問78
頻出度★★★
情報セキュリティ対策において, 情報を保護レベルによって分類して管理するとき, 管理方法として, 適切なものだけを全て挙げたものはどれか。 a 情報に付与した保護レベルは, 廃棄するまで変更しない。 b 情報の取扱い手順は, 保護レベルごとに定める。 c 情報の保護レベルは, 組織が作成した基準によって決める。 d 保護レベルで管理する対象は, 電子データとそれを保存した保存媒体に限定する。
平成30年度 秋期 ITパスポート試験 問78
テクノロジ系セキュリティ › 情報セキュリティ管理
この問題の解説と、これまでの解答の記録です。
解説
問 78
不正解ア
a,c の組合せ。c は正しいが、a「付与した保護レベルは廃棄するまで変更しない」が誤り。情報の価値や機密性は時間経過や状況変化で下がる(または上がる)ため、定期的に見直して再分類できる運用が望ましく、廃棄まで一切変更しないという固定運用は不適切。
不正解イ
a,d の組合せ。a(廃棄まで変更しない)も d(対象を電子データと保存媒体に限定)も不適切であり、正しい記述を一つも含まない。
- ウ
正解 情報を保護レベルで分類・管理する際の適切な管理方法は b と c であり、正解は「ウ(b,c)」。b「情報の取扱い手順は、保護レベルごとに定める」は、レベルが高いほど厳格な保管・受渡し・廃棄手順を課すという分類管理の目的そのもので適切。c「情報の保護レベルは、組織が作成した基準によって決める」は、担当者の主観でばらつかせず、組織で定めた統一基準に沿って一貫して分類するもので適切。この 2 つを両方含み、かつ不適切な a・d を含まない組合せは「ウ」だけである。
不正解エ
b,d の組合せ。b は正しいが、d「保護レベルで管理する対象は電子データとそれを保存した保存媒体に限定する」が誤り。紙の書類、印刷物、口頭で伝達される情報なども保護レベルに応じて管理すべき対象であり、電子データに限定するのは不適切。
ここがポイント
- 情報資産の分類(保護レベル)管理では、レベルは組織が定めた統一基準で決め、レベルごとに取扱い手順を定めるのが基本。
- 保護レベルは価値・機密性の変化に応じて見直し(再分類)可能とし、管理対象は電子データに限らず紙・口頭など全ての形態を含める。
用語