【セキュマネ】平成28年度春午後問3の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成28年度春科目B問3を解説します。やっと最終回ですね…。長かったぁ…。

セキュリティ対策の評価がメインでした。いつもは「（社外人による）監査」の基礎程度ですが。今回は「CSA（統制自己評価）」と自己評価のメリット/デメリット、理想策だけでなく暫定策まで出るのが深かったですね。

今回は怪しいポイント集大成でした。➒個のうち❹個は解答に直結しました。読んだ時点で▶印してるとスムーズですよ。＞長文問題を読む６つのテクニックNote（３－３）

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1 | 他人から見て一番分からないのは？

正答は、イ（11）。

下線①は、簡易チェックリストの”OK”を正直信用できない件。

選択肢を解釈。どれも完璧に”OK”だと断定はできませんが。一番確認ができないのはイ（メールの添付ファイル開封）ってだけ、でした。

• 10：PWDを他者が見える場所に書いてない
  ➡デスク周りを見ればまぁ分かるかな。

• 11：不審なメールの添付ファイルを開いていない
  ➡PC操作まで把握できません。ひょっとしたら開いているかも。模擬メールで開封率を調査する訓練などはテかも。

• 12：インシデント発生時の連絡先を知っている
  ➡社員に口頭なりで確認すれば良いですね。張り紙や定期的な教育で"OK"は微妙ですが効果はあり。

• 13：退勤時に顧客情報などを施錠保管している
  ➡業務終了後に職場を見廻るとまぁ分かるかな。情報がバインダ綴りになってるなら施錠キャビネット内を確認するでも可。社員の机上整理、キャビネット内の資料の多さにも依りますが。

正直、外から目視確認だけが多くて危うさを感じますね。

設問2 | 部外者/関係者のメリット/注意点

正答は、イ, オ。
イ：業務内容を充分に理解した上で評価ができる
オ：評価実施者に対する意識づけや教育効果がある

CSAとは、下線②前に説明あり。「CSAとは、～被監査部門が、自部門の活動を評価することを指す」。自己評価ですね。

常識で考えれば正解できます。

• ア：法規への準拠性が担保できる
  ➡△。法律に詳しいならできそうですが、本業じゃないですからね。監査の専門家の方が担保できると容易に理解できます。

• イ：業務内容を充分に理解した上で評価ができる
  ➡○。業務当事者なので業務内容に詳しいですね。

• ウ：証跡の提出が不要
  ➡✖。証拠なしに指摘できるわけがない。監査証拠を添えて監査報告書で指摘します。＞【Iパス】監査のNote

• エ：独立的な立場で公正に評価できる
  ➡✖寄り。自部門に指摘をするのは勇気が要ります。監査後にギクシャクする可能性考えると忖度しちゃいます。同僚たち相手ですからね。
  監査は社外に依頼が基本、やむなく社員なら社長直轄にします。＞【Iパス】監査のNote

• オ：評価実施者に対する意識づけや教育効果がある
  ➡○。監査するために、法律や技術を調べますし、自部署の課題点も見つかるでしょう。

CSA（統制自己評価）は今後出るのかなぁ…。今回は問題文に定義が書かれてましたが、次回はノーヒントで出るのかなぁ。Sを”Self（自身）”と知っておくと良いかも。＞【Iパス】英単語で覚える２つの意味Note

設問3(1)a | マークしたい違和感❶

正答は、イ（NG：新しい脅威への教育を受けていない社員がいる）。

表3空欄a左「新たな脅威について全員が教育を受けている」かは、21頁末「新たに配属された部員だけが受講する」より、NG。

21頁末の続き「教育資料は、世の中で新たなセキュリティ脅威が発見される都度、～更新している」なので、受講者（=新配属者）は、新脅威を知れます。

しかし「新たに配属された部員だけ」なので、従来部員は知れません。イ（NG：新しい脅威への教育を受けていない社員がいる）。

もう1つのNG選択肢。ウ（1発合格できない）のは、問題ではないですね。何度も何度もだったら試験が難しいor教え方が悪いかもですが。

”設問文の言葉→問題文の言葉”の芋づるできなかったですね。

設問3(2)b | マークしたい違和感❷

正答は、エ（NA：部内でリモート接続は使わない）。

表3空欄b左「リモート接続～パスワード」。

「リモート接続」は、21頁頭「ノートPCだけが、リモート接続サービスによる社内ネットワークへの接続を許可されている」。社外での利用ですね。

しかし21頁中盤「海外営業部の部員は～全員がデスクトップPCだけを使っている」。表3は海外営業部のシート。ノートPCを使っていないので、リモート接続もしていない。NA。

【空欄a】と同じく、私は▶印をしてたのでスムーズでした。前問と同じく、やはり「だけ」って言葉に反応。

”ノートPCだけがリモート接続か”→”でも海外営業部にはノートPCないんだ”と”海外営業部だけリモート接続しないんだな”とスムーズに思考して▶印。＞長文問題を読む６つのテクニックNote（３－３）

設問3(3)c | マークしたい違和感❸

正答は、ア（OK：簡易チェックで、アクセス権の付与状況を確認している）。

表3空欄c左「ファイルサーバ～顧客情報のアクセス権」の話。

21頁後半「海外営業部では～ファイルサーバ～ファイルのアクセス権を各部員が最小権限の原則に基づいて設定」より、”OK”。

選択肢に”OK”が二つ。どちらも「簡易チェック」絡みなので、表1を見ます。もし、記述がなければ表2も見る方針。

表1-1でアクセス権の状況を確認しているので、ア（OK：簡易チェックで、アクセス権の付与状況を確認している）。イのルールの認識は、載ってないのも確認。

これも私は▶印してました。

21頁後半「最小権限の原則に基づいて設定することになっている」の「なっている」に違和感あったので。”ルールはあるけど、システムによる技術的対策はしてなさそうだから、破れそうだなぁ”と危機感。＞長文問題を読む６つのテクニックNote（３－３）

