情報セキュリティマネジメント 2016年 春期 午前（科目A） 問07

内部不正防止対策【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題の主題を確認：内部不正防止に関する組織的な対策かどうかを把握する。
2. 各選択肢が「情報漏えいリスクを下げるか」「業務の安全性を損なうか」を判断する。
3. ガイドラインの基本原則（最小権限、管理された例外、セキュリティ機能の恒常活用）と照らし合わせる。
4. 業務運用面で起こり得るリスク（私用転送、無効化、勝手なインストール）を優先的に排除できる選択肢を選ぶ。

選択肢別の誤答解説

• ア：コンテンツフィルタ（URLフィルタ）は業務に不要な外部サービスへのアクセスを制限し、情報の持ち出しや不正サービス利用の抑止につながる。業務上どうしても必要なサイトはホワイトリストや申請による例外管理で対応します。したがって適切です。
• イ：私用のメールアドレスへの転送は、業務データが社外の管理外（個人のサービス）に保存・蓄積されるため、情報漏えいや外部流出のリスクが高まります。システム障害対策は、企業側で冗長化やバックアップ（例：サーバ型のメールアーカイブ）を用意するのが正しい対応です。
• ウ：ウイルス対策ソフト（マルウェアを検出・隔離するソフト）の機能を意図的に無効にすることは、マルウェア感染や不正アクセスを招くため危険です。ファイル共有ソフト利用時の誤検知は、除外設定や運用ルール、製品の調整で対応すべきであり、無効化は正しい対処ではありません。
• エ：組織が許可していないソフトを従業員の判断でインストールさせると、脆弱性やライセンス違反、情報漏えいの恐れが生じます。業務効率向上の可能性があっても、事前審査と承認プロセスを経ることが必要です（例：IT部門への申請→評価→許可／不許可）。

よくある誤解

• 誤解1：厳しいアクセス制限は業務効率を必ず下げる。
  → 実際には、業務で必要なサイトを事前に許可（ホワイトリスト）し、申請窓口を設けることで効率と安全性を両立できます。
• 誤解2：私用ツールに転送すれば復旧が速くなるので安全である。
  → 私用サービスは企業の管理下にないため、個人アカウントの紛失や外部からのアクセスで情報が漏れるリスクが高まります。
• 誤解3：ウイルス対策ソフトの誤検知は常に無効化で対処する。
  → 一時的な例外設定やホワイトリスト、ベンダーへの報告で恒久的な解決を図るべきです。

補足コラム

• コンテンツフィルタは全社員のネットワーク出口（プロキシやゲートウェイ）で適用します。例えば「オンラインストレージ全般を原則遮断→業務で必要なら申請して一時的に許可」といった運用をします。申請履歴は監査証跡になります。
• 例外運用は文書化し、情報管理責任者が承認する仕組みにするとよいです。これにより「業務上必要だが通常は禁止」のケースでの乱用を防げます。
• 併せてログ監視やDLP（Data Loss Prevention：データ漏えい防止）を導入すると、許可されたチャネルでの不正持ち出しも検出しやすくなります。

FAQ