情報セキュリティマネジメント 2025年 科目A 問04

不正のトライアングル三要素【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「不正のトライアングル」の3要素（動機・機会・正当化）を思い出す。
   • 動機（Pressure）：金銭的プレッシャーやノルマなど不正に駆り立てる要因。
   • 機会（Opportunity）：不正を実行・隠蔽できる環境や仕組みの欠陥。
   • 正当化（Rationalization）：自分の行為を正当化する心理的理由。
2. 各選択肢の説明が上のどれに該当するかを照合する。
3. 定義が合致する選択肢を選ぶ。合致しないもの（他フレームワークの説明や用語の取り違え）は除外する。

選択肢別の誤答解説

• ア：正しい。機会の定義として「技術・物理的環境・組織ルールなどが不正を可能または容易にする環境の存在」とあり、不正のトライアングルの「機会」に相当する。
• イ：誤り。これは「情報と伝達（Information and Communication）」という内部統制の要素の説明に近いです。内部統制フレームワーク（例えば COSO（Committee of Sponsoring Organizations：米国の内部統制フレームワーク））で使われる概念であり、不正のトライアングルの要素ではありません。
• ウ：誤り。選択肢は「正当化」と記述しながら内容は「ノルマによるプレッシャ」つまり「動機（Pressure）」の説明になっています。語と説明が食い違っているため不正解です。
• エ：誤り。選択肢は「動機」としていますが、説明は「良心のかしゃくを乗り越える都合の良い解釈…自分勝手な理由付け」で、これは「正当化（Rationalization）」の説明です。これも語と説明が入れ替わっています。

よくある誤解

• 「正当化」と「動機」を混同する：正当化は本人が自分を納得させる心理（例：自分だけ使っても大丈夫、と考える）で、動機は不正を起こさせる外的・内的圧力（例：借金、業績プレッシャ）です。機序が異なります。
• 「機会＝技術的な欠陥だけ」と考える誤り：機会は技術だけでなく、組織的なルールの甘さや承認フローの欠落、監査がないことなども含みます。
• 「内部統制の用語と混同する」：内部統制（例：情報と伝達）と不正のトライアングルは関連しますが別の枠組みです。混同すると誤答しやすいです。

補足コラム

• 権限の分離（Segregation of Duties）：1人で決裁と支払を完結できないようにする。
• アクセス制御とログ管理：重要システムはID・パスワード管理や操作ログで誰が何をしたか追跡できるようにする。
• 定期的な監査・帳票突合：突合せで不自然な取引を早期発見する。
  これらは「機会」を減らす施策で、不正を未然に防ぎやすくなります。運用上は、総務や経理が関係部署と相談して業務フローを見直すことから始められます。

FAQ