正解：ア
各選択肢の解説
ア機器の種類ごとにセキュリティ設定の標準を定めて文書化し、それに沿って設定し、ずれを定期的に確かめる。
正解。構成管理です。あるべき設定を先に決めて文書にし、設定と変更をそれに合わせ、 標準からずれていないかを継続して確かめるので、担当者による差がなくなります。
イ見つかった機器の設定をその場で直し、直した機器と内容を点検の記録に残して終える。
誤り。見つかった不備は解消しますが、担当者ごとに設定するやり方は変わっていません。 次に新しい機器を入れたり設定を変えたりしたとき、同じ不備がまた生まれます。 今ある問題の是正と、再発を防ぐ仕組みは別のものです。
ウ情報資産台帳に機器の名称・設置場所・管理担当者を登録し、担当者の責任を明確にする。
誤り。資産の目録を整える組織的管理策で、何がどこにあり誰が管理するかは分かります。 しかし、どういう設定にすべきかは決まらないので、担当者ごとのばらつきは残ります。
エ設定の内容は担当者に任せたまま、設定を変えた操作のログを取得して保存する。
誤り。ログ取得は、誰がいつ何を変えたかを後から追うための管理策です。 正しい設定の基準がないままでは、記録を見ても不備かどうか判断できず、 不備の発生も防げません。
理解を深めるために
「正しい設定」を先に決めて、そこに揃え続ける
チェーン店の厨房では、どの店でも同じ手順書に従って機器を設定し、定期的に本部が 手順どおりかを確かめます。店長ごとに好きな設定にしていたら、どこかの店で必ず 抜けが出ます。サーバやネットワーク機器も同じで、技術的管理策の構成管理は、 セキュリティ設定を含む構成を定めて文書化し、そのとおりに実装し、監視して見直す取組です。
なぜ個別の是正では足りないのか
この場面の不備（不要なサービスが有効、初期パスワードのまま）は、どれも 「どう設定すべきか」が決まっていないことから生まれています。
- 標準がなければ、担当者の知識や手間のかけ方で設定が変わる
- 不備をその場で直しても、新しい機器や設定変更のたびに同じことが起きる
- 標準があれば、新しい機器にも同じ設定を当てられ、ずれを見つける基準にもなる
台帳の整備やログの取得も役に立つ管理策ですが、どちらも「あるべき設定」を 決めるものではありません。
混同しやすいものとの違い
| 見直し | 決まること | 残る問題 |
|---|---|---|
| 構成管理（設定の標準と継続的な確認） | あるべき設定とずれの見つけ方 | （再発を防げる） |
| その場の是正 | 今ある不備の解消 | 次の機器で同じ不備が出る |
| 情報資産台帳への登録 | 何がどこにあり誰が管理するか | 設定の中身は決まらない |
| 設定変更のログ取得 | 誰がいつ変えたか | 正しいかどうかの基準がない |
サービスマネジメントでも「構成管理」という言葉を使いますが、ここでは機器の セキュリティ設定をあるべき状態に保つ管理策として問われています。 「基準を決めているか」「その基準に揃え続けているか」で選択肢を見分けてください。