IPA ISMS・方針・人的/物理的対策 — 頻出論点と過去問

頻出論点

1. この分野は何か

情報を守る取組を、方針を定めて点検と見直しを続ける管理の仕組みと、人・場所・端末に掛けるルールの両面から組み立てる分野です。一つの対策でも、どの性質を守るか、ISMSのどの段階の活動か、技術・人・物理のどれに働きかけるかという別々の軸で分類され、問いがどの軸を聞いているかで答えが変わります。

2. 実際の出題のされ方

具体的な対策やインシデントの事例が機密性・完全性・可用性のどれに関わるかを判定する問題や、具体的な作業をPDCAの各段階に当てはめる問題が頻出です。ITパスポートの問題には、ほかに情報セキュリティ方針の性格や策定の順序を問うもの、物理的対策の例を選ぶもの、BYODやシャドーITに当たる事例を選ぶものがあります。

規格の条文に基づく用語定義の照合や、従業員・ソフトウェアに対する管理策の適否を問う問題も出題されています。JIS Q 27000が定める特性の説明文を名前と結びつける問題は、応用情報技術者の午前の出題です。セキュリティクリアランスに当たる事例を選ぶ問題や、マルウェア対策の監査で指摘事項として報告書に書く運用状況を選ぶ問題もあります。

午前IIでは、管理策の実施基準やクラウド利用時の統制手段まで問われます。情報処理安全確保支援士ではCASBを導入したときの効果を選ぶ問題が、システム監査技術者ではJIS Q 27002が監査活動について望ましいとする事項を選ぶ問題が出ています。

3. 学習のポイント

情報セキュリティの特性は、基本の3要素（CIA）と追加の特性をそれぞれの視点で区別します。機密性・完全性・可用性は、何が起きたら損なわれるかで区別します。見てはいけない人に中身を知られたら機密性、中身が正しくなくなったら完全性、必要なときに使えなくなったら可用性が損なわれています。ほかの特性は、相手やデータが名乗りどおりのものか（真正性）、行為をした事実を後から示せるか（否認防止）、行動の結果をその主体の責任としてたどれるか（責任追跡性）、動作が狙いどおりに安定しているか（信頼性）を表します。

ISMSの構築・運用では、どこまでを管理の対象にするかを最初に決めてからリスクアセスメントに進みます。基本方針は、組織として情報をどう守るかを経営の立場で示す最上位の文書で、その下に守るべき対策基準と具体的な実施手順が続きます。PDCAの各段階は、その作業が何を生むかで決まります。手順や目標を決めるのが計画（P）、決めたとおりに回すのが運用（D）、回した結果を確かめるのがパフォーマンス評価（C）、確かめて見つかった問題を直すのが改善（A）です。

技術的・人的・物理的の分類は、対策が何に働きかけるかで決まります。仕組みや設定で守るなら技術的、人の行動や約束で守るなら人的、建物や設備、物の置き場所で守るなら物理的な対策です。秘密情報に触れる人を前もって審査して選ぶセキュリティクリアランスも、人に向けた対策です。BYODは個人所有の端末を組織の許可のもとで業務に使うこと、シャドーITは組織が承認していないIT(機器やサービス)を業務に使うことで、所有者が誰かと組織が承認しているかは別の軸です。

4. 間違えやすいところ

情報セキュリティ方針の性格について、方針には重要な事項が書かれているので社外には出さず厳重に管理する、とする誤答肢がありました。方針は組織の姿勢を示す文書なので、取引先など外部の関係者にも必要に応じて伝わるようにしておきます。

ISMSの内部監査について、「不定期かつ抜き打ちでの実施を原則とする」とする誤答肢がありました。内部監査は、あらかじめ決めた間隔で計画を立てて行う活動です。

物理的対策の例として、退職者のアカウントを消す作業を選ばせる誤答肢がありました。アカウントの削除はシステムの設定で守る対策で、建物や機器に働きかけるものではありません。

クリアデスクの実施において、「離席時は，PCをパスワードロックする」とする誤答肢がありました。画面のロックは、のぞき見や離席中の操作を防ぐクリアスクリーンの側の対策です。