平成30年度秋期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25：Webシステムの保証業務は、誰が何を担当するの？

この問題は、Webシステムのセキュリティを『外部の人にチェックしてもらう場面』をイメージすると分かりやすいよ。たとえるなら、お店の衛生状態を外部の検査員が確認するようなものだね。実際にチェックする人は外部監査人、セキュリティに責任を持つのはその会社の経営者、そして報告書を見て安心材料にするのはWebシステムの利用者だよ。

この問題で問われていること

ポイントは、保証業務に出てくる三当事者の役割を取り違えないことだよ。『チェックする人』と『責任を持つ人』は別物。外部監査人は保証業務を実施する人で、セキュリティそのものの責任者は企業の経営者だと整理しよう。

三当事者

保証する人、保証対象に責任を持つ人、報告を利用する人の 3 者を切り分けるのが保証業務の基本です。

実施者: 外部監査人\n責任者: 企業経営者\n想定利用者: Web システム利用者

確認ポイント

• 外部監査人は責任者ではなく実施者です。
• 企業経営者が保証報告書の主たる想定利用者ではありません。
• C の組合せを選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。Webシステム利用者は、合鍵の管理を点検する人ではなく、「この家は安全かな？」と結果を知りたい側だよね。外部監査人もシステムの責任者ではなく、外からチェックする人。役割が入れ替わっているので間違いだよ。

選択肢イ

不正解だよ。外部監査人がチェックする人なのは合っているけど、Webシステム利用者を責任者にしている点が違うよ。利用者はサービスを使うお客さんで、店の鍵や防犯カメラの管理責任までは負わないよね。責任者は当該企業の経営者だよ。

選択肢ウ（正解）

正解だよ。保証業務は、ざっくり言うと「お店の防犯がちゃんとしているかを、第三者が見て、お客さんに安心材料として伝える」ようなもの。調べる人は外部監査人、Webシステムの管理責任を負うのはその企業の経営者、報告書を見て安心したい人はWebシステム利用者、という組合せが自然だよ。

選択肢エ

不正解だよ。企業の経営者はWebシステムを用意して責任を負う側であって、自分で「うちは安全です」と保証する担当ではないよ。泥棒対策をした本人が自分で採点するより、外部監査人が第三者として見る必要があるんだ。