基本情報技術者 2025年 科目A 問15

サーバ室の出入口管理【午前解説】

正解の理由

• 物理的な不正侵入リスクが高い（サーバが直接攻撃や改ざんを受ける可能性）。
• 管理責任者による入退室記録や認証による統制が効かない。
• 重大インシデント発生時の原因追跡や責任所在確認が困難になる。

解法ステップ

1. 管理基準（物理的安全対策の要件）を確認する。
2. 現地確認で出入口の位置・構成（外部直通ドアの有無）を把握する。
3. 出入りの運用状態（常時施錠の有無、入退室記録、施錠例外ルール）を確認する。
4. リスク評価：施錠されていない場合の侵入確率と影響度を評価する。
5. 基準との整合性を判断し、基準逸脱であれば監査報告に指摘事項として記載する。

選択肢別の誤答解説

• ア: 「無人領域で営業時間中でも警報装置が作動するようになっている」
  • 警報が作動すること自体は安全側の設計であり、問題とは限りません。むしろ不正侵入時に警報が働くことは望ましいため、直ちに指摘事項とはなりません（ただし誤報の頻度や運用の是非は別途評価）。
• イ: 「非常口、避難器具、誘導灯などを設置している」
  • これは防災・安全対策の整備であり、サーバ室の安全確保に資するため指摘事項には当たりません。設置だけでなく運用（非常口の確保や表示）が不適切であれば別問題です。
• ウ: 「社外からサーバ室へ直接出入りするドアを設置しているが、出入りを考慮して常時施錠していない」
  • これは物理的アクセス制御の欠如であり、管理基準に照らして監査人が指摘すべき不適合です（該当）。
• エ: 「場所が分からないように、サーバ室の所在を室外に表示していない」
  • 表示を行わないことは一部でセキュリティ向上に寄与する（目立たないようにする）と考えられ、必ずしも基準違反ではありません。緊急対応上の配慮が必要な場合は表示と連携した運用が求められますが、表示がないこと自体を即座に指摘事項とする根拠は弱いです。

よくある誤解

• 誤解1: 「非常口や避難器具があるとセキュリティ上の欠陥だ」
  • 実際には安全とセキュリティは両立させる必要があります。非常口は人命保護のため必須であり、監査では施錠と避難機能のバランスを評価します（緊急時に施錠が支障にならない設計が必要）。
• 誤解2: 「表示しない＝常に良い（安全向上）」
  • 表示の有無は一長一短です。表示を抑えることで目立たなくできますが、事前協議なしに全く表示しないと、保守や消防対応で支障が出ることがあります。判断は運用・関係者との整合性で行います。
• 誤解3: 「警報が鳴るのは問題だから指摘すべきだ」
  • 警報が正しく機能することは望ましいです。問題は誤報の頻度や運用で、誤報が多い場合は運用改善の指摘対象になります。

補足コラム

• 外部・内部の出入口構成と施錠状況（常時施錠、時間帯別施錠、有人時の運用）
• 入退室認証の有無（鍵、カード、バイオ認証）とログ保存
• 訪問者・作業者の同行・立会い・記録
• 非常口の利便性（施錠との兼ね合い）、誘導表示の配置
• 監視（CCTV）、警報システム、監視センターとの連携

FAQ