令和7年度 問13
事例
A 社は従業員 300 名の IT サービス企業であり，ヘルプデスク業務のアウトソーシングサービスを提供している。A 社はオンプレミスのシステムを所有しておらず，顧客向けサービスのほか，社内業務でもクラウドサービスを利用している。A 社では，各従業員に PC 及びスマートフォンを貸与している。スマートフォンは勤怠管理などの社内業務だけに利用している。
A 社では，クラウドサービスについての可用性に関する重要度の評価（以下，可用性に関する重要度の評価を可用性評価という）を本来実施すべきであったが，実施できていなかった。そこで，A 社の情報セキュリティリーダーである B 主任が，表 1 のとおり，A 社がリスク評価で用いる可用性評価の基準を用いて可用性評価を実施することになった。
| 重要度 | 可用性評価の基準 | 該当するサービスの例 |
|---|---|---|
| 2 | サービスが利用できなくなると自社だけではなく，顧客にも直ちに影響がある。 | 顧客に提供しているサービス，顧客にサービスを提供するために利用している外部のサービス |
| 1 | サービスが利用できなくなると自社にだけ，直ちに影響がある。 | 重要度 0 のサービスを除く，社内で利用しているサービス |
| 0 | サービスが利用できなくなっても自社及び顧客に，直ちに影響はない。 | 社内でデータの長期保存に利用しているサービス |
B 主任は A 社が利用しているクラウドサービスについて可用性評価を実施し，利用方法及び可用性に関する重要度を表 2 のとおりまとめた。
| A 社が利用しているクラウドサービス | 利用方法 | 可用性に関する重要度 |
|---|---|---|
| 電子メール | ヘルプデスク利用者からの電子メールによる問合せの受付及び回答に利用する。回答は原則として電子メールで行うが，回答に機密性の高い情報が含まれる場合は，あらかじめ登録されているヘルプデスク利用者の電話番号に A 社から電話する。 | a1 |
| 人事・労務管理 | マイナンバーを含む人事情報の管理及び労務管理に利用する。 | a2 |
B 主任は，表 2 の内容を A 社の情報セキュリティ委員会に報告し，可用性に関する重要度が適切であることの承認を得た。
表 2 中の a1，a2 に入れる数値の適切な組合せを，a に関する解答群の中から選べ。
正解：ク a1：2／a2：1
ポイント
クラウドサービスごとに、可用性に関する重要度（0〜2）を、基準表に当てはめて決める事例です。
考え方と解き方
まず表1で、重要度ごとの基準と「該当するサービスの例」を読み、次に表2で、各サービスを誰がどう使うかを読みます。間違えやすいのは、「社内の業務で使う」というだけで 1 と決めてしまうことです。顧客向けの対応に使っていれば 2 になります。
- 表2で、電子メールは、ヘルプデスク利用者からの問合せの受付と回答に使うサービスです。ヘルプデスク業務は A 社が顧客に提供するサービスで、メールはそのために使う外部のサービスです。止まれば自社だけでなく顧客にも直ちに影響し、表1の重要度 2 の例に当たるので、a1 は 2 です。
- 表2で、人事・労務管理は、社内の人事情報と労務を扱うために使うサービスです。止まれば自社には直ちに影響しますが、顧客には直ちに影響しません。データの長期保存だけに使っているわけでもないので、重要度 0 には当たらず、表1の重要度 1 の基準に当たります。したがって a2 は 1 です。
- a1 が 2、a2 が 1 なので、最も適切なのは ク です。
ほかの選択肢
- ア a1 が 0 では、顧客向けの回答に使うメールが止まっても影響がないことになります。a1 は 2、a2 は 1 で、どちらも合いません。
- イ a2 の 1 は合いますが、a1 が 0 では、顧客対応のメールが止まる影響を見落としています。
- ウ a1 が 0、a2 が 2 で、どちらも合いません。人事・労務管理は社内向けで、顧客に直ちに影響するサービスではありません。
- エ a1 が 1 では、メールが止まる影響を自社だけと見ています。顧客への回答もできなくなるので、a1 は 2 です。a2 の 0 も、人事・労務管理が止まれば自社に直ちに影響するので合いません。
- オ a2 の 1 は合いますが、a1 が 1 では、顧客にも直ちに影響する点が抜けています。
- カ a1 は 1 では足りず 2 です。a2 の 2 も、顧客には直ちに影響しないので合いません。
- キ a1 の 2 は合いますが、a2 が 0 では、人事・労務管理が止まっても影響がないことになります。マイナンバーを含む人事情報の管理や労務管理が止まれば自社に直ちに影響するので、a2 は 1 です。
- ケ a1 の 2 は合いますが、a2 が 2 では、社内向けのサービスを顧客に直ちに影響があるものと見ています。顧客に提供するサービスでも、そのために使う外部のサービスでもないので、a2 は 1 です。
覚えておくこと
- 可用性の重要度は、止まったときの影響が自社だけか顧客にも及ぶかで決める
- 顧客への提供に使うサービスは、社内の事務に見えても重要度を高く見る
出典：令和7年度 情報セキュリティマネジメント試験 公開問題 科目B 問13