サンプル問題（2022年12月）問52

サンプル問題（2022年12月）問52科目B（事例）

事例

A社は，複数の子会社を持つ食品メーカーであり，在宅勤務に適用するPCセキュリティ規程（以下，A社PC規程という）を定めている。

A社は，20XX年4月1日に同業のB社を買収して子会社にした。B社は，在宅勤務できる日数の上限を週2日とした在宅勤務制度を導入しており，全ての従業員が利用している。

B社は，A社PC規程と同様の規程を作成して順守することにした。B社は，自社の規程の作成に当たり，表1のとおりA社PC規程への対応状況の評価結果を取りまとめた。

表1 A社PC規程へのB社の対応状況の評価結果（抜粋）
項番	A社PC規程	評価結果
1	（省略）	OK
2	（省略）	OK
3	会社が許可したアプリケーションソフトウェアだけを導入できるように技術的に制限すること	NG
4	外部記憶媒体へのアクセスを技術的に禁止すること	NG1)
5	Bluetoothの利用を技術的に禁止すること	NG

注記評価結果が“OK”とはA社PC規程を満たす場合，“NG”とは満たさない場合をいう。
注1) B社は，外部記憶媒体へのアクセスのうち，外部記憶媒体に保存してあるアプリケーションソフトウェア及びファイルのNPCへのコピーだけは許可している。

評価結果のうち，A社PC規程を満たさない項番については，必要な追加対策を実施することによって，情報セキュリティリスクを低減することにした。

表1中の項番4について，B社が必要な追加対策を実施することによって低減できる情報セキュリティリスクは次のうちどれか。低減できるものだけを全て挙げた組合せを，解答群の中から選べ。ここで，項番3，5への追加対策は実施しないものとする。

正解：エ (一)，(三)

追加対策によって下がるリスクと、すでに下がっているリスクを区別する事例です。

表1の項番4と、その注1を読みます。B社は、外部記憶媒体から NPC へのコピーだけを許可しています。つまり NPC から媒体への保存は、すでにできません。追加対策で何が変わるのかを、流れの向きで考えるのが決め手です。

表1の項番4は、外部記憶媒体へのアクセスを技術的に禁止する項目です。注1より、B社で許可しているのは媒体から NPC へのコピーだけです。追加対策は、媒体から NPC へのコピーも禁止することになります。
媒体から NPC への流れが原因の(一)と(三)は、追加対策で低減できます。項番3の追加対策をしなくても、媒体からのコピーを禁止すれば、許可していないソフトの持ち込みも防げます。
NPC から媒体への流れの(ニ)の持ち出しと(四)の感染は、すでにできないので、追加対策による低減はありません。低減できるのは (一)、(三) の全てで、エです。

出典：情報セキュリティマネジメント試験サンプル問題科目B 問52

サンプル問題（2022年12月） 問52