正解：エ
各選択肢の解説
ア利用者のアクセス権を、申請と承認の手続で付与し、定期的に見直す。
誤り。アクセス権は組織的管理策です。システムの設定に関わるので技術的に 見えますが、ここで問われているのは「誰に何を許すか」を決めて見直す組織の手続です。 仕組みでアクセスを制限する「情報へのアクセス制限」のほうが技術的管理策です。
イ離席するときは画面をロックし、書類を机の上に残さないよう定める。
誤り。クリアデスク・クリアスクリーンで、物理的管理策です。画面ロックは端末の 操作なので技術的に見えますが、目的はその場にいる人に机上や画面の情報を 見られないことです。職場という物理的な空間の守り方として分類されます。
ウ不要になった媒体や機器の中の情報を、復元できない方法で消去する。
誤り。情報の削除で、技術的管理策です。廃棄の運用ルールに見えるので組織的と 思われがちですが、機器や媒体に保存された情報を、もう要らなくなった時点で 確実に消す管理策として、技術的管理策に置かれています。
エ社外で業務を行うときの作業場所や、持ち出す情報の扱い方を定めて守らせる。
正解。リモートワークは人的管理策です。VPNなどの技術を連想しますが、 ここで定めているのは働く人が社外でどう振る舞うかで、人に対する取決めとして 人的管理策に分類されます。
理解を深めるために
見た目ではなく「何を相手にした管理策か」で分ける
JIS Q 27002 は管理策を、組織的・人的・物理的・技術的の4つのテーマに分けています。 分け方のこつは、その管理策が何を相手にしているかを見ることです。 組織の決まりや手続なのか、働く人への取決めなのか、建物や職場の空間なのか、 システムや機器の中の仕組みなのか。パソコンが出てくるから技術的、とは限りません。
なぜ取り違えやすいのか
今回の4つは、どれも見た目と分類がずれやすいものです。
- アクセス権: システムの話に見えるが、付与・見直しの手続なので組織的
- クリアデスク・クリアスクリーン: 画面ロックを含むが、守るのは職場の机上と画面なので物理的
- 情報の削除: 廃棄のルールに見えるが、機器や媒体の中の情報を消すので技術的
- リモートワーク: 技術を使う働き方だが、働く人の社外での振る舞いを定めるので人的
人的管理策にはほかに、採用時の選考、雇用条件、意識向上・教育・訓練、懲戒手続、 秘密保持契約、情報セキュリティ事象の報告などがあります。どれも「人」に向けた取決めです。
混同しやすいものとの違い
| 管理策 | テーマ | 相手にしているもの |
|---|---|---|
| リモートワーク | 人的 | 社外で働く人の振る舞い |
| アクセス権 | 組織的 | 権限を決めて見直す手続 |
| クリアデスク・クリアスクリーン | 物理的 | 職場の机上と画面 |
| 情報の削除 | 技術的 | 機器・媒体に保存された情報 |
「アクセス権」と「情報へのアクセス制限」のように、名前の近い管理策が別のテーマに 置かれていることがあります。手続を決めるのか、仕組みで制限するのかで見分けてください。