情報処理安全確保支援士 2011年 春期 午後1 問03

解答の導き方

1. 表2の記述を確認する

• 表2（(ア)盗難・紛失の行）には「情報を秘匿するための a」とあり、実施状況には「情報は aしていない。」と記載されています。

1. 語句を決める

• 「情報を秘匿する」とは、持出し中の盗難・紛失の際に、第三者に中身を読まれないようにすることを指します。業務情報の持出しに対する標準的な技術的対策は、データを読み取れない形式にすること、すなわち暗号化です。
• 「情報は aしていない」と動詞として使われていることとも整合します。

誤りやすいポイント

• 「暗号」と「暗号化」を取り違える：文脈は「情報を秘匿するための（動作・手段）」であり、「情報は aしていない」と続くので、名詞「暗号」ではなく「暗号化」が適切です。
• 「パスワード設定」などのアクセス制御を答える：盗難・紛失時に中身を読まれないようにする「秘匿」の手段としては、暗号化が直接対応します。

FAQ

解答の論理構成

1. b に入る語句
   • 【問題文】
     “案1、案2は、いずれも表2の(ア)及び(イ)のリスクをbすることができる。”
   • (ア) 盗難・紛失、(イ) マルウェア感染の根本原因は「貸与PCを持ち歩くこと」と「社外PCでの作業」です。
   • 案1・案2では “貸与PCの社外への持出しも禁止” し、シンクライアントや公開Webサーバ経由で資料を提示するため、そもそもPCを社外に持ち出さない設計になります。
   • リスクそのものの発生源を取り除く対応はリスクマネジメント用語で「回避」に該当します。
     → b ＝ “回避”
2. c に入る語句
   • 【問題文】
     “表2の(ウ)のリスクについては…案1と案2のいずれであってもbすることはできないので、c策を取ることとし…”
   • (ウ) 不正開示は顧客への提案業務そのものを伴うため完全に「回避」することは不可能。
   • そこで “④アップロードする営業担当者の上司による確認” などのチェックを追加してリスクの発生確率を下げる方策を採っています。
   • 発生確率・影響度を下げる対応は「低減」に該当します。
     → c ＝ “低減”
3. 解答群の照合
   • 行「イ」　b＝“回避”、c＝“低減”
   • よって解答は “イ” となります。

誤りやすいポイント

• “貸与PCを持ち出さない” 対策を「低減」と誤認
  回避はリスク源の排除、低減はリスクを残したまま確率や影響を下げる点を整理する。
• (ウ) 不正開示を「移転」と勘違い
  保険契約やアウトソースなど第三者へ責任を移す場合が「移転」。上司確認は移転ではなく低減。
• 回答欄に語句を直接書くミス
  指定は “記号” なので、語句ではなく “イ” をマークする必要がある。

FAQ

解答の論理構成

1. 【問題文】の表2（ア）には
   “持出中に貸与PCが盗まれる又は紛失する。”というリスクが示され、対策として
   “①貸与PCの安全な持運びに関する注意点の周知”
   が挙げられています。
2. “盗難・紛失”という物理的リスクに最も直接効くのは、「第三者の手が届く場所に置かない」「常に自身で管理する」という行動面の徹底です。
3. そこで「移動中は肌身離さず持つ。」と具体的に示すことで、 • カフェや車内などで置き忘れる
   • 電車・タクシーに積み忘れる
   といった典型的な紛失シナリオを根本的に防止できます。
4. この一文は物理的リスクを最小化する具体策として十分であり、表2の①に対する適切な回答となります。

誤りやすいポイント

• 「カバンに入れて施錠する」など、“肌身離さず”の趣旨から外れた記述をする
• ソフトウェア的・論理的対策（暗号化や認証）が主眼と誤解し、物理的行動を書き忘れる
• 「持たない」「置かない」の否定形で書き意味が不明確になる

FAQ

解答の論理構成

1. 問題文では、営業担当者が顧客先へ行く際に「日常業務に利用している貸与PC」をそのまま持ち出していることが示されています。
   引用：
   ・「②日常業務に利用している貸与PCを持ち出している」
2. 「日常業務に利用している」PCには、今回の商談で提示するファイル以外にも多数の業務情報が保存されています。
3. そのPCが盗難・紛失・マルウェア感染などで第三者の手に渡ると、提示予定の資料だけでなく「当該持出時に必要な情報以外」の機密データまで一括して漏えいするリスクが生じます。
4. したがって、被害範囲が広がる「被害が大きくなるおそれ」がある理由は、“必要最小限を超える業務情報を内包したPCを移動させている”点にあります。
5. 上記を踏まえると模範解答は、 「当該持出時に必要な情報以外に貸与PCに入っている業務情報も漏えいする可能性があるから」
   となります。

