令和3年度 春期 応用情報技術者試験 問58

解説

正解は3です。 システム監査では、管理基準に照らして不備がある事項を指摘事項として監査報告書に記載します。 情報セキュリティ管理基準では、マルウェア対策として、認可されていないソフトウェアの使用を禁止することを求めています。 【選択肢別解説】 1：× Webページに対してマルウェア検出のスキャンを行うことは、管理基準に沿った適切な対策です。 不備ではないので、指摘事項にはなりません。 2：× マルウェア感染による被害を想定して事業継続計画を策定することは、適切な対策です。 不備ではないので、指摘事項にはなりません。 3：○ スキャンを実施していても、組織が認可していないソフトウェアを使用していることは管理基準に反します。 未知のマルウェアや脆弱性を持ち込むおそれがあるため、指摘事項として記載すべきです。 4：× 脆弱性の情報を収集し、必要に応じて修正コード（パッチ）を適用することは、適切な対策です。 不備ではないので、指摘事項にはなりません。 【ポイント】 監査の指摘事項は「管理基準どおりに実施されていないこと」です。 選択肢の中から、基準に反している行為を探すのが解き方の基本です。