この章のワンポイント解説
ポイント解説情報セキュリティ対策の人的対策においては「啓蒙（教育）」が大切であり、会社組織として取り組む必要があります。
昨今ではメールからの身代金要求型ウイルス感染（ランサムウェア）が深刻です。これにはウイルス対策ソフトやファイアウォール、WAF等だけでは対処できず人的教育が重要になっています。
この教育啓蒙、訓練と合わせて仕組みとして取り組むべきものとして「監視」「組織における内部不正防止ガイドライン」「アクセス権」があります。
現実的な話としては「監視」（及び当然に発生するログの安全な保管）には専用ツールの導入が必要で結構ハードル高めだったりします。
組織における内部不正防止ガイドラインはIPAにより策定公開されています。啓蒙の土台ともなりえるでしょう。
アクセス権は未然に事故を防ぎリスク範囲を限定的にするものですがこちらもそれなりのITシステム導入が必要ですね。組織単位、役職単位、個人単位など結構複雑で管理も大変だったりします。加えて毎年組織変更やら人の出入りの度に…変更変更（もうやってられっか！！←だめです）
全体的に進めて常に改善（PDCA）を行う指針として、個人情報保護マネジメントシステム（JIS Q 15001規格（Pマークは知名度の高い認定マーク））やISMS（JIS Q 27001規格）に取り組む企業も多くあります。これらは企業にとって対外的なアピールにもなります。
また、昨今特に大企業との取引ではこれらの規格に対応していること（又は準ずる対策をしていることをアンケートで回答可能であること）が求められるケースも増えていたりします。アンケートはIPAのセルフチェックシートが利用されていることもありますね。
このページは以下の「ITパスポート シラバス6.3」学習用コンテンツです。
◆大分類：9.技術要素
◆中分類：23.セキュリティ
| ◆小分類 | ◆見出し | ◆学習すべき用語 |
|---|---|---|
| 63.情報セキュリティ対策・情報セキュリティ実装技術 | (1) 情報セキュリティ対策の種類 ① 人的セキュリティ対策 | 情報セキュリティ啓発 情報セキュリティ訓練（標的型メールに関する訓練ほか） 監視 組織における内部不正防止ガイドライン アクセス権 |
情報セキュリティ啓発とは？
情報セキュリティ啓発は組織内の全従業員に対して、情報セキュリティの重要性を認識させ、適切なセキュリティ対策を理解し実践するよう促す活動です。
情報漏洩やサイバー攻撃などの脅威から組織の情報資産を守るために、セミナーやワークショップ、eラーニングなどの形式で定期的に実施されます。
具体的には、パスワード管理やフィッシングメールへの対応方法、ソーシャルエンジニアリングの手口を理解することが含まれます。情報セキュリティ啓発は組織全体のセキュリティ意識を向上させる重要な手段です。
情報セキュリティ啓発に関する学習用問題にトライ！
問題
情報セキュリティ啓発活動の主な目的は何ですか？
- 社内の技術スタッフのスキルを向上させること
- 組織全体のセキュリティ意識を高めること
- 外部ベンダーとの契約を見直すこと
%%replace6%%
正解
2 組織全体のセキュリティ意識を高めること
解説
情報セキュリティ啓発活動は組織全体のセキュリティ意識を高め、情報漏洩やサイバー攻撃から情報資産を守ることを目的としています。
技術スタッフのスキル向上や外部ベンダーとの契約見直しも重要ですが、啓発活動の主要な目的とは異なります。セキュリティ意識の向上は組織のセキュリティを強化するための基盤となります。
問題
情報セキュリティ啓発の一環として、従業員が学ぶべき内容として最も適切でないものはどれですか？
- パスワードの管理方法
- フィッシングメールの識別方法
- 製品開発のプロセス改善
%%replace6%%
正解
3 製品開発のプロセス改善
解説
情報セキュリティ啓発ではパスワードの管理方法やフィッシングメールの識別方法など、情報セキュリティに関連する知識を従業員に伝えることが重要です。
製品開発のプロセス改善は業務効率化に関連する内容であり、セキュリティ啓発の直接的な対象ではありません。セキュリティ啓発は、情報保護に関する知識と意識を向上させることを目的としています。
問題
情報セキュリティ啓発活動が効果的に行われると期待される結果として適切なものはどれですか？
- 企業の利益が向上する
- サイバー攻撃への耐性が強化される
- 新製品の開発が加速する
%%replace6%%
正解
2 サイバー攻撃への耐性が強化される
解説
情報セキュリティ啓発活動は従業員が情報セキュリティの重要性を理解し、日常的に適切な対策を取ることを促すため、結果としてサイバー攻撃への耐性が強化されます。
利益の向上や新製品の開発加速はセキュリティ啓発の直接的な成果ではありませんが、間接的な影響として期待される場合もあります。セキュリティ意識の向上は組織全体の情報セキュリティの強化につながります。
