企業情報管理士認定試験　〜企業が必要とする『企業情報の保護』を正しく行える人材を育てる〜

正解：エ

エンタープライズアーキテクチャに関する記述は、次のとおりである。

企業の経営戦略に沿って効率的にITを活用するために、企業の業務活動における手順や情報システムを標準化し、適切な体制を整えること、あるいはその体制や組織構造のことをエンタープライズアーキテクチャ（EA）という。企業がエンタープライズアーキテクチャを導入するためには、経営戦略に沿った業務活動、情報システムやそこで扱う情報などの複数の要素を階層化して明らかにし、現在の状況と将来の目標を設定する。
エンタープライズアーキテクチャを構成する要素は、基本的に「ビジネス」「データ」「アプリケーション」「技術」の４つに分類される。ビジネスとは、実際の業務のことである。ワークフロー図などを利用して、業務に必要な手順を明らかにすることができる。作成したワークフロー図をもとに、E-R図などを活用してモデル化することで、企業内で活用するデータがわかる。一方、アプリケーションとは、企業内で利用している情報システムのことである。また、情報システムで利用しているOSやソフトウェアなどを洗い出すことで、企業内で用いられている技術を把握する。

エンタープライズアーキテクチャ（EA：Enterprise Architecture）とは、経営戦略に沿って効率的にITを活用するために、企業の業務の手順や情報システムを標準化して、適切な体制を整えること、あるいはその体制や組織構造のことである。エンタープライズアーキテクチャは、基本的に「ビジネス」「データ」「アプリケーション」「技術」という4つの要素から構成される。

正解：ウ

PMBOK（the Project Management Body Of Knowledge）は、米国プロジェクトマネジメント協会が提唱したプロジェクトマネジメントのためのフレームワークである。PMBOKでは、プロジェクトにおいて「スコープ」「スケジュール」「コスト」「品質」「人的資源」「コミュニケーション」「リスク」「調達」という８個の項目を統合的にマネジメントする。

正解：ウ

不正競争行為に対する差止請求に関する記述は、次のとおりである。

不正競争により営業上の利益を侵害され、またはそのおそれがある者は、その侵害の停止または予防を請求できる。これを差止請求権という。この請求をするときには、例えば、他人の営業秘密である技術情報を用いて製作された商品の廃棄を請求できる。
差止請求権は、不正競争行為によって営業上の利益を侵害され、またはそのおそれがある者が、不当競争行為の事実や行為者を知ったときから３年間のうちに請求しない場合には、時効によって消滅する。また、その行為の開始のときから10年間を経過したときも、同様に消滅する。

正解：イ

正解：イ

知的財産権に関する記述は、次のとおりである。

知的財産基本法第２条１項では、「知的財産」とは、発明、考案　植物の新品種、意匠、著作物その他の人間の創造的活動により生み出されるもの、商標、商号その他事業活動に用いられる商品または役務を表示するもの及び営業秘密その他の事業活動に有用な技術上または営業上の情報をいうと規定している。さらに、同法同条２項では、「知的財産権」とは、特許権、実用新案権、育成者権、意匠権、著作権、商標権その他の知的財産に関して法令により定められた権利または法律上保護される利益に係る権利をいうと規定している。
この知的財産権は、特許権や著作権などの創作的意欲の促進を目的したものと、商標権や商号などの使用者の信用維持を目的したものとに分けられる。

正解：ア

正解：エ

産業財産権（工業所有権）に関する記述は、次のとおりである。

特許法は、発明の保護及び利用を図ることにより、発明を奨励し、産業の発達に寄与することを目的としている。発明は、自然法則を利用した技術的思想の創作のうち、高度なものとされている。
実用新案法は、物品の形状、構造または組合せに係る考案の保護及び利用を図ることにより、その考案を奨励し、産業の発達に寄与することを目的としている。考案も、自然法則を利用した技術的思想の創作をいうが、高度なものでなくてもよい。
特許権の存続期間は、特許の登録出願の日から20年で、実用新案権の存続期間は、実用新案の登録出願の日から10年でそれぞれ終了する。

