人的セキュリティ対策・教育・内部不正防止
この単元には 10問あります。うち 1問は科目B（長文事例）で、この単元の科目Bだけ解くこともできます。くり返し出ているものから並べています。
内部の人を通じて起きる漏えいを、機会をつぶして防ぐ
この単元が扱うのは、外からの攻撃ではなく、内部の人を通じて起きる情報の漏れです。当事者が正規の権限をもつ従業員や退職予定者になるため、権限・記録・契約・教育という人の側の手当てが対策になります。
人がなぜ不正に手を染めるのかを説明する枠組みが不正のトライアングルです。機会、動機、正当化の三つがそろったときに不正は起こると考えます。このうち組織が確実に手を打てるのは機会で、やろうと思えばできてしまう状態をなくすことが対策の軸になります。
機会をつぶす柱の一つが特権的アクセス権の管理です。強い権限は必要な人に必要な範囲だけを与え、使われた記録を残します。システムを管理する立場の人も例外にはせず、人目のない時間帯に一人だけで作業できる状態をつくらないようにします。
もう一つの柱がログ管理です。誰がいつ何にアクセスしたかを記録し、その記録を定期的に点検して、ふだんと違う持ち出しに早く気づけるようにします。取るだけで見ないログは働きません。また、記録を取っていること自体を従業員に伝えておくと、抑止としても効きます。
雇用の入口と出口では契約が効きます。採用時に秘密保持誓約書を交わし、退職時にも改めて結び直します。退職後に同種の仕事へ移ることを一定の範囲で制限する競業避止義務も同じ考え方です。退職が決まってから最終出社までは、本人にとって失うものが少ない時期にあたるため注意が要り、この期間は監視を強め、権限は退職と同時に速やかに消します。
最後は教育です。規程を配って終わりにせず、計画を立てて全従業員を対象に繰り返し実施し、理解の度合いを確かめて次の内容へ反映します。一部の担当者だけに任せると、いちばん狙われやすい入口が空いたままになります。
この単元で出た問題
- 退職する従業員による不正を防ぐための対策のうち，IPA“組織における内部不正防止ガイドライン（第5版）”に照らして，適切なものはどれか。3回出題
- A社は，SaaS形式の給与計算サービス（以下，Aサービスという）を法人向けに提供する，従業員100名のIT会社である。A社は，自社でもAサービスを利用している。A社の従業員は，WebブラウザでAサービスのログイン画面にアクセスし，Aサービスのアカウント（以下，Aアカウントという）の利用者ID及びパスワードを入力する。ログインに成功すると，自分の給与及び賞与の確認，パスワードの変更などができる。利用者IDは，個人ごとに付与した不規則な8桁の番号である。ログイン時にパスワードを連続して5回間違えるとAアカウントはロックされる。ロックを解除するためには，Aサービスの解除画面で申請する。A社は，半年に1回，標的型攻撃メールへの対応訓練（以下，H訓練という）を実施しており，表1に示す20XX年下期のH訓練計画案が経営会議に提出された。科目B
- IPA“組織における内部不正防止ガイドライン”にも記載されている，組織の適切な情報セキュリティ対策はどれか。
- システム管理者による内部不正を防止する対策として，適切なものはどれか。
- システム管理者に対する施策のうち，IPA“組織における内部不正防止ガイドライン”に照らして，内部不正防止の観点から適切なものはどれか。
- 内部不正による重要なデータの漏えいの可能性を早期に発見するために有効な対策はどれか。
- 利用者アクセスログの取扱いのうち，IPA“組織における内部不正防止ガイドライン”にも記載されており，内部不正の早期発見及び事後対策の観点で適切なものはどれか。
- 情報セキュリティ意識向上のための教育の実施状況をJIS Q 27002に従ってレビューした。情報セキュリティを強化する観点から，改善が必要な状況はどれか。
正解と解説は演習画面で、解答したあとに表示されます。
年度から解く
この単元の問題は 6年度ぶんの試験から出ています。いちばん新しいのはサンプル問題（新制度）です。年度から選ぶと、回ごとにまとめて解けます。