科目Bサンプル問題（2022年4月） 問2
事例
国内外に複数の子会社をもつA社では，インターネットに公開するWebサイトについて，A社グループの脆弱性診断基準（以下，A社グループ基準という）を設けている。A社の子会社であるB社は，会員向けに製品を販売するWebサイト（以下，B社サイトという）を運営している。会員が2回目以降の配達先の入力を省略できるように，今年の8月，B社サイトにログイン機能を追加した。B社サイトは，会員の氏名，住所，電話番号，メールアドレスなどの会員情報も管理することになった。
B社では，11月に情報セキュリティ活動の一環として，A社グループ基準を基に自己点検を実施し，その結果を表1のとおりまとめた。
| 項番 | 点検項目 | A社グループ基準 | 点検結果 |
|---|---|---|---|
| (一) | Webアプリケーションプログラム（以下，Webアプリという）に対する脆弱性診断の実施 | ・インターネットに公開しているWebサイトについて，Webアプリの新規開発時，及び機能追加時に行う。 ・機能追加などの変更がない場合でも，年1回以上行う。 | ・毎年6月に，Webアプリに対する脆弱性診断を外部セキュリティベンダに依頼し，実施している。 ・今年は6月に脆弱性診断を実施し，脆弱性が2件検出された。 |
| (二) | OS及びミドルウェアに対する脆弱性診断の実施 | ・インターネットに公開しているWebサイトについて，年1回以上行う。 | ・毎年10月に，B社サイトに対して行っている。 ・今年10月の脆弱性診断では，軽微な脆弱性が4件検出された。 |
| (三) | 脆弱性診断結果の報告 | ・Webアプリ，OS及びミドルウェアに対する脆弱性診断を行った場合，その結果を，診断後2か月以内に各社の情報セキュリティ委員会に報告する。 | ・Webアプリに対する診断の結果は，6月末の情報セキュリティ委員会に報告した。 ・OS及びミドルウェアに対する診断の結果は，脆弱性が軽微であることを考慮し，情報システム部内での共有にとどめた。 |
| (四) | 脆弱性診断結果の対応 | ・Webアプリ，OS及びミドルウェアに対する脆弱性診断で，脆弱性が発見された場合，緊急を要する脆弱性については，速やかに対応し，その他の脆弱性については，診断後，1か月以内に対応する。指定された期限までの対応が困難な場合，対応の時期を明確にし，最高情報セキュリティ責任者（CISO）の承認を得る。 | ・今年6月に検出したWebアプリの脆弱性2件について，1週間後に対応した。 ・今年10月に検出したOS及びミドルウェアの脆弱性4件について，2週間後に対応した。 |
表1中の自己点検の結果のうち，A社グループ基準を満たす項番だけを全て挙げた組合せを，解答群の中から選べ。
正解：キ (二)，(四)
ポイント
機能を追加したWebサイトについて、自己点検の結果が基準を満たしているかを判断する事例です。
考え方と解き方
本文の「今年の8月にログイン機能を追加した」と、表1の基準・点検結果の日付（6月、10月）を読みます。機能追加のあとに診断をしたか、報告の相手が基準の定める委員会かが決め手で、軽微だからと省略した点を見逃すと間違えます。
- (一) は、機能追加時にも診断を行う基準です。毎年6月に診断していますが、8月のログイン機能の追加後には行っていないので満たしません。
- (二) は年1回以上の基準で、10月に実施しており満たします。(三) は診断結果を情報セキュリティ委員会に報告する基準で、OS・ミドルウェアの結果は情報システム部内での共有にとどめており、満たしません。
- (四) は、その他の脆弱性は診断後1か月以内に対応する基準です。1週間後と2週間後に対応しており満たします。
- したがって、基準を満たすのは(二)、(四)で、適切なのは キ です。
ほかの選択肢
- ア (一) だけでは(二)、(四) が抜けています。(一) は機能追加後の診断がなく、満たしません。
- イ (一) が入っています。(一) は満たしません。(四) も抜けています。
- ウ (一)、(三) が入っています。どちらも満たしません。
- エ (一)、(三) の組合せで、どちらも満たしません。
- オ (四) は合いますが、(一) は満たしません。(二) が抜けています。
- カ (二)、(四) は合いますが、(三) が入っています。軽微でも委員会への報告が基準で、満たしません。
- ク (三) だけでは満たしません。(二)、(四) が抜けています。
- ケ (四) は合いますが、(三) は満たしません。(二) が抜けています。
覚えておくこと
- 機能追加などの変更があったときは、定期の診断とは別に、変更後の診断を行う
- 基準にある報告先と期限は、中身が軽微でも省略しない
出典：情報セキュリティマネジメント試験 科目B サンプル問題 問2