情報セキュリティマネジメント 2017年 春期 午前（科目A） 問27
問題文
不正が発生する際には“不正のトライアングル”の3要素全てが存在すると考えられている。“不正のトライアングル”の構成要素の説明として、適切なものはどれか。
選択肢
ア：“機会”とは、情報システムなどの技術や物理的な環境、組織のルールなど、内部者による不正行為の実行を可能又は容易にする環境の存在である。（正解）
イ：“情報と伝達”とは、必要な情報が識別、把握及び処理され、組織内外及び関係者相互に正しく伝えられるようにすることである。
ウ：“正当化”とは、ノルマによるプレッシャなどのことである。
エ：“動機”とは、良心のかしゃくを乗り越える都合の良い解釈や他人への責任転嫁など、内部者が不正行為を自ら納得させるための自分勝手な理由付けである。
🔒 解説は解答すると表示されます
不正のトライアングルの要素【情報セキュリティマネジメント解説】
正解の理由
不正のトライアングルとは、不正行為が起きるためにそろう3つの要素を示す考え方です。3要素は「動機（pressure）」「機会（opportunity）」「正当化（rationalization）」。選択肢のうち、アは「機会」を正しく説明しています。つまり、情報システムの技術的な穴や物理的に管理されていない場所、あるいは組織の運用ルールの不備などが、内部者（会社の従業員や契約者など、組織内部にアクセスできる人）に不正を実行させやすくする環境を指します。これがあれば、他の要素と組み合わさった際に不正が現実化しやすくなります。
解法ステップ
- まず「不正のトライアングル」の3つの要素（動機・機会・正当化）を頭に入れる。英語の対応も覚えると区別しやすい。
- 動機：pressure（例：借金、ノルマ）
- 機会：opportunity（例：監視が甘い、権限の集中）
- 正当化：rationalization（例：自分を正当化する言い訳）
- 各選択肢の定義を、上の3要素と照合する。
- 定義が「どの要素を説明しているか」を正確に判定する。誤って入れ替わっていないか注意する。
- 正しく対応する説明と一致する選択肢を選ぶ。
選択肢別の誤答解説
- ア（正しい）: 「機会」を正確に表現しています。技術的な弱点（例：未更新のシステム）、物理的な管理不備（例：無施錠のキャビネット）、組織ルールの甘さ（例：業務権限の集中）はすべて不正の機会を生みます。
- イ: これは「情報と伝達（information and communication）」の説明に近く、内部統制の別の側面（組織内部で情報が適切に流れること）を指します。トライアングルの3要素のどれにも該当しません。
- ウ: 「正当化（rationalization）」ではなく、ノルマによるプレッシャーは「動機（pressure）」にあたります。つまりウは要素名と説明が食い違っています。
- エ: 「動機」と書かれていますが、説明内容（良心のかしゃくを乗り越える解釈や責任転嫁）は「正当化（自分を納得させる理由付け）」の説明です。これも要素名と説明が逆になっています。
よくある誤解
- 誤解1: 「機会」がなければ不正は起きない — ほぼ正しいが、機会が完全にゼロにするのは難しい。重要なのは機会を減らす（分離、監査、ログ管理）こと。
- 誤解2: 「正当化」は軽い言い訳だけ — 正当化は本人が倫理的なブレーキを外す心理過程で、見過ごすと短期の利益のために行動を正当化してしまう場合があります。
- 誤解3: 一つの要素だけで不正が起こると思い込む — 通常は複数の要素が重なって発生します。例えばプレッシャー＋機会が揃うとリスクが高まります。
補足コラム
職場での具体的な対策イメージ（「機会」対策を中心に）
- 権限の分離：金銭の管理と支払承認を別の人が行う仕組み。これにより「一人で全部できる」状況（機会）を減らせます。
- ログと監査：アクセス記録や取引履歴を残し、定期的にチェックすることで不正の発見と抑止になります。
- 物理的管理：重要書類や備品は鍵付き保管、入退室管理を行う。鍵の管理がずさんだと機会が増えます。
- 倫理教育と相談窓口：従業員がプレッシャーに対処できるよう支援し、不正を正当化する心理を減らします（この点は「動機」と「正当化」に働きかけます）。
実務では「制度（ルール）」と「監視（監査・ログ）」と「人のケア（相談・支援）」の3本柱でリスクを下げるのが現実的です。
FAQ
Q1: 不正のトライアングルは誰が提唱した概念ですか？
A1: もともとは会計・不正検出の分野で広まった概念です。誰が最初かよりも、発生メカニズムを理解して対策を考えることが重要です。
A1: もともとは会計・不正検出の分野で広まった概念です。誰が最初かよりも、発生メカニズムを理解して対策を考えることが重要です。
Q2: 「機会」を完全に排除できますか？
A2: 完全排除は難しいです。現実的にはリスクを低減（例：権限分離、監査、物理管理）して機会を小さくすることが目的です。
A2: 完全排除は難しいです。現実的にはリスクを低減（例：権限分離、監査、物理管理）して機会を小さくすることが目的です。
Q3: 問題文で見分けるコツは？
A3: 定義のキーワードを探す。プレッシャーやノルマなら「動機」、監視や環境の話なら「機会」、言い訳や自己正当化の話なら「正当化」です。
A3: 定義のキーワードを探す。プレッシャーやノルマなら「動機」、監視や環境の話なら「機会」、言い訳や自己正当化の話なら「正当化」です。
関連キーワード: 不正防止、不正の原因分析、内部統制、権限分離、監査ログ、倫理教育、内部不正対策
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！