立ち入ることなく積降ろしできる場所で行っていると述べています。これは配送業者などの外部の者と情報資産の置き場所を切り離す運用で、規範の求めに沿った望ましい形にあたります。
• ウ機密性の高い情報資産が置かれる部屋は，社…：機密性の高い情報資産が置かれる部屋を、社員以外の目に触れる場所を避けて設けていると述べています。これは資産の存在そのものを外から見えにくくする配置の工夫で、規範の求めに沿った望ましい形にあたります。
• エ取引先との打合せは，社員が業務を行ってい…：取引先との打合せを、執務室から分離された場所であって、機密性の高い情報資産が置かれていない場所で行っていると述べています。これは業務と面談を物理的に切り離した運用で、規範の求めに沿った望ましい形にあたります。