左門至峰の株式会社エスエスコンサルティング)です。過去問を多数引用しながら、基礎知識をしっかり学んでもらうように作ってあります。(情報セキュリティスペシャリスト)を楽しく学べるように工夫したいと思います。人的セキュリティは、ルールを守ることもその一つである。ルールと言えば、セキュリティポリシーですね。セキュリティポリシーでは、詳細な実施手順にまで踏み込まないですよね?そう。以下がその例で、パスワードの運用ルールである。技術面での対策も含まれているが、運用面の対策も多い。社内規定によって罰則が盛り込まれれば、社員のセキュリティ遵守の意識が高まるだろう。・パスワードを保存する場合には、その内容を暗号化すること・パスワードを送信する場合には、その内容を暗号化すること・利用者に対し、定期的にパスワードを変更するように促すこと・利用者が自らパスワードを変更できること・利用者が定期的にパスワードを変更していることを、管理者が確認できること・利用者が定期的にパスワードを変更しないと、その利用者はシステムを利用できなくなること・破られやすいパスワードは設定できないこと・それまでに利用していたパスワードは再設定できないこと。紙に書いて貼ったりすることが多くなりませんか?そうなんだ。1ヶ月に1回変える」「以前のパスワードは使えない」「8文字以上で英数特殊な...」などとやると、運用上無理になり、そうなる。運用できてこそルールだね。監査/教育コメント(0)情報セキュリティ教育デパートで洋服を買うときに、クレジットカードを渡すでしょ。レジは別のところにあるから、しばらくクレジットカードを渡すことになる。カード番号や裏のセキュリティコードを控えられてもおかしくないだけの時間があるわ。これこそ人的セキュリティである。店側のルール順守、社員への教育も大事だ。本気でやろうと思ったら、セキュリティは脅かされる。いえ、不正行為は足がつくし保険があるから、カード所有者に被害がいくとは限らない。社員には定期的に情報セキュリティ教育を行うべきである。教育の中で、情報セキュリティに関する啓蒙活動を行うことも重要である。最近では、Webやe-learningの仕組みを使った社内教育を行う企業が増えてきている。過去問を2つ解いてみましょう。社内の情報セキュリティ教育に関する記述のうち,適切なものはどれか。再教育は,情報システムを入れ替えたときだけ実施する。新入社員へは,業務に慣れた後に実施する。対象は,情報資産にアクセスする社員だけにする。内容は,社員の担当業務,役割及び責任に応じて変更する。解説は、以下に書いています。http://sg.seeeko.com/archives/156090.html正解はエです。社員に対する情報セキュリティ教育の実施に関する記述a~dのうち,適切なものだけを全て挙げたものはどれか。情報セキュリティ違反をした者に対する再教育に当たっては,同じ過ちを繰り返さないための予防処置も含める。新入社員に対する研修プログラムに組み込む。対象は情報システム部門に所属する社員に限定する。定期的な実施に加えて,情報セキュリティに関わる事件や事故が発生した後にも実施する。c解説は以下に書いています。http://sg.seeeko.com/archives/623283.html正解はアです。人的セキュリティ対策に限ったことではないが、監査によるセキュリティ対策がある。セキュリティ監査については、以下を参照ください。Assessment:統制自己評価)に関する出題がありました。CSAの内容が丁寧に解説されていますので、引用します。Assessment:統制自己評価)方式による情報セキュリティ監査を実施している。CSAとは,監査部が被監査部門を直接評価するのではなく,被監査部門が,自部門の活動を評価することを指す。R社監査部では,被監査部門にCSAの実施を依頼し,その結果を活用して監査を実施している。CSA方式を採用した。R社の監査実施の手順を図1に示す。CSAの実施と結果の提出を依頼する。CSAシートを用いてCSAを実施する。3.監査部が各部門から提出されたCSA結果を検証し,不明な点は当該部門に確認する。“NG"の評価項目がある場合,及び改善が必要と監査部が判断した場合は,当該部門に改善計画の策定と提出を依頼する。(改善が必要になった場合は次を行う。)5.改善が必要な部門は,改善計画を監査部に提出する。6.監査部は,提出された改善計画が適切か確認する。7.当該部門は,改善計画に基づき改善を実施する。8.改善後,当該部門は監査部に改善結果を報告する。9.監査部は改善された状況を確認し,適切であれば改善完了とする。CSA方式の利点を二つ,解答群の中から選べ。関連法規への準拠性が担保できる。業務内容の十分な理解に基づいて評価できる。証跡を提出する必要がない。独立的な立場から公正に評価できる。評価実施者に対する意識付けや教育として役立つ。設問2の正解は、イとオです。CSAならではの利点ですね。監査/教育コメント(0)FAXの誤送信対策は?経済産業省の以下のサイトに事例がのっているhttp://www.meti.go.jp/policy/it_policy/privacy/2-4-7.pdfかなり地味だ。人間がやることだからミスは避けられない。システムで防ぐことは難しい。確かに短縮ダイヤルでやれば間違いはないですね。新規送信先の場合、そもそもFAX送付先が引越しでFAX番号が変わっているかもしれません。2人体制でチェックしても意味がないのでは?この事例では、空のFAXを送り、先方へ到着確認をしてから送っている。本当に地味であるが、こういう地味な方法しかないのであろう。FAXの誤送信を防ぐリスク低減策ではなく、FAXそのものを利用しないというリスク回避策をとることも選択肢だろう。(平成30年春・秋)の徹底解説をした本です。(2)論文試験の意識改革に!論文試験の合格のコツがわかる本。論文試験に一発合格した10人のアンケートも掲載。至峰(技術評論社)私のIT資格取得に対するノウハウを1冊にまとめた本です。左門至峰のプロフィール左門至峰の簡単なプロフィールはこちらプライバシーポリシープライバシーポリシーへのリンクはこちら講演・研修・セミナーの依頼こちらからメッセージをお送りください。第三者には公開されません。講演・セミナー以外のメッセージにはお答えできませんので、ご理解ください。エスエスコンサルティング↑このページのトップヘ。