サンプル問題（2022年12月） 問57
事例
A社は従業員600名の投資コンサルティング会社である。東京の本社には，情報システム部，監査部などの管理部門があり，関西にB支店がある。B支店の従業員は10名である。
B支店では，情報システム部が運用管理しているファイルサーバを使用しており，顧客情報を含むファイルを一時的に保存する場合がある。その場合，ファイルのアクセス権は，当該ファイルを保存した従業員が最小権限の原則に基づいて設定する。今年，B支店では，従業員にヒアリングを行い，ファイルのアクセス権がそのとおりに設定されていることを確認した。
〔自己評価の実施〕
A社では，1年に1回，監査部が各部門に，評価項目を記載したシート（以下，自己評価シートという）を配布し，自己評価の実施と結果の提出を依頼している。
B支店で情報セキュリティリーダーを務めるC氏は，監査部から送付されてきた自己評価シートに従って，職場の状況を観察したり，従業員にヒアリングしたりして評価した。自己評価シートの評価結果は図1の判定ルールに従って記入する。C氏が作成したB支店の評価結果を表1に示す。
【図1 評価結果の判定ルール】
・評価項目どおりに実施している場合：“OK”
・評価項目どおりには実施していないが，代替コントロールによって，“OK”の場合と同程度にリスクが低減されていると考えられる場合：“(OK)”（代替コントロールを具体的に評価根拠欄に記入する。）
・評価項目どおりには実施しておらず，かつ，代替コントロールによって評価項目に関するリスクが抑えられていないと考えられる場合：“NG”
・評価項目に関するリスクがそもそも存在しない場合：“NA”
| No. | 評価項目 | 評価結果 | 評価根拠 |
|---|---|---|---|
| 10 | （省略） | OK | （省略） |
| 19 | ファイルサーバ上の顧客情報のアクセス権は最小権限の原則に基づいて設定されている。 | a | |
| 25 | （省略） | OK | （省略） |
表1中のaに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
正解：ア 評価結果：OK／評価根拠：アクセス権の設定状況が適切であることを確認した。
ポイント
自己評価シートの判定ルールに照らして、評価結果と評価根拠の正しい組を選ぶ事例です。
考え方と解き方
図1の判定ルール（OK、(OK)、NG、NA の条件）と、本文の「アクセス権は保存した従業員が最小権限の原則で設定する」「ヒアリングで設定を確認した」の2か所を読みます。評価根拠は、項目どおりに実施している事実を確かめた中身でなければならない点で間違えやすくなります。
- 表1の No.19 の評価項目は、アクセス権が最小権限の原則に基づいて設定されていることです。
- 本文で、B 支店は従業員にヒアリングを行い、アクセス権が決まりどおりに設定されていることを確認しています。図1では、評価項目どおりに実施していれば OK とし、その根拠は設定状況を確認した事実です。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ OK は合いますが、根拠がルールの存在にとどまり、実際に設定されているかを確かめた事実になっていません。
- ウ OK は合いますが、情報システム部が運用管理していることは、アクセス権が最小権限で設定されている根拠になりません。本文ではアクセス権は保存した従業員が設定します。
- エ NA は、リスクがそもそも存在しない場合の判定です。本文は顧客情報を含むファイルを一時的に保存する場合があるとしており、リスクは存在します。禁止されているという根拠も本文にありません。
覚えておくこと
- 自己評価の根拠は、規則の有無ではなく、実際の状況を確かめた事実で書く
- NA は、リスクがそもそも存在しない場合にだけ使う
出典：情報セキュリティマネジメント試験 サンプル問題 科目B 問57