情報セキュリティマネジメント 2024年 科目A 問02

情報のラベル付け【情報セキュリティマネジメント解説】

正解の理由

• 取扱基準：どの情報をどのように扱うかを定めたルールのこと。
• ラベリング（labeling）：情報に扱い方を示すタグや表示を付けること。

解法ステップ

1. 問題の目的を確認：ここでは「社外秘の持出しを禁じ、知らなかったと言わせないこと」が目的。
2. 各選択肢が目的に直接対応するかを見極める：
   • 直接「情報の取り扱いを明示」するか（周知・可視化）＝該当。
   • 環境整備や量の制限などで間接的に防ぐか＝不十分。
3. 「知らなかった」という弁明を防ぐには、事前に情報の重要度を明示して周知する必要があると判断し、ラベル付け（エ）を選ぶ。

選択肢別の誤答解説

• ア: 権限がない従業員が文書にアクセスできないようにするペーパーレス化
  • 解説：アクセス制御（誰が何にアクセスできるか決める仕組み）は重要ですが、「知らなかった」と言わせないための周知手段ではありません。ペーパーレス化は媒体の変更であり、ラベル表示を伴わないと意図が伝わりにくいです。
• イ: 従業員との信頼関係の維持を目的にした職場環境の整備
  • 解説：職場環境の整備は長期的に内部不正の抑止に役立ちますが、「社外秘」を明示して周知する直接的手段ではありません。目的と手段が乖離しています。
• ウ: 従業員に対する電子メールの外部送信データ量の制限
  • 解説：メールの添付サイズ制限は大きなファイルの漏洩を物理的に防ぐ面はありますが、重要情報を小さくして送るケースやスクリーンショット等の漏洩を防げません。また「知らなかった」との弁明を防ぐ表示にはなりません。
• エ: 情報の管理レベルについてのラベル付け
  • 解説：ラベルで「社外秘」と明示し、取扱基準と合わせて周知することで、従業員が「知らなかった」と主張する余地を減らせます。これが最も目的に合致します。

よくある誤解

• ラベルを付ければそれだけで安全だと思う
  • 誤解の内容：ラベル表示だけで持ち出しや送信を技術的に防げると思い込む。
  • 正しくは：ラベルは「可視化」と「周知」の手段です。アクセス制御や暗号化（例えばDRM）と組み合わせて運用する必要があります。
• ラベル付けは面倒で現場が守らないはずだという考え
  • 対処：シンプルな区分（例：公開／社内限定／社外秘）に絞り、運用ルールと教育を組み合わせると定着しやすいです。
• 電子的ファイルにラベルを付けるとファイル名が長くなるのが嫌だ
  • 対処：属性（メタデータ）やヘッダー・フッター・透かし（ウォーターマーク）を使えば見た目に影響を与えずに明示できます。

補足コラム

• ラベルの種類を3〜4段階に絞る（例：公開、社内限定、社外秘、極秘）。多すぎると運用が破綻します。
• 文書テンプレートのヘッダー／フッターにラベルを入れる。電子ファイルならメタデータに分類を入れる。
• ラベルは「表示」だけでなく、ルール（取扱基準）とセットで周知し、違反時の対応（懲戒や報告手順）も明確にする。
• 技術的補強：DLP（Data Loss Prevention：情報漏えい防止）やDRM（Digital Rights Management：デジタル著作権管理）、アクセス制御や暗号化を組み合わせて運用する。
• 定期的なレビューと監査でラベル付けの精度と運用状況を確認する。

FAQ