令和7年度 問14
事例
A 社は，従業員 300 名の部品メーカーである。A 社ではこれまで，業務に必要なファイルを他社との間で受け渡す場合には電子メール（以下，メールという）を利用してきた。最近になって，取引先の B 社から，ファイルの受渡しについては，C サービスというクラウドストレージサービスを利用して欲しいとの要請を受けた。図 1 は，C サービスを利用した場合のファイル受渡しの流れである。
| 1 ファイルの送信者は，受信者に渡したいファイルを C サービス上にアップロードする。アップロードされたファイルは，C サービス上では暗号化されて保存される。 |
| 2 ファイルの送信者は，受信者をメールアドレスで指定して，ファイルのアクセス権を付与する。アクセス権の付与や取消しはいつでも行える。 |
| 3 受信者にアクセス権が付与されると，ファイルのダウンロード用 URL が生成され，指定されたメールアドレスにメールで通知される。なお，URL には推測困難な文字列が含まれている。 |
| 4 受信者が，メールに記載された URL にアクセスして自身のメールアドレスを入力すると，復号されたファイルがダウンロードされる。 |
| 5 ファイルがダウンロードされると，送信者の利用者 ID，アップロード日時，ファイル名，ファイルのダウンロード用 URL，ダウンロードの際のアクセス元 IP アドレス，4 で入力したメールアドレス及びダウンロード日時がログに記録される。 |
| 6 送信者は，自身のアップロードしたファイルについて，ダウンロードのログを確認できる。 |
注記 C サービスとの通信には HTTPS（HTTP over TLS）が用いられている。
そこで A 社では，C サービスを利用した場合のリスクを評価するために，検討会を開催した。検討会において，情報セキュリティリーダーの D 主任は，次のとおり説明した。
C サービスを利用することによって，情報漏えいのリスクを低減でき，さらに情報漏えいの有無も確認できる。具体的には，ファイルの送信者は，誤ったメールアドレスを指定してメールを送信してしまった場合に，誤りに気付いた時点で，すぐに a1 を行うことができる。次に，ファイルが a2 されていないことがログによって確認できれば，a3 していないと判断することができる。
本文中の a1〜a3 に入れる次の字句の組合せはどれか。a に関する解答群のうち，最も適切なものを選べ。
(二) アップロード
(三) 情報漏えい
(四) ダウンロード
(五) メールで通知
(六) メールに記載された URL に受信者はまだアクセス
正解：ウ a1：(一)／a2：(四)／a3：(三)
ポイント
クラウドストレージでファイルを受け渡すときの、情報漏えいのリスクの低減と、漏えいの有無の確認の仕方を問う事例です。
考え方と解き方
図1の手順 2 と手順 5 を読みます。手順 2 は送信者がいつでも操作できることを、手順 5 は何がログに残るかを言っています。間違えやすいのは、「URL にアクセスした」ことと「ダウンロードした」ことを同じと見てしまうことです。図1の手順 5 でログに残ると書かれているのは、ダウンロードの時の記録です。
- a1 は、誤ったアドレスにメールを送ってしまったと気づいた時点で、すぐにできることです。図1の手順 2 に「アクセス権の付与や取消しはいつでも行える」とあるので、a1 は「アクセス権の取消し」です。メールの通知は、手順 3 で自動的に出るもので、気づいてから行うことではありません。
- a2 は、ログで確認することです。図1の手順 5 で、ファイルがダウンロードされると、アクセス元 IP アドレスや入力されたメールアドレス、日時がログに記録されます。手順 6 で送信者はそのログを確認できます。したがって a2 は「ダウンロード」です。a3 は、ダウンロードされていなければ起きていないと判断できる「情報漏えい」です。図1の手順 5 に書かれているのはダウンロードの時の記録で、URL へのアクセスだけの記録は書かれていないので、「URL にアクセスしていない」とは判断できません。
- a1 が アクセス権の取消し、a2 が ダウンロード、a3 が 情報漏えい なので、最も適切なのは ウ です。
ほかの選択肢
- ア a1 は合いますが、a2 が アップロード では、送信者自身が行った操作を確かめることになります。受信者が取り出したかどうかは、ダウンロードのログでわかります。
- イ a2 の アップロード が合わず、a3 の「URL にアクセスしていない」も合いません。図1の手順 5 で書かれているのはダウンロードの記録で、アクセスの有無までは書かれていません。
- エ a1 と a2 は合いますが、a3 が「URL にアクセスしていない」では、ログから判断できないことを言っています。ログで確認できるのはダウンロードの有無です。
- オ a1 の メールで通知 が合いません。通知のメールは、誤ったアドレスにもう送られてしまっています。a2 の アップロード も合いません。
- カ a1 が メールで通知、a2 が アップロード、a3 が「URL にアクセスしていない」で、どれも合いません。
- キ a2 と a3 は合いますが、a1 が メールで通知 では、誤送信に気づいたあとの対応になりません。アクセス権を取り消せば、受信者はダウンロードできなくなります。
- ク a1 の メールで通知 が合わず、a3 の「URL にアクセスしていない」も合いません。a2 の ダウンロード だけが合っています。
覚えておくこと
- 誤送信に気づいたら、まず相手の権限を取り消して、取り出されるのを止める
- 漏えいの有無は、操作の記録（ログ）に何が残るかを確かめて判断する
出典：令和7年度 情報セキュリティマネジメント試験 公開問題 科目B 問14