情報セキュリティマネジメント試験（SG）のサンプル問題（本番形式・解説付き）

解説

情報資産とは、組織にとって価値があり守るべき対象となる情報と、それを扱う仕組み全体を指します。電子データだけでなく、紙の契約書や名刺、業務アプリケーションやライセンス、サーバやUSBメモリ、通信回線やクラウドサービスや電力、従業員が持つ技能やノウハウ、企業の信用やブランドイメージまでが含まれます。試験では「情報資産に該当しないものはどれか」という形でこの広さが問われるため、電子データに限定して捉えないことが要点です。

解説

完全性は、情報が正確かつ完全である状態を指します。入力ミスによってデータが実際と異なる値になり、そのまま放置されているのは、情報の中身が正しくなくなった状態なので完全性の問題です。完全性と可用性は「情報の中身が壊れたのか、情報にたどり着けないのか」で分けます。ここでは値を読むことはできるので、たどり着けない側の問題ではありません。

解説

可用性は、認可された者が必要なときに情報へアクセスできる状態を指します。攻撃によるものでなくても、落雷や機器の寿命でシステムが止まれば、使いたいときに使えないので可用性が損なわれた事故です。情報セキュリティの事故を攻撃だけに限って考えると、この種の設問を落とします。落雷・水害・停電・操作ミスも情報セキュリティの事故として扱われます。

解説

否認防止は、行為をした本人が後から「自分はやっていない」と否定できない状態を指します。本人しか作れないデジタル署名やタイムスタンプ、改ざんできない形でのログ保全によって支えられます。設問に「後から否定できない」「言い逃れできない」という言葉があれば否認防止、「本人であることを確認する」であれば真正性、という読み分けが目印になります。

解説

JIS Q 27001 は ISMS の要求事項を定めた規格で、「〜しなければならない」という要求が並び、認証審査の基準になります。番号ごとの役割は、27000 が用語の定義と規格群の概要、27001 が ISMS の要求事項、27002 が情報セキュリティ管理策の実践のための規範、31000 がリスクマネジメントの指針です。「認証を取得する基準はどれか」なら 27001、「用語の定義はどれか」なら 27000 と引き当てます。