正解：イ

個人情報保護法の目的に関する記述は、次のとおりである。

個人情報保護法は、高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、個人情報の適正な取扱いに関し、基本理念及び政府による基本方針の作成その他の個人情報の保護に関する施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報取扱事業者の遵守すべき義務等を定めることにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的としている。
個人情報を取り扱う際には、個人情報の保護と活用のバランスを図ることが重要であるが、個人情報取扱事業者による個人情報の適正な取扱いのルールを遵守させることで、個人の権利利益の侵害を未然に防止することにもねらいがある。

正解：ア

正解：ウ

正解：ア

情報セキュリティ対策の制度に関する記述は、次のとおりである。

ISMS適合性評価制度とは、JIPDEC（財団法人日本情報処理開発協会）がはじめたもので、わが国における情報セキュリティ全体の向上に貢献し、諸外国から信頼される情報セキュリティレベルを達成することを目的としている。この制度の認証を受けるメリットの１つとして、運用により、従業者の情報セキュリティに対する意識の向上や責任の明確化が進み、企業のコンプライアンスの向上にもつながる。
また、この制度の運営機関であるJIPDECは、制度の運用と維持管理に加えて、認証機関及び要員認証機関の認定などの業務を行う。

正解：ウ

コンピュータ犯罪に関する記述は、次のとおりである。

刑法第234条の２は、人の業務に使用する電子計算機もしくはその用に供する電磁的記録を損壊し、もしくは人の業務に使用する電子計算機に虚偽の情報もしくは不正な指令を与え、またはその他の方法により、電子計算機に使用目的に沿うべき動作をさせず、または使用目的に反する動作をさせて、人の業務を妨害した者は、５年以下の懲役または100万円以下の罰金に処すると規定している。これは、コンピュータを損壊したり、コンピュータに虚偽の情報や不正な指令を与える行為によって、人がコンピュータを用いて行う業務を妨害する行為を処罰するものである。

正解：ウ

正解：ウ

正解：イ

正解：ウ

製造物責任法に関する記述は、次のとおりである。

製造物責任法は、製造物の欠陥により、人の生命、身体などにかかわる被害が生じた場合における製造業者等の損害賠償の責任について定めている。製造業者とは、製造物を業として、製造、加工または輸入した者である。製造業者は、当該製造物を引き渡した時点における科学または技術に関する知見によっては、当該製造物にその欠陥があることを認識できなかったことを証明したときは、賠償の責任を負わない。
また、製造物責任法による損害賠償の請求権は、被害者またはその法定代理人が損害及び賠償義務者を知った時から３年間行わないときは、時効によって消滅する。

正解：エ

正解：イ

リスクにはさまざまな分類方法がある。リスクによる損失の有無で、純粋リスクと投機リスクに分類される。純粋リスクは、損失のみが発生するリスクのことで、災害や事故などが原因として挙げられる。情報セキュリティでは、純粋リスクを扱う。一方、投機的リスクは、損失だけでなく、利益を得られる可能性があるリスクのことである。新規事業や新商品開発などは、投機的リスクに分類される。

正解：エ

経済産業省は、2003年に「リスク新時代の内部統制〜リスクマネジメントと一体となって機能する内部統制の指針〜」を公表している。この指針では、リスクを「企業が将来生み出す収益に対して影響を与えると考えられる事象発生の不確実性」と定義し、事業機会に関連するリスクと事業活動の遂行に関連するリスクに分類している。
事業活動の遂行に関連するリスクとは、文字どおり、事業活動を行ううえで発生する可能性のリスクのことである。前述の指針では、例として次のものが挙げられている。
・コンプライアンスに関するリスク
・財務報告に関するリスク
・商品の品質に関するリスク
・情報システムに関するリスク
・事務手続きに関するリスク
・モノ、環境等に関するハザードリスク
選択肢エの「新製品開発の成否など、商品開発戦略に関するリスク」は、商品開発という新しい事業に関するリスクである。そのため、事業機会に関連するリスクに分類される。

正解：エ

JIS Q 2001:2001（「リスクマネジメントシステム構築のための指針」）では、リスクマネジメントシステムを構築するための７つの原則を規定している。このうち、原則６は「組織の最高経営者によるレビュー」を行うことを定めたものであり、「全体的なリスクマネジメントパフォーマンスを改善する目的で、そのリスクマネジメントを見直し、継続的に改善することが望ましい」としている。

