情報セキュリティマネジメント 平成31年度 春期 午前 問38

✓ これが正解ア ソフトウェア開発におけるセキュリティ機能の試験は，開発期間が終了した後に実施している。

解説

セキュリティ機能の試験を開発終了後に回すのは指摘事項です。

設問が引くJIS Q 27001:2014の附属書Aには、ソフトウェア開発の工程の中でセキュリティを確保するための管理策が並んでいます。セキュリティ機能の試験は、開発の途中で行ってこそ、見つかった問題を設計や実装に反映できます。開発期間が終了した後にだけ試験を実施しているという状況では、問題が見つかっても手戻りが難しく、開発プロセスの中でセキュリティを確保するという管理策の趣旨に反します。だから監査人は、これを指摘事項として監査報告書に記載すべきです。残りの三つは、いずれも管理策の趣旨に沿った適切な状況です。

ほかの選択肢の解説

• イ ソフトウェア開発は，セキュリティ確保に配慮した開発環境において行っている。：セキュリティ確保に配慮した開発環境で開発を行うことは、管理策の趣旨に沿った望ましい状況です。監査報告書に載せるべき不備ではありません。
• ウ ソフトウェア開発を外部委託している場合，外部委託先による開発活動の監督・監視において，セキュリティ確保の観点を考慮している。：外部委託先による開発活動の監督・監視にセキュリティ確保の観点を組み込むことは、委託時に求められる適切な取組です。指摘事項には当たりません。
• エ パッケージソフトウェアを活用した開発において，セキュリティ確保の観点から，パッケージソフトウェアの変更は必要な変更に限定している。：パッケージソフトウェアの変更を必要な範囲に限定することは、余計な変更による脆弱性の混入や保守性の低下を防ぐ適切な判断です。指摘事項には当たりません。