情報セキュリティマネジメント試験情報＆徹底解説

オンラインストレージサービスの利用における情報セキュリティ対策に関する次の記述を読んで，設問1～4に答えよ。

　J社は，従業員数150名の電気機器メーカーである。顧客企業から提示される仕様に基づいて電気製品を設計，製造している。　J社では，1年前に最高情報セキュリティ責任者(CISO)及び情報セキュリティ委員会を設置し，情報セキュリティポリシーを定め，情報セキュリティ関連規程を整備した。情報セキュリティ委員会の事務局は，情報システム課が担当している。また，各部の部長は，情報セキュリティ委員会の委員及び部における情報セキュリティ責任者を務め，自部の情報セキュリティを適切に確保し，維持，改善する役割を担っている。各情報セキュリティ責任者は，自部の情報セキュリティに関わる実務を担当する情報セキュリティリーダーを選任する。
　J社では，社内ネットワークとインターネットの間にファイアウォールを設置している。また，社外のWebサイトの閲覧は，全てプロキシサーバ経由とし，業務上不要と思われるWebサイトへの接続をコンテンツフィルターで制限している。制限されているWebサイトへの接続が必要になった場合は，接続するPCを限定して，情報システム課が一時的に制限を解除している。J社では，DHCPは使っておらず，PCのIPアドレスは固定である。

〔オンラインストレージサービス〕
　50名の従業員が所属する製造部では，製造の一部を協力会社であるB社に委託している。製造部からB社へは，従来，USBメモリを使用して製品製造に関係するファイルを提供していたが，USBメモリを管理する手間や，顧客企業からの急な仕様変更への対応が課題であった。製造部は，これらの課題を解決するために，顧客企業各社の了解も得た上で，2年前から，X社が提供するオンラインストレージサービス(以下，Xサービスという)をB社へのファイル提供に利用している。Xサービスはインターネット上で提供されている。サービス仕様(抜粋)を次に示す。

• 専用のドメイン名をもち，インターネット上のどこからでもアクセスできる。
• スマートフォンやタブレットなど，PC以外の端末からでも利用できる。
• インターネット上における盗聴や改ざんへの対策として，サービスへの接続にHTTP over TLS(HTTPS)を使用している。
• 利用アカウントのIDとして電子メールアドレス(以下，メールアドレスという)を登録し，パスワードを設定すれば，Webブラウザだけですぐに利用を始められる。
• 利用アカウントごとに専用のフォルダが与えられ，ファイルの登録や，登録したファイルの閲覧，編集などの操作を行うことができる。フォルダ容量が10Gバイトまでは無料である。
• ファイルの登録時，又は登録後に，ファイル共有先を指定し，共有権限を付与することによって，指定した利用アカウントにファイルの操作を許可したり，インターネット上の誰にでもファイルの閲覧を許可したりすることができる。ファイルの共有設定には表1に示す4種類がある。

〔Xサービス利用規則〕
　2年前，Xサービスの利用開始に当たって，製造部ではXサービス利用規則を作成し，部内に通知した。現在のXサービス利用規則を図1に示す。
　なお，J社の社内規程では，スマートフォンやタブレットの業務利用は認めていない。かつ，PCを社外に持ち出して使用することも禁止している。〔事故発生〕
　1か月前，Q社からJ社に連絡が入った。Q社はJ社と取引関係はないが，Q社従業員がインターネット検索を行っていたところ，J社の社名が記載され，秘密情報と記されたファイルがXサービスで公開されているのを発見したので連絡したということであった。製造部の情報セキュリティリーダーであるS主任が調査したところ，J社がB社に提供するためにXサービスに登録している顧客企業の製品製造に関係するファイルの一つが公開されてしまっていることが判明した。問題のファイルは，ファイル共有先にa1が指定され，かつ，共有権限にa2が付与されていた。
　S主任から報告を受けた製造部の情報セキュリティ責任者であるT部長は，CISOに一報を入れるとともに，①直ちにXサービスに登録している全てのファイルを削除し，Xサービスの利用を中止するように指示した。
　今回の事故を重く見たCISOは，情報セキュリティ委員会を招集し，T部長に事故原因の調査と対策の検討を指示した。また，情報システム課のU課長には，製造部への支援を指示した。

