情報処理安全確保支援士 2011年 秋期 午後1 問04

解答の論理構成

1. 図3の大項目は、問題文で「Y社は、Q社のIT全般統制に関する状況を確認する一環として、JIS Q 27002:2006を参考に、情報セキュリティ対策の予備調査用の状況チェックリストを作成した」と明示されています。
2. JIS Q 27002:2006（ISO/IEC 27002）は 11 項目構成で、和訳名と番号は下記のとおりです。
   1. 情報セキュリティポリシ
   2. 情報セキュリティのための組織
   3. 資産の管理
   4. 人的資源のセキュリティ
   5. 物理的及び環境的セキュリティ
   6. 通信及び運用管理
   7. アクセス制御
   8. 情報システムの取得、開発及び保守
   9. 情報セキュリティインシデントの管理
   10. 事業継続管理
   11. 遵守
3. 図3では左列に奇数番号、右列に偶数番号が配置され、「7．a」が空欄になっています。上記 2) の該当番号7は「アクセス制御」であり、他の項目とも番号・名称が完全一致します。
4. さらに表2には「7.2.1 利用者登録」「7.2.3 利用者パスワードの管理」など、“7.x” 系列の細目が列挙されています。これらは JIS Q 27002 章7『アクセス制御』配下の統制項目と対応しており、空欄 a の文脈が「アクセス制御」であることを裏づけています。
5. 以上より、a に入る適切な字句は「アクセス制御」と結論づけられます。

誤りやすいポイント

• 図3の番号だけを眺め「6．通信及び運用管理」の次は「7．運用管理詳細」などと誤解しやすいですが、JIS Q 27002 の正式名称を覚えていれば混乱を防げます。
• 表2 の細目から「パスワード」「無人端末対応」などを見て“ユーザ管理”と短絡し、正式用語「アクセス制御」を思い出せないケースが散見されます。
• 「物理的及び環境的セキュリティ」が第5項目に既にあるため、“物理アクセス制御”と混同してしまい、空欄を「物理アクセス管理」と誤記するミスもあります。

FAQ

解答の論理構成

• 【問題文】の表2には“7.3.3　b・クリアスクリーンポリシ”とあり、同じ行で“書類及び取外し可能な電子記憶媒体に対する b ポリシ”と明示されています。JIS Q 27002 では机上や媒体を整理・施錠する取組を “クリアデスクポリシ” と呼ぶため、b＝「クリアデスク」と判断できます。
• (2) の文は “パスワード、c又は類似の利用者認証機構を使用したdで保護しているか。” となっています。JIS Q 27002 においてパスワードと対で例示される認証要素はトークン系デバイス（IC カード／スマートカードなど）であり、最も一般的な総称は“認証トークン”です。よって c＝「認証トークン」と解釈します。
• 同じ文中の “dで保護” は、離席時に PC を施錠相当の状態にする“スクリーンロック機構”を指します。したがって d＝「スクリーンロック機構」となります。
• (3) の文は “重要な業務情報を含む文書は印刷後、eしているか。” とあります。印刷後に行うべき管理策は放置防止、すなわち “プリンタから速やかに取り出して” 机上や出力口に放置しないことです。従って e＝「プリンタから速やかに取り出して」となります。

誤りやすいポイント

• クリアスクリーンとクリアデスクを混同し、b に「クリアスクリーン」を入れてしまう。
• “認証トークン”の代わりに特定製品名や“ICカード”など限定的な表現を用いてしまう。
• スクリーンロック機構を“スクリーンセーバ”とだけ書き、保護機構の趣旨を外してしまう。
• e を“保管庫に施錠”と誤記し、プリンタからの即時回収という運用の要点を外す。

FAQ

解答の論理構成

1. 【問題文】の指摘1は
   「会計連携データを運搬中のUSBメモリ内のデータ保護対策がとられておらず、財務情報の正確性確保の観点からみて不十分である。」
   と明記しています。
2. ここで強調されているのは “財務情報の正確性確保” です。正確性に関する脅威は、外部や内部の第三者がデータを書き換える、あるいは運搬過程で誤って変更されるといった「改ざん」リスクです。
3. もし USBメモリが盗まれるだけなら正確性ではなく機密性（漏えい）への影響が中心です。指摘1はあくまで「正確性」を問題にしているため、リスクの中心は“不正な書換えによる改ざん”と読み取れます。
4. したがって、解答群の中で該当するのは「ウ：改ざん」です。

誤りやすいポイント

• “USBメモリ”というワードから「盗難」や「漏えい」を連想しやすいが、設問は正確性（インテグリティ）にフォーカスしています。
• 用語「正確性確保」を「可用性」や「機密性」と取り違えてしまうミス。内部統制文脈では正確性＝改ざん防止です。
• 「保護対策がない」→「ウイルス感染」と早合点するケース。ウイルスは可用性低下や漏えいを招くかもしれませんが、設問のキーワードは“運搬中”“正確性”です。

