基本情報技術者試験「セキュリティ成熟度」の問題
L社の経営層は『当社のセキュリティ対策は他社と比べてどの水準にあり、次に何へ投資すべきか分からない』と感じている。場当たり的な対策投資から脱し、計画的に水準を引き上げるための取組みとして、最も適切なものはどれか。
ア他社が入れている最新製品を、自社の現状を調べずに同じように導入する。
イインシデントが起きるたびに、その都度必要な対策を足していく。
ウ段階を示す物差しで今の到達点を測り、目標との差を順々に詰める。
エ予算の上限を先に決め、その枠で買える製品を順位を付けずに揃える。
正解
ウ．段階を示す物差しで今の到達点を測り、目標との差を順々に詰める。
計画的に水準を引き上げるには、まず自社が今どの段階にあるかを成熟度モデルで客観的に評価し、目指す目標水準とのギャップを明確にし、その差を段階的に埋めるロードマップを描く必要がある。現状の可視化と目標設定により、投資の優先順位を根拠づけられる。
?選択肢ごとの解説
ア ×自社の現状を分析せずに他社の製品をまねて導入しても、自社に必要な対策とずれる恐れがあり、場当たり的投資の域を出ない。
イ ×インシデントのつど対策を追加する事後対応の繰り返しは、まさに場当たり的な進め方であり、計画的な水準向上にならない。
ウ ○計画的に水準を引き上げるには、まず自社が今どの段階にあるかを成熟度モデルで客観的に評価し、目指す目標水準とのギャップを明確にし、その差を段階的に埋めるロードマップを描く必要がある。現状の可視化と目標設定により、投資の優先順位を根拠づけられる。
エ ×予算上限を先に決め優先順位なしに購入する手法は、何が重要かの判断を欠き、限られた資源を効果的に配分できない。
✎くわしく
セキュリティ成熟度モデルは、対策の取組み状況を段階（例：場当たり的→管理された→最適化された）で表し、現状評価と目標設定を可能にする。重要なのは『現在地の把握→目標水準→ギャップ分析→段階的計画』という流れであり、これが計画的投資の基盤となる。
✓本番での押さえどころ
試験のコツ
場当たり的投資からの脱却は『成熟度モデルで現状評価→目標とのギャップを段階的に解消』が定石の解答。
覚え方
成熟度は『今どこにいて、どこへ行くか』の地図。現在地（評価）と目的地（目標）を結ぶ道筋を描く。
よくある誤り
他社追随や予算先行で製品を導入し、自社の現状評価と目標設定（ギャップ分析）という計画の起点を欠いてしまう。
情報セキュリティの他の問題
A社の経理担当者が、取引先を装ったメールに添付された請求書ファイルを業務PCで開いたところ、見慣れない画面が一瞬表示されて消…B社のWebサービスで、複数の利用者アカウントに対し正しいIDとパスワードの組合せによるログインが短時間に外部から成立する事…C社では、退職予定者や異動者のアカウント権限の見直しが滞り、業務上不要になった共有フォルダへのアクセス権が残り続けている。情…D社のファイルサーバがランサムウェアに感染し、業務ファイルが暗号化された。D社は日次でバックアップを取得しているが、バックア…E社の従業員に、取引先銀行を名乗る『口座情報の更新が必要』というメールが届いた。本文中のリンク先URLにアクセスすると、銀行…F社は社外の従業員が、カフェなどの公衆無線LANを利用して社内システムへアクセスしている。通信内容が経路上で第三者に盗聴・改…
この問題を、AIの8-ways解説つきで。
無料ではじめる →基本情報技術者試験の演習を、一問ごとに「なぜ」まで。まずは無料で。
ukamiru 過去問 · 基本情報技術者試験 · fe-b-sec-0144