物理的セキュリティ対策の例はどれ？3分類の見分け方
ITパスポート試験 令和8年度 問94 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
情報セキュリティ対策を、“技術的セキュリティ対策”、“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき、“物理的セキュリティ対策”の例として、適切なものはどれか。
- ア
機密情報の取扱いに関して，罰則を含めた規則を制定し，これを遵守させるために，関係者に定期的な教育を実施する。
- イ
被災によるシステム障害が発生してもサービスを継続できるように，遠隔地にバックアップシステムを用意する。
- ウ
ますます方法が巧妙化されるサイバー攻撃による被害を防ぐために，サイバー攻撃の方法や対策に関する情報を従業員に周知する。
- エ
マルウェアによる被害を防ぐために，マルウェア対策ソフトを導入し，定義ファイルを常に最新に保つ。
会話形式の解説
講師今回は、情報セキュリティ対策を技術的・人的・物理的の3つに分けたとき、物理的対策に当たるものを選ぶ問題です。各選択肢の対策が、何に働きかけて、どのような手段で守っているかに注目してください。
受験者物理的というと、鍵や監視カメラのようなものを想像します。でも選択肢にはそういうものが見当たらなくて、迷っています。
講師いい着眼点です。物理的対策は、建物・設備・機器や拠点などの物理的な面で情報資産を守る対策です。入退室管理、施錠、監視カメラ、耐震設備のほかに、遠隔地バックアップも例として挙げられます。
受験者遠隔地バックアップも物理的対策なのですか。バックアップはデータの話なので、技術的対策だと思っていました。
講師そう考えやすいところです。遠隔地にバックアップシステムを置く対策は、拠点を離すという設備の配置で守る手段です。拠点が離れていれば、地震や火災などで一度に主システムとバックアップの両方を失うおそれが小さくなり、サービスを続けやすくなります。ですから、この選択肢が物理的対策で、これが正解です。
受験者なるほど。では、罰則を含む規則を作って関係者に定期的に教育する対策は、人の行動を管理しているので人的対策ということでしょうか。
講師そのとおりです。人的対策は、教育、規程、誓約書など、人の行動や意識に働きかける対策です。規則と教育で人を管理しているので、人的対策に当たります。
受験者サイバー攻撃の手口や対策を従業員に知らせる選択肢は、サイバー攻撃の話なので技術的対策に見えます。
講師そこが迷いやすいところです。話題はサイバー攻撃でも、手段は従業員への周知です。知識や意識を高めて人に働きかけているので、人的対策になります。
受験者テーマではなく、守る手段で判断するのですね。マルウェア対策ソフトを入れて定義ファイルを最新に保つ対策は、ソフトウェアの仕組みで守っているので技術的対策だと思います。
講師そのとおりです。そちらは技術的対策で、物理的対策ではありません。技術的対策には、認証、暗号化、ウイルス対策ソフトなど、ソフトウェアや仕組みで守るものが入ります。この問題で物理的対策に当たるのは、遠隔地にバックアップシステムを用意する対策だけです。
受験者整理すると、人に働きかけるものは人的、ソフトウェアや仕組みで守るものは技術的、建物・設備・拠点の面で守るものは物理的、という見分け方ですね。
講師はい。補足すると、サイバー攻撃やバックアップといった言葉につられず、対策の中身で判断することが大切です。遠隔地バックアップは、拠点を離して設備の配置で守る手段なので、試験では物理的対策として扱われることが多いです。覚えておくと、同じ分類の問題で迷いにくくなります。
まとめ
情報セキュリティ対策は、性質によって技術的・人的・物理的の3つに分けられます。人の行動や意識に働きかける教育や規程は人的対策、認証や暗号化、ウイルス対策ソフトのようにソフトウェアや仕組みで守るものは技術的対策です。物理的対策は、入退室管理、施錠、監視カメラ、耐震設備、遠隔地バックアップなど、建物・設備・拠点の面で守る対策です。この問題では、遠隔地にバックアップシステムを用意する対策が物理的対策に当たります。分類するときは、サイバー攻撃などの話題に引きずられず、どのような手段で守っているかに注目することがポイントです。
解答・解説
正解はイです
この問題のテーマ
情報セキュリティ対策を「技術的」「人的」「物理的」の3つに分けたとき、それぞれの対策がどれに当たるかを見分けられるかを問う問題です。特に、物理的セキュリティ対策の例を選べるかがポイントです。
解き方の考え方
まず、各選択肢の対策が「何に働きかけているか」を見ます。人の行動や意識に働きかけるものは人的対策、ソフトウェアや仕組みで守るものは技術的対策、建物・設備・拠点や災害など物理的な要因に備えるものは物理的対策です。この基準で4つを振り分けると、物理的対策に当たるものは1つだけになります。
選択肢ごとの解説
- ×ア 機密情報の取扱いに関して，罰則を含めた規則を制定し，これを遵守させるために，関係者に定期的な教育を実施する。罰則を含む規則を定め、関係者に定期的な教育をする対策は、人の行動を規則と教育で管理するものです。働きかける対象が「人」なので人的セキュリティ対策に当たり、物理的対策ではありません。
- ○イ 被災によるシステム障害が発生してもサービスを継続できるように，遠隔地にバックアップシステムを用意する。遠隔地にバックアップシステムを用意する対策は、地震や火災などで拠点が被災するという物理的な脅威への備えです。拠点が離れていれば、一度の災害で主システムとバックアップの両方を失うおそれが小さくなり、サービスを続けやすくなります。設備や拠点の配置で守る対策なので、物理的セキュリティ対策に当たります。
- ×ウ ますます方法が巧妙化されるサイバー攻撃による被害を防ぐために，サイバー攻撃の方法や対策に関する情報を従業員に周知する。サイバー攻撃の手口や対策を従業員に知らせる対策は、従業員の知識や意識を高めるためのものです。テーマはサイバー攻撃ですが、対策の手段は「人への周知」なので人的セキュリティ対策に当たります。
- ×エ マルウェアによる被害を防ぐために，マルウェア対策ソフトを導入し，定義ファイルを常に最新に保つ。マルウェア対策ソフトを入れ、定義ファイルを常に最新にしておく対策は、ソフトウェアの仕組みで被害を防ぐものです。したがって技術的セキュリティ対策に当たります。
補足
分類するときは、何の脅威に対する対策かではなく、どのような手段で守るのかに注目します。ウのようにサイバー攻撃が話題でも、手段が従業員への周知であれば人的対策になります。また「バックアップ」という言葉から技術的対策を連想しがちですが、遠隔地に置く目的は災害など物理的な脅威への備えなので、試験では物理的対策として扱われるのが一般的です。
POINT
- 情報セキュリティ対策は、性質によって技術的・人的・物理的の3つに分けられます。
- 物理的対策は、建物・設備・機器や災害などの物理的な要因から情報資産を守る対策で、入退室管理、施錠、監視カメラ、耐震設備、遠隔地バックアップなどがその例です。
- 人的対策は、教育、規程、誓約書など、人の行動や意識に働きかける対策です。
- 技術的対策は、認証、暗号化、ウイルス対策ソフトなど、ソフトウェアや仕組みで守る対策です。