解説

JIS Q 27001:2014（ISMS：情報セキュリティマネジメントシステム要求事項）の附属書Aには情報セキュリティ管理策が規定されています。A.14「システムの取得、開発及び保守」の管理策では、ソフトウェア開発プロセスにおいて「セキュリティ機能の試験は開発ライフサイクルの適切な段階で実施する」ことが求められています。「ソフトウェア開発のセキュリティ機能の試験を、開発期間が終了した後に実施している」という状況は、ISMS管理策の趣旨に反します。開発期間中にセキュリティテストを実施しないことで、セキュリティ上の欠陥が実装に残ったまま本番稼働するリスクがあります。セキュリティテストは設計・開発の各フェーズで実施するシフトレフト（Shift Left）の考え方が現代の標準です。

なぜ他の選択肢は違うのか

選択肢 イ

「ソフトウェア開発はセキュリティ確保に配慮した開発環境において行っている」はJIS Q 27001 A.12「運用のセキュリティ」またはA.14「開発環境の保護」に関する管理策に沿った適切な対応です。開発環境のセキュリティ確保は管理策に準拠しており、指摘事項にはなりません。

選択肢 ウ

「ソフトウェア開発を外部委託している場合、外部委託先の開発活動の監督・監視においてセキュリティ確保の観点を考慮している」はJIS Q 27001 A.15「供給者関係」の管理策に沿った適切な対応です。外部委託先のセキュリティ監督はISMSの要件であり、指摘事項ではありません。

選択肢 エ

「パッケージソフトウェアを活用した開発において、セキュリティ確保の観点から、パッケージソフトウェアの変更は必要な変更に限定している」はJIS Q 27001 A.14の管理策に沿った適切な対応です。不必要な変更を避けることでセキュリティリスクを低減しており、指摘事項にはなりません。

解くときのポイント

ISMSのA.14（開発・取得のセキュリティ）のポイント：セキュリティテストは「開発プロセス内の適切な段階」で実施する。「開発終了後にセキュリティテスト」は管理策違反。シフトレフト＝テストを開発サイクルの早期から実施する考え方。監査人は「本来あるべき管理策が実施されていない事実」を指摘する。