国内外に複数の子会社をもつA社では、インターネットに公開するWebサイトについて、A社グループの脆弱性診断基準（以下、A社グループ基準という）を設けている。A社の子会社であるB社は、会員向けに製品を販売するWebサイト（以下、B社サイトという）を運営している。B社サイトは、会員だけがB社の製品やサービスを検索できる。会員の氏名、メールアドレスなどの会員情報も管理している。B社では、11月に情報セキュリティ活動の一環として、A社グループ基準を基に自己点検を実施し、その結果を表1のとおりまとめた。表1 B社自己点検結果（抜粋）：項番（一）点検項目「Webアプリケーションプログラム（以下、Webアプリという）に対する脆弱性診断の実施」、A社グループ基準「インターネットに公開しているWebサイトについて、Webアプリの新規開発時、及び機能追加時に行う。機能追加などの変更がない場合でも、年1回以上行う。」、点検結果「3年前にB社サイトをリリースする1か月前に、Webアプリに対する脆弱性診断を行った。リリース以降は実施していない。3年前の脆弱性診断では、軽微な脆弱性が2件検出された。」。項番（二）点検項目「OS及びミドルウェアに対する脆弱性診断の実施」、A社グループ基準「インターネットに公開しているWebサイトについて、年1回以上行う。」、点検結果「毎年4月及び10月に、B社サイトに対して行っている。今年4月の脆弱性診断では、脆弱性が3件検出された。」。項番（三）点検項目「脆弱性診断結果の報告」、A社グループ基準「Webアプリ、OS及びミドルウェアに対する脆弱性診断を行った場合、その結果を、診断後2か月以内に各社の情報セキュリティ委員会に報告する。」、点検結果「3年前にWebアプリに対する脆弱性診断を行った2週間後に、結果を情報セキュリティ委員会に報告した。OS及びミドルウェアに対する脆弱性診断の結果は、4月と10月それぞれの月末の情報セキュリティ委員会に報告した。」。項番（四）点検項目「脆弱性診断結果の対応」、A社グループ基準「Webアプリ、OS及びミドルウェアに対する脆弱性診断で、脆弱性が発見された場合、緊急を要する脆弱性については、速やかに対応し、その他の脆弱性については、診断後、1か月以内に対応する。指定された期限までの対応が困難な場合、対応の時期を明確にし、最高情報セキュリティ責任者（CISO）の承認を得る。」、点検結果「3年前に検出したWebアプリの脆弱性2件について、B社サイトのリリースの1週間前に対応した。今年4月に検出したOS及びミドルウェアに対する脆弱性のうち、2件は翌日に対応した。残り1件は、恒久的な対策は来年1月のB社サイトの更改時に対応するものとし、それまでは、設定変更による暫定対策をとるという対応計画について、脆弱性診断の10日後にCISOの承認を得た。」。設問：表1中の自己点検の結果のうち、A社グループ基準を満たす項番だけを全て挙げた組合せを、解答群の中から選べ。
変更がなくても年1回以上の診断が必要
表1 B社自己点検結果（抜粋）
| 項番 | 点検項目 | A社グループ基準 | 点検結果 |
|---|---|---|---|
| （一） | Webアプリケーションプログラム（Webアプリ）に対する脆弱性診断の実施 | インターネットに公開しているWebサイトについて、Webアプリの新規開発時、及び機能追加時に行う。機能追加などの変更がない場合でも、年1回以上行う。 | 3年前にB社サイトをリリースする1か月前に、Webアプリに対する脆弱性診断を行った。リリース以降は実施していない。3年前の脆弱性診断では、軽微な脆弱性が2件検出された。 |
| （二） | OS及びミドルウェアに対する脆弱性診断の実施 | インターネットに公開しているWebサイトについて、年1回以上行う。 | 毎年4月及び10月に、B社サイトに対して行っている。今年4月の脆弱性診断では、脆弱性が3件検出された。 |
| （三） | 脆弱性診断結果の報告 | Webアプリ、OS及びミドルウェアに対する脆弱性診断を行った場合、その結果を、診断後2か月以内に各社の情報セキュリティ委員会に報告する。 | 3年前にWebアプリに対する脆弱性診断を行った2週間後に、結果を情報セキュリティ委員会に報告した。OS及びミドルウェアに対する脆弱性診断の結果は、4月と10月それぞれの月末の情報セキュリティ委員会に報告した。 |
| （四） | 脆弱性診断結果の対応 | Webアプリ、OS及びミドルウェアに対する脆弱性診断で、脆弱性が発見された場合、緊急を要する脆弱性については、速やかに対応し、その他の脆弱性については、診断後、1か月以内に対応する。指定された期限までの対応が困難な場合、対応の時期を明確にし、CISOの承認を得る。 | 3年前に検出したWebアプリの脆弱性2件について、B社サイトのリリースの1週間前に対応した。今年4月に検出したOS及びミドルウェアに対する脆弱性のうち、2件は翌日に対応した。残り1件は、恒久的な対策は来年1月のB社サイトの更改時に対応するものとし、それまでは、設定変更による暫定対策をとるという対応計画について、脆弱性診断の10日後にCISOの承認を得た。 |
選択肢
- ア（一）,（二）
- イ（一）,（二）,（三）
- ウ（一）,（二）,（三）,（四）
- エ（一）,（二）,（四）
- オ（一）,（三）,（四）
- カ（一）,（四）
- キ（二）,（三）
- ク（二）,（三）,（四）
- 9（三）,（四）
正解と解説
正解：ク （二）,（三）,（四）
項番一は、変更がなくても年1回以上と定められているのにリリース以降3年間実施しておらず基準を満たさない。項番二は年2回実施しており基準以上、項番三はいずれも2か月以内に報告しており適合、項番四は緊急以外を1か月以内に対応し、困難な分は時期を明確にして期限内にCISOの承認を得ているため適合となる。
選択肢ごとの解説
- ア一は年1回以上の要件を満たしていない。
- イ一を含んでおり適合とは言えない。
- ウ一を含むため誤りである。
- エ一を含むうえ三が欠けている。
- オ一を含み、二が欠けている。
- カ一を含み、二と三も欠けている。
- キ四が抜けており、四も基準を満たしている。
- ク正しい。二・三・四が基準を満たし、一だけが未達である。
- 9二が抜けており、二も基準を満たしている。
同じ分野の他の問題
- 情報セキュリティでの脆弱性の検出に用いられるホワイトボックステストに該当するものはどれか。2026年度 公開問題 科目A・B 問5
- CVSS v3について、基本評価基準、現状評価基準、環境評価基準のうち、現状評価基準の特徴はどれか。2025年度 公開問題 科目A・B 問6
- A社は、金属加工を行っている従業員50名の企業である。同業他社がサイバー攻撃を受けたというニュースが増え、A社の社長は情…2022年度 公開問題 科目A・B 問51
- Webサーバの検査におけるポートスキャナの利用目的はどれか。2019年度 秋期 午前 問30
- ネットワークカメラなどのIoT機器ではTCP 23番ポートへの攻撃が多い理由はどれか。2019年度 秋期 午前 問6
最終更新：2026-08-25／解説・選択肢ごとの解説は資格暗記が独自に作成しています。問題文と選択肢の出典は上記のとおりです。