I85PREP
⌘ K
Registered Information Security Specialist Examination study materials
Registered Information Security Specialist Examination study resources

Registered Information Security Specialist Examination practice questions

One question at a time. Build your Registered Information Security Specialist Examination understanding.

First 50 of 200 questions. Each one lists the choices, the correct answer, and an explanation. The checker at the top of this page saves progress in this browser when it is available.

Continue in the practice tool above to load more questions, 50 at a time.

Question 1情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

情報セキュリティ方針を策定する際の記述として、最も適切なものはどれか。

  1. 技術的な詳細を中心に、一般従業員には難解な表現で記載する
  2. 経営陣の承認を得て、組織全体に周知し、定期的に見直す Correct answer.
  3. 情報システム部門だけで策定し、他部門には公開しない
  4. 一度策定したら、事業環境が変わっても改訂しない

Explanation

情報セキュリティ方針は経営陣のコミットメントを示す最上位の文書であり、承認を得て組織全体に周知することが求められる。事業環境やリスクの変化に応じて定期的に見直す運用も規格上重要である。

Question 2情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントにおけるリスクの算定方法として、定性的アプローチの特徴はどれか。

  1. 評価者の主観を完全に排除できる
  2. 損害額を金額で厳密に算出して優先順位を決める
  3. 過去の事故データが十分に揃っている場合にのみ使う
  4. 発生可能性と影響度を段階的な尺度で評価する Correct answer.

Explanation

定性的アプローチは、発生可能性や影響度を「高・中・低」などの段階的尺度で評価する手法で、データが乏しい場合でも適用しやすい。金額換算を前提としないため、相対的な優先順位付けに向く。

Question 3情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク対応のうち「リスク回避」に該当するものはどれか。

  1. 外部の専門事業者に業務を委託する
  2. リスクを許容範囲と判断して対策を講じない
  3. 危険な業務自体を中止してリスクの源泉をなくす Correct answer.
  4. 保険に加入して損失の補填に備える

Explanation

リスク回避は、リスクを生む活動そのものを中止・変更することでリスクの源泉を除去する対応である。他の対応とは異なり、リスクの発生源を残さない点が特徴となる。

Question 4情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

JIS Q 27001において、リスク対応計画を策定する際に求められる事項として適切なものはどれか。

  1. すべてのリスクに同一の対策を適用する
  2. リスク対応の承認を現場の担当者だけで行う
  3. リスク対応の責任者と実施期限を定める Correct answer.
  4. 残留リスクを必ずゼロにすることを明記する

Explanation

リスク対応計画には、選択した対応策、その実施責任者、実施期限、および残留リスクの評価などを明確にすることが求められる。責任者と期限を定めることで実行性が確保される。

Question 5情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク基準（リスクを受容するかどうかの判断基準）を定める目的として、最も適切なものはどれか。

  1. すべてのリスクを必ず低減させることを義務付ける
  2. リスク評価の結果に基づく対応の要否を一貫して判断する Correct answer.
  3. 対策費用を無制限に認める根拠とする
  4. リスクの存在を組織内で共有しないようにする

Explanation

リスク基準は、どの水準のリスクなら受容可能かをあらかじめ定めることで、リスク対応の要否を一貫した判断で行えるようにする。評価のばらつきを抑え、経営判断の透明性を高める役割を持つ。

Question 6情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

情報セキュリティ諸規程の体系において、上位に位置する方針を具体化し、対象領域ごとの遵守事項を示す文書はどれか。

  1. 情報セキュリティ対策基準 Correct answer.
  2. 事業継続計画
  3. 情報セキュリティ方針
  4. 情報セキュリティ実施手順

Explanation

対策基準は、方針で示した基本方針を具体化し、対象領域ごとに守るべき基準や要求事項を定める文書である。方針と実施手順の中間に位置し、規程体系の階層をなす。

Question 7情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントを実施する際の資産の特定方法として、最も適切なものはどれか。

