ITパスポート 2019年 春期 問50

情報資産のライフサイクルに従う情報セキュリティ監査の対象選定【ITパスポート 解説】

正解の理由

解法ステップ

1. 「情報資産」の定義を確認する
   • 情報資産とは、紙の文書、電子データ、データベース、サーバ（サービスを提供するコンピュータ）、ネットワーク機器、業務ノウハウなど、組織にとって価値のある情報そのものや、それを扱う資源です。
2. 「ライフサイクル」を思い出す
   • 作成→保存（保管）→利用→共有→移送→アーカイブ→廃棄・消去など、段階ごとにリスクや必要な管理が異なります。
3. 「情報セキュリティ監査」の目的を押さえる
   • 目的は管理策が適切に設計・運用されているかを評価すること。ライフサイクル全体を通じて評価するなら、対象は特定のシステムや媒介だけでは不十分です。
4. 選択肢を照らし合わせて一つずつ除外する
   • 「情報システムのみ」「非システムのみ」「システムが保有している情報のみ」は、いずれもライフサイクルの全体をカバーしないため不適切。
5. 全体をカバーするエを選ぶ

選択肢別の誤答解説

• ア: 情報資産を管理している情報システム
  • 誤りの理由：情報資産は情報システム（ソフトやサーバ）だけでなく、紙文書や従業員の頭の中のノウハウ、外部委託先で管理されるデータなども含みます。システムだけ監査してもライフサイクル全体の問題を見落とします。
• イ: 情報システム以外で保有している情報資産
  • 誤りの理由：紙文書や口頭知識などを含むのは正しいですが、情報システム側にある電子データやログ、システム設定などを除外してしまうため不十分です。
• ウ: 情報システムが保有している情報資産
  • 誤りの理由：システム内のデータは重要ですが、持ち出しコピー、バックアップ、紙出力、外部委託先の保存データなどシステム外の資産もライフサイクル上で管理すべき対象です。範囲が狭すぎます。
• エ: 保有している全ての情報資産
  • 適切な理由：ライフサイクルに沿った監査は、作成から廃棄までの各工程にある全資産を対象にしなければ意味がありません。よって最も適切です。

よくある誤解

1. 「情報システム＝すべての情報資産」と考える誤解
   • 実際は紙や人的ノウハウ、外部委託先のデータなども情報資産です。システムは一部に過ぎません。
2. 「ライフサイクル監査は廃棄だけを見る」と考える誤解
   • 廃棄は重要ですが、作成時の分類や利用時のアクセス管理、保存時の暗号化など、各段階に監査ポイントがあります。
3. 「監査は技術のみを確認すればよい」とする誤解
   • 組織のルール（ポリシー）、資産の所有者（オーナー）の指定、教育・運用手順なども監査対象です。

補足コラム

• 関連する国際標準としてISO/IEC 27001（情報セキュリティマネジメントシステム：情報の機密性・完全性・可用性を守るための運用基準）があり、資産管理やライフサイクルに関する規定があります。
• 監査で確認する具体例（ライフサイクル別）
  • 作成：分類ルールやラベリングの有無
  • 保管：暗号化やアクセス権の管理、バックアップの実行
  • 利用：最小権限の適用、認証の実装
  • 共有：安全な伝送手段、契約上の取り決め（外部共有）
  • アーカイブ：長期保存ポリシー、保存媒体の管理
  • 廃棄：安全消去手順、記録の有無
• クラウドやSaaS（Software as a Service：サービスとして提供されるソフトウェア）の場合は、外部事業者が管理する部分と自社が管理すべき部分（責任分界点）を明確にして監査範囲を決める必要があります。

FAQ