情報セキュリティマネジメント試験 無料問題 10 / 10 ・ 分野5: 情報セキュリティマネジメントの運用・継続的改善に関すること
V社は、本社と2つの拠点をもつ社員90名の食品卸である。情報システム担当者が、〔台帳の管理ルール〕と〔台帳と図の現状〕を突き合わせている。 〔台帳の管理ルール（抜粋）〕 ルール1 PC とサーバは、機器ごとに OS とソフトウェアの名前と版を台帳に記録する。 ルール2 拠点ごとに、ネットワークの構成機器と、その保守事業者の連絡先を台帳に記録する。 ルール3 ネットワーク図は版を付けて管理し、構成を変えるたびに更新する。 ルール4 機器を廃棄するときは、データを復元できない方法で消去してから台帳から外す。 〔台帳と図の現状〕 ア 営業所のルータを先月新しい機種に替えたが、営業所のネットワーク図は替える前の版のままである。 イ 本社のネットワーク図は、無線 LAN のアクセスポイントを増やした日に書き直し、版を2.1から2.2にした。本社の構成は、その後変わっていない。 ウ 物流センターのスイッチは台帳に載っているが、保守を頼んでいる事業者の連絡先は台帳に無く、知っているのは前任の担当者だけである。 エ 経理課の PC は、台帳に機種名と設置場所だけを記録し、OS とソフトウェアの版は記録していない。 オ 先月廃棄した PC は、消去ソフトでデータを消去したことを確かめてから台帳から外した。 〔台帳と図の現状〕のア〜オのうち、ルール2又はルール3に違反しているものだけを全て挙げた組合せはどれか。
- ア、ウ
- ウ、エ
- ア、イ
- イ、エ
正解と解説を見る
正解: A
正解の理由
ルール3は、ネットワーク図を版で管理し、構成を変えるたびに更新することを求める。アは営業所のルータを替えたのに図を替える前の版のままにしており、ルール3に違反する。ルール2は、拠点ごとにネットワークの構成機器と保守事業者の連絡先を台帳に記録することを求める。ウは機器は載っているが保守事業者の連絡先が台帳に無く、前任者の記憶に頼っているので、ルール2に違反する。中小企業の情報セキュリティ対策ガイドラインは、ネットワークに関するインシデントが起きたときの影響範囲を正確に把握し、的確に対処できるように、各拠点のネットワークの構成機器や保守事業者の情報を整理し、ネットワーク図を作成・版管理して構成変更の度に更新することを挙げている。
違う選択肢
「ア、イ」… イは構成を変えた日に図を書き直して版を上げており、その後の変更も無いので、ルール3のとおりである。図を書き直したことが目に付いても、違反ではない。連絡先が台帳に無いウが入っていない。
「イ、エ」… イは違反ではない。エは OS とソフトウェアの版を記録しておらずルール1の違反だが、問われているルール2・ルール3の違反ではない。違反しているアとウがどちらも入っていない。
「ウ、エ」… ウはルール2の違反だが、エは問われていないルール1の違反である。構成を変えたのに図を更新していないアが抜けている。
押さえどころ
台帳や図は、作った時点ではなく、変更を反映し続けてはじめて役に立つ。インシデントや障害のときに、どこに何がつながり、誰に連絡すればよいかが台帳と図から分からなければ、影響範囲の把握と対処が遅れる。担当者の記憶にしか無い情報は、異動や退職で失われる。オは消去を確かめてから外しており、ルール4のとおりである。