問63
頻出度★★★
社内の情報セキュリティ教育に関する記述のうち, 適切なものはどれか。
平成27年度 春期 ITパスポート試験 問63
この問題の解説と、これまでの解答の記録です。
解説
問 63
不正解ア
再教育の契機はシステムの入替えだけではない。新たな脅威や攻撃手口の出現、法令・ガイドラインの改正、社内規程やセキュリティポリシの見直し、人事異動、さらには時間経過による意識の風化など、再教育が必要な場面は多い。定期的かつ必要に応じた繰返しの教育が求められるため、入替え時だけに限定するのは不適切である。
不正解イ
新入社員は社内規程やセキュリティポリシを知らないまま業務を始めることになり、業務に慣れるまでの期間がもっともリスクの高い時期となる。誤操作や情報の持出し、不用意なSNS投稿などは入社直後にも起こり得るため、教育は業務開始前あるいは入社時に実施するのが原則である。
不正解ウ
情報資産に直接アクセスしない社員でも、来訪者の入退室管理、書類やUSBメモリの取扱い、電話や口頭での情報漏えい、不審メールの開封など、セキュリティ上の役割を負っている。人的セキュリティ対策は組織全体の弱点を減らすことが目的であり、対象を限定すると教育を受けていない社員が突破口になる。派遣社員や委託先を含め、原則として全員を対象とすべきである。
- エ
正解 情報セキュリティ教育は、全社員に同じ内容を一律に流せばよいというものではない。社員が扱う情報資産や権限は担当業務・役割・責任によって異なり、想定される脅威やとるべき対策もそれに応じて変わる。例えば経営層には方針決定やインシデント発生時の判断、システム管理者にはアクセス権管理やログ監視、一般社員にはパスワード管理や標的型メールへの対処、といった具合である。したがって、教育内容を担当業務・役割・責任に応じて変更するとしたエが適切である。これは情報セキュリティポリシに基づく継続的な啓発活動の基本的な考え方でもある。
ここがポイント
- 情報セキュリティ教育(啓発活動)は全社員を対象とし、担当業務・役割・責任に応じて内容を作り分けるのが基本である。
- 教育は入社時など業務開始前に行い、その後も脅威の変化・規程改定・人事異動・意識の風化に合わせて定期的に繰り返す必要がある。
用語