CISA試験勉強（公認情報システム監査人）　教科書　第4章

↓本教科書の解説はYouTubeで実施しています！ご視聴、チャンネル登録をお願いします。

第4章：情報システムの運用とビジネスレジリエンス

1. はじめに：「稼働し続ける」仕組みを理解する

情報システム監査人として、システムの「開発」や「セキュリティ」を評価するだけでは不十分です。重要なのは、「そのシステムが日々どのように運用され、事業を支えているか」を理解し、評価できることです。

本章では、情報システムの「日常運用」から「事業継続・災害復旧」まで、ITが安定してビジネスを支えるための全体像を体系的に学びます。システムは稼働して初めて価値を生み出すため、その運用の適切さは企業の存続に直結します。

一問一答：この章のゴールは？

• Q. 第4章で学ぶ「情報システムの運用」を一言で言うと？

  • A. 「工場の稼働管理」と同じです。 工場を安定して動かすには、「設備の把握と保守（ITコンポーネント・資産管理）」→「日々の生産計画と処理（スケジューリング・インターフェース）」→「トラブル対応（インシデント・変更管理）」→「記録と品質（ログ・SLA）」→「いざという時の備え（BIA・バックアップ・BCP・DRP）」という一連の仕組みが必要です。 情報システムの運用も同様に、日々の安定稼働を支えるプロセスと、障害や災害に備えた事業継続の仕組みから成り立っています。この一連の流れをマスターし、監査人として運用の適切性と事業継続の備えを評価できるようになるのが本章の目的です。

