平成30年度秋期 情報処理安全確保支援士 午前Ⅱ 問24

午前II 問24：セキュリティに影響する変更かを見抜こう

JIS Q 20000-1:2012 の情報セキュリティ管理プロセスでは、システムや運用の変更要求が出たときに、「その変更でセキュリティ方針や管理策に悪い影響が出ないかな？」と事前に確認することが求められているよ。たとえば、家の鍵を新しいものに替えるときに、防犯ルールや合鍵の管理方法まで影響しないかチェックするイメージだよ。

この問題で問われていること

この問題で見たいのは、CMDBの管理や予防処置、変更を受け入れる一般的な話ではなく、「情報セキュリティ管理プロセスならではの要求事項」を選べるかどうかだよ。変更要求がセキュリティ基本方針や管理策にどんな影響を与えるかを評価する、という点に注目しよう。

変更要求の評価

変更は利便性だけでなく管理策への影響も生むため、情報セキュリティ観点の影響評価が必要になる。

変更要求\n-> 基本方針・管理策への影響評価

確認ポイント

• CMDB 原本管理の話が中心ではありません。
• 予防処置や技術的実現可能性評価の一般論と切り分ける。
• 情報セキュリティ方針・管理策への影響評価を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。原本を安全な保管庫で守る話は、たとえるなら「家の設計図や合鍵を金庫にしまう」ような管理の話だね。大事ではあるけれど、この問題で聞かれている情報セキュリティ管理プロセスそのものの要求ではなく、構成管理寄りの内容なんだ。

選択肢イ

これは不正解だよ。潜在的な問題を減らすために予防処置をとるのは、たとえるなら「雨漏りしそうな屋根を、壊れる前に直しておく」ような問題管理の話だね。トラブル予防としては正しい考え方だけど、この問題の情報セキュリティ管理プロセスの要求事項ではないんだ。

選択肢ウ（正解）

これは正解だよ。システム変更をするときに、会社のセキュリティルールや対策に悪影響がないか確認する、という内容だね。たとえるなら「家の玄関を改造する前に、鍵や防犯カメラの効き目が弱くならないかチェックする」感じ。変更によって新しい穴ができないかを見るのが、情報セキュリティ管理として求められているんだ。

選択肢エ

これは不正解だよ。変更を受け入れるかを、リスク・商売上のメリット・技術的にできるかで判断するのは、たとえるなら「お店の改装をする前に、費用や効果や工事できるかを窓口で審査する」ような変更管理の話だね。セキュリティの影響評価そのものを聞いている問題なので、主役が少し違うんだ。