正解：イ
各選択肢の解説
ア複数のサイトが同じ内容を載せているので事実とみなし、全社に利用の中止を周知する。
誤り。載せているサイトの数は、裏づけの数ではありません。まとめサイトは同じ投稿を 引き写していることが多く、出どころが1つなら何件あっても確認は1回分です。 数ではなく、元をたどって一次情報に行き着くかで判断します。
イ提供元の公式発表や公的機関の脆弱性情報で事実と影響を確かめ、周知の要否を決める。
正解。脆弱性の有無と影響を確実に知っているのは提供元で、公的機関の脆弱性情報も 裏づけになります。一次情報で確かめるのがファクトチェックの基本です。
ウ確認には時間がかかるので、念のため投稿をそのまま全社に転送し、各自で判断させる。
誤り。善意の転送でも、事実でなければ組織として誤情報を広げることになります。 確かめる手段を持たない従業員一人一人に判断を任せると、対応もばらつきます。 確かめる役目は、情報を集約する担当者が引き受けます。
エ生成AIに投稿の真偽を尋ね、「事実である」と答えたら全社に利用の中止を周知する。
誤り。生成AIの答えは一次情報ではなく、もっともらしい誤り（ハルシネーション）を 含むことがあります。学習した時点より新しい脆弱性は、そもそも知らない可能性もあります。 AIの答えも、元の情報源で確かめ直す対象です。
理解を深めるために
「何件見たか」ではなく「どこまでさかのぼれたか」
同じ話を3人から聞いても、3人とも同じ1人から聞いたのなら、確かめたことにはなりません。 ネットの情報も同じで、まとめサイトやSNSの投稿が何件あっても、元が1つの投稿なら 裏づけは増えていません。
ファクトチェックは、情報の出どころをたどって、一次情報に当たることです。 脆弱性の話なら、一次情報はサービスの提供元の発表で、JVNのような公的機関の脆弱性情報も 確かめる先になります。
なぜ担当者が確かめてから周知するのか
- 組織として広げる重み: 担当者の名前で全社に出せば、従業員はそれを事実として受け取る。 事実でなければ、会社が誤情報（ミスインフォメーション）の発信元になる
- 誤った周知の害: 根拠なく利用を止めれば業務が止まる。逆に本当の脆弱性なら、 提供元が示す回避策や修正版の情報まで一緒に伝える必要がある。どちらにしても一次情報が要る
- 確かめた結果で決める: 事実なら影響と対処を添えて周知し、事実でなければ 「確認した結果、該当する発表は無い」と部員に返す
混同しやすいものとの違い
| 判断の根拠 | 裏づけになるか |
|---|---|
| 提供元の発表・公的機関の脆弱性情報 | なる。当事者や公的な情報源に当たっている |
| 同じ内容を載せるサイトの数 | ならない。元が1つなら何件でも1回分 |
| 従業員一人一人の判断 | ならない。確かめる手段が無いまま判断がばらつく |
| 生成AIの回答 | ならない。AIの答え自体が確かめる対象 |
試験では、ファクトチェックを問われたら「情報の量」ではなく「一次情報までたどれたか」で 選択肢を見分けます。