2. 第4章の全体像と学習マップ

本章は、情報システム運用の実践に沿って、大きく「A. 情報システムの運用」と「B. ビジネスレジリエンス」の2つのパートで構成されています。

これから学ぶ全16セクションが、運用管理のどこに位置しているかを常に意識してください。

【A. 情報システムの運用】 日常の稼働を支える仕組み

やみくもにシステムを動かすのではなく、コンポーネントの把握、日々の処理、トラブル対応、変更管理、記録と品質保証まで、一貫した運用プロセスを理解します。

• ITコンポーネント (Sec 1): ハードウェア・ソフトウェア・ネットワークの構成と管理の基礎です。

• IT資産管理 (Sec 2): 組織が保有するIT資産を把握し、適切に管理する仕組みです。

• ジョブスケジューリングと生産プロセスの自動化 (Sec 3): 定型的な処理を自動化し、確実に実行する仕組みです。

• システムインターフェース (Sec 4): システム間の連携とデータの受け渡しを管理します。

• シャドーITとエンドユーザーコンピューティング (Sec 5): 承認外のIT利用のリスクと対策です。

• システムの可用性と容量管理 (Sec 6): サービスレベルを維持するための可用性・容量の管理です。

• インシデントおよび問題管理 (Sec 7): 障害の対応と再発防止のプロセスです。

• IT変更、構成、およびパッチ管理 (Sec 8): 変更の統制と構成・パッチの適切な管理です。

• 運用ログ管理 (Sec 9): 運用の証跡を残し、監査と障害追跡を可能にします。

• ITサービスレベル管理 (Sec 10): 提供するサービスの品質を定義し、監視・報告します。

• データベース管理 (Sec 11): データベースの運用・保守・セキュリティを管理します。

【B. ビジネスレジリエンス】 いざという時の備え

障害や災害が発生しても、事業を継続し、復旧できるようにするための計画と仕組みを学びます。

• ビジネス影響分析（BIA） (Sec 12): 業務の重要度と中断時の影響を分析します。

• システムおよび運用のレジリエンス (Sec 13): システムの耐障害性と回復力を高める仕組みです。

• データのバックアップ、保存、および復元 (Sec 14): データを保護し、必要な時に復元できるようにします。

• 事業継続計画（BCP） (Sec 15): 事業を継続するための計画と体制です。

• 災害復旧計画（DRP） (Sec 16): 災害発生時の復旧手順と体制です。

3. なぜ「情報システムの運用」を学ぶのか？

多くの受験者が、技術的な知識の暗記に走りがちですが、CISA試験で最も問われるのは「監査人としての判断」です。

• 「安定稼働」の視点: システムが計画どおりに動き、サービスレベルを満たしているか？

• 「統制の実効性」の視点: 変更管理、インシデント対応、ログ管理などの運用プロセスが実際に機能しているか？

• 「事業継続」の視点: 障害や災害に備えた計画と準備が整い、テストされているか？

この第4章をマスターすることで、あなたは単なる「運用に詳しい人」から、組織のIT運用と事業継続を適切に評価できる「プロの監査人」へと進化します。

それでは、最初のセクション「ITコンポーネント」からスタートしましょう。

A. 情報システムの運用

Section 1: ITコンポーネント

1. 情報システムを構成する3つの要素

情報システムは、サーバーやPCといったハードウェア、その上で動作するソフトウェア、そしてそれらを繋ぐネットワークといった、複数のITコンポーネントから成り立っています。組織がITを適切に運用・管理するためには、これらのコンポーネントの特性を理解する必要があります。そして、適切に選定・管理・監視することが不可欠です。

情報システム監査人として、これらのコンポーネントが組織のビジネス要件を満たし、適切なリスク管理の下で運用されているかを評価できることが求められます。

一問一答：ITコンポーネントとは何か？

• Q. ITコンポーネントとは何ですか？

  • A. 情報システムを構成する基本的な要素（ハードウェア、ソフトウェア、ネットワーク）です。 組織が保有するITコンポーネントを正確に把握し、適切に管理することは、情報セキュリティとコスト最適化の基本的な出発点です。

• Q. USBやRFIDなどの周辺デバイスは、なぜリスク管理が重要なのでしょうか？

  • A. 情報漏洩やマルウェア感染の主要な経路となる可能性があるためです。 USBメモリは内部不正による情報窃取の経路となります。また、RFIDは無線通信が不可視であるため、不正な読み取りによる情報窃取やプライバシー侵害のリスクがあります。

• Q. ハードウェアの保守計画が不適切だと、どのような問題が発生しますか？

  • A. 予期しないシステムダウン、コストの増加、ビジネス継続性の低下といった深刻な問題が発生します。 可用性報告書、ハードウェアエラー報告書、資産管理報告書、利用報告書（キャパシティ管理）を用いて継続的に監視することが重要です。

• Q. クラウド環境では、ハードウェアの管理がどのように変わりますか？

  • A. 物理的なハードウェアから仮想的なリソースへと移行します。 「見えない」部分が増えるため、管理画面やログを通じてシステムの状態を確認する必要があります。そのため、新しい監査アプローチが必要になります。

• Q. ハードウェアサプライチェーンリスクとは何ですか？

  • A. ハードウェアが製造・流通過程で不正に改ざんされるリスクです。 信頼できる供給元の選定、受入時の検査プロセス、ファームウェアの検証など、適切な対策を講じる必要があります。

2. 情報システムのハードウェア：種類と特徴

組織のITインフラは、それぞれ専門的な役割を持つハードウェアコンポーネントで構成されます。これらのコンポーネントは、処理能力、用途、コストなどによって分類されます。そして、組織の規模や業務要件に応じて選定されます。

■ メインフレーム

数千のユーザーが処理能力と装置を共有できる大型汎用コンピュータです。バッチ（バックグラウンド）とオンライン（リアルタイム）を並行サポートする独自のOSを有します。大規模組織のデータ処理やデータウェアハウスの主要リソースとして強力に保護されており、金融機関や大企業の基幹システムで広く利用されています。

■ 大型および中型サーバー

メインフレームに匹敵するマルチプロセシング・システムです。UNIX（高位デバイス）やWindows OS（小型デバイス）が使用されます。データベース、アプリケーション、ファイル/プリントサーバーとして、メインフレームより低コストで導入され、中規模から大規模組織のITインフラの中核を担います。

■ シン・クライアント

処理の大部分をサーバー側で実行し、業務データを端末に保存しない端末です。データが端末に保存されないため、情報漏洩リスクを低減でき、管理を一元化できるという利点があります。

