令和3年度 春期 情報処理安全確保支援士試験 午前II 問25

【解説】

ア: ソフトウェア開発におけるセキュリティ機能の試験は，開発期間が終了した後に実施している。
正しい。 セキュリティ試験は開発プロセスの一部として適切な段階で実施する必要があります。開発期間終了後に行うことは遅すぎ、欠陥を早期に発見できない可能性があるため、監査報告書に指摘事項として記載すべきです。

イ: ソフトウェア開発は，セキュリティ確保に配慮した開発環境において行っている。
誤り。 セキュリティに配慮した環境で開発が行われている場合、それは適切な取り組みとして評価されます。指摘事項には該当しません。

ウ: ソフトウェア開発を外部委託している場合，外部委託先による開発活動の監督・監視において，セキュリティ確保の観点を考慮している。
誤り。 外部委託先に対する監督・監視が行われている場合、適切な管理策に従っていると評価されます。指摘事項には該当しません。

エ: パッケージソフトウェアを活用した開発において，セキュリティ確保の観点から，パッケージソフトウェアの変更は必要な変更に限定している。
誤り。 必要な変更に限定することは適切な取り組みであり、問題とはなりません。