情報資産管理とは？

情報資産管理の意味

組織が保有する情報（顧客データ、設計図、契約書など）やそれを扱う機器・システムを「情報資産」として洗い出し、台帳などで一元的に把握・管理する活動。各資産の重要度や機密レベル、保管場所、管理責任者を明確にすることで、リスクアセスメントの前提となる「何を守るべきか」を明らかにする、セキュリティ対策の出発点となる取り組みである。資産を把握できていなければ、適切な対策の優先順位付けもできない。

情報資産管理の具体例

情報システム部門が全社の顧客データベースやノートPC、クラウドサービスの利用状況を棚卸しし、それぞれに機密レベル（社外秘・部外秘など）を付与した台帳を作成する。

情報資産管理は試験でどう引っ掛けられる？

情報資産には紙の書類やノートPCなどの物理的なものも含まれ、電子データだけを指すわけではない点が見落とされやすい。

情報資産管理と関連する用語

• リスクアセスメント
• 職務分掌
• 最小権限の原則
• 情報漏えい対策

情報資産管理が出た過去問

• 組織での情報資産管理台帳の記入方法のうち、IPA "中小企業の情報セキュリティ対策ガイドライン（第2.1版）"に照らして、適切なものはどれか。

  正解：利用しているクラウドサービスに保存している情報資産を含めて、台帳に記入する。

  要点：クラウド上のデータも含め情報資産は漏れなく台帳に記入する

  情報資産管理台帳は、守るべき情報を漏れなく把握するために作るものなので、保管場所が自社内かクラウドかを問わず対象に含める。クラウドサービス上のデータは物理的に手元になくても組織の情報資産であり、記入対象から外すと管理の空白が生まれる。重要度が判断しにくい、媒体が複数ある、といった理由で記入を省くのも誤りである。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問9（IPA）

• A社は、分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では、図1の“情報セキュリティリスクアセスメント手順”に従…

  正解：a1=0, a2=2, a3=2, a4=8

  要点：重要度は機密性・完全性・可用性の評価値の最大値

  自社Webサイトの掲載情報は公開情報なので機密性は0である。一方、掲載しているのは製品の機能説明や操作マニュアルであり、改ざんされれば顧客の利用に大きな影響が及ぶため完全性は2となる。重要度は機密性0・完全性2・可用性2の最大値で2、リスク値は重要度2×脅威2×脆弱性2=8である。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問50（IPA）

• A社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では，次の“情報セキュリティリスクアセスメント手順”に従い…

  正解：（一），（三）

  要点：リスク値は重要度×脅威×脆弱性、しきい値超えだけ対応する

  重要度は機密性・完全性・可用性の評価値の最大値なので、四つの情報資産はいずれも重要度2になります。リスク値は重要度×脅威×脆弱性で求めるため、（一）は2×2×2＝8、（二）は2×1×1＝2、（三）は2×2×2＝8、（四）は2×2×1＝4です。しきい値5を超えるのは（一）と（三）なので、この二つが保有以外のリスク対応を要します。

  出典：令和5年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問13（IPA）