情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問11

情報ラベル付け【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題の目的を確認する：「社外秘は持ち出し禁止」「知らなかったと言わせない」ことが狙い。
2. 各選択肢が「周知」と「明示性」を満たすかを評価する。
3. 周知して明示できる手段は「ラベル付け」であり、直接的に該当するか判定する。
4. 他の選択肢は目的に部分的に貢献するが、直接「見て分かる形で周知する」点で劣るため除外する。

選択肢別の誤答解説

• ア: 権限がない従業員が文書にアクセスできないようにするペーパレス化
  ペーパレス化（紙を減らして電子化すること）は文書管理の効率化に有効です。しかし「知らなかった」と言わせないための視覚的な周知（ラベル表示）とは別の対策です。アクセス制御は「アクセスできない」ようにするもので、すでにアクセス権がある従業員が持ち出した場合の言い訳防止には直接つながりません。
• イ: 従業員との信頼関係の維持を目的にした職場環境の整備
  職場環境の改善は長期的なリスク低減に役立ちますが、個別の文書に対して「これは社外秘」と即座に示す手段ではありません。信頼構築は良い施策ですが、問題の「知らなかった」との言い訳を防ぐ即効性は低いです。
• ウ: 従業員に対する電子メールの外部送信データ量の制限
  メール送信のデータ量制限は大容量ファイルの持出しを抑える一要素ですが、情報の機密性（社外秘かどうか）を示すものではありません。サイズ制限は回避方法（分割送信やクラウドリンク共有など）があり、言い訳防止の観点で不十分です。
• エ: 情報の管理レベルについてのラベル付け
  ラベルは情報の取扱いを明確に示します。物理文書なら見出しや封筒に「社外秘」と印刷、電子文書ならメタデータ（ファイルに付ける属性情報）やファイルヘッダにラベルを付けます。これにより「知らなかった」という言い訳が成立しにくくなります。したがって エ が目的に最も合致します。

よくある誤解

• ラベルを付ければそれだけで安全になる
  ラベルは周知と明示のために有効ですが、単独では技術的な漏えい防止になりません。ラベル＋教育＋技術的制御（DLPやアクセス制御）が必要です。
• アクセス制御だけで「知らなかった」を防げる
  アクセス制御は重要ですが、権限のある従業員が誤って／悪意を持って持ち出す場合には無力です。ラベルで明確な扱いを示すことが補完になります。
• データ量制限で機密漏えいが防げる
  小さな機密データはテキストで送れば済むため、サイズ制限は根本対策になりません。機密かどうかの識別が先です。

補足コラム

• 物理文書：表題や封筒に「社外秘」「社内限定」を印刷またはスタンプする。送付時は封かんルールを明記。
• 電子文書：ファイル名に接頭辞を付ける、ファイルプロパティのメタデータに分類を入れる、または情報保護ツールで自動ラベルを付与する。ここで言うメタデータは「ファイルに紐づく補助情報（作成者や分類など）」です。
• 自動化：ラベル情報をトリガーにしてDLP（Data Loss Prevention：情報の漏えい防止）を働かせ、外部送信やクラウドアップロードをブロックする。
• 運用のポイント：ラベルの定義を文書化する（例：社外秘＝持出し禁止、暗号化必須）。定期的な教育と監査（ログ確認）を行うこと。

• 重要書類に赤い「社外秘」ラベルを貼る。
• 電子メール送信時に「添付ファイルの分類」チェック項目を必須にする。
• 違反時の対応（管理者への報告、懲戒規程の周知）を明示する。

FAQ