解説

JIS Q 27001:2014附属書Aには，システム開発のセキュリティに関する管理策が含まれ，セキュリティ機能の試験は開発プロセスの中（適切な工程）で実施することが望まれます。設問では，セキュリティ機能の試験を『開発期間が終了した後に』実施しているという状況が問題です。開発後にまとめて試験すると，欠陥の発見が遅れ手戻りが大きくなり，セキュリティ確保の観点から不適切なため，監査人が指摘事項として記載すべきものに該当します。したがって正解はaです。選択肢b（セキュリティに配慮した開発環境），c（外部委託先の監督・監視でセキュリティを考慮），d（パッケージの変更を必要なものに限定）は，いずれも管理策に沿った適切な状況であり，指摘すべき問題点ではありません。『開発後に試験』という時期の不適切さが指摘対象です。

なぜ他の選択肢は違うのか

選択肢 イ

セキュリティ確保に配慮した開発環境で開発を行うことは，管理策に沿った適切な取組です。問題のある状況ではないため，指摘事項には該当しません。

選択肢 ウ

外部委託先による開発活動の監督・監視でセキュリティ確保の観点を考慮することは，適切な管理策の実施です。指摘すべき問題点ではありません。

選択肢 エ

パッケージソフトウェアの変更を必要な変更に限定することは，変更によるリスクを抑える適切な対応です。指摘事項として記載すべき問題ではありません。

解くときのポイント

セキュリティ機能の試験は『開発工程の中で』実施すべき。開発後にまとめて実施は手戻り増で指摘対象。適切な管理策の実施状況は指摘しない。