平成25年度春季解答

問題56

(1)～(4)はある障害の発生から本格的な対応までの一連の活動である。(1)～(4)の各活動とそれに対応するITILv3の管理プロセスの組合せのうち、適切なものはどれか。
(1) 利用者からサービスデスクに“特定の入力操作が拒否される"という連絡があったので、別の入力操作による回避方法を利用者に伝えた。
(2) 原因を開発チームで追及した結果、アプリケーションプログラムに不具合があることが分かった。
(3) 原因となったアプリケーションプログラムの不具合を回収する必要があるのかどうか、改修した場合に不具合箇所以外に影響が出る心配はないかどうかについて、関係者を集めて確認し、改修することを決定した。
(4) 改修したアプリケーションプログラムの稼働環境への適用については、利用者への周知、適用手順及び失敗時の切戻し手順の確認など、十分に事前準備を行った。

解答：ア

＜解説＞

ITIL（Information Technology Infrastructure Library）はITサービス管理・運用規則に関するベストプラクティス（成功事例）を調和的かつ包括的にまとめた一連のガイドブックである。

ITILにおけるサービスサポートは、「インシデント管理」、「問題管理」、「構成管理」、「変更管理」、「リリース管理」の5つのプロセスで構成されている。

インシデント管理

迅速なサービスの復旧を行い、企業が行う事業活動への影響を最小限に抑える事を目的としたプロセス。

問題管理

インシデントや障害原因の追及と対策および再発防止策の策定を目的としたプロセス。

構成管理

ITサービスの構成アイテム（CI）情報の正確な収集、認識と収集した情報の維持管理および確認・監査を目的としたプロセス。

変更管理

ITサービスの構成アイテム（CI）情報の変更を安全確実かつ効率的に実施する事を目的としたプロセス。

リリース管理

変更管理プロセスで承認された内容を本番環境（ITサービス提供媒体）に正しく反映させる為の作業（リリース作業）をコントロールする事を目的としたプロセス。

問題の一連の活動に対応する管理プロセスは次のようになる。

(1)インシデント管理，(2)問題管理，(3)変更管理，(4)リリース管理

したがって、アが正解である。

問題へ

問題57

新システムの開発を計画している。このシステムのTCOは何千円か。ここで、このシステムは開発された後、3年間使用されるものとする。

ア	40,500
イ	90,000
ウ	95,000
エ	135,500

解答：エ

＜解説＞

TCO (Total Cost of Ownership)とは、コンピュータシステムの導入、維持・管理などにかかる費用の総額のことである。

1. 初期費用を計算する。
   40,000千円(ハードウェア導入費用)＋50,000千円(システム開発費用)＋5,000千円(導入教育費用)=95,000千円
2. 毎年発生する恒常的なコストを計算する。
   1,500千円(ネットワーク通信費用)＋7,000千円(システム保守費用)＋5,000千円(システム運用費用)=13,500千円
3. 3年間使用する場合のTCOを計算する。
   95,000千円＋13,500千円×3＝135,500千円

問題へ

問題58

情報セキュリティに関する従業員の責任について“情報セキュリティ管理基準"に基づいて監査を行った。指摘事項に該当するものはどれか。

ア	雇用の終了をもって守秘責任が解消されることが、雇用契約に定められている。
イ	定められた勤務時間以外においても守秘責任を負うことが、雇用契約に定められている。
ウ	定められた守秘責任を果たさなかった場合、相応の措置がとられることが、雇用契約に定められている。
エ	定められた内容の守秘義務契約書に署名することが、雇用契約に定められている。

解答：ア

＜解説＞

情報セキュリティ監査基準とは、情報セキュリティ監査業務の品質を確保し、有効かつ効率的に監査を実施することを目的とした監査人の行為規範である。

情報セキュリティ管理基準より

ア	○	情報セキュリティ管理基準4.3.1.1に反するので指摘事項に該当する。 4.3.1.1 雇用の終了に関する責任の伝達事項には、実施中のセキュリティ要求事項及び法的責任 並びに、適切ならば、従業員、契約相手及び第三者の利用者の、雇用終了以降の一定期 間継続する、秘密保持契約及び雇用条件に規定された責任を含める
イ	×	4.1.3.7に定められているので適法である。 4.1.3.7 雇用条件には、組織の構外及び通常の勤務時間外に及ぶ責任（例えば、在宅勤務における責任）を含める
ウ	×	4.1.3.8に定められているので適法である。 4.1.3.8 雇用条件には、従業員、契約相手及び第三者の利用者が組織のセキュリティ要求事項に 従わない場合に取る処置を含める
エ	×	4.1.3.2に定められているので適法である。 4.1.3.2 雇用条件には、取扱いに慎重を要する情報へのアクセスが与えられる、すべての従業員、契約相手及び第三者の利用者による、情報処理施設へのアクセスが与えられる前の、秘密保持契約書又は守秘義務契約書への署名を含める

問題へ

問題59

情報システム部が開発し、経理部が運用している会計システムの運用状況を監査するシステム監査チームの体制についての記述のうち、適切なものはどれか。

ア	会計システムは企業会計に関する各種基準に準拠しているので、システム監査チームには公認会計士を含めなければならない。
イ	会計システムは機密性の高い情報を扱うので、システム監査チームは経理部長直属としなければならない。
ウ	経理部との癒着を防ぐために、システム監査チームのメンバは毎年入れ替えなければならない。
エ	独立性を担保するために、システム監査チームは情報システム部にも経理部にも所属しない者で組織しなければならない。

解答：エ

＜解説＞

ア	×	システム監査チームには公認会計士を含めることは問題ないが、必ず含める必要はない。
イ	×	経理部長直属にすると独立性が損なわれる。
ウ	×	システム監査チームのメンバを毎年入れ替えなくても監査対象と監査人との癒着を防ぐことができる。
エ	○	独立性を担保するためにも正しい。

問題へ

問題60

特権ID(システムの設定やデータの追加、変更、削除及びそれらの権限の設定が可能なID)の不正使用を発見するコントロールはどれか。

ア	特権IDの貸出し及び返却の管理簿と、特権IDのログを照合する。
イ	特権IDの使用を許可された者も、通常の操作では一般利用者IDを使用する。
ウ	特権IDの使用を必要とするものは、使用の都度、特権IDの貸出しを受ける。
エ	特権IDの設定内容や使用範囲を、用途に応じた細分化する。

解答：ア

＜解説＞

ア	○	特権IDの貸出し及び返却の管理簿と、特権IDのログを照合する。
イ	×	特権IDを使用するだけでは、特権IDの不正使用の発見にはつながらない。
ウ	×	システム管理者の許可を得ずに特許IDを使用する不正使用者を特定できない。
エ	×	管理上は、適切であるが不正使用を発見することにはつながらない。

問題へ