解説

この問題は、業務委託における情報セキュリティリスクの評価、特に複合機のスキャン機能の設定管理に関する重要な論点を扱っています。情報セキュリティにおいて、設定変更の権限管理は極めて重要な要素です。この事例では、人事関連の機密文書をスキャンして電子化する業務が委託されており、その過程で使用される複合機の設定管理が適切に行われているかが問われています。 C社の情報システム部のみが複合機の初期設定を変更できるという点は、アクセス制御の観点から適切な管理体制といえます。これは「職務分掌」や「最小権限の原則」という情報セキュリティの基本原則に合致しています。システム設定の変更権限を特定の管理部門のみに限定することで、不正な設定変更や悪用のリスクを最小限に抑えることができます。 特に人事情報のような機密性の高い情報を扱う業務では、このような厳格な権限管理が不可欠です。スキャンした文書の送信先や保存方法に関する設定が勝手に変更されてしまうと、情報漏洩のリスクが高まってしまいます。

なぜ他の選択肢は違うのか

選択肢 イ

スキャンデータのPDFへの変換機能が複合機に備わっているという事実は、セキュリティリスクの評価において重要な要素ではありません。機能の有無ではなく、その機能がどのように管理・制御されているかが本質的な問題です。

選択肢 ウ

スキャン実行者本人への自動メール送信機能の存在自体は、セキュリティ上の適切性を判断する基準とはなりません。むしろ、この送信設定が適切に管理されているかどうかが重要です。

選択肢 エ

初期設定の状態で使用していること自体は、必ずしもセキュリティ上の問題とはなりません。重要なのは、その設定が適切に管理され、権限のある部門によって制御されているかどうかです。

解くときのポイント

この問題を正解するためのポイントは、情報セキュリティの「管理体制」に着目することです。機能の有無や使用状況ではなく、「誰が」「どのように」その機能を管理・制御できるかという視点で考えましょう。また、人事情報のような機密性の高い情報を扱う場合、設定変更の権限を適切な部門に限定することは、基本的なセキュリティ対策の一つであることを覚えておきましょう。関連して、「職務分掌」「アクセス制御」「最小権限の原則」といった情報セキュリティの基本概念も押さえておくと良いでしょう。