情報セキュリティマネジメント 2023年 科目A 問09

インシデント連絡体制【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「監査で指摘すべきもの」の意味を確認する（＝業務上の不備や統制の欠如）。
2. 各選択肢が「良い管理（適切）」を示すか、「不備（問題）」を示すか分類する。
3. 不備に該当する選択肢を選ぶ。
   • 良い管理＝監査で指摘する理由が薄い（むしろ評価できる）。
   • 不備＝監査指摘の対象になる。

選択肢別の誤答解説

• ア: 「インシデント対応手順が作成され、関係者への周知が図られている。」
  → 手順と周知は管理上の良い実務です。監査では通常、文書化と周知は評価されます。したがって指摘事項にはなりません。
• イ: 「インシデントによってデータベースが被害を受けた場合の影響を最小にするために、規程に従ってデータのバックアップをとっている。」
  → バックアップを規程どおり実施しているのは対策です。バックアップの存在自体は監査での指摘事項ではなく、むしろ正の評価になります。ただし、復旧手順やバックアップの検証が不十分なら別途指摘されます。
• ウ: 「インシデントの種類や発生箇所、影響度合いに関係なく、連絡・報告ルートが共通になっている。」
  → これは問題です。例えば機密情報流出やサービス停止など重大案件は、経営・法務・広報など専門部署への迅速な連絡が必要です。共通ルートでは適切な人に届かず、対応遅延や二次被害が起こり得ます。監査指摘に該当します。
• エ: 「全てのインシデントについて、インシデント記録を残し、責任者の承認を得ることが定められている。」
  → 記録と承認のルールは適切な管理です。注意点としては、すべての小さな事象に厳格な承認手続を要求すると対応が遅れる可能性があるため運用ルールで重大度に応じた扱いにするのが望ましいですが、文言自体は監査上の指摘事項には直ちになりません。

よくある誤解

• 統一された連絡ルート＝「分かりやすくて良い」と考える誤解
  → 日常的な軽微事象では簡潔さが有利ですが、重大インシデントでは専門部署や経営への直接連絡が必要です。分かりやすさと迅速性はバランスで考えます。
• 文書化されている＝必ず十分だと思う誤解
  → 手順や規程があっても、実態（実行・検証・更新）が伴わなければ意味がありません。監査は実行状況も見る点を忘れないでください。
• 監査指摘＝すべて「黒」ではない誤解
  → 監査報告書には「指摘（是正が必要）」のほか「所見（改善を勧奨）」や「良好な点」の記載もあり得ます。指摘はリスクが高い不備に対して行われます。

補足コラム

• 重大度レベルを定義：例えばレベル1（サービス全停止、情報漏えい）、レベル2（業務影響あり）、レベル3（軽微）
• 連絡先マトリクス：レベル1 → 経営層＋法務＋広報＋IT責任者、レベル2 → IT責任者＋業務担当、レベル3 → 運用担当のみ
• 代替手段の用意：主連絡先が不在の際の代替電話番号、外部連絡先（警察、監督機関）
• 事前訓練：想定シナリオで実際に連絡ルートを使う演習を行い、実効性を確認する

FAQ