令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25
マネジメント／システム監査ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について，JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）の附属書 A の管理策に照らして監査を行った。判明した状況のうち，監査人が，監査報告書に指摘事項として記載すべきものはどれか。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25
- アソフトウェア開発におけるセキュリティ機能の試験は，開発期間が終了した後に実施している。
- イソフトウェア開発は，セキュリティ確保に配慮した開発環境において行っている。
- ウソフトウェア開発を外部委託している場合，外部委託先による開発活動の監督・監視において，セキュリティ確保の観点を考慮している。
- エパッケージソフトウェアを活用した開発において，セキュリティ確保の観点から，パッケージソフトウェアの変更は必要な変更に限定している。
正解：ア
解説
JIS Q 27001:2014 の附属書 A では，ソフトウェア開発などのシステム開発プロセスにおいて，セキュリティを考慮した開発環境の整備や，開発の各工程（設計・実装・試験など）でのセキュリティ確保に関する管理策が求められています。セキュリティ機能の試験は，開発期間中の適切な工程（例えば実装やテスト工程）で実施し，問題があれば手戻りできるようにすべきであり，開発期間が終了した後（リリース直前や運用開始後）にまとめて実施するのでは，発見された脆弱性への対応が遅れ，十分なセキュリティ確保ができないおそれがあります。したがって，この状況は監査人が指摘事項として記載すべき不備に該当します。
選択肢ごとの解説
- ア正しい。セキュリティ機能の試験を開発期間が終了した後に実施しているという状況は，開発の早い段階でセキュリティ上の問題を発見・是正できないおそれがあるため，監査人が指摘事項として記載すべき不備に該当します。
- イ誤り。セキュリティ確保に配慮した開発環境で開発を行っていることは，望ましい管理策が実施されている状況であり，指摘事項に該当しません。
- ウ誤り。外部委託先による開発活動の監督・監視においてセキュリティ確保の観点を考慮していることは，適切な管理策が実施されている状況であり，指摘事項に該当しません。
- エ誤り。パッケージソフトウェアの変更を必要な変更に限定していることは，変更管理の観点から適切な対応であり，指摘事項に該当しません。