情報セキュリティ訓練（標的型メールに関する訓練ほか）とは？
情報セキュリティ訓練は、組織の従業員がセキュリティに関連する脅威やリスクに対して適切に対応できるようにするための実践的な訓練です。
特に標的型メール（フィッシングメールやスピアフィッシング）に対する訓練は重要で、従業員がこれらの攻撃を識別し適切に対処できるようになることを目的としています。
訓練内容には疑わしいメールの特定方法や、安全なメールの送受信手順などが含まれます。情報セキュリティ訓練は実際の攻撃を模擬したシナリオを用いることで、従業員の反応や対応力を強化します。
情報セキュリティ訓練に関する学習用問題にトライ！
問題
情報セキュリティ訓練の主な目的は何ですか？
- 新しいソフトウェアのインストール方法を学ぶこと
- セキュリティ関連の脅威に対する従業員の対応力を向上させること
- 業務プロセスを効率化すること
%%replace6%%
正解
2 セキュリティ関連の脅威に対する従業員の対応力を向上させること
解説
情報セキュリティ訓練の目的は、従業員がセキュリティ関連の脅威に対して適切に対応できるようにすることです。
新しいソフトウェアのインストール方法や業務プロセスの効率化は、訓練の直接的な目的ではありません。訓練を通じて従業員の対応力が向上し、組織全体のセキュリティレベルが強化されます。
問題
標的型メールに関する訓練で最も重視されるべきポイントは何ですか？
- 疑わしいメールの特定方法と対処法を学ぶこと
- メールの受信数を増やすこと
- メールの内容を詳細に分析すること
%%replace6%%
正解
1 疑わしいメールの特定方法と対処法を学ぶこと
解説
標的型メールに関する訓練では、従業員が疑わしいメールを特定し、適切に対処できる能力を身につけることが最も重要です。
メールの受信数を増やすことや内容を詳細に分析することは訓練の主眼ではありません。フィッシング攻撃のリスクを軽減するためには迅速かつ適切な対応が求められます。
問題
情報セキュリティ訓練が効果的に行われると期待される結果として適切でないものはどれですか？
- 従業員のセキュリティ意識が向上する
- サイバー攻撃の成功率が低下する
- 社内コミュニケーションが活発化する
%%replace6%%
正解
3 社内コミュニケーションが活発化する
解説
情報セキュリティ訓練が効果的に行われると、従業員のセキュリティ意識が向上し、サイバー攻撃の成功率が低下することが期待されます。
しかし、社内コミュニケーションが活発化することは、訓練の直接的な成果とは言えません。訓練を通じて得られるのはセキュリティへの理解と対応能力の向上です。
監視とは？
監視は組織の情報システムやネットワークにおいて、異常な動きや不正アクセスなどをリアルタイムで検知し、セキュリティインシデントを未然に防ぐための活動です。
セキュリティ監視システムを導入することで、ログデータの収集・分析を自動化し、迅速な対応が可能となります。
監視の対象には、ネットワークトラフィックやシステムログ、ユーザーのアクセス権限などが含まれます。監視は、組織の情報資産を守るための重要な手段であり、セキュリティ対策の一環として欠かせない存在です。
監視に関する学習用問題にトライ！
問題
情報システムにおける監視の主な目的は何ですか？
- システムの稼働率を向上させること
- 不正アクセスや異常をリアルタイムで検知すること
- 新しい技術の導入を促進すること
%%replace6%%
正解
2 不正アクセスや異常をリアルタイムで検知すること
解説
監視の目的は情報システムやネットワークにおける不正アクセスや異常をリアルタイムで検知し、セキュリティインシデントを未然に防ぐことです。
システムの稼働率向上や新しい技術の導入促進は監視の直接的な目的ではありません。監視を通じてセキュリティリスクを軽減し、情報資産を保護します。
問題
監視システムが効果的に機能するために必要な要素として最も適切でないものはどれですか？
- リアルタイムでのデータ分析
- 迅速なアラート発信
- 全ての従業員のパスワードを保存すること
%%replace6%%
正解
3 全ての従業員のパスワードを保存すること
解説
監視システムが効果的に機能するためには、リアルタイムでのデータ分析や迅速なアラート発信が重要です。
全ての従業員のパスワードを保存することはセキュリティリスクを高める可能性があり、監視システムの目的に適していません。適切な監視は、迅速な対応を可能にし、セキュリティを強化します。
問題
監視活動が重要視される理由として最も適切なものはどれですか？
- 企業のブランド価値を高めるため
- 情報資産を保護するため
- 新製品の売上を向上させるため
%%replace6%%