  1. サーバ機器のみを対象とし、紙媒体は除外する
  2. 情報資産だけでなく、それを支える設備や人も含めて洗い出す Correct answer.
  3. 外部に公開している情報だけを対象とする
  4. 資産の洗い出しは一度行えば更新しない

Explanation

資産の特定では、情報そのものに加え、情報を格納する媒体、処理するシステム、支える設備や要員なども含めて洗い出す必要がある。資産の範囲を狭めると、リスクの見落としにつながる。

Question 8情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク対応の一つである「リスク移転」の例として最も適切なものはどれか。

  1. アクセス権限を最小限に制限する
  2. サイバー保険に加入する Correct answer.
  3. リスクの高いサービスを廃止する
  4. 重要データを暗号化して保存する

Explanation

リスク移転は、保険や契約などによってリスクの財務的影響を第三者に移す対応である。サイバー保険への加入はその代表例であり、損失の補填を保険会社に委ねる。

Question 9情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクコミュニケーションの活動として、最も適切なものはどれか。

  1. リスクの存在を担当者だけが把握する
  2. リスク評価の結果を経営層や関係部門と共有し協議する Correct answer.
  3. 評価結果を社外に一切公開しない
  4. リスク対応の決定を関係者に通知せず実行する

Explanation

リスクコミュニケーションは、リスクの評価結果や対応方針を関係者間で共有し、相互に協議する活動である。これにより関係者の理解と協力を得て、対応の実効性を高める。

Question 10情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントの手法のうち、専門家の知識や経験に基づいてリスク要因を洗い出す手法はどれか。

  1. シナリオ分析
  2. デルファイ法
  3. チェックリスト法
  4. ブレーンストーミング Correct answer.

Explanation

ブレーンストーミングは、参加者の知識や経験を持ち寄り、自由な発想でリスク要因を幅広く洗い出す手法である。多様な視点を取り入れやすい反面、参加者の力量に結果が左右される面もある。

Question 11情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

情報セキュリティ方針を組織内に浸透させるための取組みとして、最も適切なものはどれか。

  1. 入社時や定期的な教育を通じて方針を周知する Correct answer.
  2. 方針をサーバ内に保存するだけで周知は行わない
  3. 方針の内容を技術者にだけ説明する
  4. 方針を策定した経営層のみが内容を理解しておけばよい

Explanation

方針を浸透させるには、入社時の教育や定期的な研修などを通じて全従業員に周知し、理解を促す必要がある。周知の仕組みを運用に組み込むことで、遵守意識の定着が図られる。

Question 12情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク対応策を選定する際に考慮すべき事項として、最も適切なものはどれか。

  1. 対策の費用と得られる効果のバランスを考慮する Correct answer.
  2. 残留リスクの大きさは無視する
  3. 対策の実施時期は考慮しない
  4. 最も高価な対策を常に優先する

Explanation

リスク対応策の選定では、対策に要する費用と低減されるリスクの大きさを比較し、費用対効果を考慮することが重要である。あわせて実施後の残留リスクの評価も行う。

Question 13情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクの大きさを「発生可能性」と「影響度」の二つの要素で評価する理由として、最も適切なものはどれか。

  1. 評価の手間をなくすため
  2. リスクの特性を多面的に捉えて優先順位を付けるため Correct answer.
  3. すべてのリスクを同じ大きさとみなすため
  4. 影響度だけでは評価が複雑になるのを避けるため

Explanation

リスクは発生しやすさと発生時の影響の両面で決まるため、二つの要素を組み合わせて評価することで特性を多面的に捉えられる。その結果、対応の優先順位を合理的に付けられる。

Question 14情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

情報セキュリティ規程の見直しを行う契機として、最も適切なものはどれか。

  1. 外部からの指摘があったときだけ
  2. 組織の業務内容やシステム構成が大きく変化したとき Correct answer.
  3. 特に契機を設けず思いついたときのみ
  4. 規程を策定した翌日

