出典：平成30年度 春期 情報セキュリティマネジメント試験（SG） 午前 問6
難易度設定
予備知識
| 用語 | 意味 |
|---|---|
| IPA | 日本のIT力を高めるために頑張っている、国の手先っぽい団体 |
| 情報セキュリティ | 情報の安全を守ること |
| 中小企業の情報セキュリティ対策ガイドライン | IPAが公開している資料のひとつで「えっ？情報セキュリティ対策をしたい？じゃあ、こんなことを意識して、こんなことをやれよ」が書いてある中小企業向けの資料 |
| 機密性 | 情報セキュリティ関係の話で出てくる用語のひとつで「見せたくない人には見せないよ！」の意味 |
| 完全性 | 情報セキュリティ関係の話で出てくる用語のひとつで「その情報は、おかしくなってないよ！」の意味 |
| 可用性 | 今回は「見せて良い人に見せるよ！」の意味 |
| 情報資産 | 価値がある情報（と、その情報の入れ物） |
| ECサイト | インターネット上のお店 |
| 電子データ | コンピュータで扱える形になっているデータ |
| DoS攻撃 | いっぱい働かせてテンパらせちゃえ攻撃 |
| DDoS攻撃 | みんなでDoS攻撃 |
| ディレクトリ | フォルダのこと |
| URL | ホームページの住所 |
| ディレクトリリスティング | URLでディレクトリを指定されたときに、そのディレクトリの中にあるファイルの一覧を表示する機能 |
| 不正アクセス | 見つかったら怒られるアクセス行為 |
問題
| 問題文 | |||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
IPA"中小企業の情報セキュリティ対策ガイドライン(第2.1版)"を参考に，次の表に基づいて，情報資産の機密性を評価した。機密性が評価値2とされた情報資産とその判断理由として，最も適切な組みはどれか。
【解答選択肢】
| |||||||||||||||||||||||
| ピヨ意訳：『中小企業の情報セキュリティ対策ガイドライン(第2.1版)』と以下の表に基づいて、情報資産の機密性を評価したよ。 「あっ、これは機密性の評価値が『2』だな！」と思える組み合わせは、どれ？
【解答選択肢】
|
| 解答選択肢 | |
|---|---|
| ア | 【情報資産】自社ECサイト（電子データ）【判断理由】DDoS攻撃を受けて顧客からアクセスされなくなると，機会損失が生じて売上が減少する。 |
| ピヨ意訳：- | |
| イ | 【情報資産】自社ECサイト（電子データ）【判断理由】ディレクトリリスティングされると，廃盤となった商品情報がECサイト訪問者に勝手に閲覧される。 |
| ピヨ意訳：- | |
| ウ | 【情報資産】主力製品の設計図（電子データ）【判断理由】責任者の承諾なく設計者によって無断で変更されると，製品の機能，品質，納期，製造工程に関する問題が生じ，損失が発生する。 |
| ピヨ意訳：- | |
| エ | 【情報資産】主力製品の設計図（電子データ）【判断理由】不正アクセスによって外部に流出すると，技術やデザインによる製品の競争優位性が失われて，製品の売上が減少する。 |
| ピヨ意訳：- | |
正解
| 正解 | |
|---|---|
| エ | 【情報資産】主力製品の設計図（電子データ）【判断理由】不正アクセスによって外部に流出すると，技術やデザインによる製品の競争優位性が失われて，製品の売上が減少する。 |
| ピヨ意訳：- | |
ピヨピヨ解説
"中小企業の情報セキュリティ対策ガイドライン(第2.1版)"には以下のような表が載っています。
【表6】情報資産の機密性・完全性・可用性評価基準
| 評価値 | 評価基準 | 該当する情報の例 | |
|---|---|---|---|
| 機密性 アクセスを許可された者だけが情報にアクセスできる | 2 | 法律で安全管理（漏えい、減失又はき損防止）が義務付けられている | ●個人情報（個人情報保護法で定義） ●特定個人情報（マイナンバーを含む個人情報） |
| 守秘義務の対象として指定されている 漏えいすると取引先や顧客に大きな影響がある | ●取引先から秘密として提供された情報 ●取引先の製品・サービスに関わる非公開情報 | ||
| 自社の営業秘密として管理すべき（不正競争防止法による保護を受けるため）漏えいすると自社に深刻な影響がある | ●自社の独自技術・ノウハウ ●取引先リスト ●特許出願前の発明情報 | ||
| 1 | 漏えいすると事業に大きな影響がある | ●見積書、仕入価格など顧客（取引先）との商取引に関する情報 | |
| 0 | 漏えいしても事業に影響はない | ●自社製品カタログ ●ホームページ掲載情報 | |
また
機密性：見せたくない人には見せない！
完全性：おかしくなってない！
可用性：見せて良い人に見せる！
です。
それを踏まえて、それぞれの選択肢を見ていきましょう。
「ア：【情報資産】自社ECサイト（電子データ）【判断理由】DDoS攻撃を受けて顧客からアクセスされなくなると，機会損失が生じて売上が減少する。」は、本来見られるはずのページが見られなくなっています。
「見せて良い人に見せる！」が、できていない状態です。
この選択肢は「機密性」に関する話では ありません。
「可用性」に関する話です。
よって、選択肢「ア」は「機密性が評価値2とされた情報資産とその判断理由」には該当しません。
「イ：【情報資産】自社ECサイト（電子データ）【判断理由】ディレクトリリスティングされると，廃盤となった商品情報がECサイト訪問者に勝手に閲覧される。」は、本来見られないはずのページが見られるようになっています。
「見せたくない人には見せない！」が、できていない状態です。
この選択肢は「機密性」に関する話です。
ただし、情報資産が「自社ECサイト」になっています。
ECサイトは「インターネット上のお店」です。
分類としては「ホームページ」です。
ホームページ掲載情報の評価値は「0」です。
まぁ、ぶっちゃけ、廃盤となった商品情報が勝手に閲覧されても、大きな問題は、なさそうですよね。
よって、選択肢「イ」は「機密性が評価値2とされた情報資産とその判断理由」には該当しません。
「ウ：【情報資産】主力製品の設計図（電子データ）【判断理由】責任者の承諾なく設計者によって無断で変更されると，製品の機能，品質，納期，製造工程に関する問題が生じ，損失が発生する。」は、設計者によって無断で変更されています。
ちょっと大げさですが、設計者によって「データを、ぶっ壊された」と言えるでしょう。
「おかしくなってない！」が、できていない状態です。
この選択肢は「機密性」に関する話では ありません。
「完全性」に関する話です。
よって、選択肢「ウ」は「機密性が評価値2とされた情報資産とその判断理由」には該当しません。
「エ：【情報資産】主力製品の設計図（電子データ）【判断理由】不正アクセスによって外部に流出すると，技術やデザインによる製品の競争優位性が失われて，製品の売上が減少する。」は、大事な主力製品の設計図が外部に流出しています。
「見せたくない人には見せない！」が、できていない状態です。
この選択肢は「機密性」に関する話です。
さらに、情報資産が「主力製品の設計図」になっています。
主力製品の設計図ということは、自社の独自技術やノウハウが含まれていると考えるのが自然でしょう。
自社の独自技術・ノウハウの評価値は「2」です。
よって、選択肢「エ」は「機密性が評価値2とされた情報資産とその判断理由」に該当します。
ということで「エ：【情報資産】主力製品の設計図（電子データ）【判断理由】不正アクセスによって外部に流出すると，技術やデザインによる製品の競争優位性が失われて，製品の売上が減少する。」が正解です。
