説明
情報資産が輸送および廃棄中に適切に保護されているかどうかを判断する際に最も懸念される問題は、適切なデータ分類の欠如です。データ分類は、価値、重要度、または組織に対するリスクに基づいて、さまざまな種類の情報資産にカテゴリまたは機密性のレベルを割り当てるプロセスです。データ分類は、情報資産の機密性に応じて識別、ラベル付け、取り扱い、および保護するための基準とガイドラインを提供することで、輸送および廃棄中の情報資産の保護に役立ちます。適切なデータ分類がないと、情報資産が不正アクセス、開示、盗難、損傷、または破壊にさらされ、輸送および廃棄中の情報資産のセキュリティと機密性が損なわれる可能性があります。その他のオプションは、情報資産の機密性に応じた識別、ラベル付け、取り扱い、または保護には影響しないため、輸送および廃棄中の情報資産の保護において適切なデータ分類の欠如ほど懸念されるものではありません。適切なラベル付けの欠如は、輸送および廃棄中の情報資産の置き忘れ、紛失、または取り扱いミスのリスクを高める可能性のある要因ですが、情報資産の機密性に応じた分類には影響しません。最近の意識啓発トレーニングの欠如は、情報資産の輸送や廃棄に関わるスタッフの知識や行動に影響を与える可能性のある要因ですが、情報資産の機密性に応じた分類には影響しません。パスワード保護の欠如は、輸送中や廃棄中にデバイスに保存された情報資産のセキュリティや機密性に影響を与える可能性のある要因ですが、情報資産の機密性に応じた分類には影響しません。参考文献: CISA レビューマニュアル (デジタル版)、第 5 章、セクション 5.3.2

セクション: 情報システムの運用、保守、サポート

割り当てられた分類に従って資産が保護されていることを検証することは、組織の情報分類プロセスにおける情報システム監査人の主な役割です。情報システム監査人は、分類レベルに基づいて情報資産を保護するために情報セキュリティ制御が適切かつ効果的であるかどうかを評価する必要があります。その他のオプションは情報システム監査人の主な役割ではなく、情報の所有者、管理者、またはセキュリティ管理者の責任です。参考資料:
* CISA レビューマニュアル（デジタル版）、第 6 章、セクション 6.2.31
* CISA レビュー問題、解答、解説データベース、質問 ID 206