平成21年度 春期 午前 問80

✓ これが正解エ組織のセキュリティ方針を文書化し，定期的に研修を開催する。

解説

方針を文書にして定期的に教育します。

この設問で基準に適合するものとして挙がっているのは、組織のセキュリティ方針を文書化し、定期的に研修を開催することです。守るべきことが言葉になって残っていなければ、現場の判断は人によってばらつきますし、一度伝えただけでは人の入れ替わりとともに薄れていくため、書いて残すことと繰り返し伝えることが対になって効いてきます。見分けるときの軸は、その取り組みが、何かが起きたときの被害の広がりと、誰の行為だったかを後から辿れるかどうかを、どちら向きに動かすかを読むことです。全部をつなげる、利用者 ID を分け合う、大きな権限を持ち続ける、という三つは、いずれも被害を広げるか、辿りにくくする向きに働きます。

ほかの選択肢はなぜ違うのか

• ア監視効率を向上させるためにすべてのネット…：監視効率を向上させるためにすべてのネットワークを相互接続するという内容です。ひとところが破られたときに影響が全体へ及びやすくなるため、対策として勧められる形にはなりません。
• イ業務上必要な場合は，利用者 ID を個人…：業務上必要な場合は、利用者 ID を個人間で共有して使用できるという内容です。記録が残っていても誰の行為だったかを切り分けられなくなるので、後から辿る手掛かりが失われます。
• ウシステム管理者が，すべての権限をもつ利用…：システム管理者が、すべての権限をもつ利用者 ID を常に使用できるという内容です。ふだんの作業まで大きな権限で行うと、誤った操作や不正な仕込みがあったときの被害が広がりやすくなります。