出典：平成31年度 春期 情報セキュリティマネジメント試験（SG） 午前 問38
予備知識
| 用語 | 意味 |
|---|
| プロセス | 今回は「過程」とか「工程」とか「手順」とか「やり方」とか、そんな感じの意味 |
| 情報セキュリティ | 情報の安全を守ること |
| セキュリティ | （IT関係で出てきた場合は）「情報セキュリティ」の省略表現 |
| ISMS（情報セキュリティマネジメントシステム） | どこかの誰かが決めた「情報の安全を守るために、こんな取り組みをしよう！」な内容に付けた名前 |
| ISMS要求事項 | 「ISMSを構築して、運用して、改善するにあたって、こんなことをやりなさい！」な要求事項があれやこれやと定められている規格 |
| 監査 | 「自分は部外者だ！こいつが どうなっても知ったこっちゃないぜ！」な心持ちで「ちゃんと やってる？ズルしてない？」をチェックすること |
| 監査人 | 監査する人 |
| 監査報告書 | 監査した結果を報告用にまとめた書類 |
| 環境 | 開発したり、テストしたり、実際に動かしたりするために必要なコンピュータとかソフトとか機材とか設定とかをひとまとめにしてふんわりと表現したもの |
| 開発環境 | 開発をするための必要な物が揃った環境のこと |
| パッケージソフトウェア | 既製品のソフトウェア |
問題
| 問題文 |
|---|
| ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について，JIS Q 27001:2014(情報セキュリティマネジメントシステム－要求事項)の附属書Aの管理策に照らして監査を行った。判明した状況のうち，監査人が監査報告書に指摘事項として記載すべきものはどれか。 |
| ピヨ意訳：「JIS Q 27001:2014(情報セキュリティマネジメントシステム－要求事項)の附属書A」に照らし合わせて監査をやったよ。解答選択肢のうち「むむっ！これはダメだよ！直してね！」なことは、どれ？ |
| 解答選択肢 |
|---|
| ア | ソフトウェア開発におけるセキュリティ機能の試験は，開発期間が終了した後に実施している。 |
| ピヨ意訳：セキュリティに関する機能の試験は開発期間が終わった後にやってるよ |
| イ | ソフトウェア開発は，セキュリティ確保に配慮した開発環境において行っている。 |
| ピヨ意訳：開発はセキュリティ的にバッチリな開発環境でやってるよ |
| ウ | ソフトウェア開発を外部委託している場合，外部委託先による開発活動の監督・監視において，セキュリティ確保の観点を考慮している。 |
| ピヨ意訳：開発を他の会社に委託しているときは、委託先がやってることをセキュリティのことも考えて監督・監視しているよ |
| エ | パッケージソフトウェアを活用した開発において，セキュリティ確保の観点から，パッケージソフトウェアの変更は必要な変更に限定している。 |
| ピヨ意訳：パッケージソフトを使った開発では、セキュリティのために、パッケージソフトの変更は必要最小限にしているよ |
正解
| 正解 |
|---|
| ア | ソフトウェア開発におけるセキュリティ機能の試験は，開発期間が終了した後に実施している。 |
| ピヨ意訳：セキュリティに関する機能の試験は開発期間が終わった後にやってるよ |
難易度設定
