事務所の物理的セキュリティ対策について，JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）に基づいて情報セキュリティ監査を実施した。
判明した状況のうち，監査人が監査報告書に指摘事項として記載すべきものはどれか。
正答2
解説
正解は2です。
この問題は、JIS Q 27002の物理的セキュリティの管理策に照らして、問題のある状況を選ぶものです。
○ が付く肢は、指摘事項として記載すべき（管理策を満たしていない）状況です。
【選択肢別解説】
1：× 荷物の受渡しを情報処理施設に立ち入らずにできる場所で行うのは、受渡場所に関する管理策に沿った対応です。
指摘する必要はありません。
2：○ 共通の暗証番号では、誰が入室したかを個人単位で特定できません。
また番号が漏れても気づきにくく、入室を許可された者だけに制限する管理として不十分なので、指摘事項になります。
3：× 機密性の高い情報資産を置く部屋を外部の人の目に触れない場所に設けるのは、施設の保護に関する管理策に沿った対応です。
4：× 取引先との打合せを執務室から分離した場所で行うのは、部外者が機密情報に近づかないようにする適切な対応です。
【ポイント】
入退室管理では、個人ごとの認証と入退室の記録が基本です。
ICカードや個人ごとの暗証番号、生体認証などで、誰がいつ入ったかを追跡できるようにします。