情報セキュリティ
基本情報技術者試験｜L社は自社サービスの一部を外部の開発会社へ委託している。委託先の開発環境が侵害され、納品されるソフトウェアに不正…
L社は自社サービスの一部を外部の開発会社へ委託している。委託先の開発環境が侵害され、納品されるソフトウェアに不正なコードが混入する事態を懸念している。委託元として講じる対策として、最も適切なものはどれか。
ア順守すべきセキュリティ水準を取り決めに明記し、受け取った成果物を確かめる手順を定める。
イ委託先の選定は開発費用の安さのみを基準に行い、コストを最優先する。
ウ納品されたソフトウェアは内容を一切検証せず、委託先を全面的に信頼して受領後すぐに本番環境へそのまま展開する。
エ委託先との連絡はすべて口頭で行い、要求事項を文書には残さないようにする。
正解
ア．順守すべきセキュリティ水準を取り決めに明記し、受け取った成果物を確かめる手順を定める。
委託先経由の混入リスクには、委託元として求めるセキュリティ要件を契約で明確に定めて遵守を義務付け、さらに納品物に不正なコードがないかを検証する受入手順を確立して、契約と検証の両輪で管理するのが適切である。委託先任せにしない点が重要である。
?選択肢ごとの解説
ア ○委託先経由の混入リスクには、委託元として求めるセキュリティ要件を契約で明確に定めて遵守を義務付け、さらに納品物に不正なコードがないかを検証する受入手順を確立して、契約と検証の両輪で管理するのが適切である。委託先任せにしない点が重要である。
イ ×費用の安さのみで選定するとセキュリティ水準を確認できず、委託先の脆弱な体制を通じた混入リスクをむしろ高める。
ウ ×検証せず即展開するのは、混入したコードをそのまま本番へ持ち込むことを意味し、懸念しているリスクを放置する最悪の対応である。
エ ×連絡を口頭のみとし文書を残さないと、要求事項の合意も責任の所在も曖昧になり、要件の遵守を求める根拠が失われる。
情報セキュリティの他の問題
D社の製品は多数のオープンソースライブラリを組み込んでいるが、どのバージョンの何を使っているかを正確に把握できておらず、新た…A社の運用担当者の元へ、監視ツールから『深夜に経理サーバから海外IPへ大量のデータ送信があった』という1件のアラートが届いた…B社の受注処理を担う基幹サーバ1台がマルウェアに感染していると分析で判明した。このサーバを止めると当日の受注業務が完全に停止…C社では、感染端末を隔離して封じ込めた後、調査で『攻撃者が作成した不正なアカウントと、再侵入用のバックドアプログラムが端末に…D社では、侵害されたWebサーバの脅威除去（根絶）を終え、業務へ復旧させようとしている。早く再開したいという声が現場から強い…E社では、一連のインシデント対応を終えてシステムを通常運用へ復旧させた。同種の事故を繰り返さないために行うべき、インシデント…F社の社員が、業務端末の画面に『ファイルを暗号化した。復号してほしければ支払え』という脅迫文が表示され、ファイルが開けなくな…G社で不正アクセスが疑われる端末について、後日の詳細な原因調査や法的手続でも証拠として使えるよう、ディスク内のデータを保全す…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0120