平成31年度 春期 情報セキュリティマネジメント試験 午前 問9
テクノロジ／セキュリティ組織での情報資産管理台帳の記入方法のうち，IPA"中小企業の情報セキュリティ対策ガイドライン（第2.1版）"に照らして，適切なものはどれか。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問9
- ア様々な情報が混在し，重要度を一律に評価できないドキュメントファイルは，企業の存続を左右しかねない情報や個人情報を含む場合だけ台帳に記入する。
- イ時間経過に伴い重要度が変化する情報資産は，重要度が確定してから，又は組織で定めた未記入措置期間が経過してから，台帳に記入する。
- ウ情報資産を紙媒体と電子データの両方で保存している場合は，いずれか片方だけを台帳に記入する。
- エ利用しているクラウドサービスに保存している情報資産を含めて，台帳に記入する。
正解：エ
解説
IPAの"中小企業の情報セキュリティ対策ガイドライン"では，組織が保有する情報資産を漏れなく把握するために，クラウドサービス上に保存している情報資産も含めて情報資産管理台帳に記入することを求めています。重要度が定まらないことや保管形態が複数あることを理由に記入を省略することは適切ではありません。
選択肢ごとの解説
- ア誤り。重要度を一律に評価できないドキュメントファイルであっても，個人情報などを含む場合に限らず，情報資産として台帳に記入する必要があります。
- イ誤り。重要度が確定するまで台帳への記入を先送りすることは適切ではなく，把握した時点で速やかに記入する必要があります。
- ウ誤り。紙媒体と電子データの両方で保存している場合は，それぞれを個別の情報資産として台帳に記入する必要があります。
- エ正しい。クラウドサービスに保存している情報資産も自組織が管理すべき情報資産に含まれるため，台帳に記入します。