ビューとは？

ビューの意味

実際の表から必要な行や列だけを取り出して見せる、見かけ上の表。利用者にはビューだけを見せることで、機密の列を隠したまま業務に必要な情報を提供できるため、アクセス制御の手段としても問われる。元の表そのものへの権限は与えないことが前提になる。

ビューの具体例

社員名簿の表には給与や評価の列があるが、庶務が使う内線番号一覧には氏名・所属・内線だけを取り出したビューを用意し、庶務にはそのビューへの参照権限だけを与えることにした。給与や評価の列は、庶務からは一切見えない状態になった。

ビューは試験でどう引っ掛けられる？

ビューは元の表の複製ではなく、元データが変われば表示内容も変わる。またビューを用意していても、元の表そのものへの権限が残っていれば直接参照できてしまう点を見落としやすい。

ビューと関連する用語

• アクセス権限（読取り・書込み・実行）
• 関係演算（選択・射影・結合）
• 最小権限の原則

ビューが出た過去問

• サービスマネジメントシステムにPDCA方法論を適用するとき，Actに該当するものはどれか。

  正解：サービスマネジメントシステム及びサービスのパフォーマンスを継続的に改善するための処置を実施する。

  要点：Actは点検結果を受けて継続的改善の処置を実施する段階

  PDCAサイクルのAct（処置・改善）は、Checkでの監視・測定・レビューの結果を踏まえ、仕組みやサービスを継続的に改善するための処置を実施する段階である。ここでの改善が次のPlanへつながっていく。

  出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問41（IPA）

• 情報セキュリティ意識向上のための教育の実施状況をJIS Q 27002に従ってレビューした。情報セキュリティを強化する観点から、改善が必要な状況はどれか。

  正解：正規従業員と同様の業務に従事している派遣従業員を除いて、教育を実施していた。

  要点：教育対象は雇用形態を問わず情報を扱う全員

  JIS Q 27002は、意識向上・教育・訓練の対象を「組織の全ての従業員、及び関連する場合は契約相手」としており、雇用形態にかかわらず組織の情報を扱う者は対象に含まれる。正規従業員と同じ業務に就く派遣従業員だけを教育から外せば、その部分が情報セキュリティの弱点になる。攻撃者は最も守りの薄いところを突くため、教育対象に穴を作らないことが重要である。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）

• JIS Q 27001:2014(情報セキュリティマネジメントシステム-要求事項)において、リスクを受容するプロセスに求められるものはどれか。

  正解：受容するリスクについては、リスク所有者が承認すること

  要点：残留リスクの受容はリスク所有者が承認する必要がある

  ISMSではリスク対応後に残る残留リスクを受容するかどうかを判断するが、その承認はリスク所有者(リスクを管理する責任と権限をもつ者)が行うことが求められる。担当者の判断で勝手に受容するのではなく、責任者が明示的に承認する点が要求事項の要である。受容したリスクも監視・レビューの対象から外れるわけではない。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問3（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、トップマネジメントがマネジメントレビューで考慮しなければならない事項…

  正解：前回までのマネジメントレビューの結果とった処置の状況／内部監査の結果／発生した不適合及び是正処置の状況

  要点：マネジメントレビューでは前回処置・監査結果・不適合の状況を必ず考慮する

  JIS Q 27001の9.3では、マネジメントレビューで考慮すべき事項として、前回までのレビューで取った処置の状況、内外の課題の変化、情報セキュリティパフォーマンスに関するフィードバック（不適合及び是正処置、監視・測定の結果、監査結果、目的の達成度）、利害関係者からのフィードバック、リスクアセスメントの結果、継続的改善の機会が挙げられている。したがって、前回処置の状況・内部監査の結果・不適合及び是正処置の状況の三つはいずれも規格が明記する考慮事項である。一方、情報セキュリティ目的はトップマネジメントだけが設定するものではなく、関連する部門及び階層で確立するよう求められているため、「トップマネジメントが設定した」という限定が付いた選択肢は規格の記述と合わない。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問1（IPA）

• JIS Q 27001:2014（情報セキュリティマネジメントシステム-要求事項）において、リスクを受容するプロセスに求められるものはどれか。

  正解：受容するリスクについては、リスク所有者が承認すること

  要点：残留リスクの受容はリスク所有者の承認が必須

  ISMSではリスク対応の結果として残る残留リスクを受け入れる際、その責任を負うリスク所有者が承認することを求めている。リスクを受け入れる判断は組織の資源配分に関わるため、実務担当者ではなく責任と権限をもつ者が行う必要があるからである。受容後もリスクは消滅しないので監視とレビューは継続し、受容の判断はリスクアセスメント（特定・分析・評価）を経た上で行う。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問1（IPA）