本ユニットでは、情報セキュリティ対策の三本柱(人・技術・物理)のうち、最も基礎となる「人的セキュリティ対策」を学びます。従業員への啓発・訓練といった教育施策と、監視や内部不正防止ガイドラインといった内部統制を扱います。人の不注意や内部不正は事故の大きな原因であり、試験でも頻出の重要分野です。
従業員にセキュリティの重要性や守るべきルールを周知・意識づけする活動。
情報セキュリティ啓発とは、従業員一人ひとりにセキュリティの重要性やリスク、守るべきルールを伝え、意識を高めてもらう活動です。ポスター掲示、社内メール、研修や勉強会などを通じて継続的に行います。 人の不注意やルール違反は情報漏えいの大きな原因であり、その入口を塞ぐのが啓発です。試験では、知識を実際の行動として身につけさせる「訓練」と区別して問われます。啓発は『気づき・意識づけ』が中心で、まずルールや危険性を知ってもらう段階だと押さえましょう。
たとえ「火の用心」の貼り紙や避難の心得を全員に周知して、防火意識を持ってもらうようなもの。まずは危険とルールを知ってもらう取り組みです。
記憶フック情報セキュリティ啓発といえば従業員への意識づけ・周知
有事を想定した実践を通じて適切な対応行動を身につけさせる活動。
情報セキュリティ訓練は、実際にインシデントが起きた場面を想定し、従業員が適切に行動できるよう実践的に練習させる取り組みです。標的型メール訓練やインシデント発生時の報告・連絡の練習などが代表例です。 啓発が「知ってもらう」段階であるのに対し、訓練は「正しく動けるようにする」段階で、知識を行動に落とし込む点が違いです。試験では啓発との役割の違いと順序(まず啓発、次に訓練)が問われます。繰り返し行い習慣化することが効果につながる点も押さえましょう。
たとえ実際に煙の中を歩いて避難経路を確かめる「避難訓練」のようなもの。知識を頭で知るだけでなく、体で動けるようにする実践練習です。
記憶フック情報セキュリティ訓練といえば実践で対応行動を身につける
疑似的な標的型攻撃メールを送り従業員の対応力を高める訓練。
標的型メール訓練とは、攻撃を模した偽の不審メールを従業員に実際に送信し、開封・リンククリックの有無を測定して、気づきと正しい対応を身につけさせる訓練です。情報セキュリティ訓練の代表的な具体例です。 クリックしてしまった人へは注意喚起や再教育を行い、組織全体の「引っかからない力」を底上げします。試験では、これが攻撃そのものではなく訓練であること、標的型攻撃メール(業務メールを装い特定組織を狙う攻撃)への耐性を高める目的であることが問われます。
たとえ抜き打ちの避難訓練のように、本物そっくりの「ニセの不審メール」をわざと送り、ちゃんと気づいて報告できるかを確かめる予行演習です。
記憶フック標的型メール訓練といえばニセの攻撃メールで耐性を高める
システムや従業員の操作・通信を継続的に観察し異常や不正を検知する対策。
監視とは、システムへのアクセスログや操作ログ、通信内容などを継続的に記録・観察し、異常な動きや不正の兆候を早期に発見する対策です。入退室の記録や操作記録の確認などもこれに含まれます。 「見られている」という意識そのものが不正の抑止力になる点が重要で、内部不正対策の中心的な手段です。試験では、教育施策(啓発・訓練)が事前の予防であるのに対し、監視は日常運用で不正を抑止・発見する内部統制の手段である点が問われます。記録(ログ)を残すことが後の追跡・証拠にもなります。
たとえ店内に防犯カメラを設置するようなもの。カメラがあるだけで万引きを思いとどまらせ、万一起きても記録から追跡できます。
記憶フック監視といえばログ観察で不正を抑止・検知
IPAが公表する組織の内部不正対策の指針をまとめた文書。
内部不正防止ガイドラインは、IPA(情報処理推進機構)が公表している、組織における内部不正を防ぐための考え方や具体策をまとめた指針文書です。経営者の責任、ルール整備、アクセス権の管理、監視や教育などを体系的に示します。 基本的な考え方として「内部不正を起こさせない環境づくり」を重視し、犯行の動機・機会・正当化を与えないことが柱です。試験では、これがIPA発行の内部不正対策の指針であること、人的対策(教育や監視)を組織全体で制度化する位置づけであることを押さえておきましょう。
たとえ会社の防犯マニュアルのようなもの。「鍵をかける・記録を残す・一人に任せきりにしない」といった、内部の不正を防ぐための心得集を国がまとめたものです。
記憶フック内部不正防止ガイドラインといえばIPAの内部不正対策の指針
関連の過去問演習は今後のアップデートで追加予定です。