JIS Q 27002に基づく事務所の物理的セキュリティ管理策

正解は「イ」です。 JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)において、物理的セキュリティ領域(重要情報が保管・処理される部屋など)へのアクセス制御では、認可された個人のみを確実に識別・認証することが求められます。 複数の利用者が「共通の暗証番号」を用いて入室している状況では、誰がいつ入退室したのかを個人単位で特定・追跡(アカウンタビリティの確保)できず、暗証番号が退職者や部外者に漏えいするリスクも極めて高いため、監査人が監査報告書に指摘事項(不備)として記載すべき不適切な運用です。 適切な管理策です。外部からの搬入・受渡場所は、配達要員がサーバ室などの重要施設に侵入できないよう物理的に分離して設けるべきとされています。 適切な管理策です。重要情報資産が置かれる部屋は、外部来訪者や無関係な者の目に触れにくい安全な場所に設置することが望まれます。 適切な管理策です。社外取引先との面談は、日常業務を行う執務室や機密情報が置かれているエリアから分離された会議室で行うことが推奨されます。

事務所の物理的セキュリティ対策について,JIS Q 27002:2014(情報セキュリティ管理策の実践のための規範)に基づいて情報セキュリティ監査を実施した。判明した状況のうち,監査人が監査報告書に指摘事項として記載すべきものはどれか。

出典平成31年 春期 応用情報技術者試験 午前 問60
ア
外部からの荷物の受渡しは,サーバ室などの情報処理施設にアクセスすることなく荷物の積降ろしができる場所で行っている。
イ
機密性の高い情報資産が置かれている部屋には,入室許可を得た者が共通の暗証番号を入力して入室している。
ウ
機密性の高い情報資産が置かれる部屋は,社員以外の者の目に触れる場所を避けて設けている。
エ
取引先との打合せは,社員が業務を行っている執務室から分離された場所であって,かつ,機密性の高い情報資産が置かれていない場所で行っている。