情報セキュリティマネジメント 科目B のサンプル問題 問2

✓ これが正解キ (二)，(四)

解説

基準の列の条件を1つずつ結果の列に当てます。8月の機能追加が決め手です。

表1は、脆弱性診断についての基準の列と、点検結果の列が横に並ぶ形になっています。読み方は単純で、行ごとに、基準の列に書かれた条件を1つずつ結果の列に当てるだけです。基準の列に条件が2つ書かれている行は、2つとも満たして初めて満たしたことになります。1つでも欠ければ、その行は満たしません。

もう1か所、表の外に答えに関わる記述があります。事例文の冒頭に、今年の8月にB社サイトへログイン機能を追加したこと、それにともなって会員情報も扱うようになったことが書かれています。この出来事は、年1回という条件とは別の条件、つまり変更があったときに何をするかを定めた条件に当たります。表だけを見ていると、毎年行っているのだから満たしている、と読んでしまいます。

軸はこの2点です。基準の列の条件を全部満たしているか。そして、表の外に書かれた出来事が、基準の条件を追加で発生させていないか。

もう一つ、結果の列に書かれた理由づけに引きずられないようにしてください。基準の列は、対象と期限を条件として定めているだけで、程度に応じて省いてよいとは書いていません。省いた理由がもっともらしくても、条件を満たしていなければ満たさない側に入ります。

行ごとに基準の列を読む、条件の数だけ確かめる、表の外の出来事を思い出す。この順で当てれば、4つの行はそれぞれ独立に決まります。

ほかの選択肢の解説

• 項番一：基準の列には、新規開発時と機能追加時に行うことと、変更がなくても年1回以上行うことの2つが並んでいます。年1回のほうは満たしていますが、事例文にある今年8月の機能追加のあとに実施した記録がありません。片方が欠けています。
• 項番二：この行の基準の列にある条件は、年1回以上行うという1つだけです。結果の列を見ると毎年の実施が続いており、今年も行われています。検出された件数や程度は、この行の条件には関係しません。満たしている側です。
• 項番三：基準の列は、診断を行った場合はその結果を情報セキュリティ委員会へ報告すると定めています。片方は報告されていますが、もう片方は部内での共有にとどまっています。軽微だからという扱いは基準の列に書かれていません。
• 項番四：基準の列は、緊急を要するものは速やかに、その他は診断後1か月以内に対応すると定めています。結果の列の2件はどちらも1週間後と2週間後で、期限の中に収まっています。承認を得る必要が出るのは期限に間に合わないときです。