情報資産台帳に基づくリスクアセスメントと運用状況の点検

情報資産のリスクアセスメントと運用状況の点検に関する次の記述を読んで、設問に答えよ。

D社は、従業員280名の精密部品メーカーである。取引先の自動車部品メーカーや医療機器メーカーから図面データを預かり、試作品と量産品を製造している。D社には、総務部、経理部、営業部、設計部、製造部及び情報システム部がある。

D社では、専務を委員長とする情報セキュリティ委員会(以下、委員会という)が情報セキュリティに関する規程を定めている。昨年、主要な取引先から、預けた図面データの管理状況について説明を求められたことを機に、委員会は、全部署で情報資産台帳(以下、台帳という)を作成させ、それをもとにリスクアセスメントを行うことにした。情報システム部のK主任が、部下のLさんとともに担当することになった。

〔リスクアセスメントの手順〕

D社の情報セキュリティ規程では、リスクアセスメントの手順を次のとおり定めている。この手順は、IPA「中小企業の情報セキュリティ対策ガイドライン」第3.1版の付録「リスク分析シート」の考え方を参考にしたものである。

1. 台帳の資産ごとに、機密性、完全性及び可用性をそれぞれ1〜3の3段階で評価する(3が最も影響が大きい)。三つの評価値の最大値を、その資産の重要度とする。
2. 資産ごとに想定する脅威について、対策を講じない場合の発生頻度(以下、脅威という)を1〜3で評価する(3が最も頻繁)。また、その脅威に対する現状の対策の不十分さ(以下、脆弱性という)を1〜3で評価する(3が最も不十分)。
3. 被害発生可能性を「脅威÷(4−脆弱性)」で求め、小数点以下を切り上げた整数とする。
4. リスク値を「重要度×被害発生可能性」で求め、6以上を「大」、3以上5以下を「中」、2以下を「小」と判定する。
5. 「大」のリスクには必ず対策を講じ、実施後のリスク値を「中」以下にする。「中」のリスクは対策を検討し、対策を講じない場合はリスクを保有する。「小」のリスクは保有する。
6. リスクを保有する場合、及び対策後に残ったリスク(以下、残留リスクという)については、その資産の管理部署の部長(以下、リスク所有者という)が内容を確認して受容を承認し、承認者と日付を台帳に記録する。

なお、サイバー保険のように損失の一部を他者に負担させる対策は、リスク値の算定には反映しない。

〔台帳とリスク値の算定〕

各部署から提出された台帳の抜粋を表1に、K主任とLさんが各部署への聞き取りを基に作成した脅威と脆弱性の評価を表2に示す。

表1 台帳(抜粋)

表2 脅威と脆弱性の評価

注記 ―は、本文の都合で省略している。

〔対策の検討〕

K主任は、「大」と判定されたリスクについて対策案を整理した(表3)。今年度の追加予算は年額200万円である。

表3 対策案

注記 案5を実施すると、社員情報を人事SaaS Hに置かなくなるので、No.2で想定する脅威(人事SaaS Hへの不正ログイン)そのものが生じなくなる。

K主任は、「大」のリスクを全て「中」以下にでき、費用が最も小さい組合せを委員会に提案した。この組合せを実施すると、No.1のリスク値は【 d 】になる見込みである。

委員会では、専務から「案3の保険に入れば、案1を実施しなくてもよいのではないか」という質問があった。K主任は、①案3は、No.1のリスクへの対応として単独では不十分であると説明した。委員会は、案3については来年度に改めて検討することにした。

〔運用状況の点検〕

台帳の作成後、K主任は、台帳が実態と合っているかを点検した。まず、Webプロキシのログから、9月の1か月間のクラウドサービス宛ての通信を集計した(表4)。

表4 クラウドサービス宛て通信の集計(9月、抜粋)

聞き取りの結果、項番3は、設計部の担当者が、試作の協力会社とCADデータをやり取りするために個人で登録した無料プランを使っていた。項番4は、営業部の担当者が提案書の文章を整えるために個人のアカウントで使っており、見積額を含む文章を入力した例があった。項番5は、顧客の所在地を調べるために閲覧しているだけであった。

次に、Lさんが、社内ファイルサーバの「顧客図面」フォルダのアクセス権を棚卸しした(表5)。D社の規程では、アクセス権は業務上必要な個人の利用者IDだけに付与し、共用の利用者IDは使用しないことにしている。また、他部署の従業員への読取権限の付与には、設計部長の承認が必要である。

表5 「顧客図面」フォルダのアクセス権(抜粋)

〔内部監査での指摘〕

10月に、内部監査室が台帳とリスクアセスメントの運用を監査し、表6の指摘をした。

表6 内部監査の指摘(抜粋)

K主任は、指摘1への対応として、年1回の見直しに加えて、②台帳を最新に保つための手続を規程に追加することにした。また、指摘2については、No.3の承認をやり直すことにし、指摘3については、表5の棚卸しと合わせて四半期ごとにログを確認する担当者を決めた。