正解：ウ
各選択肢の解説
ア外部からの攻撃ではないので、情報セキュリティの問題としては扱わない。
誤り。インシデントを「サイバー攻撃のこと」と狭く捉える、よくある誤解です。 情報が本来渡るべきでない相手に渡った時点で、機密性が損なわれています。 原因が攻撃か過失かは、インシデントかどうかの分かれ目になりません。
イ損害が出ると確定するまでは記録を残さず、相手からの連絡を待つ。
誤り。損害の確定を待っていると、削除依頼などの初動が遅れて被害が広がります。 インシデントは「被害が確定したもの」ではなく、情報セキュリティを脅かす 可能性が高い出来事の段階で扱い始めるものです。
ウ情報セキュリティインシデントとして、定められた手順で報告し対応する。
正解。誤送信で機密性が損なわれたので、情報セキュリティインシデントに当たります。 個人で抱え込まず、決められた窓口に報告して組織として対応します。
エ本人の不注意が原因なので、本人が相手に謝罪して削除を頼めば済ませてよい。
誤り。個人の問題として処理すると、組織は事実を把握できず再発防止策も打てません。 同じ誤送信は他の社員にも起こり得ます。謝罪や削除依頼も、 報告を受けた組織の判断のもとで行うのが筋です。
理解を深めるために
攻撃でなくても「事故」は事故
交通事故は、わざとでも不注意でも事故として届け出ます。 情報セキュリティインシデントも同じで、原因が攻撃か過失かは問いません。 メールの誤送信、USBメモリの紛失、書類の置き忘れも、情報が守られなくなった （またはその恐れが高い）出来事であれば、インシデントとして扱います。
なぜ組織として扱うのか
JIS Q 27000 では、情報セキュリティインシデントを、望まない、または予期しない 情報セキュリティ事象のうち、事業運営を危うくしたり情報セキュリティを脅かしたり する確率が高いもの、と定義しています。「被害が確定したもの」ではない点が大事です。
- 早く報告すれば、削除依頼や関係者への連絡などの初動が早くなる
- 組織が事実を把握して初めて、同じ原因の再発を防ぐ対策が打てる
- 報告の手順があらかじめ決まっているから、当事者が迷わずに済む
情報セキュリティマネジメントは、インシデントを隠さずに拾い上げ、 それを次の対策に生かす仕組みでもあります。
誤った扱い方との違い
| 扱い方 | 何が問題か |
|---|---|
| インシデントとして報告・対応 | 組織で初動と再発防止ができる |
| 攻撃ではないので対象外 | 過失による漏えいを見落とす |
| 損害の確定まで様子見 | 初動が遅れて被害が広がる |
| 本人の謝罪で済ませる | 組織が把握できず再発を防げない |
試験では「攻撃ではない」「うっかりだった」という場面が出たら要注意です。 原因ではなく、情報が守られなくなったかどうかで判断します。