解説

IPA『中小企業の情報セキュリティ対策ガイドライン』では，情報資産管理台帳に，組織が扱う情報資産を漏れなく記入することを求めています。クラウドサービス上に保存している情報資産も，組織が管理すべき重要な情報であり，台帳に記入する対象です。したがって正解はd『利用しているクラウドサービスに保存している情報資産を含めて，台帳に記入する』です。情報資産の棚卸しは，どこに何の情報があるかを把握し，重要度に応じた保護を行うための出発点であり，社内サーバだけでなくクラウドも対象に含めることが重要です。選択肢a・b・cは，重要度評価が難しい情報や紙・電子の両方で保存する情報を記入対象から外したり先送りしたりする内容で，棚卸しの網羅性を損なうため不適切です。

なぜ他の選択肢は違うのか

選択肢 ア

重要度を一律に評価できないファイルでも台帳に記入し，どんな情報があるかを把握することが棚卸しの目的です。重要情報や個人情報を含む場合『だけ』に限定すると，管理対象から漏れる情報が生じます。

選択肢 イ

重要度が低下する情報資産でも，存在する時点で台帳に記入して管理すべきです。記入を確定後や推奨期間経過後に先送りすると，その間の管理が抜け落ちます。

選択肢 ウ

紙媒体と電子データの両方で保存している場合は，それぞれ媒体や保管場所が異なり保護策も変わるため，両方を台帳に記入すべきです。片方だけでは管理に漏れが生じます。

解くときのポイント

情報資産台帳は『漏れなく記入』が原則。クラウド保存分も対象。重要度が低い・評価困難・媒体が複数でも，記入を省略・先送りしない。