基本情報技術者 2023年 科目A 問14

テレワーク端末のマルウェア対策【午前解説】

正解の理由

解法ステップ

1. 監査での指摘対象が「組織的管理の欠如」か「運用上の問題か」を確認する。
2. 各選択肢が組織としての最低限の管理・統制（ポリシー、強制力、技術的措置）に抵触するかを評価する。
3. 「各自の判断に任せる」ような内容は、組織的なセキュリティ基準の不備と見なされるため指摘対象と判断する。

選択肢別の誤答解説

• ア: テレワーク運用を「全従業員が利用可」とするだけでは問題にならない。重要なのは利用条件やセキュリティ要件が定められているかであり、単に利用対象を広げていること自体は監査指摘事項とは限らない。
• イ: 「会社支給端末に限定する」規程は、むしろ管理しやすくするための適切なセキュリティ強化策であり、監査で指摘されるべき欠陥ではない（むしろ推奨される場合が多い）。
• ウ: マルウェア対策の要否を従業員個々の判断に任せることは、組織の安全対策が欠けているため監査で指摘すべき欠陥である。
• エ: 「家族に使用させない」という規程はセキュリティ上の合理的な制約であり、規程として指摘対象になるとは限らない。実効性や周知方法に問題があれば別途指摘されるが、規定自体は妥当。

よくある誤解

• 誤解1: 「端末は個人所有でも本人が管理すれば安全」と考えること。個々の管理では設定漏れや更新怠慢が起きやすく、組織的な統制が必要です。
• 誤解2: 「禁止事項を規程に書けば十分」と思うこと。禁止だけでなく、導入すべきツール、設定基準、監視・検出・対応手順および遵守確認の仕組みが必要です。
• 誤解3: 「会社支給端末にすれば監査指摘はゼロ」と考えること。支給端末でも適切な設定・管理（パッチ適用、アンチウイルスの更新、ログ収集など）がなければ指摘されます。

補足コラム

• 会社指定のマルウェア対策ソフトの導入・自動更新の義務化
• MDM/EMMによる設定管理と脆弱端末の隔離
• VPNや多要素認証（MFA）の使用強制
• 定期的な監査とログ収集・分析による有効性確認

# 疑似コード：アンチウイルス定義ファイルの最終更新日を確認
import os, datetime
def is_definition_recent(path, days=7):
    mtime = datetime.datetime.fromtimestamp(os.path.getmtime(path))
    return (datetime.datetime.now() - mtime).days <= days

FAQ