Explanation

規程は、業務内容の変更やシステム構成の変化、法規制の改正など、前提条件が変わったときに見直す必要がある。あわせて定期的なレビューの機会を設けることが望ましい。

Question 15情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントにおいて、脅威と脆弱性の関係の説明として最も適切なものはどれか。

  1. 脆弱性とは脅威が現実化する可能性を高める要因である Correct answer.
  2. 脅威が存在しても脆弱性がなければリスクは生じない
  3. 脆弱性とは外部からの攻撃者のことを指す
  4. 脅威とは組織が保有する情報資産そのものを指す

Explanation

脆弱性は、資産に備わる弱点であり、脅威がこれを突くことでリスクが顕在化する。脆弱性が大きいほど、脅威が現実化する可能性や影響が高まる。

Question 16情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

残余リスクの取扱いとして、最も適切なものはどれか。

  1. 経営陣が受容の可否を判断し、必要に応じて追加対策を検討する Correct answer.
  2. 担当者が独断で受容を決めて記録しない
  3. 残余リスクが大きければ対策をすべて中止する
  4. 残余リスクは常に存在しないものとして扱う

Explanation

対策実施後に残る残余リスクは、組織のリスク基準に照らして受容可能かを経営陣が判断する。受容できない場合は追加の対応策を検討し、判断の記録を残すことが重要である。

Question 17情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

情報セキュリティ方針に盛り込む内容として、最も適切なものはどれか。

  1. 情報セキュリティに対する経営陣のコミットメントと基本方針 Correct answer.
  2. 個々のサーバの設定手順の詳細
  3. 特定ベンダーの製品の選定理由
  4. 従業員の個別の業務分担表

Explanation

情報セキュリティ方針には、経営陣のコミットメントや組織の基本姿勢、遵守すべき原則を示す。個別の技術的手順や製品選定などは下位の文書で定める。

Question 18情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク対応の優先順位を決める際の考え方として、最も適切なものはどれか。

  1. すべてのリスクを同時に対策する
  2. 優先順位は評価者の気分で決める
  3. リスクの大きさと対応の実現性を踏まえて順位を付ける Correct answer.
  4. 対応が容易なものだけを先に対策し、大きなリスクは後回しにする

Explanation

リスク対応の優先順位は、評価したリスクの大きさに加え、対策の実現性や費用対効果を踏まえて決定する。大きなリスクを適切に優先することが組織の被害を抑える。

Question 19情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

ベースラインアプローチによるリスク対応の説明として、最も適切なものはどれか。

  1. 外部監査の指摘に従ってのみ対策を決める
  2. 個々のリスクを詳細に分析して対策を決める
  3. リスクの分析を一切行わずに対策を決める
  4. あらかじめ定めた標準的な対策群をすべての対象に適用する Correct answer.

Explanation

ベースラインアプローチは、一般的に有効とされる標準的な対策群をあらかじめ定め、対象全体に適用する手法である。効率的に一定水準の対策を確保できるが、個別リスクへの適合は別途確認が必要となる。

Question 20情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントを定期的に実施する理由として、最も適切なものはどれか。

  1. 一度評価したリスクは変化しないため
  2. 新たな脅威や環境の変化に応じてリスクが変わるため Correct answer.
  3. 評価の記録を残さないため
  4. 評価者を毎回変更するため

Explanation

脅威や脆弱性、業務環境は時間とともに変化するため、リスクの大きさも変動する。定期的なリスクアセスメントにより、変化を反映した適切な対応を維持できる。

Question 21情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

情報セキュリティ対策基準を策定する際の方針として、最も適切なものはどれか。

  1. 方針で示した要求を実現するための具体的な遵守事項を定める Correct answer.
  2. 対策基準には技術的な設定値のみを記載する
  3. 方針と矛盾する内容であっても現場の判断を優先する
  4. 対策基準は経営層に知らせずに策定する

