情報漏えい対策とは？

情報漏えい対策の意味

企業が保有する機密情報や個人情報が、外部への不正な持ち出しや誤送信、紛失などによって漏えいすることを防ぐための組織的・技術的な取り組み全般。組織的対策としては、情報資産の持ち出しルールの策定、職務分掌、教育・訓練などがあり、技術的対策としてはDLP（情報漏えい対策ソフト）やアクセス制御、暗号化などが組み合わされる。原因は外部からの攻撃だけでなく、従業員の誤操作や内部不正によるものも多い点に留意が必要である。

情報漏えい対策の具体例

顧客リストが入ったUSBメモリの社外持ち出しを原則禁止とし、やむを得ず持ち出す場合は暗号化と上長の承認を必須とするルールを設ける。

情報漏えい対策は試験でどう引っ掛けられる？

情報漏えいの原因は外部からのサイバー攻撃だけでなく、メールの誤送信や書類の紛失といった従業員の不注意によるものが実際には多い点が問われやすい。

情報漏えい対策と関連する用語

• DLP
• 情報資産管理
• 個人情報保護法
• クリアデスク・クリアスクリーン

情報漏えい対策が出た過去問

• シンクライアントの特徴として、適切なものはどれか。

  正解：端末内にデータが残らないので、情報漏えい対策として注目されている。

  要点：シンクライアントは端末にデータを残さない

  シンクライアントは、端末側に必要最小限の機能だけを持たせ、アプリケーションの実行やデータの保存はサーバ側で行う方式である。端末にデータが残らないため、端末の紛失や盗難があっても情報漏えいにつながりにくい点が評価されている。

  出典：平成22年度 秋期 ITパスポート試験 問81（IPA）

• 職場でのノートPCの管理に関する記述①〜④のうち、盗難防止対策として、適切なものだけを全て挙げたものはどれか。 ① OSのログインパスワードを設定する。 ② P…

  正解：②, ③

  要点：盗難防止は固定や施錠保管などの物理的対策

  盗難防止とは、機器そのものを持ち去られないようにする物理的な対策を指す。セキュリティワイヤ（チェーン）で固定することや、退社時に施錠できるキャビネットへしまうことがこれにあたる。パスワードの設定や離席時のロックは、持ち去られた場合や覗き見に対する情報漏えい対策であり、盗難そのものは防げない。

  出典：平成25年度 春期 ITパスポート試験 問81（IPA）

• 情報システムで管理している機密情報について，ファシリティマネジメントの観点で行う漏えい対策として，適切なものはどれか。

  正解：コンピュータ室のある建物への入退館管理

  要点：ファシリティ管理の漏えい対策は入退館などの物理対策

  ファシリティマネジメントは、建物や設備といった物理的な環境の維持・管理を扱う。この観点での情報漏えい対策は、機器が置かれた建物や部屋への立入りを制限する入退館・入退室管理が該当する。ウイルス対策やID管理、暗号化は論理的・技術的な対策に分類される。

  出典：平成28年度 秋期 ITパスポート試験 問37（IPA）

• A社では紙の顧客名簿を電子化して，電子データで顧客管理を行うことにした。顧客名簿の電子データからの情報漏えいを防ぐ方法として，適切なものはどれか。

  正解：データを暗号化して保存する。

  要点：漏えい対策の要は暗号化による機密性の確保

  情報漏えい対策の要点は、万一データが外部へ持ち出されても内容を読み取られないようにすることである。暗号化して保存しておけば、記録媒体ごと盗まれても復号鍵がなければ内容を利用できない。ディジタル署名は改ざん検知と作成者の確認、バックアップやRAIDは可用性の確保が目的であり、機密性を守る手段ではない。

  出典：平成30年度 春期 ITパスポート試験 問98（IPA）

• リスク対応を、移転、回避、低減及び保有に分類するとき、次の対応はどれに分類されるか。 〔対応〕職場における机上の書類からの情報漏えい対策として、退社時のクリアデ…

  正解：低減

  要点：クリアデスクは発生可能性を下げるリスク低減策

  クリアデスクは、退社時に机上へ書類を放置しないという運用ルールで、書類が盗み見られたり持ち去られたりする機会を減らす。リスクをゼロにするわけではないが、発生の可能性を下げる措置なので低減（軽減）に分類される。移転は保険や委託で他者に負担を移すこと、回避は業務そのものをやめること、保有は対策せず受け入れることである。

  出典：令和2年度 10月 ITパスポート試験 問68（IPA）