情報資産と責任分担

要点と定義

情報資産台帳は、業務で利用する情報資産を洗い出して記録し、重要度などを管理するためのものです。紙の書類と電子データの両方を使っている場合は、それぞれを対象に含めます。クラウドサービスに保存した情報も記入対象です。

情報の管理レベルをラベルで示すと、扱う人が区分を認識しやすくなります。社外秘などの区分を明示する対策として、情報に管理レベルを付けます。

シャドーITとは、IT部門の公式な許可や管理を経ず、従業員や部門が業務に利用するデバイスやクラウドサービスなどです。 許可のないデバイスやサービス、ソフトウェアを指す用語としても問われています。

リスク所有者は、リスクを運用管理する責任と権限を持つ人または主体です。リスクに関わる役割を見分ける際は、「そのリスクを運用管理する責任と権限があるか」を確認します。 同じ定義を問う場合も、この責任と権限が判断の基準です。

適用条件と例

台帳作成では、重要度を評価する前に、業務で使う情報を媒体や保存場所にかかわらず洗い出します。例えば、会議資料を紙で配布し、同じ内容をクラウドにも保存しているなら、紙とクラウド上の情報をともに記録対象とします。

情報が混在して一律に評価しにくい場合も、対象から外すのではなく台帳に記入し、資料に示された方法では含まれる情報の評価値の最大値を記入します。重要度が時間とともに変化する情報についても、記入を待つのではなく、資料に示された方法で現時点の値または最大値を扱います。これらは当該設問の解説が参照するガイドライン第2.1版に基づく説明です。

情報を社外秘として扱わせたい場合、アクセス制御や送信量制限だけでは、その情報の管理レベルを利用者に明示したことにはなりません。文書やデータに区分を表示し、利用者が取扱基準を認識できるようにします。

従業員が未承認のファイル共有サービスを業務に使っているなら、シャドーITに当たるかを検討します。判断の要点は、業務利用であることと、組織の正式な許可を得ていないことです。単に新しいサービスであることだけでは判断できません。 用語を問われた場合も、許可を得ず業務利用される機器やサービスという条件で見分けます。