令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25

JIS Q 27001:2014（情報セキュリティマネジメントシステム―要求事項）の附属書Aにおける、システム開発に関するセキュリティ管理策についての知識を問う問題です。
システム監査において「指摘事項として記載すべきもの」とは、セキュリティ上の問題点や改善すべき不適切な運用を指します。

ソフトウェア開発においては、開発の初期段階からセキュリティを考慮し、ライフサイクル全体を通じて継続的にテストや見直しを行うことが重要です。セキュリティ機能の試験を開発期間が終了した後にまとめて実施すると、脆弱性などの問題が発覚した際の手戻りが大きくなり、適切な対応が困難になるリスクがあります。したがって、開発期間終了後にのみ試験を実施している状況は不適切であり、指摘事項となります。

各選択肢の解説

• ア：正解。セキュリティ機能の試験は開発プロセス全体に組み込んで実施すべきであり、「開発期間が終了した後に実施している」という状況は不適切であるため、監査の指摘事項となります。
• イ：誤り。セキュリティ確保に配慮した開発環境において開発を行うことは、安全なソフトウェアを開発するための適切な取り組みです。
• ウ：誤り。外部委託を行う際、委託先による開発活動の監督・監視においてセキュリティ確保の観点を考慮することは、情報漏えいや不正プログラムの混入などを防ぐための適切な取り組みです。
• エ：誤り。パッケージソフトウェアを活用する場合、不必要な変更（カスタマイズ）を加えることは新たな脆弱性を生み出す原因やアップデートの妨げとなるため、変更を必要な範囲に限定することはセキュリティ確保の観点から適切な取り組みです。