平成31年度 春期 情報セキュリティマネジメント試験 午前 問38
マネジメント／システム監査ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について，JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）の附属書Aの管理策に照らして監査を行った。判明した状況のうち，監査人が監査報告書に指摘事項として記載すべきものはどれか。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問38
- アソフトウェア開発におけるセキュリティ機能の試験は，開発期間が終了した後に実施している。
- イソフトウェア開発は，セキュリティ確保に配慮した開発環境において行っている。
- ウソフトウェア開発を外部委託している場合，外部委託先による開発活動の監督・監視において，セキュリティ確保の観点を考慮している。
- エパッケージソフトウェアを活用した開発において，セキュリティ確保の観点から，パッケージソフトウェアの変更は必要な変更に限定している。
正解：ア
解説
セキュリティ機能の試験は，開発の各工程で早期に実施し，問題があれば設計や実装にフィードバックすることが望まれます。開発期間が終了した後にしか試験を実施していない場合，セキュリティ上の問題を後工程で発見しても手戻りが大きく，管理策が有効に機能していない状況といえるため，監査人は指摘事項として記載すべきです。
選択肢ごとの解説
- ア正しい。セキュリティ機能の試験を開発期間終了後にしか実施していないことは，早期の欠陥検出や是正の機会を逸するものであり，指摘事項として記載すべき状況です。
- イ誤り。セキュリティ確保に配慮した開発環境で開発を行っていることは，管理策が適切に機能している望ましい状況であり，指摘事項には該当しません。
- ウ誤り。外部委託先の開発活動の監督・監視にセキュリティの観点を考慮していることは，管理策が適切に機能している望ましい状況です。
- エ誤り。パッケージソフトウェアの変更を必要な変更に限定していることは，管理策が適切に機能している望ましい状況です。