情報セキュリティマネジメント 2019年 春期 午前（科目A） 問09

情報資産管理台帳の範囲【情報セキュリティマネジメント解説】

正解の理由

• 台帳の目的は「情報の所在と管理責任」を明確にすること。
• クラウド上のデータも組織の業務に使われ、機密性や可用性の要求があるため管理対象になる。
• 契約（SLA）や委託先管理の観点からも台帳に記録しておく必要がある。

解法ステップ

1. 問題文で「台帳の目的は何か」を確認する（漏れなく管理・保護すること）。
2. 各選択肢がその目的に合うかを検討する：
   • 所在地（社内/クラウド/委託先）で除外していないか。
   • 時点を限って遅延して記録していないか。
   • 重複・形式の違いで省略していないか。
3. ガイドラインの基本原則（全情報資産の把握、責任・保護策の明確化）に照らして選ぶ。
4. 上記より、クラウドを含める選択肢が妥当であると判断する。

選択肢別の誤答解説

• ア：誤り
  「重要度が一律に評価できないドキュメントは、重大情報や個人情報を含む場合だけ記入する」というのは不十分です。台帳は情報の所在や管理責任を明確にするための一覧です。重要度が不明でも、どこにあるか、誰が管理するかは記載しておく必要があります。後で重要度が判明したときに保護策を決めるためにも最初から台帳に載せます。
• イ：誤り
  「重要度が確定してから、あるいは未記入措置期間後に記入する」という遅延は推奨されません。情報は作成・取得した時点で記録し、重要度や分類は台帳の項目として「変化する属性」として更新すればよいです。台帳は動的に更新することを前提にします。
• ウ：誤り
  「紙と電子の両方で保存している場合は片方だけ記入する」は間違いです。台帳の記載は「情報資産」と「保管媒体・場所」を明確にすることが目的です。紙と電子の両方が存在するなら、同一の情報資産として一つにまとめつつ、保存形態（紙、電子、保存場所）を両方記載するのが実務的です。片方だけにすることは管理漏れや紛失リスクを生みます。
• エ：適切（正解）
  クラウドに保存される情報も管理責任や保護策が必要です。台帳にクラウド上の情報資産を含めることで、委託先（クラウド事業者）との契約内容、管理者、アクセス権、バックアップ状況などを明確にできます。よって エ が適切です。

よくある誤解

1. 「台帳は紙や社内サーバだけのもの」
   → 誤り。保存場所にかかわらず、業務で使う情報は台帳で管理します。スマホやクラウド、外部委託先も対象です。
2. 「重要なものだけ記録すれば良い」
   → 誤り。重要性は後から変わることがあるため、作成時点で一覧化し、分類や重要度は更新して管理します。
3. 「クラウドのデータは事業者のものだから関係ない」
   → 誤り。組織が利用するデータの管理責任は基本的に組織側にあります。契約で責任の範囲を整理した上で台帳に記録します。

補足コラム

• 情報資産名（例：顧客名簿）
• 所在（社内サーバ／クラウド／紙媒体等）と具体的な保存先（クラウド事業者名、サービス名）
• 管理責任者（担当部署・個人）
• 機密性・重要度の分類（後で変更可能にする）
• 保管期間・廃棄方法
• 委託契約の有無・SLA（サービスレベル契約）や暗号化・バックアップの状況

FAQ