基本情報技術者試験過去問 令和7年度（2025年）科目A問15
サーバ室の物理的な安全対策の状況について，情報セキュリティ管理基準（平成28年）に照らして，情報セキュリティ監査を行って判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。
選択肢
- ア：サーバが設置されている施設の無人領域では，営業時間中でも，警報装置が作動するようになっている。
- イ：サーバ室に非常口，避難器具，誘導灯などを設置している。
- ウ：社外からサーバ室へ直接出入りするドアを設置しているが，出入りを考慮して常時施錠していない。
- エ：場所が分からないように，サーバ室の所在を室外に表示していない。
- ア
- イ
- ウ
- エ
正解と解き方・学習ポイント（AI解説）
監査報告書に指摘事項として記載すべきなのは、社外からサーバ室へ直接出入りできるドアが常時施錠されていない状況です。情報セキュリティ管理基準（平成28年）では、重要な区域への入退管理や施錠などの物理的なアクセス制御が求められます。外部から直接入れる出入口が施錠されていないと、許可されていない第三者の侵入や機器への不正操作につながるおそれがあるため、基準に照らして不備として指摘対象になります。
Point
この問題は、情報セキュリティ管理基準（平成28年）の考え方に基づき、サーバ室の物理的対策のうち、監査で不適合として指摘すべき状態を判定できるかを問うものです。特に、出入口の施錠や入退管理が不十分な状態は、物理的侵入を許す要因になる点を確認します。
解くために必要な知識
この問題を解くには、情報セキュリティ管理基準（平成28年）における物理的セキュリティの考え方と、監査で指摘事項になる典型例（重要区域への不適切な入退管理）を理解している必要があります。
用語の整理
| 用語名 | 意味 |
|---|---|
| 情報セキュリティ管理基準 | 組織が情報セキュリティを管理するための基準です。情報セキュリティ対策の整備・運用・点検の観点が示されます。 |
| 情報セキュリティ監査 | 組織の情報セキュリティ対策が基準や規程に照らして適切かを、独立した立場で評価する活動です。 |
| 物理的セキュリティ | 施設、部屋、機器などを対象に、物理的な侵入や破壊、盗難などを防ぐための対策です。 |
| 入退管理 | 特定区域への出入りを制限し、必要に応じて記録する管理です。例として、鍵、ICカード、入退室ログなどがあります。 |
| 監査報告書 | 監査結果をまとめた文書で、基準への不適合や改善が必要な点（指摘事項）などを記載します。 |
| 指摘事項 | 監査で見つかった基準への不適合、不備、改善が必要な状況です。 |
判断ポイントの整理
重要区域への物理的アクセス制御
サーバ室のような重要区域は、原則として次のような管理が求められます。
-
認可された人だけが入れること
-
出入口が適切に施錠されていること
-
必要に応じて出入りを記録できること
指摘事項になりやすい典型例
次のような状態は、不正侵入や不正操作を招くおそれがあるため、指摘事項になりやすいと考えられます。
-
外部から直接入れる出入口があり、常時施錠されていない
-
誰でも入れる運用になっており、入退室の制限や記録がない
選択肢ごとの解説
- ア：不正解
無人領域で営業時間中も警報装置が作動する設定は、不正侵入の早期検知につながるため、物理的安全対策として不自然ではありません。よって誤りです。
- イ：不正解
非常口、避難器具、誘導灯は、火災などの緊急時に人命を守るための設備です。物理的安全対策には災害への備えも含まれるため、設置していること自体は不備ではなく、通常は指摘事項として扱いません。よって誤りです。
- ウ：正解
社外からサーバ室へ直接出入りできるドアを常時施錠していない状態は、外部から侵入される可能性が高いです。入退室管理（施錠、認証、記録）による制限が機能していないため、監査報告書に記載すべき指摘事項に該当します。よって正解です。
- エ：不正解
サーバ室の所在を室外に表示しないことは、重要設備の場所を目立たせないという観点で説明できる対策です。直ちに基準不適合とは言えないため、指摘事項にはなりません。よって誤りです。
まとめ
監査報告書に指摘事項として記載すべきなのは、社外からサーバ室へ直接出入りできるドアが常時施錠されていない状況です。情報セキュリティ管理基準（平成28年）では、重要な区域への入退管理や施錠などの物理的なアクセス制御が求められます。外部から直接入れる出入口が施錠されていないと、許可されていない第三者の侵入や機器への不正操作につながるおそれがあるため、基準に照らして不備として指摘対象になります。
無人領域で営業時間中も警報装置が作動する設定は、不正侵入の早期検知につながるため、物理的安全対策として不自然ではありません。よって誤りです。
非常口、避難器具、誘導灯は、火災などの緊急時に人命を守るための設備です。物理的安全対策には災害への備えも含まれるため、設置していること自体は不備ではなく、通常は指摘事項として扱いません。よって誤りです。
社外からサーバ室へ直接出入りできるドアを常時施錠していない状態は、外部から侵入される可能性が高いです。入退室管理（施錠、認証、記録）による制限が機能していないため、監査報告書に記載すべき指摘事項に該当します。よって正解です。
サーバ室の所在を室外に表示しないことは、重要設備の場所を目立たせないという観点で説明できる対策です。直ちに基準不適合とは言えないため、指摘事項にはなりません。よって誤りです。