■ スマートフォン、タブレット等

携帯性に特化した端末です。PCとのデータ同期が可能で、いつでもどこでもネットワーク機能を利用できます。BYOD（Bring Your Own Device）環境では、デバイス管理ポリシーとモバイルデバイス管理（MDM）ソリューションの導入が重要です。

■ プロキシ・サーバー

ユーザーとリソース間の中間リンクとして機能するサーバーです。ユーザーの代理でアクセスを行い、セキュリティの向上や応答速度の改善（キャッシュ等）を提供します。ファイアウォール機能と組み合わせて、組織のネットワークセキュリティを強化します。

■ データベースサーバー

データの保管とリポジトリ機能に特化したサーバーです。アプリケーションサーバー等と連携して情報を処理します。データの整合性、可用性、機密性を確保するため、適切なバックアップ戦略とアクセス制御が不可欠です。

■ アプライアンス（特殊デバイス）

ファイアウォール、IDS/IPS、ロードバランサーなど、特定のサービスに特化した高速・高効率な専用デバイスです。汎用サーバーと比較して、設定が簡素化され、パフォーマンスが最適化されているという特徴があります。

3. 現代的なハードウェアコンポーネントと新技術

デジタルトランスフォーメーション（DX）の進展に伴い、従来のサーバーやPCとは異なる、新たなハードウェアコンポーネントが組織のIT環境に導入されています。これらの新技術は、ビジネス価値を高める一方で、新たなリスクももたらします。

■ AI・機械学習向けハードウェア（GPU、TPU）

生成AIの台頭に伴い、AI計算を高速化するための専用の半導体チップ（プロセッサ）の需要が急増しています。これらは、サーバーに搭載されるCPUの仲間ですが、並列処理に特化しており、機械学習や深層学習の計算処理を大幅に高速化できます。

• GPU（Graphics Processing Unit）: もともとは画像処理用の半導体チップでしたが、AI計算にも優れています。NVIDIA社のGPUが代表的で、サーバーに搭載して利用するか、クラウドサービス（AWS、Azure、GCPなど）のGPUインスタンスとして利用できます。

• TPU（Tensor Processing Unit）: Google社が開発した、機械学習に特化した専用の半導体チップです。Google Cloud Platformで利用可能です。

• 選定時の考慮事項: コスト、スケーラビリティ、ベンダーロックインのリスク、データ所在地の管理などが評価ポイントとなります。

■ エッジコンピューティングデバイス

データの発生源に近い場所で処理を行うエッジコンピューティングが注目されています。エッジサーバーやIoTゲートウェイなどのデバイスは、レイテンシ（遅延）を低減し、ネットワーク帯域幅の使用量を削減することを可能にします。

• 用途: 製造業の品質管理、自動運転車、スマートシティ、リアルタイム監視システムなどで活用されます。

• リスク: 物理的なアクセス制御が困難な場所に配置されることが多く、デバイスの改ざんや盗難のリスクが高まります。また、遠隔地での保守・更新が困難になる場合があります。

■ IoTデバイスとセンサー

IoT（Internet of Things）デバイスや各種センサーは、組織の業務プロセスに新たな価値をもたらしますが、従来のITセキュリティ対策では対応しきれないリスクも存在します。

• 産業用IoT（IIoT）: 製造業やインフラ業界で、設備の状態監視や予知保全に活用されます。

• セキュリティリスク: デフォルトパスワードの使用、ファームウェア更新の困難さ、ネットワーク分離の不備などが主な課題です。

• 管理のポイント: デバイス認証、定期的なファームウェア更新、ネットワークセグメンテーション、監視・ログ取得の仕組みが重要です。

4. クラウド環境におけるハードウェア管理の変化

クラウドコンピューティングの普及により、組織のITインフラは物理的なハードウェアから仮想的なリソースへと移行しています。従来は自社のデータセンターでサーバーを物理的に確認・管理できましたが、クラウド環境では物理的なハードウェアがクラウドプロバイダーの管理下にあり、組織が直接確認できません。そのため、ハードウェアの管理方法も変化し、管理画面やログを通じてシステムの状態を確認する、新しい管理アプローチが必要になります。クラウドコンピューティングの詳細（サービスモデル、配備モデル、責任共有モデルなど）については、第5章で詳しく解説します。

