解説

解説

• デバイス機能をもつPC管理システムを導入する目的は、許可されていない可搬型記憶媒体に情報をダウンロードするなどの行動を防ぐためです。
  
  デバイス管理機能とは、PCに接続されている、または接続しようとしているUSBメモリ、スマートフォンなどの可搬型記憶媒体を検出し、記憶媒体ごとにアクセスの可否や利用可能なユーザなどを設定できる機能です。可搬型記憶媒体へのダウンロードはPCを介して行われるので、PCに接続できる可搬型記憶媒体を組織が許可しているデバイスだけに制限し、許可されていないデバイスの接続を受け付けないようにすれば、情報の不正持ち出しを防ぐことができると考えられます。
  なお、許可された可搬型記憶媒体にダウンロードすることは認められているので、全ての可搬型記憶媒体の接続を拒否する運用はNGです。
  
  ∴許可されていない可搬型記憶媒体のPCへの接続を拒否する
  
  
• 重要情報又は資産価値の高い情報の社外への持出しは原則禁止で、必要があるときには上司の承認を得ることになっています。しかし、現状のA社の運用では「PCから送信されたメールは，メール管理サーバで一旦保留され，送信者によって，…確認操作が行われた後に，メールサーバに転送される」とあるように、本人の再確認のみでメール送信ができてしまうので、メールの誤送信により重要情報が社外に漏れたり、私的な宛先へのメール送信により役職員が不正に重要情報を持ち出したりする可能性が考えられます。
  添付ファイル付きメールに対してメール管理システムで行うべき処理は、このリスクへの対応策となっている必要があります。
  • 正しい。社外宛ての添付ファイル付きメールについて、上司に承認を要求する機能を持たせることで、誤送信と重要情報の不正持出しのどちらも検知できるようになるので、有効な対策と言えます。
  • 送信者本人によるメール内容の確認は既に行われています。再確認により誤送信は抑制できますが、悪意を持って情報を持ち出そうとする行動に対しては無力です。
  • パスワード付ファイルをメール送信し、後から別メールでパスワードを送る手順は、PPAPと呼ばれ、誤送信の抑止には少しだけ効果がありますが、情報の不正持ち出しには効果がない対策です。同じ宛先に送るので、パスワード付ファイルを受信した人は、ほぼ確実にパスワードを入手することができるからです。セキュリティ的には現状の手順とは変わらないため不適切です。
  • A社の社員は、社外の関係者との間で、添付ファイル付きメールの送受信を行っています。添付ファイルが自動で削除されると業務に支障を来すので不適切です。
  ∴ア：あらかじめ指定された上司に通知し，上司の承認後に送信する。
  
  
• プロキシサーバにURLフィルタリングを導入した後は、ホワイトリストに登録されているWebサイト以外へのインターネットアクセス（業務上不要なWebサイトへのアクセス）が、プロキシサーバによってブロックされます。ホワイトリストが固定のままだと、業務上新たに利用が必要になったWebサイトにアクセスできず業務に差し支えるので、必要に応じてホワイトリストに追加登録ができる手順を定めなければなりません。
  ホワイトリストへの登録は、情報セキュリティ委員会による認定後に情報システム部が行うことになっているので、サイトの利用を希望する利用者に用意すべき手段は、「利用したいWebサイトの認定を申請する」ということになります。
  
  ∴利用したいWebサイトの認定申請

解説

• 不正アクセスや情報漏えいなどのセキュリティインシデントが発生した際に、インシデントに関係するコンピュータやデバイスなどの機器から、原因究明や法的証拠に必要となる電子的記録を収集し、保全し、解析することを「デジタルフォレンジックス」と言います。インシデントの解明や証拠の提供において非常に重要な役割を果たします。
  
  フォレンジックス(forensics)は「科学捜査」や「法医学の～」という意味を持ち、直訳すると「電子科学捜査」となります。デジタルフォレンジックスは、インシデントの解明や証拠の提供において非常に重要な役割を果たします。
  
  ∴デジタルフォレンジックス
  
  
• A社のシステム構成では、PCのIPアドレスがDHCPによる動的割付けであること、問題文前半部に「プロキシサーバでは，利用者認証は行っていない」とあるので、プロキシサーバは、どの利用者（またはPC）からアクセスがあったのかを特定できません。利用者認証はプロキシサーバの主な機能の1つで、認証を有効にした場合にはログにユーザ名が記録されるようになっています。したがって、利用者認証を有効にしてアクセスと作業者のIDを紐づければ、ログに記録された作業者のIDから作業者名を特定することができるようになります。
  
  ∴利用者認証
  
  
• 実施するセキュリティ対策を告知することは、内部不正対策に関わる役職員の意識向上を図るとともに、内部不正行為を企む者に対する抑止力となります。具体的に、今回実施する対策を内部不正をしようとする人が知った場合、次のような印象を抱くと想像できます。

  (a)PC管理システムの導入、(b)メール管理システムの未使用機能の有効化、(c)URLフィルタリング

  情報の不正持ち出しが難しい

  (d)ログの取得と監視

  作業者名が特定されるので、不正をしても見つかる

  セキュリティ対策を社内に告知する効果は上記2つですので、そのうち1つを理由として解答すれば良いということになります。
  
  ∴情報を不正に社外に持ち出すのが難しいことが分かるから
  　不正を隠し通せないことが分かるから
  
  ちなみに、"組織における内部不正防止ガイドライン"では、内部不正防止のための基本原則として、状況的犯罪予防の考え方を応用した以下の5つを掲げています。

  ①犯行を難しくする（やりにくくする）

  対策を強化することで犯罪行為を難しくする

  ②捕まるリスクを高める（やると見つかる）

  管理や監視を強化することで捕まるリスクを高める

  ③犯行の見返りを減らす（割に合わない）

  標的を隠したり、排除したり、利益を得にくくすることで犯行を防ぐ

  ④犯行の誘因を減らす（その気にさせない）

  犯罪を行う気持ちにさせないことで犯行を抑止する

  ⑤犯罪の弁明をさせない（言い訳させない）

  犯行者による自らの行為の正当化理由を排除する

  (a)～(c)の対策は"①犯行を難しくする"に該当し、(d)の対策は"②捕まるリスクを高める"に該当します。また、これらの対策内容を社内に告知することによって、"④犯行の誘因を減らす"効果が期待できます。