情報セキュリティ
基本情報技術者試験｜E社の基幹システムに、重要なセキュリティ修正プログラムの提供が始まった。過去に修正プログラムを本番へ即時適用した…
E社の基幹システムに、重要なセキュリティ修正プログラムの提供が始まった。過去に修正プログラムを本番へ即時適用した際、既存機能との不整合で業務が停止した苦い経験がある。今回の適用にあたり取るべきプロセスとして、最も適切なものはどれか。
ア業務影響を避けるため、今回の修正プログラムは適用せず現状のまま運用を続ける。
イ提供と同時に本番環境へそのまま直接適用し、不具合が出てから個別に対処していく。
ウ本番に近い環境で既存機能への影響を確かめ、問題がなければ計画に沿って適用する。
エ修正プログラムの提供元が信頼できるか確認できるまで、適用も検証も保留する。
正解
ウ．本番に近い環境で既存機能への影響を確かめ、問題がなければ計画に沿って適用する。
重要なセキュリティ修正は適用すべきだが、過去の即時適用で業務が停止した教訓から、本番に近い検証環境で動作と既存機能への影響を確認し、問題がなければ計画的に本番へ適用する手順が適切である。安全性と修正の両立を図れる。
?選択肢ごとの解説
ア ×重要なセキュリティ修正を適用しないことは、既知の脆弱性を放置し攻撃される危険を残すため、業務影響回避を理由に見送るのは不適切である。
イ ×検証なしの本番直接適用は、まさに過去に業務停止を招いた失敗の繰り返しであり、教訓を活かしていない。
ウ ○重要なセキュリティ修正は適用すべきだが、過去の即時適用で業務が停止した教訓から、本番に近い検証環境で動作と既存機能への影響を確認し、問題がなければ計画的に本番へ適用する手順が適切である。安全性と修正の両立を図れる。
エ ×提供元の信頼性確認は必要だが、確認できるまで検証まで含めて保留すると、重要な修正の適用が無期限に遅れリスクが残る。
情報セキュリティの他の問題
F社は脆弱性診断ツールによる網羅的な検査は定期実施しているが、検出された個々の弱点が実際に組み合わさって重要システムへの侵入…G社のWebアプリでは、内部で例外が発生すると、データベースのテーブル名やSQL文、サーバの内部パスを含む詳細なエラーメッセ…H社では、これまでシステム開発の最終工程で脆弱性診断を行い、見つかった問題を都度修正してきた。しかし手戻りが大きく、根本的な…I社が導入した管理用ソフトウェアには、出荷時から共通の管理者IDと初期パスワードが設定されており、管理画面が外部ネットワーク…J社では、機能テストでアプリを実際に動かしている間に、その内部の処理経路まで把握して脆弱性を高精度に検出したい。静的解析だけ…K社のWebアプリでは、利用者が自分の注文明細をURLのパラメタに含む注文番号で参照する。ある利用者が注文番号の数字を別の値…L社は自社サービスの一部を外部の開発会社へ委託している。委託先の開発環境が侵害され、納品されるソフトウェアに不正なコードが混…A社の運用担当者の元へ、監視ツールから『深夜に経理サーバから海外IPへ大量のデータ送信があった』という1件のアラートが届いた…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0113