Explanation

対策基準は上位の方針を具体化し、要求を実現するために守るべき事項を定める文書である。方針との整合性を保ち、下位の実施手順へつなげる役割を持つ。

Question 22情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク対応の結果を記録する目的として、最も適切なものはどれか。

  1. 監査の場で記録を提示しないようにする
  2. 対応の根拠を残し、後の見直しや説明責任に役立てる Correct answer.
  3. 記録の作成自体を目的化する
  4. 対応の実施状況を把握しないようにする

Explanation

リスク対応の決定と根拠を記録しておくことで、後の見直しや監査、利害関係者への説明に活用できる。記録は説明責任を果たすための基礎となる。

Question 23情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

ある組織で、顧客情報を扱うシステムのリスクを評価したところ、発生可能性は低いが影響度が極めて大きいと判定された。このリスクへの対応方針として最も適切なものはどれか。

  1. リスクの評価結果を破棄する
  2. 影響度は考慮せず発生可能性だけで判断する
  3. 発生可能性が低いため対策を講じず容認する
  4. 影響度の大きさを踏まえ、低減策や移転策を検討する Correct answer.

Explanation

発生可能性が低くても影響度が極めて大きいリスクは、ひとたび顕在化すると甚大な被害をもたらすため、低減策や保険などによる移転策を検討すべきである。二つの要素を総合して判断することが重要となる。

Question 24情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントの結果、複数の部署で共通するリスクが確認された。組織全体としての対応として最も適切なものはどれか。

  1. 全社的な対策基準を定め、部署間で整合した対応を図る Correct answer.
  2. 最もリスクの小さい部署の判断に全社が従う
  3. 各部署が個別に異なる対策を講じ、情報共有しない
  4. 共通リスクは存在しないものとして扱う

Explanation

複数部署に共通するリスクは、全社的な対策基準を定めて整合した対応を図ることで、対策の抜けや重複を防げる。組織全体のリスクマネジメントとして効率的かつ一貫した対応が可能となる。

Question 25情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

情報セキュリティ方針の承認者として、最も適切なものはどれか。

  1. 外部のシステムベンダー
  2. 現場の運用担当者
  3. 経営陣（最高経営責任者など） Correct answer.
  4. 情報システム部門の担当者

Explanation

情報セキュリティ方針は組織の基本姿勢を示す最上位文書であり、経営陣の承認を得ることで組織全体への適用が明確になる。経営陣のコミットメントを示すことが重要である。

Question 26情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

組織が情報セキュリティマネジメントシステムを運用する際、規程類の最上位に位置し、経営陣のコミットメントを示す文書として最も適切なものはどれか。

  1. 情報セキュリティ方針 Correct answer.
  2. 情報セキュリティ実施手順
  3. 情報セキュリティ対策基準
  4. 情報セキュリティ点検表

Explanation

情報セキュリティ方針は規程体系の最上位に位置し、経営陣が情報セキュリティに対する基本姿勢と方向性を示す文書である。下位の対策基準や実施手順は、この方針を受けて具体化される。

Question 27情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントにおいて、情報資産の価値を評価する際の考え方として最も適切なものはどれか。

  1. 資産が導入されてからの経過年数で評価する
  2. 資産の購入金額や帳簿価額のみで評価する
  3. 資産の機密性・完全性・可用性が損なわれた場合の事業への影響の大きさで評価する Correct answer.
  4. 資産を保有する部門の人数の多さで評価する

Explanation

情報資産の価値は、機密性・完全性・可用性が損なわれたときに事業へ及ぼす影響の大きさを基準に評価するのが基本である。購入金額などの金銭的価値だけでは情報セキュリティ上の重要度を表せない。

Question 28情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク対応のうち「リスク回避」に該当するものとして最も適切なものはどれか。

  1. リスクを許容範囲内に抑えるために技術的対策を導入する
  2. リスクの原因となる業務やシステムの利用を中止する Correct answer.
  3. 保険に加入して損失の補償に備える
  4. 発生した事故の対応を外部の専門事業者に委託する

