情報のラベル付けは何のため？「知らなかった」を防ぐ対策
情報セキュリティマネジメント試験 令和6年度 問2 ／ セキュリティ › 情報セキュリティ管理
過去問にチャレンジ
情報の取扱基準の中で，社外秘情報の持出しを禁じ，周知した上で，従業員に情報を不正に持ち出された場合に，“社外秘情報とは知らなかった”という言い訳をさせないことが目的の一つになっている対策はどれか。
- ア
権限がない従業員が文書にアクセスできないようにするペーパーレス化
- イ
従業員との信頼関係の維持を目的にした職場環境の整備
- ウ
従業員に対する電子メールの外部送信データ量の制限
- エ
情報の管理レベルについてのラベル付け
会話形式の解説
講師今回の問題で大事なのは、対策の目的が「社外秘とは知らなかった」という言い訳をさせないことになっている点です。持出しを止めることではなく、言い訳をなくすことが目的だと押さえて読んでください。
受験者持出しの対策と聞くと、私はメールの送信量を制限するような技術的な対策をまず思い浮かべました。
講師その対策は、大量の情報が持ち出されるのを抑える役には立ちます。では送信量を制限したら、従業員はどの情報が社外秘なのか分かるようになるでしょうか。
受験者分からないと思います。送れる量が減るだけで、中身が社外秘かどうかは伝わりません。
講師そのとおりです。言い訳を封じるには、どの情報が社外秘なのかを従業員が見て分かる状態にしておく必要があります。なので、各選択肢を「情報の管理区分、つまり社外秘などの扱いの区分を利用者に示せるか」で比べてみましょう。
受験者ペーパーレス化はどうでしょうか。権限のない人がアクセスできなくなるなら、社外秘の情報を守れそうに思えます。
講師アクセス制御と組み合わせれば、権限のない人に見られるのを防ぐ効果はあります。ただ、紙を電子化しただけでは、その情報がどの区分に当たるかは利用者に伝わりません。なので「知らなかった」への対策にはなりません。
受験者職場環境の整備も内部不正対策として学んだ覚えがありますが、これも目的が違うということですか。
講師はい。職場環境の整備は従業員の不満を減らして、不正をしようという動機を減らすための対策です。意味のある対策ですが、一つ一つの情報の区分を示すものではありません。
受験者そうすると、管理レベルについてのラベル付けが正解ですね。「社外秘」と表示しておけば、守るべき情報だと見ればすぐ分かります。
講師正解です。ラベルを見れば、どの取扱基準が当てはまるのかも分かりやすくなります。区分の表示と取扱基準の周知をあわせて行うことで、「社外秘とは知らなかった」という弁明を抑えられます。
受験者情報を区分に分けて、区分ごとに取扱基準を決めて、その区分をラベルで見えるようにする、という流れで覚えておけばよいですか。
講師その流れで大丈夫です。注意したいのは、ラベルを付けても持出しを技術的に止めることはできない点です。アクセス制御や送信量の制限とは役割が違うので、問題文がどんな目的を挙げているかを読み取って選ぶようにしてください。
まとめ
この問題は、社外秘情報を持ち出した従業員に「社外秘とは知らなかった」と言わせないための対策を問うものです。言い訳を封じるには、どの情報が社外秘なのかを従業員が見て分かる状態にする必要があり、その対策が情報の管理レベルについてのラベル付けです。ペーパーレス化、職場環境の整備、メールの送信量の制限は、どれも情報の管理区分を示す対策ではありません。ラベル付けは持出しを技術的に止めるものではなく、守るべき情報を分かるようにして弁明の余地を減らすための対策だと理解しておきましょう。
解答・解説
正解はエです
この問題のテーマ
情報に管理区分（社外秘など）を表示しておくと、取扱基準の周知とあわせて「知らなかった」という言い訳を抑えられます。この問題は、その目的に合う対策を選ばせるものです。
解き方の考え方
問題文の要点は、「社外秘とは知らなかった」という言い訳をさせないことです。言い訳を封じるには、どの情報が社外秘なのかを従業員が見て分かる状態にしておく必要があります。そこで各選択肢を「情報の管理区分を利用者に示せるかどうか」で比べます。区分を示せるのはラベル付けだけです。
選択肢ごとの解説
- ×ア 権限がない従業員が文書にアクセスできないようにするペーパーレス化アのペーパーレス化は、紙の情報を電子媒体に移す取組です。アクセス制御と組み合わせれば、権限のない人の閲覧を防ぐのに役立ちます。しかし電子化しただけでは、その情報がどの管理区分に当たるかは利用者に伝わりません。そのため、「知らなかった」という言い訳への対策にはなりません。
- ×イ 従業員との信頼関係の維持を目的にした職場環境の整備イの職場環境の整備は、従業員の不満を減らし、内部不正の動機を減らすための対策です。内部不正対策として意味はありますが、個々の情報の管理区分を示すものではありません。設問が求める「社外秘と知らなかった」への対策とは目的が違います。
- ×ウ 従業員に対する電子メールの外部送信データ量の制限ウの電子メールの外部送信データ量の制限は、大量の情報が持ち出されるのを抑える技術的な対策です。ただし、送信量を制限しても、どの情報が社外秘なのかは利用者に示せません。言い訳を封じるという目的には合いません。
- ○エ 情報の管理レベルについてのラベル付けエのラベル付けは、情報の管理区分を表示する対策です。「社外秘」と表示すれば、その情報が保護の対象であることが従業員に伝わり、どの取扱基準が当てはまるかも分かりやすくなります。区分の表示と取扱基準の周知を組み合わせれば、「社外秘とは知らなかった」という弁明を抑えられます。
補足
ラベルを付けても、それだけで持出しを技術的に止めることはできません。ラベル付けは、どの情報を守るべきかを分かるようにし、言い訳の余地を減らすための対策です。アクセス制御や送信量の制限のような技術的対策とは役割が違うので、問題文が何を目的として挙げているかを読み取ることが大切です。
POINT
- 情報は管理区分に分類し、区分ごとに取扱基準を決めます。
- ラベル付けは情報の管理区分を表示する対策で、どの取扱基準が当てはまるかを理解しやすくします。
- 区分の表示と取扱基準の周知をあわせて行うと、「知らなかった」という弁明を抑えられます。
- ペーパーレス化、職場環境の整備、送信量の制限は、どれも情報の管理区分を示す対策ではありません。