事務所の物理的セキュリティ対策について、JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判明した状況のうち、監査人が監査報告書に指摘事項として記載すべきものはどれか。

選択肢

• ア外部からの荷物の受渡しは、サーバ室などの情報処理施設にアクセスすることなく荷物の積降ろしができる場所で行っている。
• イ機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。
• ウ機密性の高い情報資産が置かれる部屋は、社員以外の者の目に触れる場所を避けて設けている。
• エ取引先との打合せは、社員が業務を行っている執務室から分離された場所であって、かつ、機密性の高い情報資産が置かれていない場所で行っている。

正解と解説

正解：イ 機密性の高い情報資産が置かれている部屋には、入室許可を得た者が共通の暗証番号を入力して入室している。

共通の暗証番号を複数人で使い回すと、誰がいつ入室したのかを個人単位で追跡できず、退職者や許可取消し後も入室できてしまう。JIS Q 27002が求める入退室の記録・認証の個別化に反するため、指摘事項として記載すべきである。他の3つは適切な管理策が実施されている状態である。

選択肢ごとの解説

• ア荷物の受渡しを情報処理施設と分離した場所で行うのは、受渡場所の分離という推奨される管理策である。
• イ正しい。共通の暗証番号では入室者を個人単位で識別・追跡できず、認証の個別化に反する。
• ウ重要区画を外部の目に触れにくい場所に設けるのは、施設の物理的保護として適切である。
• エ取引先との打合せを執務室や重要資産から離れた場所で行うのは、適切な区画分離である。

同じ分野の他の問題

• システム監査基準（令和5年）に従い、監査目的に基づいて、ガバナンス、マネジメント、コントロールの視点から検証・評価を行う…2025年度 秋期 問22
• システム監査基準（令和5年）において、システム監査で使用される用語の説明として、適切なものはどれか。2025年度 秋期 問21
• システム監査における“監査手続”として、最も適切なものはどれか。2025年度 春期 問22
• システム監査におけるウォークスルー法の説明として、適切なものはどれか。2025年度 春期 問21
• システム監査基準（令和5年）におけるフォローアップの説明として、適切なものはどれか。2024年度 秋期 問22