【セキュマネ】平成29年度春午後問2の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成29年度春科目B問2を解説します。

データ保護とお客様対応がテーマ。設問1はデータやアクセスの管理、設問2は社内手続き/お客様対応のフローでした。

今後、AP応用情報技術者も目指すなら、午後問1（セキュリティ）や問9（サービスマネジメント）に繋がりますね。その前にFE基本情報技術者を受験するかもですが（でもセキュリティと擬似言語に偏重して、FEスキップしてAP受験される方も多くなりましたね）。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1(1)a | クラウドのメリット

正答は、ア（ITリソースを迅速/柔軟に利用できる）。

【空欄a】は「クラウドサービスを利用するメリット」。

しかも【空欄a】後「前者（=空欄a）のメリットは、来年4月以降の計画にも適してい」るとのこと。

14頁前半「来年3月まで、3営業所でメールを使ったコンタクトを試行する計画」。なら来年4月以降は全社的に展開でしょうね。

Pシステムでクラウドサービスを利用して、来年3月まで3営業所で試行し、来年4月以降は全社展開、という流れ。

ならクラウドの拡張性のメリットだ、と目星。

選択肢を見ます。

ア：IT資源を迅速/柔軟に利用できる
➡○。クラウドなら資源（リソース）の縮小/拡大の変更ができます。CPU, ストレージなど。

イ：契約/導入の事務負担が軽減できる
➡✖寄りの△。別にクラウドだろうが機器導入だろうが変わらないでしょう。
クラウドが多機能なら、1本化できるでしょうが。しかし「来年4月以降の計画にも適している」メリットと言われると、アに勝てない。

ウ：客に送信するメールの内容/頻度が自由に変更できる
➡✖。メールは自由に書けますよね。

エ：客へのメール送信を、いつでも/どこでも制約なくできる
➡✖寄りの△。たしかに社外から社メールを使うなら、自社準備（オンプレミス）ならVPNなどアクセス制御が必要、クラウドなら準備してくれてます（元々インターネット上なので）。
でも「来年4月以降の計画にも適している」メリットと言われると、アに勝てない。
また、社外からメールを送る旨の記述がなく、制約撤廃する必要性にも疑問。

設問1(2) | 情報の外部化

正答は、ク（ii, iii, v）。
ii：サービス終了時の、SaaS内データの取扱い
iii：SaaS内データの暗号化機能の有無
v：Y社データセンタの入退室管理・管理者特権の管理

下線①前「機密性」の話。更に前「見込客データを外部に預けることに、機密性の点で不安」があるとのこと。個人情報の話ですね。

選択肢を見ていきます。

• i：停止する際の予告/リードタイム
  ➡✖。サービス利用/可動の話。可用性。

• ii：サービス終了時の、SaaS内データの取扱い
  ➡○。個人情報がどう消去されるか気になりますね。

• iii：SaaS内データの暗号化機能の有無
  ➡○。個人情報がどう守られるか気になりますね。

• iv：SaaSリソースの使用状況の表示項目
  ➡✖。稼働状態の話。可用性。

• v：Y社データセンタの入退室管理・管理者特権の管理
  ➡○。個人情報の漏えい、閲覧/改ざんなどの不正が気になります。

「管理者特権」はシステムのアカウント（ID）への権利付与の話でしょう。特に管理者特権があると、サーバに全ての操作ができます。サーバ内の全データの閲覧/編集/消去ができます。OSの設定変更なども全部できます。＞図解で学ぶLinux基礎Note

設問1(3)b | インターネットでの送信元識別

正答は、イ（X社のグローバルIPアドレス）。

【空欄b】前「販売員が自宅のPCなどから直接アクセスするといったことも起きかねません。そのようなアクセスを禁止できるとよいのですが」とのこと。

【空欄b】は、SaaSがアクセスを受け入れる送信元。

そら会社（X社）でしょう。SaaSはインターネット上にあるので、X社のグローバルIPアドレスを送信元として認識します。イ（X社のグローバルIPアドレス）。

設問1(4)c | コストが低いのは

正答は、カ（見込客データのバックアップ）。

イ, カで迷います。私は間違えました。

【空欄c】は障害対策の話。故障/障害、さらにY社の倒産でサービス終了についても。

システムが使えなくなるので、事業継続の話だと目星。

各選択肢を見ていきます。

• ア：PシステムのRPO, RTOの確認
  ➡✖。復旧の話。Y社倒産時のフォローになってない。
  RPO（目標復旧時点）：「どの時点の状態」に復旧させるかの目標。例えば障害直前とか月始めとか。
  RTO（目標復旧時間）：復旧に要する時間の目標。
  ＞【SG】平成29年度春期科目A問04の解説Note
  KGI/KPIも混乱するのでついでに。＞【SG】平成29年秋問48のNote

• イ：Pシステムのコールドスタンバイ
  ➡○。待機系を準備するのは良いですね。ただし「コールドスタンバイ」なので、最新のデータを確保できない可能性あり。

• ウ：Pシステムの操作履歴の確認
  ➡✖。改ざんや内部不正の話。

• エ：見込客データの暗号化
  ➡✖。機密性の話。Y社倒産時のフォローになってない。

• オ：見込客データの匿名化
  ➡✖。機密性の話。Y社倒産時のフォローになってない。

• カ：見込客データのバックアップ
  ➡○。保険営業でお客の情報は一番大事。クラウド利用開始以降に追加した情報もあるでしょう。

イ（待機系）orカ（バックアップ）で迷います。

【空欄c】前「コストパフォーマンスも考慮」して「最低限」検討すべきこと。カ（客情報のバックアップ）の方がコスト低いですね。

個人的には「コストパフォーマンス」って言うかなぁと。「コストをなるべく抑えるなら」みたいな言い方かなぁと。

設問2(1)d | 最適化ではないが…

正答は、ア（営業所の所長or主任が、都度、販売企画課にメールで連絡する）。

条件❶【空欄d】前「入退社が不定期な販売員に付与するアカウントを、速やかに登録, 無効化, 権限変更する必要」への対応。

さらに条件❷「10月1日から実施でき」と、条件❸「X社の情報セキュリティ対策基準（図2）」も。

各選択肢を見ていきます。