情報セキュリティマネジメント 平成31年度 春期 午前 問9

✓ これが正解エ 利用しているクラウドサービスに保存している情報資産を含めて，台帳に記入する。

解説

クラウド上の情報資産も含めて台帳に記入するのが適切です。

情報資産管理台帳の目的は、組織が守るべき情報資産を漏れなく把握することにあります。設問が引く中小企業の情報セキュリティ対策ガイドライン（第2.1版）の考え方では、利用しているクラウドサービスに保存している情報資産も、組織が管理すべき資産として台帳に記入します。手元のサーバやPCに無いというだけで台帳から外すと、その資産はセキュリティ対策の検討から漏れてしまうからです。重要度を一律に評価できない、重要度がまだ確定しない、媒体が複数あるといった事情は、記入しない理由にはなりません。まず載せて把握し、評価はあとから見直していくのが台帳の使い方です。

ほかの選択肢の解説

• ア 様々な情報が混在し，重要度を一律に評価できないドキュメントファイルは，企業の存続を左右しかねない情報や個人情報を含む場合だけ台帳に記入する。：重要な情報や個人情報を含む場合だけ記入する方法では、それ以外のドキュメントファイルが管理の外に置かれます。台帳は資産を漏れなく把握するためのものなので、選別してから載せるのでは順序が逆です。
• イ 時間経過に伴い重要度が変化する情報資産は，重要度が確定してから，又は組織で定めた未記入措置期間が経過してから，台帳に記入する。：重要度が確定するまで記入を待つと、その間、守るべき資産が台帳から見えなくなります。時間の経過で重要度が変わる資産こそ、まず記入したうえで評価を見直していくのが適切です。
• ウ 情報資産を紙媒体と電子データの両方で保存している場合は，いずれか片方だけを台帳に記入する。：紙媒体と電子データの両方で保存しているなら、保管場所も漏えいの経路もそれぞれ異なります。片方だけを記入すると、もう片方への対策の検討が漏れてしまいます。