重要度：A
問11：営業部のオフィスで、退社時に顧客リストが机上に放置され、離席中の端末画面に見積情報が表示されたままになっている。是正する運用として最も適切なものはどれか。
- A：書類は施錠保管して退社し、離席時は画面をロックする習慣を定着させる
- B：机上の書類は裏返して置くこととし、画面はそのままでよいことにする
- C：清掃員や来訪者はオフィスに入れないので、現状のままで問題ないと整理する
- D：書類の放置は禁止するが、画面の表示は業務効率のため制限しない
【第11問：正解と解説】
正解：A
・A
正しい。クリアデスク・クリアスクリーンは、のぞき見や持ち去りによる漏えいを防ぐ基本の運用であり、短時間の離席にも適用する。
・B
裏返しでは持ち去りを防げず、画面の放置はのぞき見と無断操作を許す。
・C
内部者や委託者による漏えいの可能性もあり、入室者の限定だけでは対策として不十分である。
・D
画面の放置はのぞき見だけでなく、離席中の端末の無断利用にもつながる。
重要度：A
問12：テレワークとクラウドサービスの利用が広がり、社内と社外の境界で守る従来の構成では対応が難しくなってきた。ゼロトラストの考え方に基づくアクセス制御として、最も適切なものはどれか。
- A：利用者の認証に成功すれば、端末の状態は確認せずにアクセスを許可する
- B：初回の接続時だけ検証を行い、セッション中の状況の変化は確認しない
- C：アクセスのたびに利用者・端末・状況を検証し、必要な範囲だけ許可する
- D：VPNで社内へ接続済みであれば、権限を業務上必要な範囲に絞らない
【第12問：正解と解説】
正解：C
・A
利用者だけでなく、端末の健全性や接続の状況も検証の対象とするのがゼロトラストの考え方である。
・B
状況は接続中にも変化するため、継続的な検証と再評価が必要である。
・C
正しい。社内外を問わず全てのアクセスを都度検証し、最小限の権限で許可するのがゼロトラストである。
・D
接続の方式にかかわらず、権限は業務上必要な最小限へ絞る。
重要度：B
問13：本社オフィスの物理的なセキュリティを見直し、取り扱う情報の重要度に応じて区域を分けることにした。設計として最も適切なものはどれか。
- A：来訪者区域、執務区域、サーバ室を分け、区域ごとに認証の水準を変える
- B：区域は分けるが、来訪者区域から機械室まで同じ認証水準で運用する
- C：来訪者の入退の記録は取るが、執務区域との間に境界は設けない
- D：サーバ室の入室だけを制限し、記録媒体の持出しは管理しない
【第13問：正解と解説】
正解：A
・A
正しい。重要度に応じた段階的な区域分けと認証水準の設定がゾーニングであり、重要区域への接近そのものを制限できる。
・B
認証水準に差がなければ、重要区域への接近を段階的に制限するというゾーニングの目的を果たせない。
・C
記録だけでは接近そのものを制限できず、執務区域の書類や端末がのぞき見や持ち去りの機会にさらされる。
・D
入室の制限と、媒体や機器の持出し管理を組み合わせて初めて漏えいの経路を抑えられる。
重要度：B
問14：サーバ室への共連れを防ぎ、入退室記録を正確に残したい。物理的セキュリティ対策として、最も適切なものはどれか。
- A：入室する者の全員で、一枚の入室カードを共用して使い回す
- B：一人ずつ認証して通過するインターロックを設け、記録を定期確認する
- C：サーバ室の扉は常時開放とし、入退室は監視カメラの映像だけで把握する。
- D：退職者の入室権限を削除せず、カードを記念品として渡す。
【第14問：正解と解説】
正解：B
・A
カード共有では、誰が入室したかを追跡できない。
・B
正しい。一人ずつ認証させる設備と記録確認を組み合わせ、共連れと無断入室を抑える。
・C
カメラだけでは、入室そのものを制御できない。
・D
不要な権限を残すと、退職後も入室される可能性がある。
重要度：B
問15：経理システムで、振込データの作成者がそのまま承認と送信まで一人で行える設定になっている。是正として最も適切なものはどれか。
- A：作成者と承認者の権限を分け、一人では送信まで完結できないようにする
- B：作成から送信までを全て同じ担当者に任せ、処理の速さを優先する
- C：承認の操作を廃止し、作成したデータを自動で送信する仕組みにする
- D：担当者の上司のIDとパスワードを担当者へ渡し、承認操作を代行させる
【第15問：正解と解説】
正解：A
・A
正しい。申請と承認の分離（職務分離）により、単独での不正送金と誤送信の両方を起こしにくくする。
・B
権限の集中は不正の機会を作り、誤りの発見も遅らせる。
・C
承認という確認の仕組みをなくせば、誤りも不正もそのまま実行される。
・D
認証情報の共有は職務分離を形骸化させ、操作の責任追跡もできなくする。
コメント