Explanation

リスク回避は、リスクの原因そのものを取り除くために業務やシステムの利用を中止する対応である。保険加入はリスク移転、対策導入による低減はリスク低減に分類される。

Question 29情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク基準を策定する目的として最も適切なものはどれか。

  1. すべてのリスクを必ず低減することを組織に義務付ける
  2. リスクアセスメントの実施者を外部の専門家に限定する
  3. 個々のリスク対応策の具体的な製品名を事前に確定する
  4. リスクの評価尺度や受容可能な水準をあらかじめ定め、対応の要否を一貫して判断できるようにする Correct answer.

Explanation

リスク基準は、リスクの評価尺度や受容可能な水準を定めることで、リスク対応の要否を組織として一貫して判断するための拠り所となる。すべてのリスクを必ず低減することを求めるものではない。

Question 30情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントの結果を経営層に報告する際の説明として最も適切なものはどれか。

  1. 技術的な詳細だけでなく、事業への影響と対応の優先順位を経営判断に資する形で示す Correct answer.
  2. 検出された脆弱性の件数のみを一覧で示す
  3. 担当者が個別に判断した対応案だけを列挙する
  4. リスクの存在を伏せて対策の予算だけを要求する

Explanation

経営層への報告では、リスクが事業に及ぼす影響と対応の優先順位を示し、経営判断に必要な情報を提供することが求められる。技術的詳細のみでは経営層が意思決定しにくい。

Question 31情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク対応計画を策定する際に定める項目として最も適切なものはどれか。

  1. 規程の文書番号の採番ルールのみ
  2. リスクアセスメントの実施回数のみ
  3. 情報資産の台帳の様式のみ
  4. 対応策の内容、責任者、実施期限、必要とする資源 Correct answer.

Explanation

リスク対応計画には、実施する対応策の内容、責任者、実施期限、必要な資源などを定め、実行と進捗管理が可能な形にする。これにより対応の確実な実施とフォローアップが図られる。

Question 32情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

ある組織で、基幹システムの老朽化により障害発生の可能性が高まっていると評価された。リスク対応として最も適切なものはどれか。

  1. リスクの存在を認識しつつ特に対策を講じない
  2. システムの更新や冗長化を実施してリスクを低減する Correct answer.
  3. リスクの評価結果を削除して記録に残さない
  4. システムの利用を完全に停止してリスクを回避する

Explanation

老朽化による障害リスクに対しては、システムの更新や冗長化によって発生可能性や影響度を下げるリスク低減が適切である。リスクの存在を無視したり記録を削除したりすることは適切な管理ではない。

Question 33情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

情報セキュリティ諸規程を整備する際の考え方として最も適切なものはどれか。

  1. 規程は一度作成したら内容を変更しない
  2. 上位規程の方針に沿って下位規程を整合させ、全体として一貫した体系にする Correct answer.
  3. 各部門が独自に規程を作成し、相互の整合性は確認しない
  4. 規程の内容は担当者のみが把握し、他の従業員には周知しない

Explanation

諸規程は、上位の方針に沿って下位の規程を整合させ、組織全体として一貫した体系とすることが重要である。部門ごとの独自規程の乱立や周知不足は、規程の実効性を損なう。

Question 34情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントにおける「影響度」の評価対象として最も適切なものはどれか。

  1. リスクが発生する頻度の高さ
  2. リスク対応を担当する人数
  3. リスクが顕在化した場合に事業や利害関係者に生じる損害の大きさ Correct answer.
  4. 対策にかかる費用の多寡

Explanation

影響度は、リスクが顕在化したときに事業や利害関係者に生じる損害の大きさを評価するものである。発生の頻度は発生可能性として別に評価する。

Question 35情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク対応を実施した後に残る残余リスクの管理として最も適切なものはどれか。

  1. 残余リスクは存在しないものとして扱う
  2. 残余リスクが生じた場合の責任を現場の担当者に一任する
  3. 残余リスクの存在を関係者に知らせない
  4. 残余リスクの大きさを把握し、受容可能な水準にあることを確認して記録する Correct answer.