〔原因調査〕
　S主任は，T部長から指示を受けて事故原因の調査を開始し，Xサービスの情報セキュリティに影響する問題，つまり外部からの攻撃やシステム障害などが発生しなかったか，対象ファイルの共有設定を変更した者は誰かなどをX社に問い合わせた。X社からは，Xサービスの情報セキュリティに影響する問題は発生しておらず，また，操作の履歴情報を開示できるのは法令に基づいた開示請求があった場合に限ると回答があった。
　X社から調査協力を得ることができず，また，この時点で事件として警察に捜査を依頼することも難しいと思われたので，S主任はU課長と相談し，J社内の調査を進めることにした。U課長は②プロキシサーバを調査したが，不審な点は確認されず，また，製造部の全PCも調査したが問題点は見つけられなかったので，S主任は製造部の従業員全員に個別にヒアリングを行うことにした。

〔個別ヒアリング〕
　S主任は，自分とT部長を除く製造部の従業員48名一人一人に対して，Xサービスの利用状況を確認した。ヒアリング結果を図2に示す。　Xサービスでは，ファイル登録時点の共有設定は，ファイル共有先"なし"，共有権限"権限なし"が初期値である。B社にファイルを提供するには，ファイル登録時，又は登録後に共有設定を変更する必要がある。S主任は，ヒアリング結果のうちbという製造部の状況では，"B社にファイルを提供する際に，Xサービスのファイル共有設定を間違える"という事故が起きやすいと考えた。そこで，従業員がXサービスの利用を開始する時点でXサービス利用規則と利用方法についての十分な教育を行うとともに，③万一間違った共有設定がなされても第三者にファイルを読まれる可能性を下げる対策をXサービス利用規則の中に定めておくべきであったと反省した。

〔問題点の整理，対策の検討〕
　S主任は，一連の調査結果をT部長に報告した。T部長は，Xサービスの利用中止によってB社への製造委託に支障を来していることから，Xサービスの利用を早期に再開できるようにS主任に検討を指示した。S主任は，製造部の従業員による共有設定の誤り防止を含めた対策をU課長と相談した。U課長は，XサービスをB社へのファイル提供に利用したこと自体が誤りであったとして，表2のように，Xサービスを業務で利用することの問題点とその理由を三つ指摘した。　次は，U課長とS主任の会話である。

U課長：

製造部の業務を考慮すると，USBメモリを使ったファイル提供に戻すことは難しいのではないかと思いますが，何か代替案を考えていますか。

S主任：

同じオンラインストレージサービスでも，法人向けに有償で提供されているサービスには管理機能を強化しているものが多いので，そうしたサービスを使うことを考えたいと思います。

U課長：

利用するサービス自体を切り替えることによって，問題点1～3の解決を図るということですね。

S主任：

はい。ただし，現在のXサービス利用規則の内容では，④事故発生時の原因特定は困難です。適切な法人向けサービスに切り替えるとともに，利用規則も作り直すつもりです。

U課長：

今回の事故によって，全社の情報セキュリティ対策がまだ十分でないことに気付きました。情報セキュリティ委員会の事務局として，情報セキュリティ委員会に対して追加の⑤組織的対策を行うように働きかけた上で，情報システム課としても⑥技術的対策を進め，情報セキュリティの改善に努めます。

　S主任は，新しい利用規則をどのように作成すべきか，U課長とともに検討した。また，法人向けサービスの選定方法についてU課長から技術的なアドバイスを受けた。
　その後，S任は問題点1～3に対応したオンラインストレージサービスとして，W社の法人向けオンラインストレージサービス(以下，Wサービスという)を選定し，Xサービスからの切替えについて，T部長の承認を得た。T部長は，情報セキュリティ委員会の承認と顧客企業各社の了解を得た上でWサービスの利用規則を新たに定め，製造部従業員への周知など十分な準備を行い，Wサービスを使ってB社へのファイル提供を再開した。

設問1

〔事故発生〕について，(1)，(2)に答えよ。

(1) 本文中のa1，a2に入れる字句の組合せはどれか。aに関する解答群のうち，適切なものを選べ。

本文中の下線②について，次の(ⅰ)～(ⅲ)のうち，調査を行う目的として適切なものだけを全て挙げた組合せを，解答群の中から選べ。

1. Xサービス以外のオンラインストレージサービスが利用されていなかったかを確認するため
2. 情報システム課が一時的に制限を解除したWebサイトへの接続状況を確認するため
3. 製造部のPC以外のJ社PCの中に，Xサービスに接続したものがあるかを確認するため

設問3

〔個別ヒアリング〕について，(1)，(2)に答えよ。

(1) 本文中のbに入れる字句はどれか。解答群のうち，最も適切なものを選べ。

設問4

〔問題点の整理，対策の検討〕について，(1)～(4)に答えよ。

(1) 表2中のc，dに入れる字句はどれか。解答群のうち，最も適切なものを選べ。