情報セキュリティマネジメント 令和5年度 科目A 問9

✓ これが正解ウ インシデントの種類や発生箇所，影響度合いに関係なく，連絡・報告ルートが共通になっている。

解説

影響度に関係なく連絡ルートが共通なのは指摘対象です。

システム監査で指摘事項として書くのは、望ましくない状態が見つかったものです。インシデント管理では、軽い不具合と事業を止めるような重大事象を同じ扱いにすると、重大なものが埋もれて対応が遅れます。種類や発生箇所、影響度合いに関係なく連絡や報告のルートが共通になっていると、重大な事象が経営層へ速やかにエスカレーションされないおそれがあります。だからこれが指摘の対象になります。残りの三つは、手順の作成と周知、規程に沿ったバックアップ、記録と承認の定めで、いずれも望ましい状態です。

ほかの選択肢の解説

• ア インシデント対応手順が作成され，関係者への周知が図られている。：インシデント対応手順が作成され関係者へ周知されているのは、いざというときに動けるようにするために必要なことです。望ましい状態なので、指摘事項として書くものではありません。
• イ インシデントによってデータベースが被害を受けた場合の影響を最小にするために，規程に従ってデータのバックアップをとっている。：被害の影響を最小にするため規程に従ってバックアップをとっているのは、備えができている状態です。あるべき姿なので、指摘の対象にはなりません。
• エ 全てのインシデントについて，インシデント記録を残し，責任者の承認を得ることが定められている。：全てのインシデントについて記録を残し責任者の承認を得ると定めているのは、対応の跡をたどれるようにするために適切です。望ましい定めであり、指摘事項ではありません。