Explanation

リスク対応後にも残る残余リスクは、その大きさを把握し、リスク基準で定めた受容可能な水準にあるかを確認して記録する必要がある。受容できない場合は追加の対応を検討する。

Question 36情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントを実施する単位の設定方法として最も適切なものはどれか。

  1. 過去に事故が発生した資産のみを対象とする
  2. 業務プロセスやシステムごとに区切って実施し、評価結果を関連付けて管理する Correct answer.
  3. 担当者が任意に選んだ資産のみを対象とする
  4. 組織全体を分割せず一度に評価し、個別の分析は行わない

Explanation

リスクアセスメントは、業務プロセスやシステムなどの単位で区切って実施し、その結果を関連付けて管理することで、効率的かつ漏れのない評価ができる。対象を恣意的に限定すると重要なリスクを見落とす。

Question 37情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

情報セキュリティ方針を改訂する必要が生じる状況として最も適切なものはどれか。

  1. 事業戦略の変更や法規制の改正など、組織を取り巻く前提条件が変化したとき Correct answer.
  2. 備品の購入業者が変更されたとき
  3. 社内の会議室の配置が変更されたとき
  4. 従業員の勤務時間が変更されたとき

Explanation

情報セキュリティ方針は、事業戦略の変更や法規制の改正など、組織を取り巻く前提条件の変化に応じて見直す必要がある。日常的な設備や勤務条件の変更は方針改訂の直接の契機にはならない。

Question 38情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスク対応の一つである「リスク受容」を選択する状況として最も適切なものはどれか。

  1. リスクの大きさがリスク基準で定めた許容範囲内にあり、対策費用が効果に見合わない場合 Correct answer.
  2. リスクの大きさが許容範囲を大きく超えている場合
  3. リスクを第三者に移転できる契約を締結できる場合
  4. リスクの原因を完全に取り除くことが可能な場合

Explanation

リスク受容は、リスクの大きさがリスク基準の許容範囲内にあり、対策費用が効果に見合わないなどの理由で、あえて特段の対策を講じない選択である。許容範囲を大きく超えるリスクを受容することは適切でない。

Question 39情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

リスクアセスメントの結果を踏まえ、複数のリスク対応策の候補を比較する際の観点として最も適切なものはどれか。

  1. 担当者が以前に利用した経験があるかどうか
  2. 導入する製品の市場での知名度の高さ
  3. リスク低減の効果と導入・運用に要する費用や業務への影響のバランス Correct answer.
  4. 候補の中で最も新しい技術を採用しているかどうか

Explanation

リスク対応策は、リスク低減の効果と、導入・運用に要する費用や業務への影響とのバランスを踏まえて比較検討する。新技術や知名度、個人の経験だけを基準にすると適切な選択とならない。

Question 40情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）

情報セキュリティマネジメントシステムにおいて、リスク対応の状況をモニタリングする目的として最も適切なものはどれか。

  1. 規程の文書数を増やす
  2. リスクアセスメントの実施を不要にする
  3. 対応策が計画どおりに実施され、リスクが許容水準に保たれていることを継続的に確認する Correct answer.
  4. 対応策の費用をすべて削減する

Explanation

モニタリングは、リスク対応策が計画どおりに実施されているか、リスクが許容水準に保たれているかを継続的に確認するために行う。状況の変化を早期に捉え、必要な見直しにつなげる役割がある。

Question 41システム調達・システム開発におけるセキュリティ確保

システム調達において、発注者が情報セキュリティ要件を明確に定義するために調達仕様書に記載すべき内容として最も適切なものはどれか。

  1. セキュリティ対策の実施はベンダーの裁量に全面的に委ねる旨を明記する
  2. 遵守すべきセキュリティ基準、成果物の検収条件、脆弱性対応の責任分界を具体的に明記する Correct answer.
  3. 調達後のセキュリティ事故の責任はすべて発注者が負う旨を明記する
  4. ベンダーが採用する開発言語とフレームワークを発注者がすべて指定する

