問2 社外秘の言い訳をさせないラベル付け

情報セキュリティマネジメント試験令和6年度公開問題、全15問のうちの問2。

情報の取扱基準の中で，社外秘情報の持出しを禁じ，周知した上で，従業員に情報を不正に持ち出された場合に，“社外秘情報とは知らなかった”という言い訳をさせないことが目的の一つになっている対策はどれか。

ア権限がない従業員が文書にアクセスできないようにするペーパレス化
イ従業員との信頼関係の維持を目的にした職場環境の整備
ウ従業員に対する電子メールの外部送信データ量の制限
エ情報の管理レベルについてのラベル付け

答えと解説を開く

正解はエです。

持出しを禁じるルールを周知しても、どの情報が社外秘なのかが分からなければ、持ち出した人は「社外秘とは知らなかった」と言い逃れできます。そこで、文書やファイルに「社外秘」「関係者外秘」のような管理レベルのラベルを付けます。ラベルがあれば、その情報が社外秘であることは本人にも明らかなので、言い訳の余地がなくなります。言い訳をさせないことに直接つながるのはエです。正解はエです。

ほかの選択肢が違う理由

アペーパレス化でアクセス権を絞るのは、権限のない人に見せないための対策です。社外秘だと知っていたかどうかの言い訳には関係しません。
イ職場環境の整備で信頼関係を保つのは、不正をしようという動機を減らす対策です。社外秘であることを示すものではありません。
ウ外部送信のデータ量の制限は、大量の持出しを技術的に難しくする対策です。どの情報が社外秘かを本人に分からせるものではありません。

仕組み

不正を防ぐ対策には、やりにくくする、見つかりやすくする、割に合わなくする、動機を減らす、言い訳させない、という見方があります。ラベル付けは「言い訳させない」に当たります。

ラベル付けは、情報を重要さで分ける分類とセットで行います。分類だけ決めても、個々の文書にラベルが付いていなければ、扱う人には区別が付きません。