自社グループ基準に基づいた自己点検｜情報セキュリティマネジメント 令和4年 サンプル問題 問58
出典：令和4年度 サンプル問題 科目B 問58
分野：科目B ／ 部門の情報システム利用時の情報セキュリティの確保
国内外に複数の子会社をもつA社では，インターネットに公開するWebサイトについて，A社グループの脆弱性診断基準（以下，A社グループ基準という）を設けている。A社の子会社であるB社は，会員向けに製品を販売するWebサイト（以下，B社サイトという）を運営している。B社サイトは，会員だけがB社の製品やサービスを検索できる。会員の氏名，メールアドレスなどの会員情報も管理している。
B社では，11月に情報セキュリティ活動の一環として，A社グループ基準を基に自己点検を実施し，その結果を表1のとおりまとめた。
設問 表1中の自己点検の結果のうち，A社グループ基準を満たす項番だけを全て挙げた組合せを，解答群の中から選べ。
解答群
表1 B社自己点検結果（抜粋）
| 項番 | 点検項目 | A社グループ基準 | 点検結果 |
| （一） | Webアプリケーションプログラム（以下，Webアプリという）に対する脆弱性診断の実施 | ・インターネットに公開しているWebサイトについて，Webアプリの新規開発時，及び機能追加時に行う。 ・機能追加などの変更がない場合でも，年1回以上行う。 | ・3年前にB社サイトをリリースする1か月前に，Webアプリに対する脆弱性診断を行った。リリース以降は実施していない。 ・3年前の脆弱性診断では，軽微な脆弱性が2件検出された。 |
| （二） | OS及びミドルウェアに対する脆弱性診断の実施 | ・インターネットに公開しているWebサイトについて，年1回以上行う。 | ・毎年4月及び10月に，B社サイトに対して行っている。 ・今年4月の脆弱性診断では，脆弱性が3件検出された。 |
| （三） | 脆弱性診断結果の報告 | ・Webアプリ，OS及びミドルウェアに対する脆弱性診断を行った場合，その結果を，診断 後2か月以内に各社の情報セキュリティ委員会に報告する。 | ・3 年前にWebアプリに対する脆弱性診断を行った2週間後に，結果を情報セキュリティ委員会に報告した。 ・OS及びミドルウェアに対する脆弱性診断の結果は，4月と10月それぞれの月末の情報セキュリティ委員会に報告した。 |
| （四） | 脆弱性診断結果の対応 | ・Webアプリ，OS及びミドルウェアに対する脆弱性診断で，脆弱性が発見された場合，緊急を要する脆弱性については，速やかに対応し，その他の脆弱性については，診断後，1か月以内に対応する。指定された期限までの対応が困難な場合，対応の時期を明確にし，最高情報セキュリティ責任者（CISO）の承認を得る。 | ・3年前に検出したWebアプリの脆弱性2件について，B社サイトのリリースの1週間前に対応した。 ・今年4月に検出したOS及びミドルウェアに対する脆弱性のうち，2件は翌日に対応した。残り1件は，恒久的な対策は来年1月のB社サイトの更改時に対応するものとし，それまでは，設定変更による暫定対策をとるという対応計画について，脆弱性診断の10日後にCISOの承認を得た。 |
- ア：（一），（二）
- イ：（一），（二），（三）
- ウ：（一），（二），（三），（四）
- エ：（一），（二），（四）
- オ：（一），（三），（四）
- カ：（一），（四）
- キ： （二），（三）
- ク：（二），（三），（四）
- ケ：（三），（四）