令和3年度秋期 システム監査技術者 午前Ⅰ 問12

出荷後対策を考える視点

IoT機器を出荷した後の安全性を検討するときは、導入後も状態を把握し、変化に応じて見直せるか、関係者が継続して管理できるかという運用全体の観点に注目します。

この問題で問われていること

選択肢を比べる際は、出荷時点の対策だけでなく、利用開始後に発生し得る変化を把握し、必要な対応へつなげる考え方が含まれているか、長期的な運用を意識して確認します。

視点

出荷後のセキュリティは、導入時の準備だけで終わらせず、運用中の状態を継続的に確認し、状況の変化を次の対応へ反映するという枠組みで整理します。

確認ポイント

• 利用開始後も状態を確認し続ける観点があるか。
• 変化を把握した後の見直しにつながるか。
• 単発の対応ではなく継続的な管理として読めるか。

正解

イ

解説

要点17は、IoT機器やシステムを出荷・リリースした後も、安全安心な状態を維持するための継続的な対策を扱う。アップデートに関する準備と実施が該当する。

理由

出荷後も安全安心な状態を維持するには、脆弱性や環境変化に対応できるよう、IoT機器のアップデート方法を検討し、必要な機能を搭載して、実際にアップデートを実施できることが重要です。したがって、該当するのはイです。

比較

アは保護すべきデータの洗い出し、ウは関係者の役割整理、エは組織的なリスク管理体制に関する対策です。いずれも重要なセキュリティ対策だが、設問の要点17が直接扱う出荷後の継続的な更新運用とは異なる。

選択肢ア

これは不正解だよ。センサデータや個人情報などを洗い出し、保護すべきデータを特定する内容は、守る対象となる情報を明確にする対策である。出荷・リリース後に機器の安全状態を維持するための更新運用を直接示したものではない。

選択肢イ（正解）

これは正解だよ。アップデート方法を検討し、機器に更新機能を搭載し、実際にアップデートを実施する内容は、出荷・リリース後も安全な状態を維持するための継続的な対策に当たる。要点17の趣旨と一致する。

選択肢ウ

これは不正解だよ。機器メーカ、システムやサービスの提供者、利用者の役割を整理する内容は、関係者間の責任分担を明確にする対策である。出荷後の安全状態を保つためのアップデートそのものを示す内容ではない。

選択肢エ

これは不正解だよ。PDCAサイクルの実施やリスク認識、対策を行う体制の構築は、組織として継続的に管理するための対策である。重要な内容ではあるが、設問が問う出荷後の更新機能や実施方法に直接対応していない。

学習のポイント

IoTセキュリティでは、出荷後の脆弱性対応と更新運用を継続する視点が重要です。