令和8年度 問13
事例
A 社は，従業員 300 名の専門商社であり，機密性の高い情報も取り扱っている。最近，A 社は，駅前の B ビルの 6 階に移転した。6 階には A 社だけが入居している。
B ビルの 2 階から最上階の 17 階には多数の企業が入居しており，通常時はエレベーターを使用して各階に移動することができる。B ビルのビル管理業務は B 社が行っている。B 社はビルの入退館と入居企業の執務エリアの入退室を管理するシステム（以下，C システムという）を導入している。各入居企業は，C システムが発行する IC カード（以下，B カードという）を従業員に貸与している。各入居企業の執務エリアの出入口のドアは，当該企業が従業員に貸与した B カードをドア横の IC カードリーダーにかざすことによって解錠できる。
B ビルのエントランスホールは 1 階にあり，エレベーターホールとの境界には，フラッパーゲートが設置されている。フラッパーゲートを通過するには，フラッパーゲートのリーダーに B カード又は入館用に一時的に発行された QR コードをかざす必要がある。フラッパーゲートを通過すれば，平日の昼間はエレベーターの行先階ボタンを押すことで各階に自由に移動ができる。夜間と休日は，行先階の入居企業が従業員に貸与した B カードをエレベーター内の IC カードリーダーにかざす必要がある。
フラッパーゲートのすぐ外には階段室に入るための階段口があり，階段口にある非常ドアは通常時，エントランスホールには出られるが，階段室には入れない仕組みになっている。ほかの階の階段口にある非常ドアは通常時，各フロアには出られないが，階段室には入れる仕組みになっている。ただし，どの階の非常ドアも清掃時などに一時的に出入り可能になることがある。また，非常時は自動的に出入り可能になる。フラッパーゲートの脇にはごみ箱が設置されている。
〔来訪者管理〕
B ビルへの来訪者は，C システムで管理している。入居企業が C システムに，来訪者氏名，所属，来訪日，来訪者メールアドレスを登録すると，来訪日にだけ有効なゲスト入館用の QR コード付き入館証（以下，ゲスト入館証という）の画像ファイルが添付された電子メールが来訪者メールアドレスに送付される。来訪者は，来訪日当日に有効なゲスト入館証の QR コードを自身のスマートフォンの画面に表示するか又は印刷してフラッパーゲートのリーダーにかざすことによってフラッパーゲートを通過できる。当日に限り，同じ入館証で繰り返し入退館が可能なように C システムは設定されている。
〔B ビルの物理的セキュリティにおける課題と B 社への依頼〕
ある日，突然，取引先の D 社の E 氏が予約なしに，A 社の情報セキュリティリーダーの F 部長を訪ねて 6 階の受付エリアにやって来た。驚いた F 部長は，E 氏が来たことをきっかけに B ビルの物理的セキュリティについて調査し，複数の課題があることを発見した。そして，F 部長はその課題と B 社への依頼を表 1 にまとめた。
| 項番 | 課題 | B 社への依頼 |
|---|---|---|
| 1 | フラッパーゲート脇に設置されたごみ箱から印刷された使用済のゲスト入館証を拾えば，1 階のフラッパーゲートを通過し入館できてしまう。 | a1 |
| 2 | 6 階以外への来訪者が，ゲスト入館証で 1 階のフラッパーゲートを通過すれば，平日の昼間はエレベーターで 6 階に移動できてしまう。 | a2 |
次の依頼のうち，表 1 中の a1，a2 に入れるものの組合せはどれか。a に関する解答群のうち，最も適切なものを選べ。
(二) C システムの設定を変更し，ゲスト入館証は 1 回限り入館可能にする。
(三) エレベーターで行先階に移動するためには，平日の昼間も IC カードリーダーに B カードをかざすことを必要とする。そのため，各入居企業には，当該企業の従業員が 1 階のエレベーター前から当該企業まで来訪者をアテンドするよう要請する。
(四) 警備員を 1 階のフラッパーゲート脇に配置し，不正に入館しようとしている者がいないかどうかを監視する。
正解：エ a1：(二)／a2：(三)
ポイント
ビルの入館の仕組みにある物理的な弱点に対して、依頼の中身が弱点に効くかどうかを判断する事例です。
考え方と解き方
表1の「課題」の文を正確に読み、それがどの経路で起きるかを本文で確かめます。項番 1 はごみ箱から拾った入館証の再利用、項番 2 は 6 階以外の来訪者のエレベーター移動です。間違えやすいのは、入館の確認を強めるだけの依頼を選んでしまうことです。課題の原因（再利用できる、制限なく移動できる）をふさぐ依頼を選びます。
- 表1の項番 1 は、使用済のゲスト入館証が拾われて、再び入館に使われる課題です。本文の〔来訪者管理〕で、当日に限り同じ入館証で繰り返し入館できる設定になっています。(二)の「1 回限り入館可能にする」にすれば、使用済の入館証では入れなくなります。したがって a1 は(二)です。
- 表1の項番 2 は、ゲスト入館証でゲートを通った 6 階以外の来訪者が、平日の昼間はエレベーターで 6 階に行けてしまう課題です。本文のエレベーターの説明では、平日の昼間はボタンを押すだけで各階に行けます。(三)にすれば、昼間もカードが要り、入居企業の従業員のアテンドで来訪者の移動を行き先の階に限れます。したがって a2 は(三)です。
- a1 が(二)、a2 が(三)なので、最も適切なのは エ です。
ほかの選択肢
- ア a1 の(一)は、QR コードの読み取りの誤りを訂正する強さを変えるだけで、使用済の入館証の再利用は防げません。a2 の(二)も、1 回限りにしても、すでにゲートを通った来訪者のエレベーター移動は防げません。
- イ a1 の(一)が合いません。誤り訂正レベルは、読み取りやすさの設定で、拾った入館証を使えなくする対策にはなりません。a2 の(三)は合っています。
- ウ a2 の(一)が合いません。誤り訂正レベルの設定は、エレベーターで 6 階に行ける課題と関係がありません。a1 の(二)は合っています。
- オ a2 の(四)が合いません。警備員はフラッパーゲート脇で入館を見ますが、ゲートを通ったあとの来訪者が、エレベーターで別の階に行くのは防げません。a1 の(二)は合っています。
- カ a1 の(三)が合いません。エレベーターに B カードを要求しても、ごみ箱から拾った入館証でゲートを通れる課題は残ります。a2 の(一)も合いません。
- キ a1 の(三)が合いません。ゲートの通過のしかたは変わらず、拾った入館証で入れる課題は残ります。a2 の(二)も合いません。
- ク a1 の(三)が合いません。ゲートの通過のしかたは変わらず、拾った入館証で入れる課題は残ります。a2 の(四)も、ゲートのあとの移動を防げません。
- ケ a1 の(四)は、警備員の目に頼る対策で、拾った入館証での入館を確実には防げません。a2 の(一)も、エレベーターの移動と関係がありません。
- コ a1 の(四)は、警備員の目に頼る対策で、拾った入館証での入館を確実には防げません。a2 の(二)も、ゲートを通ったあとの移動を防げません。
覚えておくこと
- 入館証や認証情報は、使い回しや拾い物の再利用ができないようにして守る
- 出入口で確認する対策に加えて、入ったあとの移動の範囲も区切って守る
出典：令和8年度 情報セキュリティマネジメント試験 公開問題 科目B 問13