令和5年度春期 ITストラテジスト 午後Ⅱ 問2

リスク対応方針を考える視点

個別システム化計画のリスク対応を考えるときは、想定される影響の大きさと発生時の対応優先度を整理し、関係者間で判断の基準をそろえることに注目します。計画の目的との整合も確認しましょう。

この問題で問われていること

一つの観点として、リスクが現実化した場合に業務や利用者へ及ぶ影響を見積もり、対応の優先順位をどのように定めるかを、計画全体との関係から確認してください。判断理由を一貫して説明できるかも見ます。

視点

リスクを挙げるだけでなく、影響範囲、受け入れ可能な水準、対応に必要な資源や時期を同じ基準で見比べます。そのうえで、計画上の判断として一貫して説明できるかを確認します。

確認ポイント

• 影響の大きさを判断する基準が、対象業務や利用者の観点で整理されているか。
• 対応の優先順位を決める際に、時期や資源など計画上の制約を考慮しているか。
• 関係者が同じ前提で判断でき、方針として説明可能な形になっているか。

解説

本問は、個別システム化計画を対象に、事業や顧客、サービスの特性を踏まえてインシデントと影響を想定し、予防策と発生時対策から成るシステムリスク対応方針を立案・提案する力を問う。

問題の全体像

顧客の生活や企業活動を支えるサービスでは、故障による停止、人為的ミス、サイバー攻撃による情報漏えいなどへの備えが重要になる。問題文は、対象サービスと個別システムの概要を示した上で、事業特性や社外事例も踏まえて社会・自社経営へのインパクトを想定し、その大きさに応じた予防策と発生時対策を立案する流れを求めている。さらに、施策の準備・実行・維持や組織体制強化の費用、対応方針の効果を整理し、事業部門と経営層に提案して承認を得ることまでが論述の範囲です。公式出題趣旨でも、対象システムのインシデント、社会や自社経営へのインパクト、予防策と発生時対策を具体的に論述させ、構想力・分析力・洞察力を評価すると示されている。

設問ア

まず、設問イと設問ウで扱う対象を明確にするため、実際に携わった個別システム化計画について、提供するサービス、利用者、システムの主要な機能や構成、計画の目的を示します。単なるシステム紹介ではなく、停止が許される時間、扱う情報の重要度、利用者や取引先への影響、業務の時間帯や規模など、そのサービス固有の事業特性を800字以内で押さえることが重要です。後続設問でインシデントや対策の妥当性を説明できるよう、なぜ安定提供や情報保護が重要なのかを概要の中で明確にする。

設問イ

設問アのシステムについて、まず想定したインシデントを具体化し、それによって顧客、社会、業務、売上、信用、法令・契約などにどのようなインパクトが生じるかを示します。その上で、影響の大きさや許容される停止時間に対応させて、発生を抑える予防策と、発生後の影響を抑え復旧する発生時対策を整理する。問題文にある冗長性確保、認証・認可の厳格化、顧客・社内への緊急連絡、リカバリ訓練は方向性の例であり、答案では自分の事例に即して対象、実施方法、役割分担、運用方法まで具体化する。さらに、社外事例の参照、関連部門との協議、費用と効果の比較、優先順位付けなど、立案時の工夫をインシデントと対策のつながりが分かるように述べる。800字以上1、600字以内なので、背景説明に偏らず、インシデント、インパクト、予防策、発生時対策、工夫を一連の流れで配分する。

設問ウ

設問イの方針を実行可能なものにするため、事業部門と経営層に何をどのような根拠で提案し、どのように承認を得たかを述べる。事業部門には業務影響、顧客対応、運用負荷、現場の役割など、経営層には経営インパクト、費用、投資効果、リスク受容の判断材料など、相手に応じた説明内容を示すとよい。承認までの過程では、施策費用だけでなく、準備・実行・維持や体制強化に必要な費用、対応によって低減できる影響、実施時期や優先順位を具体化する。さらに、両者から受けた指摘を受けて、対策範囲、費用、目標水準、運用体制、訓練計画などをどのように改善したかを示すことが重要です。採点講評では、インシデントが社会や自社経営に与えるインパクトの具体性、対応方針の効果の検討、事業部門と経営層への提案・承認に関する分析力や評価力が重視されている。

学習のポイント

リスク、影響、対策、費用、効果、承認を一貫した事例として具体化する力を養う。