5. 周辺技術とリスク管理：USB、RFID、その他

組織のIT環境には、サーバーやPC以外にも、様々な周辺デバイスが存在します。これらのデバイスは、業務効率を向上させる一方で、情報セキュリティリスクの原因となることもあります。

■ USB（Universal Serial Bus）のリスク

USBメモリは、小型で持ち運びが容易なデータ保存デバイスです。

USB関連のリスク

• マルウェアの感染: 接続時にウイルスやキーロガーが転送されるリスクがあります。USBメモリを接続することで、組織全体にマルウェアが拡散する可能性があります。

• データ窃取: PCから短時間で大量のデータを持ち出されるリスクがあります。USBメモリは小型で持ち運びが容易なため、内部不正による情報漏洩の主要な経路となります。

• 紛失・盗難: 小型ゆえの紛失リスクが高く、暗号化がない場合、第三者に中身を見られる可能性があります。

• データの破損: 不適切な取り外し（「安全な取り外し」無視）によるファイル破壊のリスクがあります。

USB管理のコントロール

• 暗号化: 強力な暗号化製品（FIPS準拠など、標準的な暗号化規格に準拠したもの）の使用により、紛失・盗難時の情報漏洩リスクを低減します。

• ポート管理: 専用ソフトによるUSBポートの集中管理・制限により、許可されていないデバイスの接続を防止します。

• デスクトップ・ロック: 短い間隔での自動ロックの強制により、席を離れた際に第三者がPCにアクセスしてUSBでデータを窃取することを防止します。

• ユーザー教育: 読み取り専用モードの活用や、拾ったUSBを接続しないなどの啓発により、人的リスクを低減します。

■ RFID（Radio Frequency Identification）の概要とリスク

RFIDは、電波を用いて、タグ（マイクロチップとアンテナ）が付いた物体を識別する技術です。例えば、商品に貼られたタグをリーダーにかざすだけで、バーコードのように個別に識別できます。バーコードと異なり、タグが見えなくても電波で読み取れるため、複数のタグを同時に読み取れるという特徴があります。

• 受動型タグ: リーダーからの電波を電力に変えて動作します。安価ですが、通信距離が短いという特徴があります。

• 能動型タグ: 内蔵電池で動作します。高価ですが、長距離通信が可能で、データの書き換えも容易です。

RFIDの用途

• 資産管理（在庫の同時読み取り）: 倉庫内の商品にRFIDタグを付けることで、リーダーをかざすだけで複数の商品を一度に読み取り、在庫数を効率的に管理できます。

• 追跡: タグに位置情報や移動履歴を記録することで、荷物や車両などの移動経路を追跡できます。

• 真正性検証: タグに暗号化された識別情報を記録することで、偽造品と本物を区別できます。

• アクセス・コントロール: 社員証にRFIDタグを埋め込むことで、リーダーにかざすだけで入退室管理ができます。

• サプライチェーン管理（SCM）: 商品の製造から販売までの流れを、タグの情報で追跡・管理できます。

RFID関連のリスク

• ビジネス・プロセス・リスク: リーダーを破壊したり、タグを無効化したりすることで、在庫管理システムなどが機能しなくなり、業務が停止するリスクがあります。

• プライバシー・リスク: 社員証のRFIDタグなどで、本人の同意なく位置を追跡されたり、個人を識別されたりするリスクがあります。

• 外部性リスク: 無線通信は目に見えないため、見えないところからリーダーでタグを読み取られ、情報が漏洩するリスクがあります。

RFID管理のコントロール

• タグのデータ暗号化: タグとリーダー間の通信を暗号化することで、第三者が内容を理解できず、不正な読み取りを防止します。

• 自己破壊機能（Killコマンド）: 社員が退職した際（社員証のタグを無効化）、車両の追跡が終了した時点など、タグを物理的に取り外さない（または取り外しにくい）場合に使用します。タグが完全に不要になった時点でKillコマンドを送信し、タグを無効化することで、プライバシーを保護します。

