情報セキュリティマネジメント 2019年 春期 午前（科目A） 問32

政府機関等の統一基準【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. タイトルのキーワードを読む：「政府機関等」「統一基準」「情報セキュリティ」→ 対象は政府側の基準であると判断。
2. 「情報の格付」「基準」と聞いて連想するのは情報分類（CIA：機密性・完全性・可用性）。
3. 各選択肢を照らし合わせる：法令に基づくものか、適用範囲が広すぎないかを確認。
4. 「政府機関等向け」であり情報分類を定義している点が合致する選択肢を選ぶ（ア）。

選択肢別の誤答解説

• ア：正しい。政府機関向け統一基準は、情報を機密性・完全性・可用性の観点で格付けし、それに応じた保護レベルや対策を示す。
• イ：誤り。個人情報保護法（個人情報の取り扱いを定める法律）とは別の枠組み。統一基準は政府機関の情報全体のセキュリティ基準であり、個人情報に限定した法律に基づいて制定されたものではない。
• ウ：誤り。適用範囲は「全ての政府機関及び全ての民間企業」ではない。「政府機関等」を主対象とするガイドラインであり、すべての民間企業に対して直接に適用されるものではない。民間企業は別の基準や要件に従うことが多い。
• エ：誤り。不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）に基づいて制定されたものというわけではない。統一基準は広い情報セキュリティ対策を扱う指針であり、特定の単一法に限定されない。

よくある誤解

• 「この基準は個人情報だけに関するものだ」→ 誤り。個人情報も含むが、政府が扱うあらゆる情報の保護を意図している。
• 「基準＝法律で必ず守らなければならない」→ 誤解。多くは指針・ガイドラインで、具体的運用や強制力は所属組織の規程や別の法律による。とはいえ政府機関内では準拠が求められることが多い。
• 「政府基準は民間に無関係」→ 完全に無関係ではない。政府調達や委託、共同開発などを通じて民間事業者にも要求が及ぶことがあるため、関係する業務担当者は基準の概要を知っておくべき。

補足コラム

• まず扱う情報を分類します。例：職員の個人情報や給与情報は「機密性が高い」。公開資料やパンフレットは「機密性が低い」。
• 分類に応じてアクセス権、暗号化、バックアップ頻度、物理的保管（施錠）などの対策を決めます。たとえば機密性の高い情報は限定された担当者のみがアクセスし、通信は暗号化し、バックアップは別の安全な場所で保管します。
• 政府機関が民間企業に業務を委託する場合、委託先にこの基準に準じた管理を求めることが多く、契約で具体的な要求（アクセス制限、ログ取得、情報の返却・廃棄方法など）を定めます。

• ISMS（Information Security Management System：情報セキュリティマネジメントシステム）＝組織が情報セキュリティを計画・実行・評価・改善するための枠組み。政府の統一基準は、ISMS と整合させることができる指針の一つと考えてよいです。

FAQ