事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判明した状況のうち、監査人が監査報告書に指摘事項として記載すべきものはどれか。

選択肢

• ア外部からの荷物の受渡しは、サーバ室などの情報処理施設にアクセスすることなく荷物の積降ろしができる場所で行っている。
• イ機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。
• ウ機密性の高い情報資産が置かれる部屋は、社員以外の者の目に触れる場所を避けて設けている。
• エ取引先との打合せは、社員が業務を行っている執務室から分離された場所であって、かつ、機密性の高い情報資産が置かれていない場所で行っている。

正解と解説

正解：イ 機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。

共通の暗証番号で入室していると、誰がいつ入退室したのかを個人単位で識別・記録できず、番号の共有によって権限の無い者にも容易に伝わってしまう。JIS Q 27002が求める入退管理では個人ごとに認証し記録を残すことが必要なので、この状況は指摘事項となる。

選択肢ごとの解説

• ア荷降ろし場所を情報処理施設と分離するのは、求められている適切な管理策。
• イ正しい（指摘すべきもの）。共通の暗証番号では個人単位の識別と記録ができない。
• ウ重要な情報資産のある部屋を人目に付かない場所に設けるのは適切な配慮。
• エ取引先との打合せを執務室と分離した場所で行うのは適切な管理策。

同じ分野の他の問題

• システム管理基準（令和5年）における，ユーザ受入テストに関する監査のチェックポイントとして，適切なものはどれか。2025年度 春期 午前 問60
• 販売管理システムにおいて、起票された受注伝票の入力が、漏れなく、かつ、重複することなく実施されていることを確かめる監査手…2019年度 秋期 午前 問60
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果…2022年度 秋期 午前 問58
• 事業継続計画（BCP）について監査を実施した結果、適切な状況と判断されるものはどれか。2022年度 春期 午前 問58
• アジャイル開発を対象とした監査の着眼点として、システム管理基準（平成30年）に照らして、適切なものはどれか。2021年度 秋期 午前 問58