設問3(4)d | 理想策と代替策

正答は、イ（入退室管理システムが導入されている）。

評価が「（OK）」なので、24頁頭「評価項目どおりには実施していない」けど「代替」策をしている。

表3空欄c右は、部外者のオフィス入室リスクについて、「常にだれかが在席しているので」という代替案。

では理想的な実施策は、と考えてイ（入退室管理システムが導入されている）。

他選択肢も確認。

• ア：PC持出し許可制度。部外者のオフィス入室とは違う話題。

• ウ：監視カメラ。侵入や内部不正の抑止/事後調査には効果ありますが、代替案が「常にだれかが在席しているので」にはなりませんね。一人だけ在室してたら不正できますから。

• エ：啓発活動の代替案が「常にだれかが在席しているので」にはなりません。

設問3(5) | 退職/異動は気が抜けないポイント

正答は、イ（社員の退職/異動時に、利用者IDの削除申請/作業を速やかに行うよう、管理職に周知）。

下線③はID管理の問題点への対策。
・ID棚卸しをしたら不要なIDが5個残っていた
。棚卸1ヶ月以上前から退職/異動で不要になっていた

理想は、退職/異動後に速やかにID無効化ですね（削除は、記録が全部消えそうなので、無効化が良いかなと）。

• ア：3か月ごとにID棚卸を実施
  ➡✖。3ヶ月も退職/異動した者がログインできます。1ヶ月の遅れも出したくない文意もありましたね。

• イ：社員の退職/異動時に、利用者IDの削除申請/作業を速やかに行うよう、管理職に周知。
  ➡○。退職/異動する本人ではなく、残る管理職（上司）ってのが良いですね。多忙で忘れたり遅延しないかは一応疑いましたが。個人的には”削除で良いのかなぁ”と思いつつも、悪くはないので。

• ウ：ID棚卸を、上位の役職者に変更
  ➡✖寄り△。おそらく「上位の役職者」は経営層になるので、現場の退職/異動を把握できないんですよね。多分顔も知らないし、日頃の業務も分かりません。現場を管理している社員が適切です。海外営業部長＋セキュリティリーダW氏が良いかと。

• エ：ID登録時に、申請されたアクセス権限が業務上必要か確認
  ➡✖。話は退職/異動によるID無効化の時点。

イが一番適切。ウは「上位の役職者」が若干不明ですが、イの「管理職（=海外営業部長）」が適切なので。

設問4(1)e | 考え易い順に

正答は、カ（3, 2, 1）。

話の流れ。

• Cシステムの顧客情報のアクセス権限が”最少権限の原則”に基いてない

• 1番目の対策【e1】は、担当顧客の確認に2週間かかる

• 2週間の暫定対策【e2】

• もし漏えいが発生した時の対策【e3】

対策【空欄e1】には、（各社員の）担当顧客の確認が必要なので、対策3（担当顧客の顧客情報にだけアクセス権を設定）。

対策【空欄e3=漏えい後】が分かり易いので先かな。
対策2：顧客情報閲覧への注意喚起➡漏えい前のけん制
対策1：アクセスログ3年間➡漏えい後に調査できる
【空欄e3】は、対策1（アクセスログ3年間）.

対策【空欄e2】が対策2（顧客情報閲覧への注意喚起）で良いか。
技術的対策ではないですが、2週間は比較的短期間ですし、まぁ良いでしょう。対策1, 3を他空欄から取るぐらいの強さもなし。

設問4(2)f | 理想策から考える

正答は、ア（4, 5, 6）。

話の流れ。

• 顧客情報の追加/修正/削除の権限の管理

• 対策【f1】。業務が回らなくなりそう。

• 対策【f2】。効率が良いが、開発に半年掛かりそう。

• 対策【f3】。対策できるまでの暫定策。ちょっと大変そうらしい。

【空欄f1】は不完全策。中途半端な策を考えるのは却って面倒。

最終形態【f2】から考えます。一番良い対策を見つけるのはシンプルなので。

対策4：管理職だけが権限あり
➡全顧客の権限設定は大変で、本業が回らなさそう。

対策5：ワークフロー機能で、申請させ、上長が承認
➡各社員が担当客分を業務、上長は承認だけ、良さそう。「職務分掌」にもなってる。IT的な開発が必要。
＞【SG】平成30年度秋午後問1設問2の解説Note
＞【SG】平成29年度春午後問2設問2(1)eの解説Note
＞【Iパス】法律⓬B：内部統制（職務分掌）Note

対策6：顧客情報への操作ログを上長が定期的に確認
➡不正がなかったか確認にはなりそう。”定期的”の頻度が気になるけど。

以上から、対策の最終形態は【f2=対策5：ワークフローで申請→承認】。

業務が回らなくなりそうなのは、【f1=対策4：管理職だけ権限あり】。上長が顧客情報の操作をするまで、部下は営業活動が滞りますし、上長が大変すぎて本来の業務圧迫されます。

暫定策【f3=対策6：ログの確認】。事後にはなりますが、早期発見にはなるので、最終形態の実装までの暫定策にはなりそう。

わざとダメな策を問う出題がありました。シナリオに合わせてイマイチな案を考えせるのは、資格試験として個人的に疑問です。＞【SG】平成28年度春午後問2設問1(3)a,b,(4)の解説Note

気になった点

この節では、私が読んでて気になった部分をピックアップしました。