情報資産を理解する
情報セキュリティ対策の出発点は、守るべきものを明らかにすることです。高価なパソコンだけを数えても、紙の申込書や共有フォルダー内の顧客名簿を見落とせば、必要な対策は決められません。この単元では、情報資産を見つけ、その情報が漏れる・変わる・使えなくなると何が困るのかを考えます。
この単元で学ぶこと
- 電子データ・紙・クラウドから情報資産を具体的に挙げられる
- 機密性・完全性・可用性への影響を事例から区別できる
- 台帳に記録すべき内容と管理の見直し時点を説明できる
本文解説
情報資産の意味 情報資産は、組織にとって価値があり、保護・管理すべき情報や、それを扱うシステム・媒体などです。顧客名簿、設計図、契約書、業務データが身近な例です。簿記の「資産」と同じ範囲ではありません。帳簿に金額が計上されていない情報でも、漏えいや消失によって事業に支障が出るなら保護の対象になります。
情報と入れ物を分けて考える 同じ顧客名簿でも、サーバーのデータ、担当者が印刷した紙、委託先へ渡したファイルという複数の形で存在します。サーバーだけを守っても印刷物の持ち出しは防げません。「何の情報か」と「どこに、どの形で存在するか」を組み合わせると、見落としを減らせます。
業務から洗い出す 例えば、受注業務なら「申込書を受け取る→顧客情報を入力する→注文一覧を倉庫に渡す→商品を発送する」と流れを追います。各段階で作成・参照・送信・保管する情報を挙げます。個人のパソコン、メールの添付、紙の控え、クラウド上の共有先も確認します。自社の建物の中だけが対象ではありません。
守る性質を三つに分ける 機密性は、許可されていない相手に情報を見せないことです。完全性は、情報の正確さや完全さを損なわないことです。可用性は、必要なときに利用できることです。顧客名簿が外部に漏れるのは機密性、配送先を誤って上書きするのは完全性、障害で注文を参照できないのは可用性に主な問題があります。一つの事故で複数の性質が損なわれる場合もあります。
重要度は購入価格で決めない パソコン本体の価格が低くても、そこに唯一の設計データが入っていれば、故障で製造が止まるかもしれません。一方、公開済みの商品案内は秘密ではありませんが、改ざんされれば誤った価格を案内し、停止すれば顧客が閲覧できなくなります。秘密ではない情報にも、完全性や可用性を守る必要があります。
台帳に記録する 資産名だけでなく、管理責任者、保管場所、利用者・利用範囲、機密性・完全性・可用性の重要度などを記録します。例えば「顧客名簿／営業責任者／受注システムと施錠書庫／担当営業と受注担当」のように、誰が何を管理するかを具体化します。責任者の承認と日々の操作を、同一人物が行う必要はありません。
保管後も管理を続ける 部署の異動、共有先の追加、クラウドへの移行、保管期間の終了などで管理条件は変わります。台帳と権限を見直し、不要になった複製や印刷物も規程に沿って廃棄します。パソコンだけを処分しても、共有先のファイルや紙の控えが残る場合があります。
例題：何を台帳へ追加するか 営業部は顧客名簿を受注システムで管理し、訪問用に印刷して持ち出しています。台帳には受注システムだけが載っています。この場合、印刷した顧客名簿も管理対象として扱い、持出し・保管・回収・廃棄のルールを決めます。紙でも顧客情報の機密性は失われ得るからです。端末に暗号化を設定するだけでは、紙の紛失を防げません。
図解
重要ポイント
- 情報資産は紙・電子データ・クラウドにまたがる。
- 漏えい・改変・利用不能の影響を分けて重要度を判断する。
- 機器の購入価格と情報の重要度は別である。
- 業務の流れに沿って原本・複製・共有先を確認する。
- 台帳は責任者・保管場所・利用範囲とともに更新する。
間違えやすい点
- 公開情報は保護不要、と判断しない。完全性と可用性も必要。
- 電子データだけを調査して紙の控えを見落とさない。
- クラウドや委託先に置いた情報を自社の管理対象から外さない。
用語解説
- 情報資産
- 組織にとって価値があり、保護・管理の対象となる情報や、それを扱うシステム・媒体など。紙の契約書やクラウド上の業務データも含む。
- 機密性
- アクセスを認められた人やシステムだけが情報を利用できる性質。顧客名簿の外部流出は機密性の侵害に当たる。
- 完全性
- 情報の正確さと完全さを保つ性質。不正な変更だけでなく、入力ミスによる誤った更新も問題になる。
- 可用性
- 利用を認められた人が、必要なときに情報やシステムを利用できる性質。サービス停止で参照できない状態は可用性の問題になる。
- 資産管理台帳
- 資産の名称、管理責任者、保管場所、利用者、重要度などを記録する一覧。資産の追加・移動・廃棄に合わせて更新する。
- 脅威
- 情報資産に損害を与える原因となり得るもの。盗難、誤操作、火災、不正アクセスなど。
- 脆弱性
- 脅威によって悪用されたり被害につながったりする弱点。不要な共有権限や未修正のソフトウェアの欠陥など。
- リスク
- 脅威が弱点などに作用して損害が生じる可能性と、その影響を考慮したもの。資産の価格だけでは判断できない。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。