令和元年度 高度共通 午前I（PM試験） 問22

正解：イ

AI解説

JIS Q 27002の物理的セキュリティ管理策では、セキュリティを保つべき領域への入退は、認可された者だけに制限するとともに、個人を識別して監査証跡（誰がいつ入室したかの記録）を残せることが求められる。共通の暗証番号による入室では入室者個人を特定できず、責任追跡性が確保できないため、監査報告書に記載すべき指摘事項に該当する。 ア: 荷物の受渡場所を情報処理施設から分離してアクセスさせないのは、規範に沿った適切な物理的セキュリティ対策であり指摘事項ではない。 イ: 正しい（指摘事項）。共通の暗証番号では個人の識別と入室記録による追跡ができない。個人別のICカードや生体認証など、本人を識別できる方式にすべきである。 ウ: 機密性の高い情報資産の設置場所を部外者の目に触れない場所にするのは適切な対策である。 エ: 取引先との打合せを執務室や機密資産から分離した場所で行うのは適切な対策である。 💡 監査問題ではまず「指摘すべき悪い状況を選ぶのか、適切な状況を選ぶのか」を設問文で確認する。共通パスワード・共有IDは「個人を識別できず責任追跡性がない」という定番の指摘パターンである。