正解
2 情報資産を保護するため
解説
監視活動は情報資産を保護し、セキュリティインシデントを未然に防ぐために重要視されます。
企業のブランド価値向上や新製品の売上向上は、監視活動の直接的な目的ではありませんが、間接的な影響として期待される場合もあります。監視は組織のセキュリティ対策の基盤となるものです。
組織における内部不正防止ガイドラインとは？
組織における内部不正防止ガイドラインは、従業員による情報漏洩や不正行為を未然に防ぐために設けられるルールや基準を示します。このガイドラインにはアクセス権の制限や監査の実施、従業員の行動監視などの対策が含まれます。
内部不正は組織の信用や経済的損失を招くため、ガイドラインの策定と遵守が求められます。具体的な事例を交えながら、従業員への教育や定期的な見直しを行うことで、内部不正のリスクを最小限に抑えることができます。
組織における内部不正防止ガイドラインに関する学習用問題にトライ！
問題
内部不正防止ガイドラインの主な目的は何ですか？
- 組織の生産性を向上させること
- 外部からのサイバー攻撃を防ぐこと
- 従業員による不正行為を未然に防ぐこと
%%replace6%%
正解
3 従業員による不正行為を未然に防ぐこと
解説
内部不正防止ガイドラインの目的は、従業員による情報漏洩や不正行為を未然に防ぐことです。
組織の生産性向上や外部からのサイバー攻撃防止は、ガイドラインの直接的な目的ではありません。ガイドラインを策定し遵守することで、内部不正のリスクを最小限に抑えることが可能です。
問題
内部不正防止ガイドラインに含まれる対策として最も適切でないものはどれですか？
- 外部のセキュリティ専門家との契約
- 従業員の行動監視
- アクセス権の制限
%%replace6%%
正解
1 外部のセキュリティ専門家との契約
解説
内部不正防止ガイドラインには、従業員の行動監視やアクセス権の制限などの対策が含まれます。
外部のセキュリティ専門家との契約は、内部不正防止の直接的な対策ではなく、セキュリティ全般に対する取り組みの一部と考えられます。ガイドラインは組織内部での不正行為を防ぐための基盤です。
問題
内部不正防止ガイドラインの策定において重要視される要素として適切でないものはどれですか？
- 定期的な見直しと更新
- 明確な責任分担
- 製品の品質向上
%%replace6%%
正解
3 製品の品質向上
解説
内部不正防止ガイドラインの策定においては、定期的な見直しと更新、明確な責任分担が重要視されます。
製品の品質向上は、ガイドラインの直接的な目的ではありません。ガイドラインを適切に策定・運用することで、内部不正のリスクを最小限に抑えることができます。
アクセス権とは？
アクセス権は情報システムやネットワーク内の特定のリソースに対するユーザーの操作権限を指します。適切なアクセス権の設定は、情報セキュリティを確保するために重要です。
アクセス権には、閲覧権限、編集権限、削除権限などが含まれ、それぞれのユーザーが業務に必要な範囲内でのみアクセスできるように制限されます。アクセス権の管理は、不正アクセスを防ぐための基本的なセキュリティ対策であり、定期的な見直しや更新が求められます。
アクセス権に関する学習用問題にトライ！
問題
アクセス権の主な目的は何ですか？
- ユーザーの利便性を向上させること
- 不正アクセスを防ぐこと
- システムの動作速度を改善すること
%%replace6%%
正解
2 不正アクセスを防ぐこと
解説
アクセス権の主な目的は不正アクセスを防ぐことです。
ユーザーの利便性向上やシステムの動作速度改善は、アクセス権の直接的な目的ではありません。適切なアクセス権の設定は情報資産を保護し、セキュリティを確保するために重要です。
問題
アクセス権の管理において重要でない要素はどれですか？
- ユーザーごとの権限の設定
- 権限の定期的な見直し
- ソフトウェアのインストール手順
%%replace6%%
正解
3 ソフトウェアのインストール手順
解説
アクセス権の管理ではユーザーごとの権限設定や権限の定期的な見直しが重要です。
ソフトウェアのインストール手順はアクセス権管理の直接的な要素ではありません。適切なアクセス権管理は、不正アクセスを防ぎ、セキュリティを強化します。
問題
アクセス権の設定が不適切であると発生し得るリスクとして最も適切なものはどれですか？
- システムのパフォーマンス向上
- 不正アクセスによる情報漏洩
- ユーザーの操作ミスが減少
%%replace6%%
正解
2 不正アクセスによる情報漏洩
解説
アクセス権の設定が不適切であると不正アクセスによる情報漏洩のリスクが高まります。システムのパフォーマンス向上やユーザーの操作ミス減少は、アクセス権設定の直接的な影響ではありません。適切なアクセス権設定は情報の安全性を保つために不可欠です。