正解：エ
各選択肢の解説
ア資産管理
誤り。資産管理は、サービスに使う資産を調達から廃棄まで管理し、ライセンスの 順守や費用の適正化を図る活動です。台帳で保有状況を把握する点が似ていますが、 主眼は資産を正しく保有・使用しているかで、どのサービスがどの機器に 依存しているかという関係の記録は構成管理の役割です。
イリリース及び展開管理
誤り。承認された変更をリリースとしてまとめ、試験したうえで本番環境へ展開する 活動です。脆弱性を直す修正プログラムを配るときに働くので連想しやすいですが、 影響範囲を洗い出すための情報を日頃から保っておく活動ではありません。
ウ変更管理
誤り。CIに対する変更を、影響を評価し承認してから実施させる活動です。 変更の記録はCIと結び付きますが、変更管理が担うのは変更の可否の統制です。 いまどのCIがどのバージョンで、どのサービスとつながっているかを示す情報は、 構成管理が持ちます。
エ構成管理
正解。CIごとに識別情報や状態、他のCIとの関係を構成情報として記録し、 変更が展開されるたびに更新する活動です。バージョンとサービスとのつながりが 正しく記録されていれば、影響を受ける範囲をすぐに引けます。
理解を深めるために
「何がどこにあり、何とつながっているか」の地図
脆弱性が公表されたとき、最初に困るのは「うちのどこが当たるのか」が分からないことです。 構成管理は、サービスを形づくる要素を**構成品目（CI）**として登録し、 その属性と、CIどうしやサービスとのつながりを記録しておく活動です。 いわばサービスの地図で、地図があれば「このバージョンを使っているサーバ」と 「そのサーバに依存するサービス」を順にたどれます。
なぜ構成管理なのか
JIS Q 20000-1:2020 の構成管理では、CIごとに次のような構成情報を記録することが 求められています。
- 一意の識別情報、CIの種類、CIについての記述
- 他のCIとの関係
- 状態
さらに、構成情報はCIの変更の展開に伴って更新し、あらかじめ定めた間隔で正確性を 検証することも求められます。脆弱性の影響範囲を素早く洗い出せるかどうかは、 この地図が実態と合っているかで決まります。緊急で修正プログラムを当てたのに 構成情報を直していないと、次の脆弱性のときに地図がずれた状態で調べることになります。
混同しやすいものとの違い
| 活動 | 主に扱うもの |
|---|---|
| 構成管理 | CIの属性と、CIどうし・サービスとの関係 |
| 資産管理 | 資産の保有・ライセンス・費用（調達から廃棄まで） |
| 変更管理 | 変更を評価・承認してから実施させる統制 |
| リリース及び展開管理 | 承認された変更を試験し、本番環境へ展開する |
試験では「どのサービスが影響を受けるか」のようにつながりを問われたら構成管理、 「何台・何本を正しく保有しているか」なら資産管理、と問いの軸で見分けます。