正解：ウ

リスク分析では、情報資産を洗い出し、脅威、ぜい弱性を特定した後に、それぞれの評価基準を定める。情報資産の価値については、機密性、完全性、可用性の観点からレベルを設定する。

正解：ア

リスク分析手法のベースラインアプローチに関する内容は、次のとおりである。

ISO/IEC TR 13335では、定性的リスク分析手法として４つの手法を規定している。
その１つであるベースラインアプローチでは、まず、セキュリティ関連の基準やガイドラインにもとづいて、独自にセキュリティ対策基準（ベースライン）を策定する。ベースラインが低すぎると、組織のセキュリティが不十分になる可能性がある。次に、情報資産のリスク分析を行い、ベースラインとどれだけ乖離しているか、ギャップ分析を行う。
ベースラインアプローチは、情報資産ごとにリスクを細かく評価するわけではない。時間やコストがあまりかからないというメリットがあるが、情報資産の量が多く、高いレベルの情報セキュリティ対策を要求される状況では、十分に要件を満たさないこともある。そのため、ISO/IEC TR 13335では、ベースラインアプローチと詳細リスク分析を併用する組合せアプローチを推奨している。

ISO/IEC TR 13335（TR X 0036）、通称GMITS（Guidelines for the Management of IT Security）で規定している４つのリスク分析手法について問う問題である。ベースラインアプローチ、詳細リスク分析、組合せアプローチ、非形式的アプローチのそれぞれの特徴を理解しておきたい。
ベースラインアプローチは、セキュリティ関連の基準やガイドラインにもとづいて、独自のセキュリティ対策基準（ベースライン）を策定し、それに沿ってリスク分析を行う方法である。設定したベースラインが高すぎると、セキュリティ対策が実現不可能なものになったり、低すぎるとセキュリティが不十分になったりする可能性がある。
ISO/IEC TR 13335では、ベースラインアプローチと詳細リスク分析を組み合わせて行う組合せアプローチが推奨されている。

正解：エ

リスクに対して具体的な対策を講じないことを、リスクの受容という。
ISMSでは、Planフェーズにおいてリスクアセスメントに対する取組み方を定義する際に、リスク受容基準を設定し、受容可能レベルを設定する。リスク分析後、リスクを評価する際に、リスク算定によって算出されたリスク値をリスク受容基準と比較し、受容可能なリスクなのかを判断する。受容するリスクについては、定期的にリスク受容基準以下であるかどうかを確認し、リスク受容基準を超えている場合には再度リスク評価などのアセスメントを行う必要がある。

正解：エ

リスクファイナンスとは、リスクが発生したときの損害を経済的に補償する対応のことである。リスクの保有や、保険などによるリスクの移転がリスクファイナンスに分類される。
この問題では、選択肢アとイは「保険」という用語から、リスク対応として保険によるリスク移転を選択していることがわかる。また、選択肢ウでは、「リスク受容基準未満」「予算に計上」という記述から、リスク対応としてリスクの保有を選択していると判断できる。これらはリスクファイナンスの事例である。
選択肢エは「予期せぬ情報漏えい」による損失であり、保険や予算などの経済的な対応策で補填されるものではないため、リスクファイナンスの事例とはいえない。

正解：ウ

全社的リスクマネジメント（ERM：Enterprise Risk Management）とは、企業の業務活動に関するあらゆるリスクについて、企業が全体的な視点で統合的かつ戦略的にリスクマネジメントを行うことである。
2004年、トレッドウェイ委員会組織委員会（COSO：Committee of Sponsoring Organizations of the Treadway Commission）は、全社的リスクマネジメントのフレームワークとして、COSO ERMを発表した。COSO ERMの構造は、４つの目的、８つの構成要素、４つの事業体から形成される立方体で表される。
選択肢ア「コンプライアンス」と選択肢イ「戦略」はCOSO ERMにおける目的に、選択肢エ「事業単位」は事業体に含まれる。

