情報セキュリティマネジメント 2018年 春期 午前（科目A） 問06

機密性評価の判定【情報セキュリティマネジメント解説】

正解の理由

• 機密性（Confidentiality）：情報が許可された相手だけに知られる状態を保つこと。
• 設計図などの「営業秘密（trade secret）」は機密性が高い代表例です。

解法ステップ

1. 「評価値2」の定義を確認する：法律的義務、または漏えいで取引先・顧客に大きな影響、あるいは自社に深刻／大きな影響があること。
2. 各選択肢の判断理由が「情報の漏えい（誰かに知られること）」に関する説明かを判定する。
3. 漏えいによる影響の大きさ（顧客・取引先の影響、会社の深刻な損害）を評価する。
4. 上記を満たす選択肢を選ぶ。今回は「外部に流出して競争優位が失われる」ことを述べる エ が該当。

選択肢別の誤答解説

• ア（自社ECサイト／DDoSでアクセス不能 → 売上減少）
  → これは可用性（Availability：サービスを利用できる状態）に関する問題です。DDoS（分散型サービス妨害攻撃：多くのアクセスでサービスを止める攻撃）の影響は「漏えい」ではないため、機密性評価の基準には当てはまりません。
• イ（自社ECサイト／ディレクトリリスティングで廃版商品が閲覧される）
  → これは情報が誰でも見られる可能性を指しますが、廃版商品情報が公開されるだけでは通常、取引先・顧客に「大きな影響」や自社に「深刻な損害」を与えるとは言いにくいです。評価値2の「重大な影響」基準を満たさないため不適切です。
• ウ（主力製品設計図／設計者による無断変更で機能・品質・納期に問題が生じる）
  → これは完全性（Integrity：情報の正確さや改ざん防止）に関する問題です。情報が「改ざんされる」事象であって、外部への「漏えい」ではないため、機密性の評価基準とは別です。
• エ（主力製品設計図／不正アクセスで外部流出→競争優位喪失・売上減少）
  → 情報が第三者に漏えいすることで取引先・顧客や自社に深刻な影響が出る典型例です。評価値2に合致します。

よくある誤解

1. 「売上が減る＝必ず機密性が高い」ではない
   → 売上減少の原因が可用性（サービス停止）や完全性（製品不良）による場合もあり、まず「漏えい（機密性）」かどうかを確認する必要があります。
2. 「内部での不正は常に機密性の問題」ではない
   → 内部での無断変更は完全性の問題です。内部不正としての『情報の持ち出し』は機密性に当たるが、行為の性質を見分けることが重要です。

補足コラム

• 顧客の個人情報、健康情報、決済情報（法律で保護される場合がある）
• 製品の設計図や製造ノウハウなどの営業秘密（流出すれば競争力を失う）
• 主要取引先との契約書の秘密条項や価格情報（公開で取引に重大影響）

• 情報分類ルールを作り、設計図は「機密」レベルに設定する。
• アクセス制御（必要な人だけに閲覧権限を与える）、ログ記録、暗号化、外部持ち出しの禁止や持ち出し申請を運用する。
• 機密情報にはNDA（秘密保持契約）を結ぶ。
  （用語）ISMS（Information Security Management System：情報セキュリティマネジメントシステム）は、こうした分類・管理を仕組み化する枠組みの一つです。

FAQ