Explanation

調達仕様書には、準拠すべきセキュリティ基準、セキュリティ機能の要件、検収・受入の判定条件、インシデント対応や脆弱性修復の責任分界を具体的に記載する必要がある。これにより後工程での認識齟齬や責任の空白を防げる。技術選定の過度な指定や責任の一方的な押し付けは、品質や適切な役割分担を損なう。

Question 42システム調達・システム開発におけるセキュリティ確保

情報セキュリティの観点から、システム開発の上流工程である要件定義フェーズで行うべき活動として最も適切なものはどれか。

  1. セキュリティ要件を機能要件とともに定義し、関係者間で合意する Correct answer.
  2. 完成したシステムに対して外部のペネトレーションテストを実施する
  3. 本番稼働後のログ監視ルールを運用担当者が事後に決定する
  4. ソースコードの静的解析ツールを導入して脆弱性を検出する

Explanation

要件定義フェーズでは、業務要件や機能要件と並べてセキュリティ要件を洗い出し、関係者間で合意しておくことが重要である。上流で要件を確定させることで、後工程での手戻りを抑え、設計・実装・試験へ一貫して反映できる。ペネトレーションテストや静的解析はより後工程の活動である。

Question 43システム調達・システム開発におけるセキュリティ確保

開発を外部ベンダーに委託する場合のセキュリティ確保策として、最も適切なものはどれか。

  1. 委託先に開発を任せた後は、発注者は進捗確認だけを行えばよい
  2. 委託先のセキュリティ体制の評価は契約締結後に初めて行う
  3. 委託先の技術力のみを評価し、セキュリティ管理態勢は確認しない
  4. 契約にセキュリティ条項を盛り込み、委託先の管理態勢を事前に評価する Correct answer.

Explanation

委託開発では、契約段階で秘密保持、再委託の制限、インシデント報告義務などのセキュリティ条項を定め、委託先の管理態勢を事前に評価することが求められる。契約後の継続的なモニタリングも組み合わせることで、リスクを適切に管理できる。技術力だけの評価では管理面のリスクを見落とす。

Question 44システム調達・システム開発におけるセキュリティ確保

システム開発におけるセキュリティレビューの実施時期として、最も効果的なものはどれか。

  1. 全工程が完了し本番稼働した直後に一度だけ実施する
  2. プログラミングが完了した後にまとめて一度だけ実施する
  3. 各設計フェーズの成果物が確定するタイミングで段階的に実施する Correct answer.
  4. 契約締結の前に一度だけ実施し、以降は行わない

Explanation

セキュリティレビューは、基本設計や詳細設計など各フェーズの成果物が確定するタイミングで段階的に行うことで、設計上の脆弱性を早期に発見し、手戻りコストを抑えられる。後工程での発見は修正費用が増大し、本番稼働後の修正はさらに影響が大きい。

Question 45システム調達・システム開発におけるセキュリティ確保

開発環境と本番環境の分離に関する記述として、最も適切なものはどれか。

  1. 開発者が本番環境へ自由にアクセスできるよう権限を統一する
  2. 開発環境と本番環境を分離し、本番データの利用を必要最小限に制限する Correct answer.
  3. 開発環境には本番の個人情報をそのまま複製して保管する
  4. 環境分離はコスト増となるため、小規模開発では行わなくてよい

Explanation

開発環境と本番環境を分離し、本番データを開発環境で扱う場合はマスキング等により必要最小限に制限することが、情報漏えいリスクの低減に有効である。開発環境は本番より統制が緩くなりがちであり、安易な本番データの複製は漏えいの起点となる。アクセス権限も環境ごとに適切に分離すべきである。

