情報セキュリティマネジメントリスクマネジメント★☆☆

情報セキュリティ対策の出発点として、情報資産台帳を作成することにした。情報資産台帳の説明として、最も適切なものはどれか。

正解：ウ

ア会社が所有するPCやサーバなどの機器を、取得価額と減価償却の状況とともに一覧にしたもの。
誤り。これは会計上の固定資産台帳です。同じ機器を並べていても、目的が資産価値の管理なので、機器に入っている情報の重要度は書かれません。守る対象を決める用途には使えません。
イ発生した情報セキュリティインシデントの内容と対応の経過を、時系列で記録したもの。
誤り。これはインシデントの記録簿にあたります。起きた事象を後から追うためのもので、平常時に何を守るかを示す一覧ではありません。台帳は事故が起きる前に作ります。
ウ守るべき情報資産を紙の書類まで含めて洗い出し、保管場所や管理責任者、重要度を一覧にしたもの。
正解。何がどこにあり、誰が管理し、どれだけ重要かが分かって初めて、対策の優先順位を決められます。洗い出せていない情報は守りようがありません。
エ情報システムの利用者ごとに、付与したアクセス権限とその変更履歴を記録したもの。
誤り。これはアクセス権限の管理表です。台帳で重要度を決めた後に、誰に見せるかを具体化する段階で使います。守る対象の一覧と、その扱い方の記録という関係になります。

家財の一覧がなければ、火災保険はかけられない

守るものが分からなければ、守り方は決められません。情報資産台帳は、その組織が守るべき情報を全部書き出した一覧表です。情報セキュリティマネジメントは、たいていここから始まります。

情報資産は電子データだけではありません。顧客名簿のファイル、契約書や設計図の紙、サーバやノートPC、業務システムそのもの、さらには情報を扱う手順や記録も含まれます。「紙は資産ではない」と考えると、机の上の書類が対策から漏れます。

重要度をつける作業が情報資産の分類です。すべてを同じ強度で守るのは費用が続かないため、極秘・社外秘・公開などの区分を決め、区分ごとに扱い方を変えます。持出しの可否、暗号化の要否、廃棄の方法などが、この区分で決まります。

試験では、情報資産に何が含まれるかを問う形もよく出ます。データや機器だけでなく、紙の書類や業務システムも情報資産である点を押さえておくと、選択肢を絞れます。