解説

JIS Q 27002（情報セキュリティ管理策の実践のための規範）に基づく物理的セキュリティの観点で、監査人が指摘事項（改善を要する不適切な状況）として記載すべきものを選ぶ問題です。監査の指摘事項とは「望ましくない状態・リスクのある状態」を指す点に注意します。選択肢bの「機密性の高い情報資産が置かれている部屋では、入室許可を得た者が共通の暗証番号を入力して入室している」は、共通の暗証番号を複数人で使い回している点が問題です。共通の暗証番号では「誰がいつ入室したか」を個人単位で特定できず、入退室記録による追跡（説明責任の確保）が機能しません。さらに、暗証番号が漏えいした際には影響範囲が広く、退職者が出ても番号を変更しない限りアクセスを排除できないなど、管理上の弱点が多くあります。これは個人を識別できる適切な入退室管理の原則に反するため、監査で指摘すべき不備に該当し、選択肢bが正解です。残る選択肢はいずれも望ましい管理状態であり、指摘の対象にはなりません。

なぜ他の選択肢は違うのか

選択肢 ア

「外部からの荷物の受渡しを、サーバ室などの情報処理施設にアクセスすることなく行える場所で行っている」は、配送業者などの外部者を機密区域に立ち入らせない、適切な物理的アクセス管理です。むしろ推奨される望ましい対策であり、改善を求める指摘事項には当たりません。配送業者など外部者を機密区域に立ち入らせない望ましい対策であり、改善を求める指摘事項ではなく、むしろ推奨される運用に当たります。

選択肢 ウ

「機密性の高い情報資産が置かれている部屋を、社員以外の者の目に触れる場所を避けて設けている」は、第三者からの覗き見や部屋の所在の露見を防ぐ、望ましい配置です。情報資産の保護に資する適切なセキュリティ対策であり、監査で改善を要する不備として指摘すべき状況ではありません。第三者の覗き見や部屋の所在の露見を防ぐ望ましい配置であり、リスクのある状況ではないため、監査で指摘すべき不備には該当しません。

選択肢 エ

「取引先との打合せを、社員が業務を行っている執務室から分離された場所で行っている」は、来訪者を執務エリアに入れず、情報資産から遠ざける適切な運用です。来訪者管理として望ましい状態であり、リスクのある状況ではないため、監査の指摘対象にはなりません。来訪者を執務エリアに入れず情報資産から遠ざける適切な運用であり、望ましい来訪者管理の状態なので、指摘の対象にはなりません。

解くときのポイント

監査の『指摘事項』を問う設問は、適切な状態ではなくリスクのある不備を選ぶ。入退室管理では『共通の暗証番号／ID共有』が定番の不備（個人を特定できず追跡不能）。個人識別できる認証が原則。