情報セキュリティマネジメント試験（SG）｜科目A リスク対応・委託先・インシデント管理問題08

システムの構成や利用形態を変えると、攻撃経路や影響範囲も変わり得る。今回は社内限定機能を外部公開するため、年次評価の実施時期にかかわらず、認証、公開範囲、データ、脅威を基に新たなリスクを特定・評価する必要がある。利用開始後の障害件数だけでは、公開前に対処すべき侵害リスクを判断できない。

優先順位は費用の安さだけでは決められない。対応前のリスク、対策に必要なコスト、実施後の残留リスクが受容基準内に収まるかを併せて判断する。この条件ではYを実施しても許容できないリスクが残るため、安価という理由だけでYを優先するのは不適切である。法令・契約上の必須要件も判断条件から外せない。

リスク対応計画は、何をするかに加え、必要な人員・予算などの資源、実施責任者、期限、効果を確認する方法まで定めることで進捗と結果を管理できる。「アクセス制御を強化する」という方針や候補製品と費用だけでは、担当、期限、完了条件が不明である。発見経緯や対策案の長所は参考情報になるが、実行管理に必要な要素の代わりにはならない。

ジョブの成功表示は、必要なファイルが読み出せ、手順どおり復旧できることまで保証しない。隔離環境で実際にリストアし、データの完全性と所要時間を確認すれば、破損、権限不足、手順漏れなどを事前に発見できる。取得回数やファイル容量だけを確認しても、復旧可能性の検証にはならない。

設問の基準では、実際の悪用、外部公開、重要システムへの影響という条件を全て満たす顧客向けWebシステムが最優先となる。深刻度が高くても組織が使用していない製品は直接の影響を受けない。緊急適用時も、組織の承認済み手順に従って動作確認や切戻し手段を準備し、可用性への影響を管理する。

委託開始前には、組織のセキュリティ要求と委託先の現状の差を明確にし、必要な是正を契約へ反映する。保存期間の延長方法、期限、費用負担を関係者で合意すれば、開始後の責任や実施条件も確認できる。価格だけで差を無視したり、口頭説明だけで要件充足と判断したりしては、調査可能性を確保できない。

契約内容と実施状況の不一致を見つけたら、まず理由と対象範囲、リスクを明らかにし、契約担当者と協力して是正する必要がある。是正後の再確認まで行うことで、単なる口頭約束で終わることを防げる。契約文を実態に合わせて削除するだけでは、無承認複製によるリスクも契約違反も解消しない。

委託終了時は、貸与資料、稼働データ、複製、バックアップなどの対象を明確にし、回収または廃棄の実施結果を確認する。法令などで保存が必要なデータがあれば、対象、期間、保護方法も区別して記録する。担当者アカウントの停止だけでは、委託先に残るデータや資料を処理したことにはならない。

初動の優先順位は受付順だけでなく、情報の重要度、業務への影響、被害が広がる可能性と範囲を基に決める。大量の顧客データが外部送信中なら、機密性への重大な影響が拡大している可能性があるため、確認と封じ込めを優先する合理性が高い。一方の事象を優先しても、もう一方を記録せず放置してよいわけではない。

原因と影響範囲は、一種類の情報だけでなく、認証、端末操作、外部通信、ファイルアクセスなどを時系列で関連付けて切り分ける。既知の攻撃手法や侵害指標との照合も判断を補強する。利用者の記憶は手掛かりにはなるが、誤認や抜けがあり得るため、それだけで侵入経路や持出し範囲を確定してはならない。