情報資産の試験問題への適用

この単元で学ぶこと

• 情報資産・脅威・脆弱性・対策を事例から区別できる
• 業務停止や誤更新の影響に対応した管理策を選べる
• 複製・委託・廃棄を含む資産管理の漏れを発見できる

本文解説

事例の前提 販売会社は顧客名簿と注文情報をクラウドの受注システムに保存しています。営業担当者は訪問用に名簿を印刷します。倉庫には発送先一覧を送り、月末には注文情報を集計して請求します。ここでは情報の保管先と利用目的を対応付けて考えます。

洗い出しの解答例 顧客名簿、注文情報、発送先一覧、請求用の集計結果が情報資産です。受注システムだけでなく、印刷した名簿と倉庫へ渡したファイルにも着目します。紙とファイルは媒体が違っても、顧客情報の複製を含む点が共通します。

資産・脅威・脆弱性を分ける 「印刷した名簿を来客も入れる部屋に放置し、第三者が持ち去るおそれがある」という場面を考えます。守る資産は名簿、脅威は持去り、弱点は閲覧や持出しを制限しない保管方法です。施錠保管や持出し記録は対策に当たります。対策名を資産として答えないようにします。

機密性の判断例 顧客名簿の共有リンクが、リンクを知る誰でも開ける設定でした。問題は、利用を許可していない相手が名簿を読めることです。共有範囲を指定した利用者に限定し、不要な公開リンクを取り消します。バックアップを増やしても、閲覧範囲は狭まりません。

完全性の判断例 倉庫担当者が発送先一覧の住所を誤って上書きし、誤配送が起きました。対策として、編集できる担当を必要な範囲に限定し、変更の確認や履歴を活用します。ここで中心となるのは正しい住所を維持することです。閲覧専用化の可否は業務上の更新の必要性も踏まえて判断します。

可用性の判断例 受注システムが停止し、出荷担当が当日の注文を参照できません。必要な時間内に復旧できる手段や、許可された代替手順を準備します。復元できるか未確認のバックアップだけでは十分と判断できません。実際に戻せることと、業務が許容する時間で再開できることを確認します。

台帳の見直し例 営業担当者が異動しても、名簿の共有権限が残っていました。異動に合わせた権限見直しと責任者の確認を行います。また、保管先を変更したときは台帳を更新し、移行元の複製をどう扱うかも決めます。「新しい場所に移した」だけでは、古い場所の漏えいリスクは消えません。

演習と解答 公開済みの価格表が不正に書き換えられた場合、何を守る対策が中心でしょうか。解答は完全性です。価格表の正確さが失われたためです。公開情報なので秘密にすることが目的ではなく、正しい内容を維持する必要があります。同じ価格表でも、サイト停止で閲覧できない事例なら中心は可用性になります。

図解

重要ポイント

• 守る情報、被害を起こす原因、弱点、対策を分ける。
• アクセス制御は閲覧・更新のどちらを制限するかまで確認する。
• バックアップは復元できることと復旧時間を検証する。
• 保管先の移行後も旧コピーと共有権限を確認する。

間違えやすい点

• 全ての事故を機密性の問題と決め付けない。
• バックアップを漏えい防止策として選ばない。
• 権限の見直しを退職時だけに限定しない。

用語解説

情報資産

組織にとって価値があり、保護・管理の対象となる情報や、それを扱うシステム・媒体など。紙の契約書やクラウド上の業務データも含む。

機密性

アクセスを認められた人やシステムだけが情報を利用できる性質。顧客名簿の外部流出は機密性の侵害に当たる。

完全性

情報の正確さと完全さを保つ性質。不正な変更だけでなく、入力ミスによる誤った更新も問題になる。

可用性

利用を認められた人が、必要なときに情報やシステムを利用できる性質。サービス停止で参照できない状態は可用性の問題になる。

資産管理台帳

資産の名称、管理責任者、保管場所、利用者、重要度などを記録する一覧。資産の追加・移動・廃棄に合わせて更新する。

脅威

情報資産に損害を与える原因となり得るもの。盗難、誤操作、火災、不正アクセスなど。

脆弱性

脅威によって悪用されたり被害につながったりする弱点。不要な共有権限や未修正のソフトウェアの欠陥など。

リスク

脅威が弱点などに作用して損害が生じる可能性と、その影響を考慮したもの。資産の価格だけでは判断できない。

関連教材

• 脅威と脆弱性を理解する
• 情報資産を理解する
• 脅威と脆弱性の試験問題への適用
• 機密性・完全性・可用性の試験問題への適用