端末をどう把握し、外へ出るときに何を備えるかを整理。資産管理と脆弱性管理が一体である理由、紛失に備えた暗号化と遠隔消去、BYOD で生じる課題と業務領域の分離まで解説します。
端末の管理でまず問われるのは、何台あるか把握できているか、です。台数が分からなければ、更新が行き渡ったかも確かめられません。「一台だけ更新されていない端末があり、そこから侵入された」という形は、実際の事故で繰り返し起きています。資産管理は、地味ですが土台です。
脆弱性の情報が公表されたとき、必要なのは「自組織に該当する機器がいくつあるか」を即座に答えられることです。台帳が実態と合っていなければ、洗い出しから始めることになり、その間ずっと晒され続けます。台帳は、人手で更新するのではなく、実際の端末から自動で集める形にするのが現実的です。
把握のあとは、条件を満たさない端末を業務に使わせない、という段階へ進みます。更新が古い、対策ソフトが止まっている端末は、社内のシステムへ接続させない。これがゼロトラストで言う「端末の状態を判断材料にする」ということです。
紛失や盗難は、注意していても起きます。だから「起きたときに情報が読めない状態」を、事前に作っておきます。中心になるのはディスク全体の暗号化と、起動時の認証です。この二つが揃っていれば、拾った人が電源を入れても中身を取り出せません。ファイル単位の暗号化だけでは、暗号化していない場所に一時ファイルが残ることがあり、不十分です。
| 備え | 効くところ |
|---|---|
| ディスク全体の暗号化 | 取り出されても中身が読めない |
| 起動時・復帰時の認証 | 電源を入れただけでは使えない |
| 遠隔からのロック・消去 | 紛失に気づいた後、使わせない |
| 持ち出し申請と記録 | 何が外に出ているか把握できる |
| 画面の自動ロック | 離席中ののぞき見・操作を防ぐ |
遠隔消去は万能ではありません。電源が入っていない、通信ができない状態では届かないためです。あくまで暗号化が主で、遠隔消去は補助という位置づけになります。この順序を取り違えないようにします。
USB メモリは、情報の持ち出しと、マルウェアの持ち込みの両方の経路になります。原則として使わせない（接続を制限する）方向が基本で、業務上どうしても必要なら、貸与品に限る、暗号化機能付きのものに限る、接続の記録を残す、といった条件を付けます。
持ち出し全般に言えるのは、記録が残ることの価値です。誰が何をいつ持ち出したかが分かれば、事故のときに影響範囲を絞れます。逆に記録が無いと、「何が漏れたか分からない」という最悪の状態になり、対外的な説明もできません。
私物の端末を業務に使う形（BYOD）には、二つの難しさがあります。一つは、組織が端末を管理しきれないこと。更新を強制できず、何が入っているかも分かりません。もう一つは、業務の情報と個人の情報が同じ端末に混在することです。事故の調査で端末を調べる必要が生じたとき、個人の領域まで見ることになり、プライバシーとの衝突が起きます。
対策は、業務の領域を分離する仕組みを使うことです。業務用の区画を作ってそこにだけ情報を置く、あるいは端末には情報を残さず画面だけを転送する方式にする。加えて、利用規程で、調査や消去の対象範囲と、それに同意することを明示しておきます。技術と規程の両方が要る、という点が問われます。
在宅での業務が広がったことで、端末の置かれる環境が組織の管理外になりました。家庭のネットワーク機器が古いまま使われている、同居する人が同じ端末に触れられる、画面が来客から見える——いずれも事務所では起きなかった形です。端末側での防御を厚くし、業務の情報を端末に残さない構成にすることで、環境の差を吸収します。
併せて、自宅で印刷した書類の扱いや、業務の会話が外に漏れない場所の確保といった、物理面の取り決めも必要になります。技術的な設定だけでなく、規程として何をどこまで求めるかを明示しておきます。
午前Ⅱでは、BYOD の課題、遠隔消去の限界、資産管理の目的が問われます。午後では、紛失事故や持ち出しの事例を示して「事前に何をしておくべきだったか」「今後どう防ぐか」を書かせる形が出ます。答えるときは、暗号化を主に据え、記録と申請の手順を添えると観点を満たせます。
IPA 公式：過去問題（情報処理安全確保支援士試験） ↗各年度の問題冊子・解答例・採点講評の PDF を、公式サイトで確認できます。