平成28年度春期 情報処理安全確保支援士 午前Ⅱ 問24

午前II 問24：変更するときは、セキュリティへの影響を先に確認しよう

情報セキュリティ管理で大事なのは、変更要求が来たときに「この変更を入れたら、今あるセキュリティ方針や対策に影響しないかな？」と事前にチェックすることだよ。たとえば、家の鍵を新しくする前に、防犯全体に問題が出ないか確認するイメージだね。CMDBの原本を保管する話や、ただ一般的に事故を防ごうという話ではないよ。

この問題で問われていること

ITサービスマネジメントの要求事項を、変更管理と情報セキュリティ管理のつながりで読めるかがポイントだよ。変更は便利に見えても、セキュリティ設定や管理策に影響することがあるから、実施前に評価する必要があるんだ。

Security Impact Assessment in ITSM

JIS Q 20000-1 requires assessing how change requests may affect information security policy and controls

evaluate change request\ncheck effect on security policy\ncheck effect on controls\nrequired by JIS Q 20000-1

確認ポイント

• 変更要求の影響評価に注目する。
• 方針と管理策への影響を見る。
• 他プロセスの要求と混同しない。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。CIの原本を安全な書庫で管理する話は、たとえるなら「お店の商品の台帳や予備キーを金庫にしまう」ような構成管理の話なんだ。問題で聞かれている情報セキュリティ管理は、「泥棒に入られないルールや対策をどう守るか」の話なので、少し担当が違うよ。

選択肢イ

これは不正解だよ。潜在的な問題を減らすために予防処置をとる話は、たとえるなら「水漏れしそうな配管を、壊れる前に直しておく」ような問題管理の話だよ。大事な対策ではあるけれど、問題で聞かれている情報セキュリティ管理の説明ではないんだ。

選択肢ウ（正解）

これは正解だよ。変更要求が情報セキュリティ基本方針や管理策に与える影響を評価する、というのは、たとえるなら「新しい出入口を作る前に、防犯ルールや鍵の管理に問題が出ないか確認する」ことなんだ。セキュリティの方針や対策への影響を見ているので、情報セキュリティ管理の要求事項に合っているよ。

選択肢エ

これは不正解だよ。変更要求を受け入れるかどうかを、リスク・事業利益・技術的にできるかで判断するのは、たとえるなら「店の改装をする前に、費用や危険や本当に工事できるかを窓口で審査する」ような変更管理の話だよ。情報セキュリティ管理そのものを直接説明しているわけではないんだ。