• 物理的セキュリティ: リーダーを鍵のかかった部屋に設置したり、タグを剥がしにくい場所に貼るなど、物理的な保護により、不正利用を防止します。

■ その他の周辺デバイス

• ハードウェアセキュリティモジュール（HSM）: 暗号鍵の生成・保存・管理を安全に行う専用デバイスです。暗号鍵をソフトウェアで管理すると、PCがウイルスに感染した際に鍵が漏洩するリスクがありますが、HSMという専用のハードウェアで管理することで、鍵が外部に漏洩するリスクを低減できます。金融機関や認証局など、暗号鍵の安全性が特に重要な組織で広く利用されています。

• スマートカードリーダー: スマートカード（ICチップが埋め込まれたカード）を読み取るデバイスです。社員証をリーダーにかざすことで入退室管理を行ったり、ICカードとパスワードを組み合わせた多要素認証を実現したりするために利用されます。

• 生体認証デバイス: 指紋、顔、虹彩などの生体情報を読み取るデバイスです。スマートフォンの指紋認証や顔認証、オフィスの入退室管理での指紋認証などで利用されます。本人確認の精度が高い一方で、生体情報は変更できないため、漏洩した場合のリスクが大きく、プライバシーやバイオメトリックデータの保護が重要な課題となります。

6. ハードウェアの保守計画とモニタリング

ハードウェアの安定稼働を維持するためには、計画的な保守と継続的なモニタリングが不可欠です。適切な保守計画がない場合、予期しないシステムダウンが発生し、ビジネスに深刻な影響を与える可能性があります。

■ ハードウェア保守計画の重要性

ハードウェアの安定稼働には、ベンダー仕様に基づく定期的な修理・点検が不可欠です。保守計画は、以下の情報を含める必要があります。

• サービス提供会社の情報: 保守を実施するベンダーの連絡先、対応時間、エスカレーション手順などを明確にします。

• 保守スケジュールとコスト: 定期保守の頻度、実施時期、予算を計画します。保守は、業務に影響を与えないよう、オフピーク時に実施することが重要です。

• 過去の作業実績履歴: 計画外の故障対応なども含めて、保守作業の履歴を記録します。これにより、故障の傾向を分析し、予防的な対策を講じることができます。

■ ハードウェアのモニタリング報告書

日々の運用において、以下の4種類のレポートを用いて稼働状況を継続的に監視します。

1. 可用性報告書

コンピュータの稼働時間と、利用不可だった時間（ダウンタイム）を記録します。不適切な設備や環境の特定に役立ちます。可用性は、以下の式で計算されます。

可用性（%） = （総稼働時間 - ダウンタイム）/ 総稼働時間 × 100

一般的に、基幹システムでは99.9%以上の可用性が求められます。

1. ハードウェアエラー報告書

CPU、メモリ、ストレージ、ネットワークインターフェース等のハードウェアコンポーネントの障害記録を管理します。運用の管理者がレビューし、断続的な不具合（サイレントエラーの予兆等）をチェックします。エラーの傾向を分析することで、故障の予測や予防的なメンテナンスが可能になります。

1. 資産管理報告書

ネットワーク上のデバイス在庫目録を維持します。新規導入や廃棄、移動などの変更を記録し、資産台帳を最新の状態に保ちます。定期的な棚卸しにより、記録と実物の一致を確認します。

1. 利用報告書（キャパシティ管理）

資源の使用率（CPU、ディスク等）を測定します。メインフレーム等では通常85～95%が適切とされています。使用率が高すぎる場合は、パフォーマンスの低下やシステムダウンのリスクが高まります。一方、使用率が低すぎる場合は、過剰投資の可能性があります。

将来のキャパシティ拡張予測に使用するため、長期的なトレンドを分析することが重要です。

7. ハードウェアセキュリティとサプライチェーンリスク管理

現代のサイバー脅威環境では、ハードウェアそのものが攻撃の標的となることが増えています。製造・流通過程での改ざん、内部脅威、物理的セキュリティの不備など、様々なリスクが存在します。

