情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問06

ベースラインアプローチ【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「ベースライン」という語の意味を確認する（baseline＝基準線、標準）。
2. 各選択肢を「基準を作る」「経験に依存」「資産ごとの詳細分析」「複数併用」の観点で当てはめる。
3. 「基準を作り現状とのギャップを埋める」説明と一致する選択肢を選ぶ。
4. よって基準を先に置く記述であるアを正解とする。

選択肢別の誤答解説

• イ: 「現場担当者の経験や考え方によって検討結果が左右されやすい。」
  ベースラインは標準化を目的とするため、個人差を排して一貫した基準を与えるのが狙いです。むしろ経験依存を減らせます。よって誤りです。
• ウ: 「情報資産ごとにリスクを分析する。」
  これはリスクアセスメント（資産ごとの脅威・影響を個別に評価する手法）を示します。ベースラインは「全体の標準設定」に基づくので、資産別の詳細分析とは異なります。
• エ: 「複数のアプローチを併用して分析作業の効率化や分析精度の向上を図る。」
  複数手法の併用は有効ですが、ベースラインアプローチ自体の特徴を示すものではありません。ベースラインは「標準を定めて現状と比較する」という単独の明確な方針を持ちます。

よくある誤解

• ベースラインはリスク分析をしなくてよい、と思う誤解。
  実務ではベースラインとリスクベースの評価は補完関係にあります。ベースラインで全体の最低基準を確保し、重要資産は追加でリスク分析します。
• ベースラインは一度作れば放置して良い、と思う誤解。
  ソフトの更新や業務変更で基準の見直しが必要です。定期的な改定と監査が必要になります。

補足コラム

• 経営や情報管理者が「必須の設定（ベースライン）」を定める。例：OSの自動更新をオン、不要サービスを停止、管理者アカウントは鍵認証に限定など。
• 現場はその基準に従って端末・サーバの設定を行う。
• 管理ツール（構成管理ツール：Ansible、SCCM など）で自動チェックと自動修復を行うと管理負荷が下がります。
• 例外（業務上特殊な設定）がある場合は、例外申請と期限を設け、監査で追跡します。

• 管理が楽になる（統一された設定でトラブル原因が特定しやすい）。
• 監査・コンプライアンス対応がしやすい。
  欠点
• すべてを一律にすると業務に支障が出る可能性があるため、例外管理が重要。

FAQ