点検で見つかった不備の優先対応
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目6 部門の情報システム利用時の情報セキュリティの確保：『6-5 脆弱性管理』『6-6 利用者アクセスの管理』『6-7 運用状況の点検』
事例
A 社は、全国に店舗を持つ小売チェーンである。本社の経理部（職員 20 名）では、情報セキュリティ担当者のD主任（以下、担当者）が、四半期に一度、部門の運用ルールに沿って情報セキュリティが確保されているかを点検している。経理部は、支払いや決算の資料を扱い、会計システムの端末と、共有フォルダーの資料を部門のメンバー全員が使う。
点検の対象は、パッチの適用、退職者・異動者の利用者 ID と権限、および共有フォルダーの利用記録である。不備を見つけたときの経理部の運用ルールを表1に示す。
| 項目 | 内容 |
|---|---|
| 優先順位 | 情報が漏えいしたおそれのある事項（不正利用の疑いを含む）を最優先とする。次が期限を過ぎた緊急のパッチ、その次がそれ以外の不備である。 |
| 利用者 ID | 利用者 ID の無効化は、情報システム部だけが行う。担当者は、情報システム部に依頼する。共有フォルダーの権限は、担当者が外せる。 |
| 不正利用の疑い | 担当者は、経理部長の判断を待たず、直ちに情報システム部に連絡して、疑いのある ID の無効化を依頼する。ログの調査は、無効化のあと、情報システム部が行う。調査が終わるまで、その ID の元の利用者には連絡しない。 |
| 報告・周知 | 不備は、その日のうちに経理部長に報告する。是正のあと、部門のメンバーに周知する。 |
今回の点検日は 10 月 31 日である。点検で見つかった事項を表2に示す。
| 項番 | 事項 |
|---|---|
| 1 | 緊急の OS の更新（公開日は 10 月 20 日）を、3 台の PC で適用していない。延期の承認はない。 |
| 2 | 9 月 30 日に退職した E1 の利用者 ID が有効のままである。共有フォルダーの利用記録に、10 月 18 日の 22 時台、社外のネットワークからの E1 のログインと、決算資料の閲覧が残っている。 |
| 3 | 10 月 1 日に他部門へ異動した E3 に、異動前の業務の共有フォルダー権限が残っている。異動後の利用記録はない。 |
このほか、経理部では、情報システム部が示すパッチ適用基準に従い、緊急の更新は公開日の翌日から数えて 7 日以内に適用することになっている。また、退職者の利用者 ID は、退職日の翌日までに無効にすることになっている。担当者は、表2の事項を見て、何から手を付けるかを考えることにした。
表2の事項を見て、担当者が最初に行うべきことはどれか。解答群のうち、最も適切なものを選べ。
正解：キ 情報システム部に連絡し、E1 の利用者 ID を無効にするよう依頼する。
ポイント
部門の定期点検で複数の不備を見つけたとき、運用ルールの優先順位と役割分担から、最初の対応を判断する事例です。
考え方と解き方
決め手は、表1の「優先順位」「利用者 ID」「不正利用の疑い」で、読む先は表2の項番2の利用記録です。どれも必要な対応に見えるため、順序と、だれが行うかで間違えやすいです。
- 表2の項番2では、退職者 E1 の ID が有効なまま、退職後の社外からのログインと決算資料の閲覧が残っています。表1では、情報が漏えいしたおそれのある事項が最優先で、不正利用の疑いにあたります。
- 表1では、疑いがあるとき、担当者は経理部長の判断を待たず、直ちに情報システム部に連絡して ID の無効化を依頼します。ID を無効にできるのは情報システム部だけです。
- したがって、最初に行うのは キ です。
ほかの選択肢
- ア 周知は、表1で是正のあとと定められています。最初ではありません。
- イ 原因の調査や確認表の見直しは、無効化のあとです。表2の項番2の疑いに、先に対応します。
- ウ 表1のとおり、利用者 ID の無効化は情報システム部だけが行います。担当者は依頼するだけです。
- エ 表1のとおり、調査が終わるまで、疑いのある ID の元の利用者には連絡しません。
- オ 報告は必要ですが、不正利用の疑いでは、経理部長の判断を待たずに、直ちに情報システム部へ連絡します。報告は同じ日のうちで、あとです。
- カ 期限を過ぎた緊急のパッチは、不正利用の疑いの次の優先順位です。先に行うのは項番2です。
- ク ログの調査は、表1のとおり無効化のあとに、情報システム部が行います。調べてから ID の扱いを決めるのでは、無効化が遅れます。
- ケ 項番3の権限は担当者が外せますが、漏えいのおそれのある項番2より優先順位が低く、最初ではありません。
覚えておくこと
- 不備が複数あるときは、運用ルールの優先順位で並べる。情報が漏えいしたおそれのある事項が先で、期限を過ぎたパッチはその次である
- この経理部の運用ルールでは、不正利用の疑いがある ID は、経理部長の判断を待たず、無効にできる情報システム部へ直ちに依頼する。調査・報告・周知はそのあとに行う