Question 46システム調達・システム開発におけるセキュリティ確保

Webアプリケーション開発において、SQLインジェクション対策として設計段階で採用すべき方針はどれか。

  1. 入力値の文字種を制限せず、すべての入力をそのままSQL文に連結する
  2. SQL文の組み立てにプレースホルダを用い、入力値を命令として解釈させない Correct answer.
  3. データベースのアカウントに管理者権限を付与して運用する
  4. エラーメッセージにSQL文を表示して利用者に原因を通知する

Explanation

SQLインジェクション対策の基本は、SQL文の組み立てにプレースホルダ（バインド機構）を用い、入力値をデータとしてのみ扱い命令として解釈させないことである。併せて、エラーメッセージに内部情報を出さないことや、DBアカウントに最小権限を付与することも設計段階で方針として定める。

Question 47システム調達・システム開発におけるセキュリティ確保

開発プロジェクトにおけるセキュリティ教育の実施方針として、最も適切なものはどれか。

  1. セキュリティ教育は運用担当者のみを対象とする
  2. 教育内容は一般的な知識にとどめ、自社の開発規約には触れない
  3. 教育は全開発完了後に一度だけ実施する
  4. 開発者だけでなく関係者全体に、役割に応じたセキュリティ教育を計画的に実施する Correct answer.

Explanation

セキュリティ教育は、開発者・テスト担当・発注者側の管理者など関係者全体を対象に、役割に応じた内容を計画的に実施することが望ましい。自社の開発規約やコーディング基準、過去のインシデント事例を織り込むことで実効性が高まる。一時期に偏った教育では定着しない。

Question 48システム調達・システム開発におけるセキュリティ確保

システムの受入テストにおいて、セキュリティ要件の充足を確認する活動として最も適切なものはどれか。

  1. ベンダーの自己申告のみで受入を完了する
  2. 性能試験の結果のみをもってセキュリティを確認したとみなす
  3. 機能要件のテスト項目のみを実施し、セキュリティは別途確認しない
  4. セキュリティ要件に対応した受入基準を設け、その充足を検証する Correct answer.

Explanation

受入テストでは、調達仕様書に定めたセキュリティ要件に対応する受入基準を設定し、その充足を客観的に検証する必要がある。自己申告のみに頼ると、実際の実装状態を確認できず、後工程でのトラブルの原因となる。機能・性能とは別にセキュリティ固有の確認項目を設けることが重要である。

Question 49システム調達・システム開発におけるセキュリティ確保

アジャイル開発においてセキュリティを確保するための取組みとして、最も適切なものはどれか。

  1. 各スプリントにセキュリティ確認のタスクを組み込み、継続的に実施する Correct answer.
  2. ドキュメントを残さないため、セキュリティ要件は定義しない
  3. セキュリティ活動は最後のリリース直前にまとめて実施する
  4. 反復開発では設計レビューを省略し、実装のみを重視する

Explanation

アジャイル開発では、セキュリティ活動を後付けにせず、各スプリントのタスクとしてセキュリティ要件の確認やレビュー、自動テストを組み込むことで継続的に確保する。短い反復の中で早期に問題を発見できる利点を活かす。リリース直前のまとめ実施では手戻りが大きくなる。

Question 50システム調達・システム開発におけるセキュリティ確保

第三者によるソフトウェアコンポーネントを利用する場合のセキュリティ管理として、最も適切なものはどれか。

  1. ライセンス条件の確認は行わず、機能のみで採用を決める
  2. 一度導入したコンポーネントは、脆弱性が判明しても変更しない
  3. コンポーネントの出所や配布元は確認せずに導入する
  4. 利用するコンポーネントの脆弱性情報を継続的に収集し、更新方針を定める Correct answer.

Explanation

OSSや第三者コンポーネントの利用では、既知の脆弱性情報を継続的に収集し、更新や差し替えの方針をあらかじめ定めておくことが重要である。出所やライセンスの確認、SBOMによる構成管理も組み合わせることで、サプライチェーンリスクを低減できる。導入後の放置は脆弱性の残存につながる。