情報セキュリティマネジメント試験情報＆徹底解説

情報機器の紛失に関する次の記述を読んで，設問1，2に答えよ。

　Z社は，従業員数2,000名の生命保険会社であり，東京に本社をもち，全国に支社が点在している。以下，本社及び各支社を拠点という。
　Z社では，拠点の営業員が，会社貸与の持出し用ノートPC(以下，NPCという)を携帯して顧客を訪問し，商品説明資料，見積書，契約書の作成などを行っている。Z社の本社情報システム部は，NPCの情報セキュリティ対策とその持出し管理のために，表1に示すルールを定めている。　Z社は，各拠点に情報セキュリティ管理責任者とその配下の情報セキュリティリーダーを置いている。また，各拠点に配置された情報システム担当は，各拠点で利用するPCなどの情報機器の貸出し，表1に示した情報セキュリティ対策の設定と維持，持出し管理の実施指導，本社情報システム部と連携した情報システムの運用管理，利用支援などを行っている。
　Z社の情報セキュリティ管理規程では，顧客情報を含めZ社が秘密として管理している情報(以下，秘密情報という)の漏えい及びその可能性がある情報セキュリティインシデント(以下，情報セキュリティインシデントをインシデントという)が発生した場合の対応手順を定めている。そのうち，従業員に貸与している情報機器の紛失・盗難が発生した場合の対応手順は図1のとおりである。〔情報機器の紛失〕
　R支社は，従業員数100名の支社であり，営業員が60名いる。R支社では，支社長が情報セキュリティ管理責任者を務め，各部課の長が情報セキュリティリーダーを務めている。
　10月12日(水)10時30分頃，R支社の営業部1課のFさんが，客先からR支社に戻る途中，電車の網棚にかばんを置き忘れるという事象が発生した。かばんの中には，NPCが入っていた。
　報告を受けたR支社長は，インシデントの発生を宣言し，営業部1課の情報セキュリティリーダーであるK課長に対して，直ちに初動対応を開始するよう指示した。また，R支社長の指示によって，K課長，各部の部長，及びR支社の情報システム担当として初動対応に当たるW主任が出席して，インシデント対策会議が開催されることとなった。
　幸い，当日の15時頃にかばんとその中のNPCを回収することができた。しかし，紛失している間に，外部の者によってNPCを操作されたり，NPCから情報を窃取されたりした可能性は否定できない。K課長は，調査を継続しつつ，16時30分に開催予定のインシデント対策会議に向けてインシデント報告書案を作成することにした。

〔インシデント報告書案の作成〕
　K課長は，まず，Fさんが置き忘れた情報機器(以下，紛失機器という)，紛失機器に保存されていた情報，及び紛失機器における情報セキュリティ対策の実施状況を表2のとおり整理した。　続いて，K課長は，インシデント報告書案の一部として，インシデント発生とその初動対応の経緯を図2のとおり整理した。〔インシデントの影響及び対応〕
　16時に，K課長はW主任に声を掛け，インシデント対策会議の事前確認のための打合せを行った。次はその時の会話である。

K課長：

Fさんは，NPCにはどのような情報が入っていたか定かではないと言っていました。契約書などの顧客情報は入っていたのでしょうか。

W主任：

NPCの持出し申請の時点では，顧客情報は含まれていませんでした。ただ
し，①持出しの承認の後でも，NPCに顧客情報を追加で保存できてしまいます。

K課長：

分かりました。②当社で定めた手順のうち，NPC紛失時にNPCの中の情報を盗まれるリスクを低減する手順は，施されていたでしょうか。

W主任：

はい。もちろんです。

K課長：

紛失時点で顧客情報がNPCに保存されていたかどうか，紛失後にNPCに誰かがアクセスしていたか，確認をお願いします。ところで，今，FさんはLシステムにアクセスができない状態ですね。

W主任：

はい。FさんのNPC内にあるクライアント証明書と秘密健が盗用される可能性を考慮した措置です。もし，Fさんの利用アカウントで認証に成功したとしたら，Fさんが担当する全ての顧客の情報にアクセスできてしまいます。

K課長：

すばやく対応してくれましたね。

W主任：

秘密鍵の漏えいの有無を調査するために，何者かがFさんの秘密鍵を使い，クライアント認証してe1がLシステムのe2のログ中にないか確認しました。確認したログの範囲では，不審な点はありませんでした。FさんがまたLシステムにアクセスできる状態にするために，f，アクセス権を有効にする予定です。

K課長：

FさんのNPCは，今後どのようになるのでしょうか。

W主任：

一時的にでも自社の管理を離れたことによって情報が盗まれたり，マルウエアが入れられたりした可能性があるので，g1。

K課長：

g2。

　こうしてK課長はインシデント対策会議に臨み，インシデント報告書案に沿って事実関係，対応状況及び今後の調査予定を報告し，R支社長の了解を得た。
　2日後，W主任から，NPC内に顧客情報は追加保存されていなかったこと，及びFさんがNPCを紛失していた間にNPCがアクセスされた痕跡はなかったことの報告があり，このインシデントは収束が宣言された。

〔インシデント報告書案の作成〕について，図2中のa～dに入れる字句はどれか。解答群のうち，最も適切なものを選べ。

設問2

〔インシデントの影響及び対応〕について，(1)～(5)に答えよ。

(1) 本文中の下線①について，どのような方法が考えられるか。次の(ⅰ)～(ⅴ)のうち，該当するものだけを全て挙げた組合せを，解答群の中から選べ。

1. 1か月間のNPC期間持出しの承認を得るとその期間中に，NPCを会社に持ち帰り，追加で保存できる。
2. NPCの持出しとは別に，会社貸与のUSBメモリに保存して持ち出すことによって，NPCに保存できる。
3. 外出先からLシステムにアクセスして，NPCにダウンロードして保存できる。
4. 外出先で，公衆無線LANに接続して，インターネット上で他社の公開Webサイトを閲覧し，NPCにダウンロードして保存できる。
5. 顧客訪問先で，顧客から借りたUSBメモリからコピーして保存できる。