令和3年度秋期 情報処理安全確保支援士 午前Ⅰ 問12

午前I 問12：出荷した後も直せる仕組みを用意しよう

製品を出したら終わりではなく、あとから脆弱性が見つかったり、機能をよくしたくなったりすることがあるよ。だから、スマホアプリの更新みたいに、出荷後でもアップデートできる方法を考えて、その仕組みを実装し、継続して運用していくことが大事なんだ。

この問題で問われていること

出荷前に『どんな情報を整理するか』『誰が対応する体制にするか』を決める話と、出荷後に『実際に更新・修正し続ける仕組みをどう保つか』という話を区別できるかがポイントだよ。

Post-release Security Maintenance

keep devices safe after release by enabling and executing updates

update method\nupdate capability\nperform updates

確認ポイント

• 保護対象整理は別要点寄りです。
• 役割整理だけでは足りない。
• 出荷後維持ならアップデートを選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。集めるセンサデータや個人情報を洗い出すのは、家を建てる前に「どの部屋に貴重品を置くか」を確認するような設計段階の話。出荷後に安全を維持するためのアップデート対応とは目的が違うよ。

選択肢イ（正解）

これは正解だよ。「出荷・リリース後も安全安心な状態を維持する」は、売った後も壊れた鍵を直せるようにしておくイメージ。IoT機器に弱点が見つかったとき、アップデートで修理できる仕組みを用意して実施することが、まさにこの要点に合っているよ。

選択肢ウ

これは不正解だよ。メーカー、サービス提供者、利用者の役割を整理するのは、「玄関の鍵は誰が管理する？見回りは誰がする？」と担当を決める話。必要な準備ではあるけれど、この問題のポイントである「リリース後も安全を保つために更新する」という対策例そのものではないよ。

選択肢エ

これは不正解だよ。PDCAやリスク認識、体制づくりは、会社全体で防犯ルールを作るような話。大事ではあるけれど、この問題が聞いている「出荷後も安全を保つための具体策」、つまり売った後に機器をアップデートして守る話とは少しズレているよ。