情報セキュリティマネジメント 委託先・クラウド・教育・内部不正 択一式（応用） 第26問〜第30問

正解：D

・A
個人を識別できる特権IDを用いることは責任追跡に有効だが、申請・承認の手続がなければ、業務上必要でない特権利用を事前に抑制しにくい。

・B
操作ログの取得は事後調査の材料になるが、定期的に点検しなければ、不審な特権操作の早期発見や管理方法の改善につながりにくい。

・C
緊急用特権IDの利用後にパスワードを変更しなければ、認証情報を知る者が再利用できる状態が残るおそれがある。利用記録と事後点検も必要である。

・D
正しい。限定・承認・記録・点検の組合せで厳格に管理する。

正解：A

・A
正しい。申請と承認の分離により、単独では不正を実行できなくなる。

・B
時間の増加は副次的な効果にすぎず、この仕組みの主眼ではない。

・C
記録による追跡はログ管理の効果であり、承認を分ける理由そのものではない。

・D
責任の移転が目的ではない。担当者・承認者の双方が責任を負う。

正解：C

・A
上司や所属部門が関与する場合、通常の経路では報告が握りつぶされたり、報告者が特定されたりするおそれがある。

・B
調査前の開示は証拠の隠滅や報告者への報復を招く。事実に基づく公正な調査を先に行う。

・C
正しい。上司などの利害関係者を経由しない窓口、匿名相談への対応方法、秘密保持、情報共有の範囲、不利益取扱いの防止、公正な調査、記録及びエスカレーションの手順を定める。法令違反に関する通報が公益通報者保護法の要件を満たす場合は、匿名であっても同法上の公益通報になり得る。

・D
窓口を外部委託すること自体は可能だが、組織は受付後の調査基準、緊急時の報告先、是正措置及び記録方法を定める必要がある。対応の判断を委託先の裁量だけに任せてはならない。

正解：B

・A
各自の判断では統制が働かず、不正な持出しを防げない。

・B
正しい。申請・許可・記録の組合せで、経路を管理下に置く。

・C
持込みも、マルウェアの侵入や無断の複製の経路になるため管理が必要である。

・D
私物媒体は管理外であり、持出しの経路として認めるべきではない。

正解：C

・A
再契約に備えたアカウントの保持は残存アカウントのリスクを生む。必要になれば改めて発行する。

・B
共用パスワードの維持と回収の先送りは、終了後のアクセスと持出しの経路を残す。

・C
正しい。契約終了の時点に合わせて、Q社が管理するアカウントと入館権限を無効化し、貸与物を回収し、Q社のデータが残っていないことを確認する。業務委託先の要員をIPAガイドライン上の「内部者」と一律に同一視するのではなく、Q社の情報資産へアクセスする関係者として、契約終了時の管理を確実に行う。

・D
権限の縮小では足りず、終了時は無効化する。誓約は補完であり技術的措置に代わらない。