情報セキュリティマネジメント 科目A・B サンプル問題 科目B 問57

✓ これが正解ア 評価結果=OK ／ 評価根拠=アクセス権の設定状況が適切であることを確認した。

解説

図1の判定ルールと、B支店が今年確かめたことの記述を突き合わせます。

自己評価シートの1行を埋める設問で、この空欄には評価結果と評価根拠の2つを組にして入れます。ですから見るべき場所も2か所あります。1か所目は図1の判定ルールで、どういうときにどの記号を使うかが4通りに分けて定めてあります。2か所目は事例文の冒頭で、B支店が今年何をしたかが1文で書かれています。

軸は、評価根拠が評価結果を支えているかどうかです。図1のルールは、評価項目どおりに実施している場合と、実施していないが代わりの手立てで同じくらいまで抑えられている場合と、抑えられていない場合と、そもそもリスクが無い場合を分けています。どの記号になるかは、根拠として何を確かめたかで決まります。

そこで事例文の冒頭に戻ってください。B支店が今年行ったのは、従業員に聞き取りをして、ファイルのアクセス権が実際にそのとおり設定されていることを確かめる、という作業です。No.19の評価項目は、そのアクセス権が最小権限の原則に基づいて設定されているかを問うものですから、設定の状況そのものを確かめた事実がそのまま根拠になります。

気を付けたいのは、根拠として弱いものを置いてしまう型です。決まりが存在すること、運用している部署が別にあること、これらは、その決まりのとおりに設定されているかどうかを何も示しません。決まりがあっても設定が違っていることはありますし、運用の担当が誰かは設定の中身の話ではありません。

また、リスクがそもそも無いと言えるのは、その場面が起こり得ないときだけです。事例文は、顧客情報を含むファイルを一時的に保存する場合があると述べているので、この評価項目に関わる場面は現に存在します。

図1で記号の意味を確かめ、事例文で何を確かめたかを見る。この2手で、結果と根拠の組は1つに決まります。

ほかの選択肢の解説

• 項番a：ここには、判定ルールのうち実施できていると言える記号と、それを裏づける確かめ方が組で入ります。聞き取りで設定そのものを見た記録があるため、代わりの手立てに頼った形にも、該当する場面が無いという形にもなりません。規程の有無やサーバの管理主体を挙げるだけでは、項目どおりかどうかの裏づけになりません。