情報セキュリティ監査で可用性を見分けるには
基本情報技術者試験 平成30年度春期 午前 問60 ／ システム監査 › システム監査
過去問にチャレンジ
情報セキュリティ監査において，可用性を確認するチェック項目はどれか。
- ア
外部記憶媒体の無断持出しが禁止されていること
- イ
中断時間を定めたSLAの水準が保たれるように管理されていること
- ウ
データ入力時のエラーチェックが適切に行われていること
- エ
データベースが暗号化されていること
会話形式の解説
講師この問題では、各チェック項目が「使える状態」「データの正確さ」「内容を見せないこと」のどれに関わるかを考えます。
受験者可用性は使える状態に関わるのですね。中断時間を管理する項目が気になります。
講師そのとおりです。可用性は、必要なときに情報やサービスを使える性質です。SLA、つまりサービスレベル契約で定めた中断時間の水準を保つ管理は、サービスを利用できない時間を対象にするため、正解です。
受験者外部記憶媒体の無断持出しを防ぐことも、サービスを使い続けるための確認でしょうか。
講師そこで確かめるのは、情報が外部に渡らないことです。使える状態を保つ項目ではなく、機密性に関わります。
受験者では、入力時のエラーチェックはどう分類しますか。
講師入力内容の誤りを見つけ、データの正確さを守るので、完全性です。
受験者データベースの暗号化は、内容を読める人を制限するという見方でよいですか。
講師はい。権限のない人が内容を読めないようにするため、機密性に関わります。
受験者中断時間は使える状態、入力の誤りは正確さ、持出し防止と暗号化は内容を見せないこと、と分けられます。
講師その整理で判断できます。中断時間を見たら、必要なときにサービスを使えるかという可用性につなげて考えます。
まとめ
可用性は、必要なときに情報やサービスを使える性質です。SLAで定めた中断時間の水準を保つ管理は、サービスを利用できない時間に関わるため、可用性のチェック項目です。入力時のエラーチェックはデータの正確さに関わる完全性、外部記憶媒体の無断持出し防止とデータベースの暗号化は機密性に関わります。
解答・解説
正解はイです
この問題のテーマ
情報セキュリティ監査のチェック項目を、機密性・完全性・可用性のどれに関わるかで分類する問題です。
解き方の考え方
可用性は、必要なときに情報やサービスを使える性質です。各項目が、利用の継続、情報の正確さ、閲覧の制限のどれを確かめているかを見ます。サービスの中断時間を管理する項目が可用性に該当します。
選択肢ごとの解説
- ×ア 外部記憶媒体の無断持出しが禁止されていること外部記憶媒体の無断持出しを禁じるのは、情報が外部に渡ることを防ぐためです。情報を使える状態に保つことよりも、機密性の確保に関わります。
- ○イ 中断時間を定めたSLAの水準が保たれるように管理されていることSLAで定めた中断時間の水準を保つ管理は、サービスを利用できない時間を対象にしています。必要なときに使えるかを確かめるので、可用性のチェック項目です。
- ×ウ データ入力時のエラーチェックが適切に行われていることデータ入力時のエラーチェックは、入力内容の誤りを見つけるためのものです。データの正確さに関わるため、完全性のチェック項目です。
- ×エ データベースが暗号化されていることデータベースの暗号化は、権限のない人が内容を読めないようにするためのものです。利用できない時間を測る項目ではなく、機密性に関わります。
POINT
- サービスの中断時間は、可用性を判断する手掛かりになります。
- データの正確さを守る対策は、完全性に分類します。
- 情報を権限のない人に見せない対策は、機密性に分類します。