重要度：A 論点：標的型メール訓練
問21：標的型攻撃メール訓練では、訓練用の疑似メールを従業員へ送り、開封やクリックをしないかだけでなく、不審メールとして報告できるかも確認し、開封率や報告率を測定して教育の見直しに使う。
解答を見る
○：開封の有無だけでなく、開封後・発見後の報告行動まで確認するのが訓練の要点である。結果は個人の非難ではなく、教育内容・報告手順・技術対策の改善に用いる。
重要度：A 論点：状況的犯罪予防の5原則
問22：IPAの内部不正防止ガイドラインは、状況的犯罪予防の考え方を応用し、犯行を難しくする、捕まるリスクを高める、犯行の見返りを減らす、犯行の誘因を減らす、犯罪の弁明をさせないという五つの基本原則で対策を整理している。
解答を見る
○：例えば、アクセス権の最小化は「犯行を難しくする」、ログ監視とその周知は「捕まるリスクを高める」、情報の取扱規則を明確にして教育や警告を行うことは「犯罪の弁明をさせない」取組みに当たる。抑止・予防・検知・事後対応といった目的別の整理は、理解を助ける補助的な分類として使われることがある。
重要度：B 論点：教育計画
問23：情報セキュリティ教育は、入社時に一度だけ実施すれば、その後に脅威や業務内容が変化しても再教育する必要はない。
解答を見る
×：入社時に加え、定期的な教育、役割変更時の教育、重大な脅威や規程の変更に応じた追加教育を行う。また全員一律ではなく、一般従業員・管理者・特権利用者・経営層など役割に応じて内容を分けた階層別の設計が有効である。教育計画では、対象者、実施の時期、内容に加え、理解度や行動変化の評価と、結果を受けた改善までを一体で設計する。
重要度：B 論点：報告しやすい環境
問24：従業員が誤操作や不審な事象を速やかに報告できるよう、連絡先と報告手順を明確にし、善意の早期報告を不必要にためらわせない環境を整えることが重要である。
解答を見る
○：叱責を恐れた報告の遅れや隠蔽は被害を拡大させる。報告したこと自体を一律に処罰するのではなく、故意や重大な違反とは区別して扱うことで、早期の検知につながる報告文化が育つ。内部不正の疑いのように利害関係が生じ得る事象には、通常の報告先とは別の相談経路も整えておく。
重要度：B 論点：内部者の範囲
問25：内部不正対策でいう内部者は、現在在籍している正規従業員だけを指し、契約社員、派遣社員及び退職者は含まれない。
解答を見る
×：IPAの内部不正防止ガイドラインでは、正規従業員だけでなく、契約社員や派遣社員なども内部者に含まれ得る。また、情報システムへのアクセス権限を保有していた者又は物理的にアクセスできる職務に従事していた退職者も、内部者に含まれ得る。退職時には、アカウントの無効化、貸与物の回収、秘密保持義務の確認などを確実に行う。
コメント