■ ハードウェアサプライチェーンセキュリティ

ハードウェアは、製造から組織への導入まで、複数の段階を経ます。この過程で、悪意のある第三者による改ざんが行われる可能性があります。

• 製造・流通過程での改ざんリスク: ハードウェアが製造・流通過程で不正に改ざんされるリスクがあります。特に、海外で製造されたハードウェアは、サプライチェーンが複雑で、リスクが高まります。

• 信頼できる供給元の選定基準: 組織は、ハードウェアを調達する際に、信頼できる供給元を選定する必要があります。ベンダーのセキュリティ体制、過去の実績、認証の有無などを評価します。

• 受入時の検査プロセス: ハードウェアの受入時には、改ざんの有無を確認する検査プロセスが必要です。シールの確認、ファームウェアの検証、性能テストなどが実施されます。

• 国家レベルのサイバー脅威への備え: 国家レベルのサイバー攻撃では、ハードウェアのサプライチェーンが標的となる可能性があります。重要インフラを運営する組織では、特に注意が必要です。

■ ゼロトラストアーキテクチャにおけるハードウェア

ゼロトラストとは、「何も信頼せず、全てを検証する（Never Trust, Always Verify）」という原則に基づいたセキュリティモデルです。

• デバイス認証と継続的な検証: ゼロトラスト環境では、ハードウェアデバイスも信頼の対象ではありません。デバイスの認証と、継続的な検証が実施されます。

• 内部脅威検出メカニズム: ゼロトラスト環境では、内部からの脅威も検出の対象となります。ハードウェアの異常な動作や、不正なアクセスを検出するメカニズムが必要です。

• ネットワークセグメンテーション: ハードウェアを論理的に分離し、必要最小限の通信のみを許可します。これにより、侵害が発生した場合の影響範囲を限定できます。

■ 物理的セキュリティとの連携

ハードウェアのセキュリティは、論理的なセキュリティだけでなく、物理的なセキュリティとも連携する必要があります。

• データセンターの物理的アクセス制御: サーバーが設置されているデータセンターへの物理的アクセスを制御します。入退室管理、監視カメラ、警備員の配置などが実施されます。

• 環境モニタリング: 温度、湿度、電力などの環境条件を継続的に監視します。異常が検出された場合、自動的にアラートが発報されます。

• 災害対策と冗長性: 災害に備えて、冗長性を確保します。複数のデータセンターに分散配置したり、バックアップ電源を準備したりします。

8. まとめ

☑ ITコンポーネントは、情報システムを構成する基本的な要素（ハードウェア、ソフトウェア、ネットワーク）であり、組織が保有するITコンポーネントを正確に把握し、適切に管理することは、情報セキュリティとコスト最適化の基本的な出発点です。

☑ ハードウェアの種類には、スーパーコンピュータ、メインフレーム、大型・中型サーバー、パソコン、シンクライアント、モバイルデバイス、プロキシサーバー、データベースサーバー、アプライアンスなどがあり、組織の規模や業務要件に応じて選定されます。

☑ 現代的なハードウェアコンポーネントとして、AI・機械学習向けハードウェア（GPU、TPU）、エッジコンピューティングデバイス、IoTデバイスなどが登場しており、これらの新技術はビジネス価値を高める一方で、新たなリスクももたらします。

☑ クラウド環境では、物理的なハードウェアから仮想的なリソースへと移行し、「見えない」部分が増えるため、可観測性の確保、監査ログの取得、SLAの確認など、クラウド環境に特化した監査アプローチが必要です。

☑ USBやRFIDなどの周辺デバイスは、情報漏洩やマルウェア感染の主要な経路となる可能性があるため、暗号化、ポート管理、ユーザー教育など、技術的制御と組織的制御を組み合わせた対策が不可欠です。

☑ ハードウェアの保守計画は、ベンダー仕様に基づく定期的な修理・点検を含む必要があり、保守計画が不適切な場合、予期しないシステムダウンが発生し、ビジネスに深刻な影響を与える可能性があります。

