情報セキュリティマネジメント試験情報＆徹底解説

スレッド[1608]から引っ越し。
新しいスレッドを立てたほうがいいと思うので。

https://www.sg-siken.com/kakomon/01_yosou/q22.html

momochanさん
> 予想問題1 問22
> 情報セキュリティの対策を、技術的セキュリティ対策、人的セキュリティ対策及び物理的セキュリティ対策の三つに分類するとき、…
> 
> ア …
> イ …
> ウ …
> エ パスワードの変更を定期的に促す。
> 
> 解説で エ は「技術的セキュリティ対策に該当します」とあるのですが、変更を定期的に促すということは、従業員にパスワードの変更を定期的にやらせる、ということ。
> パスワードの変更ルールを定めるのは、人的セキュリティ対策だと思いますが、どうなのでしょうか。
> パスワードの設定自体は技術的セキュリティ対策だとは思いますが。

私もいまいち自信はありませんが。
パスワードを安全なものにする、という意味では技術的対策ですかねえ。
人的セキュリティ対策と言う場合は、「人的脅威に対する対策」なのだと思います。

QMさん、ありがとうございます。

＞パスワードを安全なものにする
パスワードの定期変更については、現在では定期的な変更をすることでパスワードの作り方がパターン化し簡単なものになることや、使い回しをするようになることの方が問題であるということで、内閣サイバーセキュリティセンター（NISC）では、パスワードを定期変更する必要はなく、流出時に速やかに変更することを推奨しているとの事が頭にありまして…。

「人的脅威に対する対策」が人的セキュリティ対策ですね。
人的セキュリティ対策について、もうすこし探ってみます。
ご意見いただきありがとうございます。
助かります。

QMさん
こんばんは

非常にご無沙汰しておりました。文面から察するにお元気そうで何よりです。
夕食時間に質問を受け付け、調理夕食後に解答するという荒業見せてください。はは

さて、この問題。ウで正解を導き出せますね。
物理的対策でPCを施錠対策する、を選べれば他の選択肢は外れ選択肢ということです。
ここで大事なのが「ほかの選択肢が外れの理由」まで学習すること。
そうすれば４択４問分の学習となり、ちからがつくからです。
さすが手を抜かないmomochanさん

さて問題
ア、守秘義務契約は人的対策
イ、ディジタル署名は技術的対策
ウ、正解
エ、パスワードの変更を定期的に促す。
 同じパスワードを使い続けるリスクを回避する技術的セキュリティ対策でしょう。

これは完璧主義のmomochanさんは食いつくよね。
まずはウ正解だから、次にいこう！
初日からあんまりやり過ぎるとつかれちゃうよ。 
休み休み楽しんでください。
わたしやQMさんが応援しています。

QMさん、ちょっと考えてみました。

「パスワードの変更を定期的に促す」
パスワードの変更を促す相手は、従業員に対してだと思いましたので、人的かなと思っていました。
パスワードの変更が安全対策として有効なのに、それをしない従業員は人的脅威かなと。
どうなのかな？

例えばこんなのどうかな。

パスワードを定期的に変更する様に教育する（集合教育）する
↑
人的セキュリティ対策

変更されたパスワード
↑
技術的セキュリティ対策

あら、AgentTakaさんが直前に投稿していたのですね。

＞同じパスワードを使い続けるリスクを回避する
素直に考えるとそうですね。
ルールを守らない従業員がちらついてしまい、それが脅威だと想像してしまいました。
私想像が好きですねぇ。
こういうところで点を落とす悪い例！
昔も今も変わってないです。 あはは

AgentTakaさん
> 非常にご無沙汰しておりました。文面から察するにお元気そうで何よりです。
> 夕食時間に質問を受け付け、調理夕食後に解答するという荒業見せてください。はは

お久しぶりです。相変わらずノリノリですね。
このところ掲示板の反応が低調だったので、なんだか新鮮です(笑)

私もしばらくご無沙汰していたのですが、最近ちょっとマメにチェックしています。
まあ、いつまで続くか判りませんが。
とりあえず夕食と後片付けは済みました。

momochanさん
> パスワードの変更が安全対策として有効なのに、それをしない従業員は人的脅威かなと。
> どうなのかな？

「促す」だけだと強制力がないから、対策とまでは言えないのでは。

ここで注目しているのは「変える」（本人しか変えられないので、促す形になる）ことのほうで、これは技術的対策。
もっとも、momochanさんも書かれている通り、定期的な変更を「強制」するのは逆効果とされます。
変える＝安全なパスワードに変える とは限らない。

単に定期的に変更しないレベルを超えて、漏えいが判明していても変更しない従業員、なんていうのは人的脅威と言っていいと思いますが、そこへの対策は、教育や罰則規定かな。


> ルールを守らない従業員がちらついてしまい、それが脅威だと想像してしまいました。
> 私想像が好きですねぇ。
> こういうところで点を落とす悪い例！
> 昔も今も変わってないです。 あはは

深読みしたり、自分の職場の場合を想像したりすると、間違うんですよね。
書いてあることだけから素直に解答するのが大事。

もっとも、この問題の場合は正解が明らかなので、あまり気にしなくていいです。
正答の選択肢にする場合は、もっと誤解のないようにしてくれると思います。

催さないやつは、厳重注意や査定ダウンなどの制裁が必要です。
 これがmomochanさんのいう人的セキュリティ対策。
一方、パスワードを定期的に変更して不正アクセスを防止する。
 これが技術的セキュリティ対策。
こういう認識でみんなの頭の中がマッチングされたね。

ＱＭさんも仰る通り、正解の選択肢が簡単だから本番では大丈夫！
おれが言うんだから間違いない！

>QMさん
>「促す」だけだと強制力がないから、対策とまでは言えないのでは。
>ここで注目しているのは「変える」（本人しか変えられないので、促す形になる）ことのほうで、これは技術的対策。
選択肢が「パスワードの変更を定期的に行う」だったら、すんなりいったのですが、引っかかってしまいました。

>深読みしたり、自分の職場の場合を想像したりすると、間違うんですよね。
>書いてあることだけから素直に解答するのが大事。
これ本当に大事ですね。
肝に銘じます。
ありがとうございます。


>AgentTakaさん
初日のITパスポートの問題からこれだと先がどうなることやら。
のんびりやりたいと思います。
ありがとうございます。


QMさん、AgentTakaさん、また何かありましたらご教授いただければ幸いです。
ありがとうございました。