【セキュマネ】平成30年度秋午後問2の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成30年度秋午後（科目B）問2を解説します。

7～8割は獲れる印象。ID棚卸, 誓約書など、セキュリティ運用の新たな視点を得られる問題でした。

特段悪い問題はないですが、情報漏えいのニュース/実務を想像することを日頃から行っていると、力強く発想/解答できる問題が多かったです。

今後理不尽なノーヒント問題とも遭遇するので、知識/解法テクニックに、センスとして追加すると良いですね。

このNoteでは模範解答の解説だけではなく、設問文/問題文からのヒントの探し方、選択肢からの正解の絞り方なども丁寧に解説しています。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

このNoteが過去問演習の品質を高め、少しでも合格や学びの役に立ったら嬉しいです。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1(1)

正答は、ア（OSの延長サポート契約し、パッチを検証用システムで試験して、問題なければ本番システムにも適用する）。

下線①の対応方針とは、19頁末の話を把握します。

指摘事項1は図1。掲示板システムのサーバのOSの現バージョンは、サポート期限が切れていて、パッチが提供されない。延長サポートがあるが契約していない。

図1下。最新OSでは脆弱性はなくなるが、現行の動作が保証されない。データ移行も手動再入力になる。

以上より、延長サポートを契約してパッチを当てる、結論。

でも、いずれ延長サポすら切れるだろうから、刷新は必要でしょうね。

各選択肢も考察します。本試験でやるかは、正答の自信度で判断してください。このNoteは復習なので、なるべく考察します。

• イ：システム停止してパッチ提供を待つ。
  ➡×。図1-1「延長サポート～契約していないので、OSベンダからパッチが提供されない」。待っても無駄です。

• ウ：最新OS＋他製品に移行。
  ➡×。下線①前「掲示板システムの利用状況を踏まえて対応方針を検討」したとあり。18頁中盤「有用な情報を大量に蓄積」「多くの従業員がほぼ毎日アクセス」の上に、図1下「データは、手動で個別に再入力」なので、手間が膨大。停止期間も長いのはヤバイ。
  エ：最新OS+現行パッケージ
  ➡×。18頁中盤。「システムが使用している～は、最新場⓪ジョンのOSをサポートしていない」ので無理。

以上より、当面は、現OSの延長契約でパッチを当て＋現行システムで運用を継続。同時に、最新OS+他製品へ移行を考えていく/実施していくのが、良さそうですね。

設問1(2)

正答は、エ（退職時に誓約書への署名を拒否されるケースがあった）。

下線②「指摘事項2」は、図1で「省略」なので記述なし。下線②周辺から推測するしかないです。

下線②後「入社時に締結する秘密保持契約書に、退職後も一定期間は秘密を守るという状況を追加するのがよい」。入社時に退社時/後のことも書く意味を考えます。

模範解答は理解できます。エ（退職時に誓約書への署名を拒否されるケースがあった）。

感情的に、退職時って”縁の切れ目”なんで、何もしたくないですね。むしろ次のキャリアへの支障/可能性を狭めるようにも思えちゃいます。

入社時だと、”ここで働くしかないから、多少のことを呑むしか”と思います。”退職後に秘密守りたくないから、入社しません”とは、言わないですね。長く/できれば定年まで働きたいですし。

各選択肢も考えてみます。

下線②後。退職時ではなく、「入社時に締結する秘密保持契約書に、～追加」に注目するとスムーズでした。

• ア：損害賠償請求の記述を含めるべき。
  ➡含めても良いですが、「入社時の～契約書」に追加する答えになってません。

• イ：不正競争防止法の記述を含めるべき。
  ➡アと同じ。

• ウ：就業避止条項を含めるべきではない。
  ➡憲法違反でない範囲で含めても良いですが、以下アと同じ。

• オ：署名後の退職時誓約書を渡していない
  ➡渡す/渡さないは社に依るでしょうが、以下アと同じ。

わざわざ、退職後についての誓約を、退職時ではなく、入社時に前もって行う意味に注目でした。

設問1(3)ab

正答は、
a：ア（ID一覧を各システム管理者に依頼する）。
b：キ（退職者とID一覧を、業務責任者に渡して、無効化すべきIDが存在しているか確認してもらう）。

図2の流れは以下の通り。

1. 手順1で退職者一覧は入手できたので、IDと引き合わせる話。

2. IDはシステム管理者から入手（ア）。

3. 削除すべきIDは退職者だけでなく、業務上必要なくなった現職者もあり得るので、業務責任者に判断させる（キ）。

4. 削除するIDが決まったらシステム管理者に依頼する流れ。

選択肢が多いので、ごちゃごちゃします。

ある程度アタリを付けて決め打ちで解答を作ってみます。解答が作れなければ自由度を緩めてごちゃごちゃ考える方針。

話の流れを把握する

【空欄a】のある図2は、「従業員IDの棚卸手順」。

「従業員IDの棚卸」は、図2前。「指摘事項3」への対応。

「指摘事項3」は、図1。複数のシステムで退職者のIDが有効なままだった件。

「指摘事項3」への対応は、図2上。「IDの無効化を上司が各情報システム管理者に申請するよう定められているが」「申請を忘れてしまうことがあった」。

「注意喚起した」けど、「IDの棚卸を定期的に実施することが効果的だと考え」て、図2の手順に至った流れ。

選択肢の絞り方は幾つか方法がありそうですが。

❶あり得ない選択肢を削ってみる

ア～エを考えると、アが有力。ダメならウ。

• ア：〇。ID一覧を各システム管理者から入手。
  ➡18頁中盤「（各）システム管理者が、各情報システムに～IDを～登録する」ので、登録/閲覧/削除ができそう。

• イ：×。ID一覧を人事部から入手。
  ➡人事部はID情報を持ってないでしょう。

• ウ：×寄り△。全従業員の名簿：
  ➡作っても良いですけど、手順1で直近の退職者リストを折角ゲットしたんだから、絞れるはず。

• エ：×。
  ➡「前回の～IDの棚卸結果」は、前回削除すべきIDの一覧であって、以後の退職（=今回の棚卸）とは無関係。

キ, カが有力、ダメならク、絶対ダメなのはオ。

• オ：×。無効にするID洗出しをP氏に依頼。
  ➡P氏に社内業務を依頼はダメでしょ。

• カ：〇。洗出しを各システム管理者に依頼。
  ➡あり得そう。

• キ：◎。洗出しを業務責任者に依頼。
  ➡カより適切っぽい。

• ク：△。洗出しを人事部に依頼。
  ➡退職=ID無効化だけならできるけど。カやキには劣るかな。

キ（業務責任者）を強く推す根拠は、図2前「規定では、従業員が退職した際、又は各情報システムに業務上アクセスする必要がなくなった際～無効化を上司が～申請」。

退職一覧に従ったID抹消は、管理者でもできそうですが。「業務上アクセスする必要がなくなった」までは判断できません。

業務責任者なら退職者の確認は勿論、プラスαで業務上不要になったIDも洗い出せます。

❷メタ読み | 選択肢のグループ

ア～クの選択肢は【空欄a, b】に入りますが、文面から考えるに、ア～エが【空欄a】、オ～クが【空欄b】に入るだろう、と考え始めるのは良いかなと。