重要度：B
問16：自社製ネットワーク機器の脆弱性について外部研究者から連絡を受けた。PSIRTの対応として、最も適切なものはどれか。
- A：外部からの連絡は受け付けず、社内で発見した脆弱性だけを対応の対象とする
- B：報告された内容を評価せず、全ての脆弱性を同じ優先度で開発部門へ回す
- C：脆弱性の影響を評価し、開発部門と修正を調整して利用者への情報提供を行う
- D：修正プログラムが完成するまでは受付の記録にとどめ、暫定回避策の検討は保留する
【第16問：正解と解説】
正解：C
・A
外部からの報告は脆弱性を早期に把握する重要な経路であり、受付の窓口を設けておく。
・B
影響の評価がなければ、深刻な脆弱性への対応が他の案件に埋もれてしまう。
・C
正しい。PSIRTは製品やサービスの脆弱性情報を受け付け、評価、修正、情報公開などを関係部門と調整する。
・D
影響範囲の評価や暫定回避策の検討は修正の完成前から必要であり、記録だけでは利用者の被害拡大を防げない。
重要度：B
問17：ISMSの内部監査とシステム監査の違いに関する記述として、適切なものはどれか。
- A：両者の違いは監査を実施する者が組織の内部か外部かという点にあり、監査の目的や対象・基準は同じである
- B：内部監査はISMSの適合性と有効性を確認し、システム監査は監査目的に照らして情報システムと統制を評価する
- C：システム監査はISMS内部監査の一部の活動であり、単独の監査として実施されることはない
- D：ISMS内部監査は外部の監査人でなければ実施できず、組織内部の者は監査員になれない
【第17問：正解と解説】
正解：B
・A
実施する者の内外だけでは区別できない。システム監査を組織内部の監査人が実施する形態もあり、両者は目的・対象・基準が異なる。
・B
正しい。内部監査はISMSが要求事項に適合し有効かを確認し、システム監査は情報システムに関するガバナンス・管理・統制を監査目的に照らして評価する。詳細な手順は監査分野のカテゴリーで扱う。
・C
システム監査は独立した枠組みであり、ISMS内部監査の下位活動ではない。
・D
ISMS内部監査は組織内部の監査員でも実施でき、担当業務との分離などによって客観性・公平性を確保する。
重要度：C
問18：ソフトウェア製品の脆弱性を発見した場合の、脆弱性関連情報の届出制度における受付機関はどれか。
- A：JISC
- B：IPA
- C：NISC
- D：警察庁
【第18問：正解と解説】
正解：B
・A
JISCは産業標準化の審議機関であり、脆弱性の届出先ではない。
・B
正しい。脆弱性関連情報の届出制度ではIPAが受付機関となり、JPCERT/CCが製品開発者との調整を担う。ウイルス・不正アクセスの届出制度も受付はIPAである。
・C
NISCは政府の政策の司令塔であり、届出制度の受付機関ではない。
・D
警察は犯罪被害の相談先にはなるが、この届出制度の受付機関ではない。
重要度：C
問19：中小企業が、情報セキュリティ対策に取り組む姿勢をまず自社の宣言として示したい。この目的に合う制度はどれか。
- A：プライバシーマーク制度
- B：ISMS適合性評価制度
- C：情報セキュリティ監査制度
- D：SECURITY ACTION
【第19問：正解と解説】
正解：D
・A
プライバシーマークは個人情報保護の体制を第三者が審査・認証する制度であり、自己宣言ではない。
・B
ISMS適合性評価制度は第三者認証であり、構築と審査に相応の準備が必要になる。
・C
情報セキュリティ監査制度は監査の枠組みであり、取組みの宣言の制度ではない。
・D
正しい。SECURITY ACTIONは中小企業向けの自己宣言制度であり、第三者審査なしに取組みを宣言できる。
重要度：C
問20：情報セキュリティガバナンスに関する経営陣と実務部門の関係として、最も適切なものはどれか。
- A：経営陣が方向性を示し、実務部門が対策を実施して結果を経営陣へ報告する
- B：全社のリスク許容の考え方を、経営陣へ報告しないまま実務部門の判断で決定する
- C：経営陣は情報セキュリティを技術課題とみなし、監督や資源配分を行わない。
- D：方針と実施結果の関係は確認せず、各部門が独立に対策の内容を決める
【第20問：正解と解説】
正解：A
・A
正しい。経営陣は方向付けと監督を行い、実務部門は方針に沿って実施し、結果や課題を報告することで、ガバナンスとマネジメントを連携させる。
・B
リスク許容の水準は経営の判断事項であり、実務部門だけで決めると統治が働かない。
・C
情報セキュリティは事業リスクであり、経営陣の関与と資源配分が必要である。
・D
方針と結果を突き合わせなければ、経営の方向付けが実務に反映されているか分からない。
コメント