情報セキュリティマネジメント試験情報＆徹底解説

情報セキュリティリスクアセスメントに関する次の記述を読んで，設問1～3に答えよ。

　D社は，資本金1億円，従業員数1,000名の中堅機械製造会社であり，精密機械の設計，製造，販売を行っている。経営企画部，人事総務部，情報システム部など管理部門の従業員数は120名である。
　D社では，3年前に最高情報セキュリティ賞任者(CISO)を委員長とする情報セキュリティ委員会を設置し，情報セキュリティポリシー及び情報セキュリティ関連規程を整備した。情報セキュリティ委員会の事務局は，経営企画部が担当している。また，各部の部長は，情報セキュリティ委員会の委員，及び自部署における情報セキュリテイ責任者を務め，自部署の情報セキュリティを確保し，維持，改善する役割を担っている。各情報セキュリティ責任者は，自部署の情報セキュリティに関わる実務を担当する情報セキュリティリーダーを選任している。
　D社では，"情報セキュリティリスクアセスメント手順"を図1のとおリ定めている。〔在宅勤務の試行導入〕
　D社では，従業員のワークライフバランスの実現と業務の生産性向上を目的として，在宅勤務の導入を経営会議で決定した。在宅勤務の最終利用登録者数は，全社で100名程度を想定している。この決定を受け，在宅勤務の労務管理上の課題抽出のために，人事総務部内で在宅勤務を3か月間試行することになり，人事総務部のFさんが在宅勤務推進担当に任命された。
　Fさんは，在宅勤務でのPC利用を，リモート接続サービスによって社内ネットワークに接続する形態とし，次の2案について検討することにした。

案Ⅰ:

業務用に会社から貸与されたノートPC(以下，NPCという)を自宅に持ち帰り，社内システムにアクセスして業務を行う。

案Ⅱ：

自宅にある個人所有のPCを使用し，社内システムにアクセスして業務を行う。

　なお，NPCの会社からの持出しはNPC利用規則によって禁止されているので，在宅勤務の開始に当たっては，当該規則の改定が必要になる。

〔在宅勤務の実現案の確認〕
　Fさんは，検討の進め方について，人事総務部の情報セキュリティリーダーであるA主任からアドバイスを受けることにした。Fさんからアドバイスを求められたA主任は，次のとおり回答した。

A主任：

在宅勤務形態は表3のとおり三つのパターンが考えられます。当社で採用する場合には，案Ⅰ，案Ⅱのどちらもb1型かb2型が想定されます。これらのうち，PCの紛失・盗難によるリスクがより小さいパターンはb2型であり，b2型を採用することが望ましいと考えます。b2型が当社で実現可能か，情報システム部のH課長に確認してみましょう。

　A主任がH課長にb2型の実現可能性について確認したところ，H課長から次の3点のコメントがあった。

• 当社でb2型を実現するためには，専用サーバ，ソフトウェアの費用が発生するので，予算の確保が必要となる。
• 専用サーバ，ソフトウェアの製品選定及びシステム構築の時間も掛かることから，情報システム部としてすぐに対応することは困難である。
• 在宅勤務の労務管理上の課題抽出が目的であるならば，当初はb1型の試行でよいと考える。

〔情報セキュリティリスクの再評価〕
　FさんとA主任は，H課長のコメントを受け，今回の在宅勤務の試行はb1型で検討を行うことにした。
　A主任は，在宅勤務の試行に際し，情報セキュリティリスクの再評価が必要と考え，人事総務部で利用する情報資産について，表4に示す情報資産管理台帳をFさんとともに確認することにした。　次は，FさんとA主任の会話である。

Fさん：

情報資産管理台帳を見る限り，人事総務部で利用する情報資産のリスク値はしきい値以下なので，在宅勤務で利用することが可能ですよね。

A主任：

現状のリスク値がしきい値以下だからといって，必ずしも在宅勤務で利用可能というわけではありません。今回のように利用環境が変わる場合をはじめ，①リスク値が変化する場合もあります。十分な管理策が施された社内でのNPCの使用とは異なり，在宅勤務には特有の脅威があります。一般的な在宅勤務における脅威と脆弱性を，表5にまとめたので，これを基に案Ⅰと案Ⅱそれぞれの場合についてリスク値を再評価しましょう。

A主任：

案Iの場合に，表4中の情報資産"社内規程"について，表5中の脅威αに対するリスク値を算出してみましょう。在宅勤務でNPCを自宅に持ち帰る途中で紛失・盗難に遭うこともあるので，脅威αの評価値は2とします。現状の対策については，当社の本社及び各事業所ではICカードによる入退室管理を行っており，かつNPCはケーブルロックによって固定するe2も行っているので，対策は十分と考えてe1は実施していません。NPCでは，④脅威αによるリスクに有効な幾つかの技術的対策を行っていますが，紛失・盗難の状況下では第三者によって情報が取り出されるおそれがあります。このため，必要な管理策のうち一部の管理策だけを実施していると判断されますので，脅威αに対する脆弱性の評価値を1から2に見直すとリスク値は8となり，しきい値を超えてしまいます。

Fさん：

どのように対応すべきでしょうか。

A主任：

この場合はf1に当たるe1を行うべきです。現在NPCで使用しているOSでは標準機能でe1をサポートしているので，新たなソフトウェア・ハードウェアは不要です。f2などの人的対策を行った上で，e1を行えば，脆弱性の評価値は1と判断してよいでしょう。再度算出するとリスク値は4となり，しきい値内に収まります。

Fさん：

脆弱性の評価において，管理策の十分性はどのように判断するのですか。

A主任：

管理策の十分性の判断は，評価者によってばらつきが出るおそれがあるので配慮が必要です。

　ここで，A主任は，管理策の十分性の判断にばらつきが出ないようにするD社での⑤解決策を説明した。

Fさん：

分かりました。ところで，案Iと案Ⅱの間で情報セキュリティ上，考慮すべき点に違いはありますか。

A主任：

案Iで使用するNPCは，脅威βに対しても，幾つかの管理策を実施しています。また，ソフトウェア構成やハードウェア構成も統制しています。一方，案Ⅱで使用する自宅にある個人所有のPCの場合は，どのような管理策を実施しているのか，また，OSのバージョンを含めたソフトウェア構成やハードウェア構成がどうなっているのかについて会社が統制することはできないという点を考慮する必要があります。

　A主任の協力によってFさんは無事に情報セキュリティリスクの再評価を終え，しきい値を超えないことが確認できたので今回の在宅勤務の試行は案Iで行うことにした。
　情報セキュリティリスクの再評価結果は情報セキュリティ委員会で承認され，在宅勤務の試行が開始された。

表1中のaに記載する評価値及び評価基準はどれか。解答群のうち，最も適切なものを選べ。

本文中のb1，b2に入れる字句の組合せはどれか。bに関する解答群のうち，適切なものを選べ。

設問3

〔情報セキュリティリスクの再評価〕について，(1)～(8)に答えよ。

(1) 表4が，図1に従って記載されている場合，c1～c4，d1～d3に入れる数値の組合せはどれか。c，dに関する解答群のうち，適切なものを選べ。