ぞうログ情報セキュリティ対策は、技術的対策・人的対策・物理的対策の3つに分類される。技術で守れる範囲には限りがあり、実際の事故の多くは人の不注意や物理的な持ち出しに起因する。ここでは技術以外の2つの対策を整理する。
人的対策
- 情報セキュリティポリシーの3階層：組織の姿勢を示す基本方針、守るべきルールを定める対策基準、具体的な手順を示す実施手順から構成される。
- 教育・訓練：定期的な研修や標的型攻撃メール訓練を通じて、従業員の意識と対応力を維持する。
- 秘密保持契約(NDA)：従業員や委託先との間で、業務上知り得た情報を外部に漏らさないことを約束する契約。
- 内部不正対策：職務分掌による権限の分離、操作ログの取得と監視、退職者アカウントの速やかな削除が基本となる。
- 不正のトライアングル：動機・機会・正当化の3条件がそろうと不正が起きやすいという考え方。いずれかを取り除くことが対策になる。
物理的対策
- 入退室管理：ICカードや生体認証で入室者を制限し、記録を残す。正規の入室者に続いて不正に入り込む共連れ（ピギーバック）を防ぐため、入室記録のない者の退室を認めないアンチパスバックや、一人ずつしか通れないゲートを用いる。
- クリアデスク・クリアスクリーン：離席時に書類を机上に放置せず、画面をロックする運用ルール。
- セキュリティゾーニング：重要度に応じて建物内を区画に分け、区画ごとに入室できる人を制限する考え方。
- 機器と媒体の管理：セキュリティワイヤによる盗難防止、書類のシュレッダー処理、記憶媒体の物理的破壊による確実な廃棄。
- 耐タンパ性：機器を分解・解析しようとすると内部の情報が破壊されるなど、不正な解析を困難にする性質。
対策の分類を問う問題が頻出。入退室管理や施錠は物理的対策、教育・規程・契約は人的対策、ファイアウォールや暗号化は技術的対策と整理しておく。「共連れ」と「アンチパスバック」は対で覚えるとよい。