保護者連絡サービスの要求事項
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目3 情報資産に関する情報セキュリティ要求事項の提示：『3-1 部門の情報システムの調達・利用に関する組織的・人的・物理的・技術的な要求事項の提示』
事例
A 高校は、生徒 600 名の地方の小さな高校である。事務室では、保護者への連絡（行事の案内、欠席の連絡、緊急連絡）を、紙の配布からクラウドサービスによる一斉配信に切りかえることにした。これまでは、事務室で印刷した紙を担任が生徒に配っており、配り忘れや紛失が課題になっていた。事務室の情報セキュリティ担当者（以下、担当者）は、学校法人の情報システム部の支援を受けて、サービスを調達する前に、学校が事業者に示す要求事項をまとめることになった。
サービスには、保護者約 1,100 世帯の氏名、連絡先、生徒の学年・学級が登録される。担当者は、要求事項を表1の四つの区分で整理する。区分は、要求事項が何を決めるかではなく、主に何によって守るかで決める。
| 区分 | 主に守る手段 |
|---|---|
| 組織的 | 役割・責任・手順・契約など、組織の決まりで守る |
| 人的 | 職員の知識・行動・誓約など、人への働きかけで守る |
| 物理的 | 場所・機器・媒体・配置など、物の保護や出入りの管理で守る |
| 技術的 | システムの機能や設定によって、自動的に守る |
担当者が事務室の職員 6 名と情報システム部の C 主任から集めた案を、表2にまとめた。a1〜a3 は、区分をまだ決めていない。
| 項番 | 要求事項の案 | 区分 |
|---|---|---|
| 1 | 保護者の連絡先を登録・変更できる職員は事務室の 3 名に限り、その権限をサービスの設定で与える。 | 技術的 |
| 2 | サービスの管理者を事務長、運用の担当者を担当者と決め、障害時の連絡先を手順書に定める。 | 組織的 |
| 3 | 事務室の全職員に、年度の初めに誤送信を防ぐ操作の研修を受けさせ、受講の記録を残す。 | 人的 |
| 4 | 保護者の連絡先を印刷した名簿は、事務室の施錠できるキャビネットに保管する。 | 物理的 |
| 5 | サービスの動作確認には、実際の保護者の連絡先を使わず、架空のデータだけを使うことを手順書に定める。 | 組織的 |
| 6 | 保護者の連絡先を登録・変更した記録を、毎月、事務長が確認し、確認した日付を記録に残す。 | a1 |
| 7 | 職員が席を離れて 5 分たつと、PC の画面が自動的にロックされるように設定する。 | a2 |
| 8 | 窓口に来た人が PC の画面を見られないように、事務室の机の向きを変える。 | a3 |
担当者は、区分の抜けを調べるため、a1〜a3 の区分を決めることにした。
表2中の a1〜a3 に入れる区分の組合せとして、適切なものを、解答群の中から選べ。
正解：オ a1：組織的／a2：技術的／a3：物理的
ポイント
部門で調達するクラウドサービスの要求事項を、組織的・人的・物理的・技術的の四つの区分に整理する事例です。
考え方と解き方
決め手は、表1の「主に守る手段」です。表2の案は、題材（試験データ、画面、机）の名前ではなく、何によって守るかで区分を決めます。「記録」や「PC の画面」という語に引かれて、技術的や物理的と決めつけやすい点に注意します。
- 項番 6 は、登録・変更の記録を事務長が毎月確認します。記録はシステムに残りますが、守る手段は確認の手順という組織の決まりなので、a1 は組織的です。
- 項番 7 は、離席から 5 分で画面が自動的にロックされるよう設定します。守る手段はシステムの設定による自動の制御なので、a2 は技術的です。
- 項番 8 は、机の向きを変えて画面が見えないようにします。守る手段は物の配置なので、a3 は物理的です。
- したがって、適切なのは a1 が組織的、a2 が技術的、a3 が物理的の組合せで、オ です。
ほかの選択肢
- ア a1 の項番 6 は、事務長が確認する手順で守るので組織的です。人への働きかけではありません。
- イ a1 の項番 6 は、物の保護ではなく、確認の手順で守るので組織的です。a2 の項番 7 は、手順書に定めるのではなく設定で自動的に守るので、技術的です。a3 の項番 8 は、机の向きという物の配置で守るので、物理的です。
- ウ a2 の項番 7 は、PC の設定で自動的に守るので技術的です。物の保護や出入りの管理ではありません。a3 の項番 8 は、システムの設定ではなく物の配置で守るので、物理的です。
- エ a1 の項番 6 は、記録を残す機能ではなく、事務長が毎月確認する手順で守るので組織的です。a2 の項番 7 は、職員の行動に頼らず設定で自動的に守るので、技術的です。a3 の項番 8 は、決まりや手順ではなく物の配置で守るので、物理的です。
- カ a1 の項番 6 は、事務長が確認する手順で守るので組織的です。人への働きかけではありません。a2 の項番 7 は、PC の設定で自動的に守るので技術的です。物の保護や出入りの管理ではありません。a3 の項番 8 は、決まりや手順ではなく物の配置で守るので、物理的です。
- キ a1 の項番 6 は、記録を残す機能ではなく、事務長が毎月確認する手順で守るので組織的です。a2 の項番 7 は、手順書に定めるのではなく設定で自動的に守るので、技術的です。a3 の項番 8 は、机の向きという物の配置で守るので、物理的です。
- ク a1 の項番 6 は、物の保護ではなく、確認の手順で守るので組織的です。a2 の項番 7 は、職員の行動に頼らず設定で自動的に守るので、技術的です。a3 の項番 8 は、システムの設定ではなく物の配置で守るので、物理的です。
覚えておくこと
- 要求事項の区分は、題材の名前ではなく、主に何によって守るか（決まり・人への働きかけ・物の保護・システムの設定）で決める
- 部門で調達するシステムの要求事項は、組織的・人的・物理的・技術的の区分ごとに抜けがないかを見て、情報システム部門の支援を受けて取りまとめる