サンプル問題（2022年12月） 問58
事例
国内外に複数の子会社をもつA社では，インターネットに公開するWebサイトについて，A社グループの脆弱性診断基準（以下，A社グループ基準という）を設けている。A社の子会社であるB社は，会員向けに製品を販売するWebサイト（以下，B社サイトという）を運営している。B社サイトは，会員だけがB社の製品やサービスを検索できる。会員の氏名，メールアドレスなどの会員情報も管理している。
B社では，11月に情報セキュリティ活動の一環として，A社グループ基準を基に自己点検を実施し，その結果を表1のとおりまとめた。
| 項番 | 点検項目 | A社グループ基準 | 点検結果 |
|---|---|---|---|
| (一) | Webアプリケーションプログラム（以下，Webアプリという）に対する脆弱性診断の実施 | ・インターネットに公開しているWebサイトについて，Webアプリの新規開発時，及び機能追加時に行う。 ・機能追加などの変更がない場合でも，年1回以上行う。 | ・3年前にB社サイトをリリースする1か月前に，Webアプリに対する脆弱性診断を行った。リリース以降は実施していない。 ・3年前の脆弱性診断では，軽微な脆弱性が2件検出された。 |
| (二) | OS及びミドルウェアに対する脆弱性診断の実施 | ・インターネットに公開しているWebサイトについて，年1回以上行う。 | ・毎年4月及び10月に，B社サイトに対して行っている。 ・今年4月の脆弱性診断では，脆弱性が3件検出された。 |
| (三) | 脆弱性診断結果の報告 | ・Webアプリ，OS及びミドルウェアに対する脆弱性診断を行った場合，その結果を，診断後2か月以内に各社の情報セキュリティ委員会に報告する。 | ・3年前にWebアプリに対する脆弱性診断を行った2週間後に，結果を情報セキュリティ委員会に報告した。 ・OS及びミドルウェアに対する脆弱性診断の結果は，4月と10月それぞれの月末の情報セキュリティ委員会に報告した。 |
| (四) | 脆弱性診断結果の対応 | ・Webアプリ，OS及びミドルウェアに対する脆弱性診断で，脆弱性が発見された場合，緊急を要する脆弱性については，速やかに対応し，その他の脆弱性については，診断後，1か月以内に対応する。指定された期限までの対応が困難な場合，対応の時期を明確にし，最高情報セキュリティ責任者（CISO）の承認を得る。 | ・3年前に検出したWebアプリの脆弱性2件について，B社サイトのリリースの1週間前に対応した。 ・今年4月に検出したOS及びミドルウェアに対する脆弱性のうち，2件は翌日に対応した。残り1件は，恒久的な対策は来年1月のB社サイトの更改時に対応するものとし，それまでは，設定変更による暫定対策をとるという対応計画について，脆弱性診断の10日後にCISOの承認を得た。 |
表1中の自己点検の結果のうち，A社グループ基準を満たす項番だけを全て挙げた組合せを，解答群の中から選べ。
正解：ク (二)，(三)，(四)
ポイント
自己点検の結果を、グループの脆弱性診断基準と1項番ずつ照らして、基準を満たすものを選ぶ事例です。
考え方と解き方
表1の「A社グループ基準」の列と「点検結果」の列を、項番ごとに並べて読みます。実施の頻度、報告の期限（2か月以内）、対応の期限（1か月以内、困難なら時期を明確にして承認）といった数字の条件が決め手で、「実施した」という事実だけで満たしたと判断すると間違えます。
- (一) は、機能追加などがなくても年1回以上行う基準です。点検結果ではリリース前の1回だけで、以降は実施していないので満たしません。
- (二) は年1回以上の基準で、毎年4月と10月に実施しているので満たします。(三) は診断後2か月以内の報告で、Web アプリは2週間後、OS・ミドルウェアは診断した月の月末に報告しており、満たします。
- (四) は、その他の脆弱性は1か月以内に対応する基準です。Web アプリはリリースの1週間前（診断の約3週間後）、OS・ミドルウェアは2件が翌日です。残り1件は、対応時期を明確にして診断の10日後に CISO の承認を得ており、これも基準どおりです。
- したがって、基準を満たすのは(二)、(三)、(四)で、適切なのは ク です。
ほかの選択肢
- ア (一) が入っており、年1回以上の診断を満たしていません。(三)、(四) も抜けています。
- イ (一) が入っています。(四) は満たすのに抜けています。
- ウ (一) が入っています。(一) は満たしません。
- エ (一) が入っており、(三) が抜けています。
- オ (一) が入っており、(二) が抜けています。
- カ (一) が入っており、(二)、(三) が抜けています。
- キ (二)、(三) は合いますが、(四) が抜けています。(四) は期限内の対応と承認がそろっています。
- ケ (三)、(四) は合いますが、(二) が抜けています。(二) は年2回実施していて満たします。
覚えておくこと
- 自己点検は、基準の数字（頻度・期限）と実績の日付を突き合わせて判断する
- 最初に実施した記録があっても、基準が定期的な実施を求めているなら、その後の実施がなければ満たさない
出典：情報セキュリティマネジメント試験 サンプル問題 科目B 問58