正解：イ

JIS Q 13335における、情報セキュリティの３要素とその内容は、次の表のとおりである。

正解：ウ

JIS Q 27002:2006において、ISMS（情報セキュリティマネジメントシステム）とは「マネジメントシステム全体の中で、事業リスクに対する取組み方に基づいて、情報セキュリティの確立、導入、運用、監視、レビュー、維持及び改善を担う部分」としている。

正解：ア

情報セキュリティに関し、目的や行動で分類される対策として、事前対策と抑制策がある。

正解：ウ

一般的な情報セキュリティ委員会の機能や役割として、次の事項が挙げられる。
・情報セキュリティポリシーの策定、承認、見直し
・最高情報セキュリティ責任者が必要と認める事項の検討
・対外的な情報セキュリティ対策に関する連携や協力
・情報セキュリティポリシーに規定された対策の推進と運用状況の点検
・緊急時に置ける対策の検討　　　　　　　　　　　　　　　　　　　　　　　　　　　など
なお、個人情報の本人からの苦情・相談の対応窓口については、個人情報取扱事業者における個人情報保護の推進体制で、実務を担う仕組みの一部となる。

正解：エ

情報セキュリティ対策に関する規程文書の種類とその内容は、次の表のとおりである。

正解：ウ

情報セキュリティ対策において、情報資産の洗い出しに関する内容は、次のとおりである。

情報セキュリティを確保するためには、情報資産を明確にする必要がある。情報資産を把握するために、情報資産の洗い出し、分類、格付けを行う。さらに、生成・利用・保存・廃棄の４つのプロセスで情報をとらえる情報のライフサイクルに沿って、情報資産を適切に管理しなければならない。
なお、JIS Q 27002では、情報資産の洗い出しを行う際は、情報のオーナーである情報の管理責任者の設置を推奨している。管理責任者の役割として、情報資産の評価、格付けの指定、取扱いの制限や開示範囲を決定することなどが挙げられる。

正解：イ

JIS Q 13335-1における脅威の分類とその例は、次の表のとおりである。

正解：ウ

正解：エ

非開示契約に関する内容は、次のとおりである。

非開示契約とは、秘密保持契約、守秘義務契約、NDAと同義で用いられることが多く、個人情報などの機密性の高い情報を、許可なく第三者に開示させない旨を遵守させる契約である。従業者は非開示契約締結の対象となり、機密情報を取り扱う業務を委託する際は、委託先をその対象として含める必要がある。
経済産業省の「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」においては、個人情報保護に関する契約と営業秘密に関する秘密保持契約など、取扱いの範囲が異なる情報については峻別することが望ましいと記載されている。その際、それぞれの契約は、別書面であるか否かは問わないとしている。

正解：イ

情報セキュリティ対策における従業者の教育・訓練の内容については、法令などの新規制定及び改定、社会情勢の変化や技術の進歩、業務フロー変更などに応じて、柔軟に随時見直す必要がある。

正解：イ

モニタリングの実施方法として、次のような内容が挙げられる。
・入退管理の記録及び監視カメラによる撮影
・情報システムへのアクセスログの取得
・Web閲覧記録の取得
・電子メールの検閲
・電話の発信先の記録及びFAXの送受信の記録
なお、ペネトレーションテストとは、コンピュータやネットワークのセキュリティ上の弱点を発見するテスト手法の１つであり、システムを実際に攻撃して侵入を試みる手法として、技術的安全管理措置において実施する対策に分類される。

正解：ウ

派遣社員や契約社員、嘱託社員などにおいても、他の従業者（社員）と同様に、情報セキュリティ対策に関する監督を実施しなければならない。また、雇用期間の長さや機密情報に触れる機会が少ない場合であっても、情報セキュリティの教育及び訓練も実施するべきである。

正解：イ

入退管理装置などに関する内容は、次のとおりである。

入退管理の認証には、フラッパーゲートやサークルゲートなどの装置を、各エリアの境界に設置して併用すると効果的である。
フラッパーゲートとは、ゲート型入退管理装置であり、装置の通過時に１人ずつ認証を行い、不正通行を検知すると警報音が鳴り、ゲートが制御され侵入を阻止する。認証の媒体として、主にICカードを利用し、駅の改札などと同様の仕組みとなっている。
一方、サークルゲートとは、主に回転筒型ドアの構造のものが多く、ゲート内には同時に１人しか入ることのできない入退管理装置である。認証により通過が許可されると、入り口側のゲートを開放し、内部を一旦密室にして、１人であることを確認した後、出口側のゲートを開放する。
また、高度なセキュリティエリアには監視モニターを設置し、不審者の監視などを行う。通常は無人となるエリアには、センサーと連動させ、侵入者の関知や警告、追跡などを行い、さらに同時に録画も行う。

