マネジメント・システム監査応用問題
組織がISMS監査で、定期的なアクセス権レビューが12ヶ月実施されていないことを指摘されました。この放置が続いた場合、どのようなセキュリティリスクが顕在化しやすくなりますか？
A.退職者や異動者の過度なアクセス権が残存し、不正アクセスや情報漏洩の危険が増加する← 正解
✓ 正解です。定期レビューの未実施により、権限を保持すべきでない者のアクセス権が放置され、内部脅威が増加します。
B.定期レビューがなくても、従業員の自己報告により適切に管理される
✗ 自己報告は形式的に見落とされやすく、定期的な監査的レビューが不可欠です。
C.アクセス権の監視は情報セキュリティとは関連性が低い
✗ アクセス権管理は認可制御の要であり、ISMSの中核的な統制です。
D.12ヶ月以内の短期間では、アクセス権に関連するインシデントは発生しない
✗ インシデントは随時発生する可能性があり、時間経過でリスクは高まります。