情報セキュリティ管理とは？

情報セキュリティ管理の意味

サービスに関わる情報資産の機密性・完全性・可用性を維持するため、方針を定め、リスクを評価し、管理策を実施し、有効性を評価して改善するプロセス。SMSの一部としても要求される。

情報セキュリティ管理の具体例

情報セキュリティ方針を経営層が承認し、アクセス権の付与基準、供給者への要求事項、インシデント時の報告経路を定めて運用する。

情報セキュリティ管理は試験でどう引っ掛けられる？

情報セキュリティインシデントも、サービスマネジメント上はインシデント管理の記録・対応の枠組みで扱い、必要に応じて専門体制へエスカレーションする。別建てで完全に切り離すのではない。

情報セキュリティ管理と関連する用語

• アクセス管理
• CSIRT

情報セキュリティ管理が出た過去問

• A社では、自然災害などの際の事業継続を目的として、業務システムのデータベースのバックアップを取得している。その状況について、"情報セキュリティ管理基準（平成28…

  正解：バックアップを取得した電子記録媒体を、業務システムが稼働しているサーバの近くで保管していた。

  要点：バックアップは同時被災を避けるため遠隔地に保管する

  バックアップは、災害などで元のシステムが被害を受けても失われない場所に保管する必要がある。稼働中のサーバの近くに置いていては、火災や水害、地震で本体と媒体が同時に失われ、事業継続の目的を果たせない。したがってこの状況は指摘事項に当たる。手順書の整備、復旧試験の定期実施、契約を伴う外部保管はいずれも望ましい実施状況である。

  出典：令和1年度 春期 基本情報技術者試験 午前 問60（IPA）

• 利用者情報を格納しているデータベースから利用者情報を検索して表示する機能だけをもつアプリケーションがある。このアプリケーションがデータベースにアクセスするときに…

  正解：参照権限

  要点：アクセス権限は業務に必要な最小限に絞る

  必要最小限の権限だけを与える最小権限の原則に従うべきである。このアプリケーションは検索と表示しか行わないので、レコードを読み取れる参照権限だけで足り、更新や管理者の権限を与えると悪用時の被害が大きくなる。

  出典：平成30年度 春期 基本情報技術者試験 午前 問43（IPA）

• A社では,従業員が自宅のPCからインターネット経由で自社のネットワークに接続して仕事を行うテレワーキングの実施を計画している。A社が定めたテレワーキング運用規程…

  正解：テレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は,従業員それぞれが判断する。

  要点：対策の要否を個人判断に委ねる運用は統制上の不備

  監査報告書の指摘事項には、管理基準に照らして統制が不十分な状態を書く。マルウェア対策ソフトの導入可否を従業員個人の判断に委ねる運用は、組織として一律に講じるべき対策が担保されない状態であり、統制上の不備として指摘すべきものである。他の三つはむしろ利用範囲や機器を限定する適切な統制にあたる。

  出典：令和5年度 （公開問題） 基本情報技術者試験 kamokuA 問14（IPA）

• サーバ室の物理的な安全対策の状況について，情報セキュリティ管理基準（平成28年）に照らして，情報セキュリティ監査を行って判明した状況のうち，監査人が，指摘事項と…

  正解：社外からサーバ室へ直接出入りするドアを設置しているが，出入りを考慮して常時施錠していない。

  要点：社外に通じる扉の常時施錠は物理的統制の必須要件

  監査報告書の指摘事項には、管理基準に照らして統制が不十分な状態を記載する。社外から直接出入りできるドアを常時施錠していない状態は、部外者の侵入を許しうる物理的セキュリティ上の不備であり、指摘すべきものである。他の三つは警報装置の設置や避難設備の確保、所在の秘匿といった適切な対策にあたる。

  出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuA 問15（IPA）

• A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。 A社では、ファイルサーバを図1のように運用している。 〔図1 A社のファイル…

  正解：a1: 火曜日の正午 / a2: 4.50 / a3: CISO

  要点：RPOは遡る時点、RTOは復旧時間。承認者はCISO

  RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくともその72時間前、つまり火曜日の正午時点のデータまでは復元できなければならない。木曜日の正午の障害では、土曜日のフルバックアップに加えて火曜日と木曜日の2回分の増分バックアップを適用するため、4時間＋0.25時間×2＝4.50時間かかる。またICT継続の計画書のような重要文書は、担当者や監査部門ではなく責任者であるCISOが承認する。

  出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuB 問6（IPA）