セキスペCheck：物理的・環境的セキュリティ

今回も情報処理安全確保支援士の試験勉強の内容をアウトプットをしていきます。

勉強に使ったのはこちら

章の終わりにあるCheck問題に私なりの答えで解答していきます。

今回は4.6章：物理的・環境的セキュリティのCheck問題です。

【Q1】物理的・環境的セキュリティに関するISMSの管理策を述べよ。

①重要な情報及び情報処理施設のある領域を保護するために、物理的セキュリティ境界を定めること
②セキュリティを確保すべき領域は、適切な入退室管理策によって保護すること
③オフィス、部屋、施設に対する物理的セキュリティを設計し、適用すること
④自然災害、悪意のある攻撃、事故に対する物理的な保護を設計し、適用すること
⑤セキュリティを保つべき領域での作業に関する手順を設計し、適用すること
⑥来訪者などが出入りする場所を管理し、それらの場所を情報処理施設から離すこと
⑦環境上の脅威や災害、認可されていないアクセス、停電、故障などから装置を適切に保護すること
⑧通信ケーブル及び電源ケーブルを傍受、妨害、損傷から保護すること
⑨装置の可用性、完全性を維持するため、正しく保守すること
⑩装置、情報、ソフトウェアは、事前の許可なしに構外に持ち出さないこと
⑪構外にある資産に対しては、構内での作業とは異なるリスクを考慮し、セキュリティを適用すること
⑫記憶媒体を内蔵したすべての装置は、処分又は再利用する前に、保存されているデータやライセンスを供与されたソフトウェアを確実に消去すること
⑬利用者は、無人状態にある装置が適切な保護対策を備えていることを確実にすること
⑭書類、取り外し可能な記憶媒体に対するクリアデスク方針、情報処理設備に対するクリアスクリーン方針を適用すること

【Q2】災害や障害への設備面の対策を挙げよ。

①専用室・専用区画へ重要なサーバや機器を設置する。
②地震対策として耐震構造をもつ建物内に設備を設ける。転倒・落下防止などの地震対策が施されたラックに収納する。
③CVCF、UPS、バックアップバッテリ、自家発電装置などを設置し、停電、瞬時電圧低下、電圧変動、周波数変動などの電源障害に備える。
④機器類の正常稼働と運用要員の健康面に配慮した室内環境を維持するため、空調を整備する。
⑤火災対策として消火設備、防火扉、煙探知器などを整備する。
⑥十分な回線容量を確保すると共に、複数の通信事業者と契約し、異なるルートでのバックアップ回線を整備する。
⑦漏水、浸水、落雷、静電気、ノイズ、凍結などへの対策を施す。

【Q3】不法侵入などの物理環境における人的脅威への対策を挙げよ。

①セキュリティレベルに応じた物理区画の分類、管理者・入室者の明確化
②各区画の入退室管理方法の決定
③入退室管理システムの導入
④情報資産を適切な区画に設置・保管

【Q4】物理区画の分類における留意点を挙げよ。

①入退室に関する規定や管理者を明確にする
②各システムの設定・操作の権限や実施手順を明確にする
③各システムの定期点検・保守を確実に実施する
④入退室権限の管理（登録・削除など）を徹底し、不要な権限者の情報などが悪用されることのないようにする
⑤入退室ログや監視記録を適切に保存・管理し、必要に応じて分析できるようにする

【Q5】一般的な入退室管理システムの種類によるメリット・デメリットについて述べよ。

扉ごとに設定した暗証番号によって解錠する・各個人に配布したICカードによって個人を認証して解錠する・生体情報を用いて個人を認証して解錠する、の３つについて述べる。
■扉ごとに設定した暗証番号によって解錠する
　＜メリット＞
　　・低コストで容易に実現が可能
　　・物理的な鍵の紛失リスクがない
　＜デメリット＞
　　・誰がいつ入退室したかの記録ができない
　　・暗証番号さえわかれば誰でも入退室できる
■各個人に配布したICカードによって個人を認証して解錠する
　＜メリット＞
　　・個人の識別や入退室時刻の管理が可能となる
　＜デメリット＞
　　・ICカードの紛失や、ICカードを取得した者によって不正入室される可能性がある
■生体情報を用いて個人を認証して解錠する
　＜メリット＞
　　・個人の識別や入退室時刻の管理が可能となる
　　・物理的な鍵の紛失リスクがない
　　・鍵の偽物の作成が非常に困難
　＜デメリット＞
　　・認証情報の登録や管理に手間がかかる
　　・ICカードをかざす方法と比べると認証に時間がかかる