ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について、JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）の附属書Aの管理策に照らして監査を行った。判明した状況のうち、監査人が監査報告書に指摘事項として記載すべきものはどれか。

選択肢

• アソフトウェア開発におけるセキュリティ機能の試験は、開発期間が終了した後に実施している。
• イソフトウェア開発は、セキュリティ確保に配慮した開発環境において行っている。
• ウソフトウェア開発を外部委託している場合、外部委託先による開発活動の監督・監視において、セキュリティ確保の観点を考慮している。
• エパッケージソフトウェアを活用した開発において、セキュリティ確保の観点から、パッケージソフトウェアの変更は必要な変更に限定している。

正解と解説

正解：ア ソフトウェア開発におけるセキュリティ機能の試験は、開発期間が終了した後に実施している。

セキュリティ機能の試験は開発の各段階で計画的に行い、問題を早い段階で見つけて是正することが求められる。開発期間が終わってからまとめて実施する運用では、不具合の発見が遅れ、修正の負担も大きくなるため、管理策に照らして不備と判断できる。他の三つは管理策に沿った望ましい実施状況である。

選択肢ごとの解説

• ア正しい。セキュリティ機能の試験を開発期間の終了後に回している点が指摘対象となる。
• イセキュリティに配慮した開発環境の整備は管理策に沿った適切な状況である。
• ウ外部委託先の開発活動を監督・監視する取組も管理策に沿っている。
• エパッケージソフトウェアの変更を必要最小限に抑えるのも望ましい実施状況である。

同じ分野の他の問題

• 情報セキュリティ管理基準（平成28年）に関する記述のうち，適切なものはどれか。2023年度 公開問題 科目A・B 問1
• 経済産業省"情報セキュリティ監査基準 実施基準ガイドライン（Ver1.0）"における、情報セキュリティ対策の適切性に対し…2019年度 春期 午前 問40
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果…2018年度 秋期 午前 問37
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に準拠してISMSを運用している場合，…2018年度 春期 午前 問38
• JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において、組織の管理下で働く人々が認識…2017年度 春期 午前 問11