令和3年度 春期 応用情報技術者試験 午前 問58

• ア: Webページに対して，マルウェア検出のためのスキャンを行っている。
  誤り。適切な対応であり、セキュリティ対策の一環として評価されるべき項目です。監査報告書に指摘事項として記載する必要はありません。

• イ: マルウェア感染によって被害を受けた事態を想定して，事業継続計画を策定している。
  誤り。事業継続計画(BCP)の策定は適切な対応であり、監査報告書で指摘すべき事項ではありません。

• ウ: マルウェア検出のためのスキャンを実施した上で，組織として認可していないソフトウェアを使用している。
  正しい。組織として認可されていないソフトウェアの使用はセキュリティリスクを高めるため、監査報告書に記載して指摘すべき事項です。未承認ソフトウェアはマルウェア感染の原因になり得ます。

• エ: マルウェアに付け込まれる可能性のある脆弱性について情報収集を行い，必要に応じて修正コードを適用し，脆弱性の低減を図っている。
  誤り。脆弱性管理と修正パッチの適用は適切なセキュリティ対策です。指摘事項ではなく、むしろ推奨される行動です。

答え

ウ: マルウェア検出のためのスキャンを実施した上で，組織として認可していないソフトウェアを使用している。