情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成31年度春期 午前Ⅰ 問22: 事務所の物理的セキュリティ対策について，JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）に基づいて情報セキュリティ監査を実施した。判

正解

イ. 機密性の高い情報資産が置かれている部屋には，入室許可を得た者が共通の暗証番号を入力して入室している。

問題の解説

物理的セキュリティでは、入退室を個人単位で識別・記録できることが重要。入室許可者が共通の暗証番号を使い回すと、誰が入室したか特定できず、漏えい時に責任追跡もできない。JIS Q 27002の観点から不備であり、監査人が指摘すべき状況としてイが正解。ア・ウ・エはいずれも望ましい管理策である。共通鍵・共通番号の使い回しは識別性を損なう典型的な弱点である。

選択肢ごとの解説

• ア情報処理施設に立ち入らず荷物を授受できる搬出入場所の設置は適切な管理策で、指摘事項ではない。
• イ共通の暗証番号での入室は個人を識別・追跡できず管理上不適切で、指摘すべき事項として正解。
• ウ重要な部屋を外部の目に触れない場所に設けるのは適切な配慮で、指摘事項ではない。
• エ打合せを執務室と分離し機密資産のない場所で行うのは適切な対策で、指摘事項ではない。