情報資産とは？

情報資産の意味

組織にとって価値があり、保護すべき情報およびそれを扱う仕組み全般を指す。顧客データや設計図などのデータそのものだけでなく、それを格納するサーバーや紙文書、担当者のノウハウも含まれる。

情報資産の具体例

顧客の個人情報が入った基幹システム、契約書の紙原本、社員だけが知る営業ノウハウなどはいずれも情報資産にあたり、それぞれに応じた保護策が必要になる。

情報資産は試験でどう引っ掛けられる？

「情報資産＝電子データ」と狭く捉えるのは誤り。紙の契約書、記録媒体、サーバなどの設備、担当者のノウハウも含む。一方で「組織が持つ物すべて」でもなく、価値があり保護すべきものという条件が付く点が境界になる。

情報資産と関連する用語

• 情報資産台帳
• リスクアセスメント

情報資産が出た過去問

• "情報セキュリティ監査基準"に基づいて情報セキュリティ監査を実施する場合，監査の対象，及びコンピュータを導入していない部署における監査実施の要否の組合せのうち，…

  正解：監査の対象＝情報資産，コンピュータを導入していない部署における監査実施の要否＝必要

  要点：情報セキュリティ監査は情報資産全般が対象。紙の部署も必要

  情報セキュリティ監査の対象は情報システムに限らず、紙の書類や人・設備を含む情報資産全般である。したがってコンピュータを導入していない部署であっても、そこで扱う情報資産の管理状況を確かめるため監査は必要となる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問39（IPA）

• 外部委託管理の監査に関する記述のうち，最も適切なものはどれか。

  正解：請負契約においては，委託側の事務所で作業を行っている受託側要員のシステムへのアクセスについて，アクセス管理が妥当かどうかを，委託側が監査できるように定める。

  要点：外部委託は契約で委託側の監査権を確保しておく

  外部委託では、委託先の要員が委託側の情報資産にアクセスすることが多いため、アクセス権の付与・変更・削除が妥当に管理されているかを委託側が確かめられる状態にしておく必要がある。契約時に監査権（アクセス権や作業状況を委託側が監査できること）を定めておくのが適切な対応である。なお請負契約では委託側が受託側要員を直接指揮命令できず、それを行えば偽装請負となる。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問38（IPA）

• IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”を参考に，次の表に基づいて，情報資産の機密性を評価した。機密性が評価値2とされた情報資産とその…

  正解：主力製品の設計図（電子データ）／不正アクセスによって外部に流出すると，技術やデザインによる製品の競争優位性が失われて，製品の売上が減少する。

  要点：機密性は漏えい時の影響で評価し、改ざんや停止と区別する

  機密性の評価なので、情報が漏えいした場合の影響で判断する。設計図が外部に流出すると技術やデザインの優位性が失われ売上が減るという事例は、自社への深刻な影響があるため評価値2に当たる。可用性の話や完全性の話、漏えいしても影響が小さい話は、機密性の評価値2の根拠にならない。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問6（IPA）

• 組織での情報資産管理台帳の記入方法のうち、IPA "中小企業の情報セキュリティ対策ガイドライン（第2.1版）"に照らして、適切なものはどれか。

  正解：利用しているクラウドサービスに保存している情報資産を含めて、台帳に記入する。

  要点：クラウド上のデータも含め情報資産は漏れなく台帳に記入する

  情報資産管理台帳は、守るべき情報を漏れなく把握するために作るものなので、保管場所が自社内かクラウドかを問わず対象に含める。クラウドサービス上のデータは物理的に手元になくても組織の情報資産であり、記入対象から外すと管理の空白が生まれる。重要度が判断しにくい、媒体が複数ある、といった理由で記入を省くのも誤りである。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問9（IPA）

• A社は、分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では、図1の“情報セキュリティリスクアセスメント手順”に従…

  正解：a1=0, a2=2, a3=2, a4=8

  要点：重要度は機密性・完全性・可用性の評価値の最大値

  自社Webサイトの掲載情報は公開情報なので機密性は0である。一方、掲載しているのは製品の機能説明や操作マニュアルであり、改ざんされれば顧客の利用に大きな影響が及ぶため完全性は2となる。重要度は機密性0・完全性2・可用性2の最大値で2、リスク値は重要度2×脅威2×脆弱性2=8である。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問50（IPA）