問58情報セキュリティマネジメント サンプル問題

56 / 58問

国内外に複数の子会社をもつ A 社では，インターネットに公開する Web サイトについて，A 社グループの脆弱性診断基準（以下，A 社グループ基準という）を設けている。A 社の子会社である B 社は，会員向けに製品を販売する Web サイト（以下，B社サイトという）を運営している。B 社サイトは，会員だけが B 社の製品やサービスを検索できる。会員の氏名，メールアドレスなどの会員情報も管理している。B 社では，11 月に情報セキュリティ活動の一環として，A 社グループ基準を基に自己点検を実施し，その結果を表 1 のとおりまとめた。表 1 B 社自己点検結果（抜粋）項番 点検項目 A 社グループ基準 点検結果(一) Web アプリケーションプログラム（以下，Webアプリという）に対する脆弱性診断の実施・インターネットに公開している Web サイトについて，Web アプリの新規開発時，及び機能追加時に行う。・機能追加などの変更がない場合でも，年 1 回以上行う。・3 年前に B 社サイトをリリースする 1 か月前に，Web アプリに対する脆弱性診断を行った。リリース以降は実施していない。・3 年前の脆弱性診断では，軽微な脆弱性が 2 件検出された。(二) OS 及びミドルウェアに対する脆弱性診断の実施・インターネットに公開している Web サイトについて，年 1回以上行う。・毎年 4 月及び 10 月に，B 社サイトに対して行っている。・今年 4 月の脆弱性診断では，脆弱性が 3 件検出された。(三) 脆弱性診断結果の報告・Web アプリ，OS 及びミドルウェアに対する脆弱性診断を行った場合，その結果を，診断後 2 か月以内に各社の情報セキ ュ リ テ ィ 委 員 会 に 報 告 する。・3 年前に Web アプリに対する脆弱性診断を行った 2 週間後に，結果を情報セキュリティ委員会に報告した。・OS 及びミドルウェアに対する脆弱性診断の結果は，4 月と 10月それぞれの月末の情報セキュリティ委員会に報告した。(四) 脆弱性診断結果の対応・Web アプリ，OS 及びミドルウェアに対する脆弱性診断で，脆弱性が発見された場合，緊急 を 要 す る 脆 弱 性 に つ い ては，速やかに対応し，その他の 脆 弱 性 に つ い て は ， 診 断後，1 か月以内に対応する。指定された期限までの対応が困難な場合，対応の時期を明確にし，最高情報セキュリティ責任者（C ISO ）の承認を得る。・3 年前に検出した Web アプリの脆弱性 2 件について，B 社サイトのリリースの 1 週間前に対応した。・今年 4 月に検出した OS 及びミドルウェアに対する脆弱性のうち，2 件は翌日に対応した。残り 1 件は，恒久的な対策は来年1 月の B 社サイトの更改時に対応するものとし，それまでは，設定変更による暫定対策をとるという対応計画について，脆弱性診断の 10 日後に CISO の承認を得た。設問 表 1 中の自己点検の結果のうち，A 社グループ基準を満たす項番だけを全て挙げた組合せを，解答群の中から選べ。

1. 1(一)，(二)×
2. 2(一)，(二)，(三)×
3. 3(一)，(二)，(三)，(四)×
4. 4(一)，(二)，(四)×
5. 5(一)，(三)，(四)×
6. 6(一)，(四)×
7. 7(二)，(三)×
8. 8(二)，(三)，(四)○
9. 9(三)，(四)×

選択肢をえらぶと、答えと解説が出ます