情報セキュリティマネジメント 科目A・B サンプル問題 科目B 問58

✓ これが正解ク (二)，(三)，(四)

解説

基準の列の条件を抜き、結果の列の回数と日付に当てます。

科目Bは、事例文のどこを読めば決まるかを押さえるのが要点です。この設問は、突き合わせる相手が同じ表の中に並んでいます。表1は行ごとにA社グループ基準の列と点検結果の列が横に置かれているので、行を横に読むだけで判定が閉じます。前置きの本文に戻る必要はありません。

そのうえで、基準の列から抜き出すのは三種類の言葉だけです。どれくらいの頻度で行うか、いつまでに済ませるか、そして期限を守れないときの手続きが用意されているか。点検結果の列には、これに対応する回数と日付が並んでいます。抜いた条件へ順に当てるだけの作業になります。

見落としやすいのが、頻度の条件が二段になっている行です。ある行の基準は、脆弱性診断を行う機会を挙げたうえで「機能追加などの変更がない場合でも，年1回以上行う。」という一文を足しています。前半だけを読むと、その機会が来ていないのだから問題ないと読めてしまいますが、後半は独立して適用されます。基準の列に、変更がない場合でも、といった言い回しが見えたら、そこは条件が重ねられている印だと思ってください。

もう一つ気をつけたいのが、期限に間に合っていないように見える行です。基準の中に「指定された期限までの対応が困難な場合，対応の時期を明確にし，最高情報セキュリティ責任者（CISO）の承認を得る。」という手続きが書かれているなら、その手続きを踏んだかどうかまでが基準の一部です。踏んでいれば、期限より先に延びる計画でも基準を満たします。

読む順序をもう一度。行を選ぶ、基準の列から頻度と期限と例外の手続きを抜く、結果の列の回数と日付を当てる、例外の手続きを使った箇所はその条件も当てる。四つの行を同じ手順で回せば、組合せは自然に決まります。

ほかの選択肢の解説

• 項番一：Webアプリに対する脆弱性診断の行です。基準は行う機会を挙げたうえで、変更がなくても年1回以上という条件を重ねています。点検結果の列にある実施は3年前の1回だけで、そのあとが空いています。重ねられた側の条件を満たしていないので、基準を満たす側には入りません。
• 項番二：OS及びミドルウェアに対する脆弱性診断の行です。基準が求めているのは年1回以上という頻度だけで、点検結果の列には毎年決まった2つの月に行っている旨が書かれています。求められた回数を上回っているので、この行は基準を満たします。
• 項番三：脆弱性診断結果の報告の行です。基準は、診断を行った場合にその結果を2か月以内に報告することを求めています。点検結果の列に挙がっている報告は、いずれも診断から2週間ほどか、その診断を行った月のうちで、期限の内側に収まっています。
• 項番四：脆弱性診断結果の対応の行です。翌日に直したものと、期限の内側で直したものに加えて、期限内に直しきれない1件については、いつ直すかを決めた計画をCISOに承認してもらっています。基準が用意した手続きを踏んでいるので、この行も満たす側です。