令和元年度春期 応用情報技術者試験 午前 問60

正解：イ

AI解説

JIS Q 27002の物理的セキュリティでは、セキュリティを保つべき領域への入退室は「認可された者だけに制限し、個人を識別できる方法」で管理することが求められる。共通の暗証番号では誰が入室したかを特定できず、退職者への対応や責任追跡(アカウンタビリティ)も困難になるため、イが指摘事項となる。 ア: 適切な管理策である。荷物の受渡場所を情報処理施設から分離することは、部外者のサーバ室等へのアクセスを防ぐ望ましい対策である。 イ: 指摘事項として正しい。共通の暗証番号は個人の識別・認証ができず、入室者の記録や追跡が不可能で、番号漏えい時の影響も大きい。個人ごとの認証(ICカード、個別暗証番号、生体認証など)にすべきである。 ウ: 適切な管理策である。機密性の高い情報資産の保管場所を部外者の目に触れない場所に設けることは、物理的セキュリティの基本である。 エ: 適切な管理策である。外部者との打合せ場所を執務室や機密情報から分離することは、のぞき見や情報漏えいの防止に有効である。 💡 監査問題では「共通・共用・全員同じ」というキーワードは要注意。個人を識別できない認証方式は、責任追跡性の観点でほぼ指摘事項になる。