令和7年度 科目A 問15

✓ これが正解ウ社外からサーバ室へ直接出入りするドアを設置しているが，出入りを考慮して常時施錠していない。

解説

社外に通じるサーバ室のドアを常時施錠していないのは指摘事項です。

情報セキュリティ監査では、組織の実際の状況を基準に照らして確かめ、不備があれば指摘事項として監査報告書に記載します。見分ける軸は、記述された状況が物理的な安全対策として望ましい状態か、それとも不備かです。サーバ室は重要な機器を置く領域なので、許可された者だけが出入りできるよう入退室管理を行い、扉は施錠して管理するのが基本です。社外から直接出入りできるドアを出入りの都合で常時施錠していないのは、部外者が入り込める状態を放置していることになり、不備として指摘すべき事項です。他の三つはいずれも望ましい対策が取られている状況です。監査の問いでは、各記述が対策の実施か欠落かを一つずつ判定すると指摘事項が見つかります。本問は、設問が示す情報セキュリティ管理基準（平成28年）に沿って判断しています。この基準はその後、令和7年に改正されています。

ほかの選択肢はなぜ違うのか

• アサーバが設置されている施設の無人領域では…：人がいない領域で営業時間中も警報装置が作動するのは、無人の場所への侵入をすぐに検知できる望ましい対策です。対策が適切に取られている状況なので、不備として監査報告書に記載するものではありません。
• イサーバ室に非常口，避難器具，誘導灯などを…：非常口や避難器具、誘導灯を設置しているのは、火災などの際に人が安全に避難するための適切な備えです。人命を守る措置が取られている状況であり、監査で不備として指摘すべきものではありません。
• エ場所が分からないように，サーバ室の所在を…：サーバ室の所在を室外に表示しないのは、重要な機器のある場所を部外者に知らせないための対策です。場所が分かりにくいほど狙われにくくなるので、望ましい状況であり、指摘事項にはあたりません。