社外秘情報の持ち出し対策｜情報セキュリティマネジメント 令和6年 公開問題 問2
出典：令和6年度 公開問題 科目A 問2
分野：セキュリティ ／ 情報セキュリティ管理
情報の取扱基準の中で，社外秘情報の持出しを禁じ，周知した上で，従業員に情報を不正に持ち出された場合に，"社外秘情報とは知らなかった"という言い訳をさせないことが目的の一つになっている対策はどれか。
- ア：権限がない従業員が文書にアクセスできないようにするペーパーレス化
- イ：従業員との信頼関係の維持を目的にした職場環境の整備
- ウ：従業員に対する電子メールの外部送信データ量の制限
- エ：情報の管理レベルについてのラベル付け
TSUNAGARU-ADVICE
まず押さえたいこと
情報の管理レベルについてのラベル付けは、文書やファイルがどの機密区分に属する情報なのかを利用者が明確に認識できるようにする対策です。「社外秘」などの表示を付けておけば、従業員が取扱ルールを知らなかった、機密情報だとは思わなかったと主張する余地を減らせます。
迷ったときの判断軸
問題文の「社外秘情報とは知らなかったという言い訳をさせない」という部分に注目しましょう。アクセス制御やメール送信量の制限は不正な持出しを技術的に抑える対策ですが、情報の重要度や取扱区分そのものを明示する役割はラベル付けです。
科目Bにつなげるために
科目Bでは、情報分類と取扱ルールが一致しているかを事例から確認する問題につながります。「機密区分が明示されているか」「区分に応じて保存・持出し・廃棄方法が決められているか」という視点で読み、ルールを定めるだけでなく、利用者が認識できる形で示すことまで意識しましょう。
この問題では、従業員が情報を持ち出したときに、その情報がどの管理レベルに属するかを明確に認識できる状態にしておくことがポイントです。
情報に「社外秘」「極秘」などのラベルを付けておけば、従業員はその情報の取扱区分を確認できます。あらかじめ持出し禁止のルールを周知したうえでラベル付けを行うことで、「社外秘情報とは知らなかった」という言い訳を防ぎやすくなります。そのため、エが適切です。
❌他選択肢が誤りの理由ア：権限がない従業員が文書にアクセスできないようにするペーパーレス化
⇒アクセス制御に関する対策です。権限のない従業員による閲覧を防ぐことはできますが、「その情報が社外秘であることを明確に認識させる」という目的には直接つながりません。
イ：従業員との信頼関係の維持を目的にした職場環境の整備
⇒内部不正を起こしにくくするための組織的な対策です。ただし、個々の情報が社外秘であることを明示し、取扱区分を認識させる対策ではありません。
ウ：従業員に対する電子メールの外部送信データ量の制限
⇒大量の情報を外部へ送信する行為を抑止・制限するための技術的対策です。情報そのものの管理レベルを明示するものではありません。