FAQ

解答の論理構成

1. 【問題文】では、IT全般統制の「指摘1」として
   ──「会計連携データを運搬中のUSBメモリ内のデータ保護対策がとられておらず、財務情報の正確性確保の観点からみて不十分である。」──
   と明記されています。ここで求められているのは「正確性＝改ざん防止」の仕組みです。
2. USBメモリは外部へ持ち運ばれる可搬媒体であり、物理的盗難や不正改変を防ぎにくい特性があります。したがって、 ・データが途中で書換えられても真正性を検証できる
   ・しかも運搬後に容易に確認できる
   技術が必要です。
3. これを実現する代表的な方法が、ハッシュ値（メッセージダイジェスト）を「鍵付き」で生成・同梱し、受取側で再計算して一致を確認する改ざん検知です。公開鍵暗号やMAC（Message Authentication Code）を用いれば「鍵付き」であるため、攻撃者にハッシュを再生成されるリスクを減らせます。
4. よって「鍵付きハッシュ値などによる改ざん検知対策」という解答は、 ・運搬経路のリスク
   ・財務情報の正確性確保
   の双方を満たす技術的対策となります。

誤りやすいポイント

• 暗号化だけを答えてしまう
  → 暗号化は機密性確保には有効ですが、改ざん検知（完全性）を直接保証しません。
• USBメモリの物理管理手順を挙げる
  → 設問は「技術的対策」を問うており、運用手順のみでは不足です。
• ハッシュ値の「鍵付き」を落とす
  → 鍵がなければハッシュの再計算が容易で、攻撃者が改ざん後にハッシュを付け替えることが可能です。

FAQ

解答の論理構成

1. まず問題文の現状を確認します。
   引用：「指摘1：会計連携データを運搬中のUSBメモリ内のデータ保護対策がとられておらず、財務情報の正確性確保の観点からみて不十分である。」
   ここから、USBメモリ内のデータが単独の担当者に依存しており、改ざん・持ち去り・消去などのリスクが高いことが分かります。
2. 実際の運搬フローを確認します。
   引用：「(1) 抽出担当者は…USBメモリに保存する。」
   引用：「(2) 抽出担当者は…事務担当者に手渡す。」
   抽出担当者→事務担当者→経理部担当者→事務担当者→抽出担当者という流れですが、各工程で実質1人しか作業確認者が存在せず、相互チェックが働いていません。
3. 内部統制の基本原則は「牽制が働く仕組みを作る」ことです。
   ・職務の分割（職務分掌）
   ・権限と責任の明確化
   ・承認・記録・照合の複数人チェック
4. したがって、対策としては「USBメモリに関わる一連の作業を2名以上で行い、記録と照合作業を必須にする」ことが有効です。
   これにより悪意ある事務担当者が単独で不正を行う余地を大幅に低減できます。

誤りやすいポイント

• 技術的対策（暗号化ソフト導入など）だけを答えてしまい、管理的対策を求めている設問意図を外してしまう。
• 「パスワード保護付きZIPにする」など、既にガイドラインで定義済みの業務フローを変えてしまう回答。
• 相互牽制の対象を「抽出担当者と経理部担当者」としてしまい、問題の焦点である「運搬中の事務担当者」を見落とす。

FAQ

解答の論理構成

1. 問題文の確認
   本文には、次の記述があります。
   「しかし、Z社は、データセンタへの取引先の立入りを認めていない。そこで、Q社は、Z社に対して、①Q社としての確認が必要な項目を含む、Z社の統制状況に関する報告書をfの立場の専門家に作成してもらい、提出するよう依頼した。」
2. 制約条件の読み取り
   ・「取引先の立入りを認めていない」ため、Q社自身による実地確認が不可能。
   ・それでも「①Q社としての確認が必要な項目」が存在する。
   ・依頼先は「fの立場の専門家」と明示されている。
3. 必要となる立場の推定
   直接の利害関係を持たず、中立かつ客観的な評価を行える者でなければ、Q社の確認要件を満たせません。
   監査・保証の世界では、このような場合に「第三者」の報告（いわゆる SOC 報告書や外部監査報告書）を利用することが一般的です。
4. 結論
   以上より、f に入る語は「第三者」が最適となります。
   解答：第三者

誤りやすいポイント

• 「外部監査人」など具体的な役職名を書いてしまう
  問題文は「立場」を問うており、特定資格や職種を指定していません。
• 「内部監査部門」など Q社側の組織を当てはめる
  「取引先の立入りを認めていない」ため、Q社内部の人員では立ち入り不能です。
• Z社側の社員や関連会社を想定する
  利害関係があるため「中立性」の条件を満たしません。

FAQ

解答の論理構成

• 【問題文】の「図2　情報セキュリティガイドライン」における「5. 投資システムの利用者IDの発行」には
  「(2) 投資システム担当者は、Z社に利用者IDの登録を依頼する（利用者IDの登録は、Z社だけが行う）。」
  と明記されています。
• 投資システム担当者が依頼書を送った後、実際に Z社が登録作業を行うため、Q社は
  「依頼内容が適切に承認されてから登録されているか」を確認しなければ、アクセス権の過剰付与や誤登録のリスクを排除できません。
• そこで、図2の 5.(2) に関して確認すべき具体的項目は、 「Q社から依頼された利用者IDの登録に関する承認手続」
  となります。これは、指摘3で問題となったアクセス権管理の観点（JIS Q 27002 7.2.x 系列）とも直接結び付き、IT 全般統制の不備を解消する要件です。

誤りやすいポイント

• 「Z社だけが行う」とあるため、Q社側の責任が無いと誤解しやすい
  → 依頼自体は Q社から発生するため、承認フローの有無は Q社の統制範囲です。
• 「利用者IDの登録内容そのもの」を確認すれば十分と考えてしまう
  → だれが・いつ・どのように承認したかという手続面が無ければ統制証跡になりません。
• 「利用者ID削除手続」と混同する
  → 今回は 5.(2) の登録依頼に絞った確認事項です。

FAQ