平成31年度 春期 応用情報技術者試験 午前 問60
マネジメント／システム監査事務所の物理的セキュリティ対策について，JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）に基づいて情報セキュリティ監査を実施した。判明した状況のうち，監査人が監査報告書に指摘事項として記載すべきものはどれか。
出典：平成31年度 春期 応用情報技術者試験 午前 問60
- ア外部からの荷物の受渡しは，サーバ室などの情報処理施設にアクセスすることなく荷物の積降ろしができる場所で行っている。
- イ機密性の高い情報資産が置かれている部屋には，入室許可を得た者が共通の暗証番号を入力して入室している。
- ウ機密性の高い情報資産が置かれる部屋は，社員以外の者の目に触れる場所を避けて設けている。
- エ取引先との打合せは，社員が業務を行っている執務室から分離された場所であって，かつ，機密性の高い情報資産が置かれていない場所で行っている。
正解：イ
解説
JIS Q 27002:2014 の物理的・環境的セキュリティでは，セキュリティを保つべき領域への入退室について，誰がいつ入室したかを追跡できるように個人を識別できる認証を求めています。共通の暗証番号による入室では入室者を特定できず，責任追跡性が確保できないため，指摘事項に該当します。
選択肢ごとの解説
- ア誤り。荷物の受渡しを情報処理施設にアクセスせずに行える場所で実施するのは，「受渡場所」に関する管理策に沿った適切な運用です。
- イ正しい。共通の暗証番号では入室した個人を特定できず責任追跡性が確保できないため，指摘事項として記載すべきです。
- ウ誤り。機密性の高い情報資産が置かれる部屋を社員以外の目に触れない場所に設けるのは，物理的セキュリティ境界に関する適切な運用です。
- エ誤り。取引先との打合せを執務室から分離した機密情報のない場所で行うのは適切な運用です。