応用情報技術者試験 応用情報技術者試験 令和3年度春期 午前 問58: 情報セキュリティ管理基準（平成28年）を基に，情報システム環境におけるマルウェア対策の実施状況について監査を実施した。判明したシステム運用担当者の対応状況のうち

正解

ウ. マルウェア検出のためのスキャンを実施した上で，組織として認可していないソフトウェアを使用している。

正答率 78.1%（593人中 463人が正解）

問題の解説

監査人が指摘事項とするのは、管理基準が求める管理策に反している状態である。マルウェア対策としては、スキャンによる検出、脆弱性の低減、感染を想定した事業継続計画の策定が求められ、組織が認可していないソフトウェアの使用は禁止すべきとされる。スキャンを実施していても、認可外のソフトウェアを使っていれば不備になる。

選択肢ごとの解説

• アWeb ページのスキャンは、マルウェアを検出するための管理策そのもので、望ましい対応である。指摘の対象にならない。
• イ感染による被害を想定した事業継続計画は、マルウェアからの回復に備える管理策で、望ましい対応である。指摘の対象にならない。
• ウ正しい。スキャンを実施していても、組織として認可していないソフトウェアの使用は、禁止すべき行為である。管理策に反するため、指摘事項として報告書に記載する。
• エ脆弱性の情報収集と修正コードの適用は、マルウェアに付け込まれる余地を減らす管理策で、望ましい対応である。指摘の対象にならない。