情報セキュリティマネジメント 2017年 春期 午前（科目A） 問14

内部不正の早期検知【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題の目的を確認：早期発見が目的か（防止・復旧・検知のどれかを整理）。
2. 各選択肢が「検知」に貢献するかを評価：
   • 検知（異常を発見）→○
   • 防止（起きにくくする）→△（だが検知ではない）
   • 復旧（起きた後の回復）→×
3. 各選択肢を当てはめる：アクセスログは「検知」に直結するため最適。
4. 結論：アクセスログの確認・解析（ア）を選ぶ。

選択肢別の誤答解説

• ア：アクセスログの定期確認と解析は「誰が何をしたか」を把握でき、早期発見に直接つながるため正解です。ログを自動解析してアラート化すると実務で有効です。
• イ（ウイルス対策ソフトの導入）：ウイルス対策ソフト（マルウェアを検出・除去するソフト）はマルウェア感染の予防や検出に有効ですが、内部の正当な利用者による意図的なデータ持ち出し（内部不正）の早期発見には直接役立ちません。
• ウ（重要なデータのバックアップ）：バックアップ（データを別に保存して復元できるようにすること）は被害発生後の復旧に有効です。しかし「早期発見」ではなく被害の後処理に該当します。
• エ（ノートPCのHDD暗号化）：HDD暗号化（内蔵ディスクの内容を暗号化して盗難時に読めなくする）は紛失・盗難対策に有効で、端末外での流出防止になりますが、内部ユーザが正当な端末から不正にデータを持ち出す場合の早期検知には寄与しません。

よくある誤解

• 「ウイルス対策を入れれば内部不正も防げる」：ウイルス対策はマルウェア対策で、人的な不正行為の検知・抑止には限界があります。
• 「バックアップがあれば被害は問題ない」：バックアップで復旧はできますが、機密情報の流出自体や外部公開のリスクは残り、早期発見は別途必要です。
• 「ログを取ればそれだけで安心」：ログ取得は必須ですが、放置すると意味がありません。定期的な解析やアラート設定、保存期間の管理が重要です。

補足コラム

• 何を守るかを決める（重要データの特定）。
• ログ収集の設計：ファイルアクセスログ、データベースのクエリログ、認証ログ、メール転送ログなどを収集。
• 自動解析の導入：SIEM（Security Information and Event Management：ログを集約・相関分析して異常を検知する仕組み）やDLP（Data Loss Prevention：データ漏えい防止ツール。特定データの流出を検知・制御する）を組み合わせると効率的です。
• アラート運用：閾値（通常と違うと判断する基準）を決め、担当者が即時対応できる体制を作る。
• 法務・人事との連携：従業員監視にはプライバシー配慮と就業規則・同意の整備が必要。通知・教育・規程が前提です。

• アクセスログ：誰がいつ何にアクセスしたかを記録する履歴。
• SIEM（Security Information and Event Management）：ログを集め、関連付けて自動で異常検出する仕組み。
• DLP（Data Loss Prevention）：機密データの流出を検出・防止するツール。
• 暗号化：データを第三者に読み取られないよう変換する技術。

FAQ