管理策とは？

管理策の意味

リスクを低減するために実施する具体的な対策。技術的対策（アクセス制御など）、組織的対策（規程整備など）、人的対策（教育など）、物理的対策（入退室管理など）に大別される。

管理策の具体例

「重要書類を施錠保管する」は物理的管理策、「アクセス権限を職務に応じて設定する」は技術的・組織的管理策、「セキュリティ研修を実施する」は人的管理策にあたる。

管理策は試験でどう引っ掛けられる？

管理策はリスク対応を実現する手段であって、リスク対応の選択肢（低減・回避・移転・受容）そのものではない。またJIS Q 27001附属書Aの管理策は候補の一覧であり、全部を実施する義務はない。採用しない管理策は適用宣言書に理由を書けばよい。

管理策と関連する用語

• 適用宣言書

管理策が出た過去問

• 識別コード及びパスワードによるアクセスコントロール機能を情報システムに組み込むことによって，コントロールが可能なリスクはどれか。

  正解：ファイル，データ内容の改ざん

  要点：アクセスコントロールは権限外の者による改ざんを防ぐ

  識別コードとパスワードによるアクセスコントロールは、利用者を識別・認証して権限のある者だけにデータの参照や更新を許す仕組みである。これにより、権限のない者によるファイルやデータ内容の改ざんというリスクを抑えられる。

  出典：平成29年度 春期 応用情報技術者試験 午前 問60（IPA）

• システム監査において，ペネトレーションテストが最も適合するチェックポイントはどれか。

  正解：ネットワークへのアクセスコントロールが有効に機能しているか。

  要点：ペネトレーションテストは侵入試行でアクセス制御の有効性を検証。

  ペネトレーションテストは、攻撃者の視点で実際に侵入を試み、防御が突破できるかどうかを確かめるテストである。ネットワークのアクセス制御が意図どおりに機能し、許可されていない経路からの侵入を阻止できているかを検証する場面に最も適合する。物理的な入退室管理や入力の正確性の確認には向かない。

  出典：平成30年度 秋期 応用情報技術者試験 午前 問59（IPA）

• 情報システムの可監査性を説明したものはどれか。

  正解：コントロールの有効性を監査できるように，情報システムが設計・運用されていること

  要点：可監査性は統制の有効性を検証できるシステム側の備えを指す。

  可監査性とは、システムに組み込まれたコントロール（統制）が有効に働いているかどうかを、後から追跡・検証できるように情報システムが設計・運用されている性質である。処理の記録が残り、監査証跡をたどれることが前提となる。監査人側の能力や協力体制ではなく、システム側の備えを指す点が要点である。

  出典：平成30年度 秋期 応用情報技術者試験 午前 問60（IPA）

• プロジェクトマネジメントにおけるスコープコントロールの活動はどれか。

  正解：連携する計画であった外部システムのリリースが延期になったので、この外部システムとの連携に関わる作業は別プロジェクトで実施することにした。

  要点：スコープコントロールは作業範囲の変更を管理する活動

  スコープコントロールは、プロジェクトの成果物や作業範囲の変更を監視し、必要な調整を行う活動である。外部システムの遅延を受けて連携作業を本プロジェクトから外し、別プロジェクトへ移す判断は、まさに作業範囲を変更するスコープの管理に当たる。

  出典：平成30年度 春期 応用情報技術者試験 午前 問51（IPA）

• 事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判…

  正解：機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。

  要点：入退室の認証は共通番号でなく個人単位で識別・記録する

  共通の暗証番号で入室していると、誰がいつ入退室したのかを個人単位で識別・記録できず、番号の共有によって権限の無い者にも容易に伝わってしまう。JIS Q 27002が求める入退管理では個人ごとに認証し記録を残すことが必要なので、この状況は指摘事項となる。

  出典：令和1年度 春期 応用情報技術者試験 午前 問60（IPA）