情報処理安全確保支援士 2023年 秋期 午後 問04

　 　G百貨店は、国内で5店舗を営業している。G百貨店では、贈答品として販売される菓子類のうち、特定の地域向けに配送されるもの（以下、菓子類Fという）の配送と在庫管理をW社に委託している。 　 〔W社での配送業務〕 　W社は従業員100名の地域運送会社で、本社事務所と倉庫が同一敷地内にあり、それ以外の拠点はない。 　G百貨店では、贈答品の受注情報を、Sサービスという受注管理Saasに登録している。菓子類Fの受注情報（以下、菓子類Fの受注情報をZ情報という）が登録された後の、W社の配送業務におけるデータの流れは、図1のとおりである。

　W社の配送管理課では、毎日09:00-21:00の間、常時稼働1名として6時間交代で配送管理業務を行っている。配送管理用PCは1台を交代で使用している。 　Sサービスに登録されたZ情報をW社が参照できるようにするために、G百貨店は、自社に発行されたSサービスのアカウントを一つW社に貸与している（以下、G百貨店がW社に貸与しているSサービスのアカウントを貸与アカウントという）。貸与アカウントでは、Z情報だけにアクセスできるように権限を設定している。なお、SサービスとW社の各システムは直接連携しておらず、W社の配送管理課員がZ情報を参照して、在庫管理サーバ及び配送管理SaaSに入力している。1日当たりのZ情報の件数は10〜50件である。Z情報には、配送先の住所・氏名・電話番号の情報が含まれている。配送先の情報に不備がある場合は、配送員が配送管理課に電話で問い合わせることがある。なお、配送に関するG百貨店からW社への特別な連絡事項は、電子メール（以下、メールという）で送られてくる。 　 〔リスクアセスメントの開始〕 　ランサムウェアによる“二重の脅迫”が社会的な問題となったことをきっかけに、G百貨店では全ての情報資産を対象にしたリスクアセスメントを実施することになり、セキュリティコンサルティング会社であるE社に作業を依頼した。リスクアセスメントの開始に当たり、G百貨店は、G百貨店の情報資産を取り扱っている委託先に対して、E社の調査に応じるよう要請し、承諾を得た。この中にはW社も含まれていた。 　情報資産のうち贈答品の受注情報に関するリスクアセスメントは、E社の情報処理安全確保支援士（登録セキスペ）のTさんが担当することになった。Tさんは、まずZ情報の機密性に限定してリスクアセスメントを進めることにして、必要な調査を実施した。Tさんは、調査結果として、Sサービスの仕様とG百貨店の設定状況を表1に、W社のネットワーク構成を図2に、W社の情報セキュリティの状況を表2にまとめた。

　Tさんは、G百貨店が定めた図3のリスクアセスメントの手順に従って、Z情報の機密性に関するリスクアセスメントを進めた。

　Tさんは、表4のリスクアセスメントの結果をG百貨店に報告した。

〔リスクの管理策の検討〕 　報告を受けた後、G百貨店は、総合評価がA〜Cのリスクについて、リスクを低減するために追加すべき管理策の検討をE社に依頼した。依頼に当たり、G百貨店は次のとおり条件を提示した。 　・図1のデータの流れを変更しない前提で管理策を検討すること 　・リスク番号1-1及び2-4については、総合評価にかかわらず、管理策を検討すること 　 　依頼を受けたE社は、Tさんをリーダーとする数名のチームが管理策を検討した。追加すべき管理策の検討結果を表5に示す。

　その後、Tさんは、Z情報の完全性及び可用性についてのリスクアセスメント、並びに菓子類F以外の贈答品の受注情報についてのリスクアセスメントを行い、必要に応じて管理策を検討した。 　E社から全ての情報資産のリスクアセスメント結果及び追加すべき管理策の報告を受けたG百貨店は、報告内容からW社に関連する部分を抜粋してW社にも伝えた。G百貨店とW社は、幾つかの管理策を実施し、順調に贈答品の販売及び配送を行っている。