解説

情報セキュリティ管理基準に基づく物理的セキュリティ対策では、サーバ室への不正な物理アクセスを防ぐための施錠管理が基本要件です。「社外からサーバ室へ直接出入りするドアを常時施錠していない」は、不特定多数が直接サーバ室に入れる状態を示しており、情報セキュリティ上の重大な欠陥として監査の指摘事項になります。物理セキュリティは技術的・論理的セキュリティの前提となるものであり、サーバ室への物理アクセス制御は基本中の基本です。監査人が「指摘事項」とすべき＝基準に照らして問題がある事項を選びます。

なぜ他の選択肢は違うのか

選択肢 ア

「無人領域では営業時間中でも警報装置が作動するようになっている」は適切な物理セキュリティ対策です。無人エリアでの不正侵入を検知する警報装置の設置は推奨される管理策であり、指摘事項ではありません。

選択肢 イ

「サーバ室に非常口・避難器具・誘導灯を設置している」は消防法・安全衛生法上の要件を満たすものであり、適切な設備です。指摘事項とはなりません。

選択肢 エ

「サーバ室の所在を室外に表示していない（場所が分からないようにしている）」はセキュリティ上の配慮であり、適切な対策の一例です。攻撃者がサーバ室の場所を特定しにくくする「隠ぺい」による保護は情報セキュリティの観点から有効です。

解くときのポイント

監査の指摘事項＝「情報セキュリティ基準に照らして不備がある状態」。サーバ室への物理アクセス管理は基本要件。「直接出入りするドアを常時施錠していない」は管理基準違反の典型例。施錠しない正当な理由（出入りを考慮して）は理由にならない。