基本情報技術者試験 令和5年度 科目A 公開問題 問14

【正解】ウ

テレワーク用PCのマルウェア対策を各従業員の判断に任せると、対策ソフトを導入しないPCや、定義ファイルが更新されていないPCが社内ネットワークへ接続されるおそれがあります。その結果、マルウェアの侵入や拡散、情報漏えいなどにつながります。情報セキュリティ対策は、組織がリスクを評価して統一的な方針と手順を定め、必要な対策を従業員に実施させるものです。導入の要否を個人任せにする規程は管理上の不備であるため、監査報告書の指摘事項とすべきウが正解です。

アの規程に従う全従業員に利用を認めることは、直ちに指摘事項とはなりません。利用条件が組織の規程として明示され、その条件を満たす者が利用する運用だからです。必要に応じて、利用申請や教育なども組織的に管理します。

イの会社支給PCに限定することは誤りではありません。会社が設定、更新、アクセス制御などを一元的に管理しやすくなり、私物PCによる情報漏えいなどのリスクを抑える対策です。

エの家族に使用させないことも誤りではありません。業務用PCを本人以外が操作することによる、不正アクセス、誤操作、業務情報の閲覧や流出を防ぐための適切な利用制限です。

【ポイント】 ・セキュリティ対策の要否を従業員個人の判断だけに委ねてはいけません。 ・端末管理では、マルウェア対策、更新、認証、アクセス制御を組織の規程に基づいて実施します。 ・監査では、定められた管理策がリスクを十分に抑えられるかを確認します。