情報処理安全確保支援士試験科目Bサンプル問1（情報資産台帳）の解説

表 1 A 社の情報資産台帳の記載項目（抜粋）
項目名	説明
情報資産名	情報資産の名称を記載する。
情報資産の内容	情報資産の内容を簡潔に記載する。
利用部署	情報資産を利用可能な部署名を記載する。
管理部署	情報資産を管理する部署名を記載する。
機密性の評価値	評価値を 0～2 の 3 段階で記載する。評価値 2：漏えいすると事業に深刻な影響がある。評価値 1：漏えいすると事業に影響がある。評価値 0：漏えいしても事業にほとんど影響がない。
完全性の評価値	評価値を 0～2 の 3 段階で記載する。（省略）
可用性の評価値	評価値を 0～2 の 3 段階で記載する。（省略）
重要度	情報資産の機密性，完全性，可用性の評価値の最大値を，その情報資産の重要度として記載する。
保存期限	法定文書は定められた保存期限を記載する。それ以外の文書は利用できる期限を記載する。

表 2 経理部担当者からの質問
項番	質問内容
1	投資家に開示済の過年度の決算短信資料と，作成中の決算短信資料を一つの情報資産としてまとめて記載してもよいか。
2	情報システム部が管理するファイルサーバに債権管理情報を保存しているが，債権管理情報の管理部署にはどの部署を記載すればよいか。
3	情報資産の機密性，完全性，可用性の評価値が，それぞれ，0，1，2 の場合の重要度はどのようにすればよいか。

答えはオ：まとめない、経理部、2

正解はオ（してはいけない，経理部，2）です。3つの質問は、どれも表1の項目の説明と注記に当てはめれば答えが決まります。IPAは出題趣旨で、この問題を、新たに情報資産台帳を整備する上場企業を題材に、台帳の様式を理解し、各部署からの質問に的確に助言できる能力を問うものとしています。

新制度のSCの科目Bについて、IPAはサンプル問題の冒頭で、1問1答の問題を8問、1問3答の問題を4問出題する構成を予定しているとしています。この問1は1問1答の形で、3つの質問への回答を1つの組合せとして選びます。8個の解答群は「してもよい／してはいけない」「経理部／情報システム部」「2／0」の2×2×2で並んでいるので、質問ごとに1つずつ決めれば、残りは1つになります。

3つの質問を、表1の言葉に当てはめる

項番	回答	当てはめる表1の言葉
1	してはいけない	注記「評価値が全て同じ情報資産は一つの情報資産としてまとめて記載してもよい」
2	経理部	管理部署「情報資産を管理する部署名を記載する」
3	2	重要度「評価値の最大値を，その情報資産の重要度として記載する」

項番1：公表の前と後で、機密性の評価値が変わる

注記がまとめてよいとしているのは、管理方法と、機密性・完全性・可用性の評価値が全て同じ情報資産です。原本は2つの資料の評価値を示していないので、ここからは当サイトの評価です。投資家に開示済の過年度の決算短信は、すでに公表された情報なので、漏えいしても事業への影響はほとんどないと考えられます（評価値0に当たる）。作成中の決算短信は公表前の決算情報で、漏れればインサイダー取引や市場の混乱につながりかねず（一般的な知識による補足）、上場企業にとっては深刻な影響があると考えられます（評価値2に当たる）。機密性の評価値が違う以上、注記の条件を満たさないので、まとめてはいけません。

同じ「決算短信資料」という名前でも、公表の前と後で扱いが変わる点が、この質問の要です。まとめて記載すると、台帳の上では作成中の資料まで「漏えいしても影響がほとんどない」側に寄せられるか、逆に開示済の資料まで厳重に扱うことになり、どちらにしても管理策の判断を誤ります。

項番2：置き場所の管理者と、情報の管理者は別

表1の管理部署は「情報資産を管理する部署名」です。ここで台帳に載せる情報資産は債権管理情報で、その中身を作り、使い、正しさに責任をもつのは経理部です。情報システム部が管理しているのはファイルサーバという置き場所で、それはファイルサーバという別の情報資産として、情報システム部が台帳に載せるものです。

質問の文は「情報システム部が管理するファイルサーバに」と、わざわざ情報システム部を前に出しています。「管理する」という同じ語が出てくるので、ここで情報システム部を選ぶ誤りを誘う作りです。

項番3：重要度は最大値、平均でも最小値でもない

重要度は「評価値の最大値」と定義されているので、0，1，2なら2です。機密性が0でも、可用性が2なら重要度は2になります（完全性・可用性の評価値の説明は、原本では「（省略）」です）。解答群のもう一方の0は最小値で、どの定義にも当たりません。

間違えやすいところ：質問の言葉に引きずられる

誤答で多くなりそうなのは、項番2で情報システム部を選ぶものです。実務でも「サーバを管理している部署＝データの管理者」と考えてしまい、データの持ち主（経理部）が台帳から抜け落ちることがあります。そうなると、債権管理情報を誰が見てよいか、いつまで残すかを決める人がいなくなります。

項番1は、「同じ種類の資料だから1行にまとめたい」という現場の手間の事情と、注記の条件との突き合わせです。表1の注記は、まとめてよい条件を「管理方法や機密性，完全性，可用性の評価値が全て同じ」と限っています。条件の一部でも違えばまとめない、と読むのが自然です。

時間をかけないコツ：表1は定義の行だけ読む

解く時間の目安は5分ほどです（当サイトの推測）。表1は9行ありますが、使うのは管理部署・機密性の評価値・重要度の3行と、注記だけです。

項番3を先に決める。「最大値」の1語で2に決まり、解答群はア・ウ・オ・キの4つになる。
項番2は、管理部署の定義「情報資産を管理する」で経理部に決まる。ア・オの2つになる。
項番1は、公表前後で機密性が違うことから「してはいけない」に決まり、オが残る。

実務の目で見ると：台帳の「管理部署」はリスクの持ち主

情報資産台帳は、リスクアセスメントの入口です。台帳の管理部署が置き場所の管理者になっていると、リスクの評価を頼む相手、アクセス権を承認する人、保存期限を決める人を間違えます。クラウドのストレージや共有フォルダが増えるほど、「どこにあるか」と「誰のものか」は離れていくので、台帳では両方を分けて持つ設計が役に立ちます。

シラバス案（Ver.0.1）の科目Bの項目「1-2. 情報セキュリティリスクアセスメント」は、リスク特定・分析・評価のプロセスの実施について指導・助言を行い、支援することを挙げ、技能の例として情報資産とリスクを関連付けて整理する能力を含めています。この問題は、その入口である台帳づくりを、現場の部署から受けた質問に答える形で問うています。