☑ モニタリング報告書には、可用性報告書、ハードウェアエラー報告書、資産管理報告書、利用報告書（キャパシティ管理）の4種類があり、これらを用いて稼働状況を継続的に監視します。

☑ ハードウェアの監査では、取得計画、取得プロセス、資産管理、キャパシティ管理、保守計画、可用性・利用報告書、問題ログなど、ライフサイクル全体を評価します。

☑ ハードウェアサプライチェーンセキュリティは、製造・流通過程での改ざんリスクに対応するため、信頼できる供給元の選定、受入時の検査プロセス、ファームウェアの検証などが重要です。

☑ ゼロトラストアーキテクチャでは、ハードウェアデバイスも信頼の対象ではなく、デバイス認証と継続的な検証、ネットワークセグメンテーションなどが実施されます。

9. 練習問題

Q1. ハードウェアの保守計画が不適切な場合、発生する可能性が最も高い問題はどれか？

A. システムの可用性が向上し、ユーザー満足度が高まる
B. 予期しないシステムダウンが発生する
C. 保守費用が削減され、予算に余裕が生まれる
D. ハードウェアの性能が向上し、処理速度が速くなる

正解：B
解説： 保守計画が不適切な場合、ハードウェアの故障が予測できず、突然のシステム停止が発生する可能性があります。これにより、ビジネスに深刻な影響を与える可能性があります。

Q2. USBメモリによる情報漏洩リスクを低減するための対策として、最も適切な組み合わせはどれか？

A. 暗号化、ポート管理、デスクトップロック、ユーザー教育
B. パスワード設定のみを実施し、他の対策は不要とするという方針を採用する
C. ファイアウォールとウイルス対策ソフトの導入のみで十分であるという考え方に基づく
D. バックアップと復旧計画を策定することで、すべてのリスクが解決するという前提に立つ

正解：A
解説： USBメモリによる情報漏洩リスクを低減するためには、暗号化（紛失・盗難時の保護）、ポート管理（許可されていないデバイスの接続防止）、デスクトップロック（無人のPCからのデータ窃取防止）、ユーザー教育（人的リスクの低減）を組み合わせることが重要です。

Q3. クラウド環境における「ブラックボックス化」対策として、最も適切なものはどれか？

A. 物理的なハードウェアを直接確認し、すべての機器を自社で管理する
B. 可観測性の確保、監査ログの取得、SLAの確認
C. クラウドプロバイダーを頻繁に変更し、ベンダーロックインを回避する
D. すべてのデータとシステムをオンプレミス環境に戻し、クラウドを利用しない

正解：B
解説： クラウド環境では、物理的なハードウェアが事業者の管理下にあり、組織が直接確認できない「ブラックボックス化」が進んでいます。しかし、組織は事業者が把握可能なシステム構成を維持する責任があります。可観測性の確保、監査ログの取得、SLAの確認など、クラウド環境に特化した対策が必要です。

Q4. RFIDタグのプライバシーリスクを低減するための対策として、最も適切なものはどれか？

A. タグのデータ暗号化、自己破壊機能、物理的セキュリティ
B. USBポートの管理とデスクトップロックのみで十分である
C. ファイアウォールとIDS/IPSの導入により、すべてのリスクが解決する
D. バックアップと復旧計画を策定することで、プライバシーが保護される

正解：A
解説： RFIDタグのプライバシーリスクを低減するためには、タグのデータ暗号化（不正な読み取りの防止）、自己破壊機能（Killコマンド）（読み取り不能化）、物理的セキュリティ（リーダーへのアクセス制御）が有効です。

Q5. ハードウェアのモニタリング報告書のうち、将来のキャパシティ拡張予測に使用されるものはどれか？

A. 可用性報告書
B. ハードウェアエラー報告書
C. 資産管理報告書
D. 利用報告書（キャパシティ管理）

正解：D
解説： 利用報告書（キャパシティ管理）は、資源の使用率（CPU、ディスク等）を測定し、長期的なトレンドを分析することで、将来のキャパシティ拡張予測に使用されます。メインフレーム等では通常85～95%が適切とされています。

Section 2: IT資産管理

1. 守るべき対象を正確に把握する