PMプロジェクトマネージャ試験午後Ⅱ

平成25年度春期プロジェクトマネージャ午後Ⅱ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

システム開発業務における情報セキュリティの確保についてプロジェクトマネージャ（PM）は、システム開発プロジェクトの遂行段階における情報セキュリティの確保のために、個人情報、営業や財務に関する情報などに対する情報漏えい、改ざん、不正アクセスなどのリスクに対応しなければならない。 PMは、プロジェクト開始に当たって、次に示すような、開発業務における情報セキュリティ上のリスクを特定する。・データ移行の際に、個人情報を開発環境に取り込んで加工してから新システムに移行する場合、情報漏えいや改ざんのリスクがある・接続確認テストの際に、稼働中のシステムの財務情報を参照する場合、不正アクセスのリスクがある PMは、特定したリスクを分析し評価した上で、リスクに対応するために、技術面の予防策だけでなく運営面の予防策も立案する。運営面の予防策では、個人情報の取扱時の役割分担や管理ルールを定めたり、財務情報の参照時の承認手続や作業手順を定めたりする。立案した予防策は、メンバに周知する。 PMは、プロジェクトのメンバが、プロジェクトの遂行中に予防策を遵守していることを確認するためのモニタリングの仕組みを設ける。問題が発見された場合には、原因を究明して対処しなければならない。あなたの経験と考えに基づいて、設問ア〜ウに従って論述せよ。設問アあなたが携わったシステム開発プロジェクトのプロジェクトとしての特徴、情報セキュリティ上のリスクが特定された開発業務及び特定されたリスクについて、800字以内で述べよ。設問イ設問アで述べたリスクに対してどのような運営面の予防策をどのように立案したか。また、立案した予防策をどのようにメンバに周知したか。重要と考えた点を中心に、800字以上1、600字以内で具体的に述べよ。設問ウ設問イで述べた予防策をメンバが遵守していることを確認するためのモニタリングの仕組み、及び発見された問題とその対処について、600字以上1、200字以内で具体的に述べよ。

解き方のヒントを見る

検討する対象の範囲をそろえる

情報セキュリティに関する検討では、まず何を対象として考えるのか、その範囲をそろえましょう。同じ言葉でも扱う範囲が異なることがあるため、与えられた条件との対応を確かめながら整理することが大切です。

この問題で問われていること

検討の際は、考えている内容の対象範囲が、与えられた条件とそろっているかを確認しましょう。言葉の印象だけで範囲を広げたり狭めたりせず、条件から読み取れる範囲を保って考えることが手掛かりになります。

視点

対象範囲とは、今の検討で何を扱うかという区切りです。考えを整理するときは、その区切りを途中で変えていないかに目を向けましょう。

確認ポイント

何を対象として考えているかを意識できているか
条件にない範囲まで考えを広げていないか
検討の途中で対象範囲が変わっていないか

正解と解説を見る

解説

本問では、開発業務で特定した情報セキュリティ上のリスクに対して、運営面の予防策の立案と周知、遵守確認の仕組み、発見した問題と対処を、一貫した具体的な論述として示すことが求められます。

問題の全体像

本問は、自分が携わったシステム開発プロジェクトを題材に、PMとして情報セキュリティをどのように確保したかを論述する問題です。問題文は、個人情報を開発環境で加工するデータ移行や、稼働中のシステムの財務情報を参照する接続確認テストを、リスクが生じる開発業務の例として挙げています。添付資料の問1には答案例ではなく出題趣旨が示されており、特定したリスクに対する運営面の予防策の立案と周知、遵守確認のためのモニタリング、発見した問題と対処を具体的に論述することが求められています。設問アで示したリスクに設問イの予防策が対応し、その予防策を設問ウで確認するというつながりを明確にします。複数のリスクを比較することは、明示された必須要件ではありません。

設問ア

着目するのは、「プロジェクトとしての特徴」「リスクが特定された開発業務」「特定されたリスク」の三点です。800字以内で、後続の予防策を理解するために必要なプロジェクトの特徴を示し、どの業務で、どの情報を、どのように扱うために、どのようなリスクがあると判断したかを説明します。例えば、問題文のデータ移行の例では、個人情報を開発環境に取り込んで加工する業務と、情報漏えいや改ざんのリスクが対応しています。このように業務とリスクの関係を具体化することが、設問イで予防策を論じる土台になります。採点講評では、システムの機能概要、受注の経緯、自分の経歴などの説明に終始し、問われたプロジェクトの特徴又は概要を適切に論述していない答案が指摘されています。背景説明を広げすぎず、リスクに関係する特徴と業務を中心にまとめます。

設問イ

「設問アで述べたリスクに対して」という指定を起点に、運営面の予防策の内容、立案の過程、メンバへの周知方法を、800字以上1、600字以内で具体的に述べます。問題文が挙げる役割分担、管理ルール、承認手続、作業手順に着目し、自分の事例では誰が何を行い、どのような手続やルールによってリスクを予防するようにしたかを説明します。さらに、その方法を選んだ理由や重要と考えた点を、対象業務の特徴と結び付けます。周知についても、単に「周知した」と書くだけでなく、誰に、何を、どのような方法で伝えたかを示します。字数内では、リスクとの対応、予防策の具体的内容、立案理由、周知の実施内容に記述を配分します。採点講評では、特定したリスクに対する運営面の予防策が不明確な論述や、運営面とは関係のない予防策の論述が指摘されています。技術的な機能の説明だけで終わらず、人や手続の運営を明確にすることが要点です。

設問ウ

着目するのは、「設問イで述べた予防策をメンバが遵守していることを確認する」というモニタリングの目的と、「発見された問題とその対処」です。600字以上1、200字以内で、設問イのどのルールや手続を対象に、誰が、いつ、何を確認する仕組みを設けたかを説明します。確認に用いた記録や実施状況を示すと、予防策の遵守をどう判断したかが具体的になります。続けて、確認によって発見した問題、その原因、原因を踏まえた対処を記述します。問題文には、問題が発見された場合に原因を究明して対処することが明示されているため、違反や不備を発見した事実だけで終わらせないことが大切です。字数内では、確認の仕組みと、問題・原因・対処の説明を中心にまとめます。採点講評では、モニタリングの仕組みや発見された問題と対処について具体的な論述が多かったとされています。自分の答案でも、設問イの予防策と確認対象が対応し、発見した問題に対処が結び付くように記述します。

学習のポイント

技術面と運営面の予防策を区別し、リスクから予防策、周知、遵守確認、問題への対処までの対応関係を説明する練習が重点です。

出典：独立行政法人情報処理推進機構（IPA）平成25年度春期プロジェクトマネージャ試験午後Ⅱ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成25年度春期 プロジェクトマネージャ 午後Ⅱ 問1

問題