情報セキュリティマネジメント試験情報＆徹底解説

内部不正防止のためのログのレビューに関する次の記述を読んで，設問1〜6に答えよ。

　A社は，高級化粧品を個人に販売しており，従業員は100人である。A社は総務部，情報システム部，購買部，営業部から成り，営業部には60人の従業員が属している。営業部は企画課，営業1課〜4課から構成される。営業部のIT環境は次のとおりである。

• 営業部員は全員A社所有のノートPCを使用している。
• 社内ネットワークに接続された，スキャナ用の共用PCが1台設置されている。
• 営業部員は，社外から社内のシステムを使用する際には，ノートPCをインターネット経由でA社のVPNサーバに接続して使用している。

　なお，A社では，インターネットの使用を広く認めており，Web メールやファイル共有サービスなどを含め，サービスの使用を制限していない。
　A社では，顧客情報などの機密情報の漏えいを防ぐ目的で，退職後も一定期間有効な損害賠償条項を含む機密保持契約を全従業員と締結している。
　A社では，営業部員が表計算ソフトを使用してノートPCで顧客情報を管理していたが，顧客管理パッケージ(以下，Bシステムという)を社内に導入し，そこで集約して管理することを決定した。Bシステムに関する方針は次のとおり定めた。

• Bシステムの主管部門は営業部である。
• Bシステムを使用するのは営業部だけである。
• 見込み客の登録から販売後のフォローアップまでを一貫してBシステムによって管理する。
• Bシステムの導入及び運用はA社の情報システム部が行う。
• Bシステムは2か月後から使用開始する。
• 表計算ソフトを使用して管理していた顧客情報はBシステムに移行後，ノートPCから削除する。

　情報システム部は，Bシステムに関して，利用者IDの管理，データのバックアップ取得，ログの記録などに関する要件について営業部との間で合意した。Bシステムは顧客情報を取り扱うシステムなので，内部不正による顧客情報の漏えいを防止するため，採取するログの保存方法や，レビュー方法(誰がいつ，どのように)についてC君が検討を開始した。

〔ログのレビュー方法の検討〕
　業部の企画課に所属するC君は，営業部の情報セキュリティリーダを兼ねている。C君はBシステムのログの仕様を確認しようと思い，情報システム部担当者のD君にログの仕様の調査を依頼した。そこでD君は，Bシステムのログのサンプルを提示した(表1)。ログイン及びログアウトのログはサーバXで，それ以外のログはサーバYで記録されるが，表1は，情報システム部でツールを用いてそれらのログを同じ形式に整え，表計算ソフトを使用して時系列順に並び替えたもの(以下，加工済みログという)とのことであった。　D君は，Bシステムでは，次の対策を実施することをC君に説明した。

• 加工済みログの順番が，実際に営業部員がBシステムに対して実施した操作の順番どおりになるよう，aを行う。
• ログが故意に消されてしまうことがないようにbを行う。

　営業部では，顧客ごとに担当営業を決めているが，担当営業が休みの際のサポートなどが必要なので，Bシステムでは，全営業部員が全顧客情報にアクセスできるようにする。
　最近，同業他社で，従業員が，共有ファイルサーバにある全ての顧客情報をUSBメモリにコピーして持ち出し，転職先で使ったという事件が発生した。そこで営業部長は，C君に図1の要件を伝え，対策の検討を指示した。　営業部長は，�@リスクを更に低減させるために，営業部員が退職する際に新たな手続を実施することとした。

　�AC君は，営業部長が伝えた要件を基に，どのような立場の人がどの程度の頻度でレビューをすべきかを検討した。�BさらにC君は，ログの長期的な保存方法についても検討を行った。C君が，検討結果を営業部長に説明したところ，営業部長もこれに同意した。
　情報システム部によるBシステムの導入完了後，各営業部員は，表計算ソフトを使用して管理していた顧客情報をBシステムに移行し，ノートPCから削除した。移行完了後，営業部ではBシステムの使用を開始した。

〔ログのレビュー開始〕
　Bシステムの使用を開始して1か月が経過し，ログのレビューが開始された。Bシステムには約4,000人の顧客情報が保管されている。ログの生成件数を考えると，30日間で100人分以上の顧客情報にアクセスした営業部員のログに限定してレビューを行うべきだということになった。そこで，�CC君は，過去30日間に発生したREADのログからレビュー対象のログを抽出する条件を示してD君にログの抽出を依頼した。抽出されたログを見たC君は，ある営業部員が1,000人分の顧客情報にアクセスしたことを示すログを発見した。そこで，C君はすぐに営業部長に報告し，その営業部員の上長の課長に確認した。その結果，その課長の指示でダイレクトメールを送付していたことが分かり，問題はないことが確認できた。
　営業部長とC君で相談した結果，レビューを行う人，及び頻度は検討結果のとおりとし，抽出条件に基づいて抽出したログだけをレビュー対象とすることとした。
　営業部長は，ログをレビューするに当たり，次のことを指示した。

• 全ての営業部員に対し，ログをレビューすることを伝えること。ただし，ログのレビューを回避されないように，抽出条件を営業部員には伝えないこと。
• ログがレビューされていることを営業部員に印象付けるために，ログに記録されているアクセスについて定期的に必ず営業部員にアクセスの目的を確認すること。

〔課題の発見とリスクの更なる低減〕
　C君は，職場内でBシステムが適切に使用されているかどうかを観察していたところ，いくつかの事象が目に留まり，このままでは，�Dログのレビューを適切に実施したとしても，図1の要件が実現できないことに気付いた。そこでC君は，営業部長に相談の上，各課長に改善を依頼した。

　Bシステムの使用開始から1年間が経過した。ログのレビューによって営業部全体の情報セキュリティ意識が高まり，営業部長のC君に対する評価は大きく高まった。

本文中のaとbに入れる組合せとして正しい答えを，解答群の中から選べ。

本文中の下線�@で実施することになった手続はどれか。解答群のうち，最も適切なものを選べ。

本文中の下線�Aにおける，C君の検討結果はどれか。解答群のうち，最も適切なものを選べ。

本文中の下線�BにおいてC君が検討したログの保存方法はどれか。解答群のうち，最も適切なものを選べ。

本文中の下線�CでC君がD君に示した抽出条件を，解答群の中から選べ。

C君が観察した次の(�@)〜(�C)の事象のうち，本文中の下線�Dの原因となるものを全て挙げた組合せを，解答群の中から選べ。

1. Bシステムで表示した顧客情報をコピーし，表計算ソフトにペーストした上でA社の共有ファイルサーバに置いて共有している。
2. Bシステムの使用申請をしてから，営業部長が承認するまでに2週間掛かっている。
3. ある営業部員が共用PCからBシステムにログインし，ログインしたままそのPCで他の営業部員がBシステムを使っている。
4. ある営業部員が頻繁にBシステムにログイン，ログアウトを繰り返している。