情報セキュリティマネジメント試験 科目A 情報セキュリティ対策 練習問題 第17問: 社内ネットワークだけで使う基幹業務のサーバのソフトウェアについて、開発元から脆弱性の修正プログラムが公開された。運用担当者からは、業務を止められないことを理由に

正解: 2. システムへの影響と緊急性を検討して適用を判断し、業務に影響するなら組織幹部の判断を仰ぐ。

「システムへの影響と緊急性を検討して適用を判断し、業務に影響するなら組織幹部の判断を仰ぐ」対応が適切です。総務省「国民のためのサイバーセキュリティサイト」は、脆弱性の修正に関する更新が発表されたら、自分が管理するシステムへの影響や緊急性を検討するとしています。基幹業務のサーバは止められないなどの理由で更新が先延ばしにされがちですが、攻撃を受けると長期間の業務停止につながるおそれがあるため、安易な先延ばしはせず、業務に影響する場合は組織幹部の判断を仰ぐなどして対応するとしています。次の定期保守まで待つ案と、外部に公開していないことを理由に適用しない案は、影響と緊急性を検討しないまま先延ばしや不適用を決めています。公開当日に本番へ適用する案も、システムへの影響を検討していません。

関連キーワード: 脆弱性管理・修正プログラム・基幹業務サーバ・パッチ適用