令和6年度 秋期 プロジェクトマネージャ試験 午前II 問25

• ア: JIS Q 27001:2023 で規定される“人的管理策”にのっとり，自社のWebサーバについての秘密情報を持ち出すおそれがない人物か，職員採用時に厳格な適格性検査を行う。
  誤り。これは人的要因に対する管理策であり、公開された実証コードを利用した攻撃の対策には直接結びつきません。

• イ: SNSサイトやダークウェブを巡回し，自社のWebサーバについて秘密として管理している情報が売買されていないことを確認する。
  誤り。情報の漏洩が既に発生している場合の検出手法であり、未然防止には直結しません。

• ウ: 自社のWebサーバで使用しているソフトウェアの脆弱性情報を確認し，ワークアラウンドの実施又は脆弱性修正プログラムの適用を行う。
  正しい。公開された実証コードを使った攻撃に対する最も有効な対策は、脆弱性情報を確認し、必要な修正を適用することです。

• エ: ファイアウォールを用いて外部との通信を記録し，自社のWebサーバから不審な宛先への通信が発生していないか調査する。
  誤り。これは攻撃が発生した後の被害検出の手段であり、未然防止策ではありません。

答え

ウ: 自社のWebサーバで使用しているソフトウェアの脆弱性情報を確認し，ワークアラウンドの実施又は脆弱性修正プログラムの適用を行う。