誤りやすいポイント

• 貸与PC自体の価格やハードウェア損失を理由にしてしまう。問題は金銭的価値より「他の業務情報」への波及です。
• リスクを「マルウェア感染」に限定してしまう。②で問われているのはPC持出しに伴う情報量の多さによる被害拡大です。
• 「USBメモリ紛失」と同列に考え、PC特有の“業務情報の集約”を見落とす。

FAQ

解答の論理構成

• 本文では「案2の場合は、③万一、公開Webサーバが不正アクセスされても、業務情報が漏えいするリスクをできるだけ小さくするための運用上の対策を併せて実施する」とあります。
• 「公開Webサーバ」が攻撃を受けても被害を最小化するには、サーバ上に業務情報が存在する時間を短くし、必要最小限だけ残すことが効果的です。
• さらに文中で案2の手順は、顧客に「ダウンロードしてもらう」運用であり、営業担当者側から見ると「アップロード→顧客ダウンロード→不要になったら削除」が自然な流れになります。
• したがって対策の本質は「必要時のみ一時的に保管し、目的達成後は即時削除する」ことです。
• 以上より、モデル解答「顧客を訪問する直前に業務情報をアップロードし、ダウンロードされたらすぐに削除する」が導かれます。

誤りやすいポイント

• 公開Webサーバに暗号化ファイルを恒常的に置くなど“静的保管”を想定すると、削除までの時間が長くなりリスク低減策になりません。
• 「VPNで接続して閲覧する」案1の対策と混同し、アップロード・削除の運用を案1に当てはめてしまうミス。
• 「バックアップを取得しておく」がリスク低減と誤解されがちですが、漏えいリスクとは逆効果になる場合があります。

FAQ

解答の論理構成

1. リスクの整理
   • 表2の(ウ)には「持出中にE社従業員が、開示が許可されている対象者以外に（故意又は過失で）情報を開示してしまう」とあります。
   • 案2の記述では「アップロード時に故意又は過失で当該顧客向け業務情報を他社に開示するリスク」が示されています。
2. 対策方針
   • 同じ箇所で「業務情報のアップロードに際して、④アップロードする営業担当者の上司による確認がなされれば、そのリスクをcすることができる」と述べられ、上司が“何を”確認するかが問われています。
3. 上司が確認すべき内容
   • 誤って他社の情報を置くと「開示が許可されている対象者以外」に情報が渡るため、確認の本質は“顧客誤りの防止”です。
   • したがって、上司は「アップロードする業務情報が、当該顧客向けで間違いないか」をチェックする必要があります。
4. 結論
   • よって解答は「アップロードする業務情報が、当該顧客向けの情報であること」です。

誤りやすいポイント

• 「ファイル名が正しいか」など表層的な確認に留めてしまい、顧客と情報の対応関係を明確に意識しない。
• (ウ)のリスクを「社外への漏えい全般」と広く捉え過ぎて、上司による“内容確認”ではなく“アップロードの有無”だけを答えてしまう。
• ④の主語が「営業担当者」ではなく「営業担当者の上司」である点を見落とし、自己確認と誤解する。

FAQ

解答の論理構成

1. 本文はまず、H（自宅作業）に案2（公開Webサーバ経由で顧客が業務情報をダウンロード）の適用を検討した際、 “⑤案2では、(イ) のリスクに対する有効な対策を取ることが困難” と指摘しています。
2. (イ) のリスクとは表3で示される “（イ）マルウェアに感染” です。
3. 表3の同欄には、私有PCについて
   ・“私有PCにおけるマルウェアの対策状況を定常的に把握できていない。”
   ・“私有PCについては、インストールできるソフトウェアを会社指定のものだけに制限できていない。”
   ・“私有PCについては、セキュリティパッチの適用は徹底できていない。”
   と、管理が行き届いていない実態が列挙されています。
4. 案2を採ると、公開Webサーバに置いた業務情報は従業員が“ダウンロード”して私有PCで扱う運用になります。
   このため、管理不十分な私有PCがマルウェアに感染している場合、業務情報自体が汚染・漏えいする恐れが高まります。
5. したがって、案2ではマルウェア感染リスク（イ）に対して効果的なコントロールが難しい、という結論になります。
6. 以上より解答は、私有PCの脆弱なセキュリティ状態で業務情報をダウンロードしてしまう点を端的に述べるものになります。

誤りやすいポイント

• “公開Webサーバ側のセキュリティ”と誤認し、私有PCの管理不備を見落とす。
• (ウ) 不正開示や(エ) 盗み見の話題と混同し、マルウェア感染リスクの文脈を取り違える。
• 「VPNがあるから安全」と早合点し、ダウンロード後のローカル環境の危険性を軽視する。

FAQ