情報セキュリティマネジメント システム戦略・システム企画・企業活動 一問一答 第6問〜第10問

○：セキュリティ要件は、性能や可用性などの非機能要件と並べて整理されることが多い一方、暗号化や認証のようにシステムの機能として実装される部分もあるため、非機能要件だけに含まれるものとは限らない。いずれにせよ企画・要件定義の段階から織り込むことが重要で、稼働後の後付け対策は手戻りが大きく費用もかさむ。

×：RFIは情報提供依頼書、RFPは提案依頼書、RFQは価格や見積条件の提示を求める見積依頼書であり、情報収集・提案依頼・見積依頼という目的の違いで使い分ける。RFIの後にRFPを発行する流れは一般的だが、調達の内容や規模によっては、RFPを省いてRFQへ進むなど、使用する文書や順序は異なる場合がある。

×：評価項目、重み、必須要件、採点尺度などは提案を受ける前に定め、全ての提案を共通の基準で比較する。提案ごとに観点を変えると、公正性と選定理由の説明可能性が損なわれる。必須要件を失格条件として事前に定めている場合は、それを満たさない提案を選定対象から外す。残る提案について、要求適合度、技術力、実績、体制、セキュリティ、納期、費用などを総合評価し、評価結果と根拠を記録する。

○：システムライフサイクルの終結の局面である。保存義務のあるデータの退避、後継システムへの移行、残存データの確実な消去、不要となった利用権限の停止・無効化、保守契約等の終了までを漏れなく行う。ここで消去するのは不要となったデータや権限であり、法令や社内規程で保存が求められる記録や監査証跡は、定められた期間まで保存する点を区別する。クラウド上の複製データや委託先が保持するデータも確認の対象になる。

×：導入前の投資対効果の見込みと、障害件数や稼働率などの運用状況だけでは、投資効果を十分に検証したことにはならない。稼働後には、機能別の利用率、利用部門、利用頻度、利用者の評価、業務時間・品質・コストなどの変化を調査し、導入前の目標と実績を比較する。効果が得られていない場合は、教育、業務手順、運用方法の見直し、システムの改修、継続・廃止・再構築などを検討する。