本動画は、平成23年度秋期情報セキュリティスペシャリスト試験の過去問を題材に、サクラ先輩とももちゃんが内部統制とデータ保護の極意を解説します。レガシーなUSBメモリによる運搬に潜むリスクを紐解き、現在のセキュアAPI連携へとどう進化しているのか、試験対策と最新実務の両方を学べる内容です。
学習のポイントとして、まずは情報セキュリティマネジメントの基本となる物理的保護のルールを理解することが重要です。具体的には、離席時に書類を放置しないクリアデスクや、画面を隠すスクリーンロック機構を用いたクリアスクリーンなどが挙げられます。次に、財務報告の信頼性を確保する内部統制の観点では、情報が漏れること以上に、システム外に出たデータが嘘の数字に書き換えられてしまう改ざんのリスクを最も警戒する必要があります。この改ざんを防ぐアプローチには、システムで防ぐ技術的対策と、ルールや人で防ぐ管理的対策の二つのレイヤーが存在します。技術的対策としてはデータが変化していないことを証明する鍵付きハッシュ値などによる改ざん検知が有効であり、管理的対策としては悪意ある担当者の不正を防ぐために単独作業を排除し、複数人化によって相互けん制を働かせることが鉄則となります。さらに、過去問の世界から2026年現在の最新ベストプラクティスへと知識をアップデートすることも不可欠です。かつてのUSBメモリによる物理的なデータ運搬は、現在では人手を介さずシステム間で直接暗号化通信を行うAPI連携へと進化し、外部メディアへの書き出しを防ぐDLP制御と組み合わせることでリスクを最小化しています。また、物理的なICカードやパスワードに依存したアクセス管理は、FIDO2や多要素認証を利用したゼロトラストアーキテクチャへと置き換わっています。そして、外部のASPサービス等を利用する際の監査についても、自社で立ち入れない領域は利害関係のない独立した第三者の専門家に頼るという本質は変わりませんが、手法は大きく変化しています。年1回の紙ベースの報告書から、設定ミスやアクセス権の逸脱をAPI経由でリアルタイムに自動監視するCSPMや、プロバイダ側が提供するSOC2レポートを活用した継続的コンプライアンスの維持へとパラダイムシフトが起きています。これらの知識を体系的に繋ぐことで、ツールや技術が変わっても守るべき情報資産とビジネスの目的を見失わない、本質的なリスクとの向き合い方を学ぶことができます。 www.youtube.com