正解：エ

クリアデスクポリシーとは、BSIが規定する、企業や団体向け情報システムセキュリティ管理ガイドラインであるBS7799で提唱されており、個人の端末におけるセキュリティ管理の概念がもととなっている。具体例として、業務で使用したノートパソコンを退出時にキャビネットなどに入れて保管する、離席する際は机の上の書類を引き出しやキャビネットにしまうことなどが挙げられる。

正解：ウ

正解：ウ

事故や災害などの緊急時における事業継続に関する内容は、次のとおりである。

事業継続計画の策定において、事故や火災などの種類にかかわらず、業務を中断させない、あるいは、万が一業務が中断した場合であっても、短期間で回復させるような内容とする必要がある。
そのため、事故や災害が発生した場合の手順や体制、資産などを含む対応計画を策定し、業務プロセスにおける脅威とぜい弱性の分析であるBIA（BIA：Business Impact Analysis＝ビジネスインパクト分析）を行ったうえで、事業存続のために最も優先順位が高い業務プロセスを選定し、対応計画を策定する。
また、事業継続管理においては、事業継続計画を実効性のあるものとするために、復旧時間を設定した教育や訓練の結果を検証し、事業継続計画の策定、導入、運用、見直し、継続的改善などを実施するためのPDCAサイクルにもとづいて取り組まなければならない。

正解：イ

スパイウェアは、IPAとJNSAのスパイウェア対策啓発ワーキンググループによる共同定義では、次のように示されている。

利用者や管理者の意図に反してインストールされ、利用者の個人情報やアクセス履歴などの情報を収集するプログラム

問題87．正解：ウ、問題88．正解：エ、問題89．正解：ア

不正プログラムや、利用方法によっては危険をはらんでいるソフトウェアに関する内容は、次のとおりである。

正解：ウ

正解：ウ

本人認証の技術に関する内容は、次のとおりである。

ワンタイムパスワードとは、パスワードを毎回変更して本人認証を行う技術のことである。認証には、１回限りの使い捨てパスワードを利用する。つまり、本人認証を行うたびに有効なパスワードが変わるので、第三者がパスワードをクラッキングしにくいだけではなく、万が一、パスワードが漏えいしても、それを悪用してシステムに侵入することはできない。
また、煩雑になりがちなパスワード管理の作業が軽減されるといったメリットもある。

正解：ウ

ログとは、サーバアプリケーションや通信機器などの情報システムへのアクセスや、その作業内容などを記録すること、またはその記録そのものを指すものである。ログを取得する対象によっては、その量が膨大になるため、取得する範囲を決めておくことが重要である。

正解：ア

監査の基準と種類に関する内容は、次のとおりである。

経済産業省が策定した情報セキュリティ監査制度には、保証型監査と助言型監査の導入、情報セキュリティ対策、ISMSとの整合性などの特徴を持つ。また、情報セキュリティ監査制度では、情報セキュリティ管理基準と情報セキュリティ監査基準、３つのガイドライン、２つのモデルに準拠して監査が行われる。
情報セキュリティ管理基準は、監査の際の判断尺度となるものである。ただし、企業内の既存の管理規程など、他の基準を盛り込んでカスタマイズすることができる。また、企業や組織が自ら管理基準などを規定する際の拠り所となる。一方、情報セキュリティ監査基準は、監査人の行動規範を示すものである。

正解：イ

JIS Q 27001において、情報セキュリティインシデントは、以下のとおり定義されており、またその報告の目的を以下のとおり示されている。

【定義】
望まない単独もしくは一連の情報セキュリティ事象、または予期しない単独もしくは一連の情報セキュリティ事象であって、事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いもの
【報告の目的】
情報システムに関連する情報セキュリティの事象及び弱点を、時機を失しない是正措置をとることができるやり方で連絡することを確実にするため