集めた情報のクラウドへの当てはめ
シラバス案 Ver.0.1（2026年9月30日公表）の科目B 大項目12 情報セキュリティに関する動向・事例情報の収集と評価：『12-1 情報セキュリティに関する動向・事例情報の収集と評価』
事例
A 社は、従業員 130 名の e ラーニングの事業会社である。運用部は、企業向けの研修講座を配信しており、受講者の氏名、所属、メールアドレス、受講の履歴を扱う。運用部が業務で使うサービスと機器を表1に示す。
| サービス・機器 | 使い方 |
|---|---|
| 学習管理サービス（クラウド） | 講座の配信と受講の履歴の管理に使う。提供者が運用し、ソフトウェアの更新も提供者が行う。 |
| ファイル共有サービス（クラウド） | 研修の教材を顧客企業と共有する。一部のフォルダーは、共有リンクを「リンクを知っている全員が閲覧できる」設定にしている。 |
| 業務用の PC | 運用部員 15 名が使う。メールはクラウドのメールサービスを使い、社内にメールサーバーは置いていない。 |
運用部の情報セキュリティ担当者（以下、担当者）は、毎週、IPA の「重要なセキュリティ情報」、公的機関の注意喚起、使っているサービスの提供者のお知らせ、官公庁のガイドラインの改訂の情報を集めている。集めた情報は、運用部の手順に従って評価し、運用部長に報告する。運用部の手順は次のとおりである。
・情報が、運用部の使うサービス・機器・業務に当てはまるかを確かめる。
・当てはまり、運用部の操作や設定で被害を防ぐ必要があるものは「対応要」とし、対応の案と期限を付けて報告する。
・当てはまらないもの、又は提供者が対応を済ませて運用部の操作が要らないものは「対応不要」とし、理由を付けて報告する。報告した情報は、全て評価の記録に残す。
・ガイドラインの改訂は、運用部の手順と比べ、差があれば手順の見直し案を付けて報告する。
ある週に集めた情報を表2に示す。
| 情報 | 出どころ | 内容 |
|---|---|---|
| 1 | ある公的機関の注意喚起 | クラウドのファイル共有サービスで、共有リンクを誰でも閲覧できる設定にしたままにして、情報が漏えいする事例が続いている。設定の確認を呼びかけている。 |
| 2 | 学習管理サービスの提供者のお知らせ | サービスで使うソフトウェアに脆弱性が見つかり、10 月 20 日に提供者が修正を済ませた。利用者の操作は要らない。 |
| 3 | ある公的機関の脆弱性対策情報 | 社内に置いて使うある種類のメールサーバーのソフトウェアに脆弱性があり、悪用した攻撃が確認されている。 |
| 4 | ある官公庁のガイドラインの改訂 | クラウドサービスの利用者に、設定を定期的に見直すことを求める項目が加わった。運用部の手順には、設定の見直しの定めがない。 |
担当者は、表2の情報 1〜4 を評価して、運用部長への報告をまとめることにした。
担当者が運用部長に報告する内容として、運用部の手順に合っているものはどれか。解答群のうち、最も適切なものを選べ。
正解：イ 情報1：誰でも閲覧できる設定のフォルダーがあるので「対応要」とし、設定を改める案と期限を付ける。
ポイント
集めたセキュリティ情報を、自部門が使うクラウドサービスと業務に当てはめて評価し、上位者への報告の内容を判断する事例です。
考え方と解き方
決め手は、表1の使い方（だれが運用し、どう設定しているか）と、本文の手順の「当てはまるか」「運用部の操作が要るか」です。攻撃が確認された情報や公的機関の情報だから重要、と出どころや深刻さだけで判断する点で間違えやすいです。
- 情報1は、表1のファイル共有サービスに「リンクを知っている全員が閲覧できる」設定のフォルダーがあるので当てはまり、運用部の設定で被害を防ぐ必要があります。手順のとおり「対応要」とし、案と期限を付けます。
- 情報2は提供者が対応を済ませたので「対応不要」で、理由を付けて報告し、記録に残します。情報3は社内にメールサーバーを置いていないので「対応不要」です。情報4は手順との差があるので、見直し案を付けて報告します。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 不適切です。情報2の修正は提供者が済ませており、運用部の操作は要らないので「対応不要」です。
- ウ 不適切です。表1のとおり運用部は社内にメールサーバーを置いていないので、手順では当てはまらず「対応不要」とし、理由を付けます。
- エ 不適切です。手順は、ガイドラインの改訂を運用部の手順と比べ、差があれば見直し案を付けると定めています。情報4は設定の見直しの定めがないという差があります。
- オ 不適切です。手順は、情報が運用部のサービスに当てはまるかで判断します。情報1は表1の設定に当てはまるので「対応要」です。
- カ 不適切です。「対応不要」の情報も理由を付けて報告し、全て評価の記録に残すと定められています。
覚えておくこと
- 集めたセキュリティ情報は、出どころや深刻さだけでなく、自部門のサービス・機器・設定に当てはまるかで評価する
- 対応不要と評価した情報も、理由を付けて報告し、記録に残す