営業部では1年前に情報資産台帳を作成した。今回のリスクアセスメントで、半年前から 使い始めたクラウドストレージが台帳に無く、既に廃棄したPCが台帳に残っていることが 分かった。再発を防ぐ改善として、最も適切なものはどれか。

正解：ア

各選択肢の解説

1. ア資産の導入・変更・廃棄の手続に台帳の更新を組み込み、定期的に実物と突き合わせる。

   正解。台帳がずれるのは、資産が動いたときに台帳が一緒に動かないからです。 手続の中で更新させ、定期的な突合せで漏れを拾えば、台帳が実態と合い続けます。

2. イ毎年リスクアセスメントの直前に、部門全員で台帳を一から作り直す。

   誤り。作り直した時点では正しくなりますが、次の作り直しまでの間に導入・廃棄された 資産は反映されません。今回のずれも「1年前に作ったまま」で起きています。 必要なのは時点を決めた作成ではなく、変化のたびの更新です。

3. ウ登録対象を情報システム部門が調達した機器に限り、管理しやすくする。

   誤り。管理は楽になりますが、部門が契約したクラウドサービスや紙の書類、データそのものが 台帳から外れ、今回のような漏れがかえって増えます。台帳は機器の一覧ではなく、 守るべき情報資産の一覧です。

4. エクラウド上のデータは事業者が管理するため、台帳の対象から外す。

   誤り。設備は事業者が管理しても、置いたデータと共有範囲・アカウントの管理責任は 自社に残ります。台帳から外すと、そのデータへの脅威がリスクアセスメントで 洗い出されなくなります。

理解を深めるために