正解：イ
各選択肢の解説
ア予定日を守ることを優先して本番稼働させ、稼働後できるだけ早く修正する。
誤り。予定日を守りたい圧力は現場で最も強くかかるものですが、これでは受入れ基準を 決めた意味がなくなります。重大な脆弱性を抱えたまま顧客に公開することになり、 基準は「稼働させてよいか」を判断するために事前に合意したものです。
イ基準を満たしていないことを報告し、修正と再診断で満たすまで本番稼働を見送る。
正解。サービス受入れ基準は、本番稼働に入ってよいかを判断するために前もって合意した条件です。 満たさない項目が残っているなら、修正して再び確かめるまで稼働させないのが基準の使い方です。
ウ運用担当者が稼働後の監視を強めることとし、基準を満たしたものとして稼働させる。
誤り。監視の強化は攻撃に気付くための対策で、脆弱性そのものは残ります。 補う対策があることと、合意した基準を満たしたことは別です。担当者の判断で 「満たしたもの」と扱えば、合意した基準を黙って書き換えることになります。
エ指摘の重大度の判定を見直して中程度に下げ、基準を満たしたことにして稼働させる。
誤り。判定の見直し自体は根拠があれば行うことですが、稼働を間に合わせるために 評価を下げるのは、基準の形だけを満たす操作です。脆弱性の危険度は変わらず、 受入れ判定の信頼性が失われます。
理解を深めるために
受入れ基準は「この条件を満たしたら稼働してよい」という約束
新築の家は、検査に通るまで引き渡されません。引越しの日が決まっていても、 検査で欠陥が見つかれば直してから引き渡します。サービス受入れ基準は、 この検査項目にあたるものを、サービスを本番稼働させる前に決めておいたものです。
なぜ稼働を見送るのか
受入れ基準は、移行の前に、提供者と利用者（顧客や運用部門）とで合意しておく条件です。 機能や性能だけでなく、この問題のようにセキュリティの条件を含めることができます。
- 事前に合意しているので、稼働直前の圧力で判断がぶれない
- 満たしたかどうかを確かめる方法（ここでは脆弱性診断）が決まっている
- 満たさなければ、直して再び確かめるまで稼働させない
基準を変える必要があるなら、それは合意した関係者が改めて決めることで、 担当者がその場で「満たしたもの」と扱うことではありません。
混同しやすいものとの違い
| 対応 | 問題点 |
|---|---|
| 報告し、修正と再診断で満たすまで見送る | 基準を本来の目的どおりに使っている |
| 予定日を優先して稼働後に修正 | 重大な脆弱性を抱えたまま公開する |
| 監視強化を理由に満たしたものとする | 補う対策と、基準を満たすことを取り違えている |
| 重大度を下げて基準を満たしたことにする | 形だけ満たし、判定の信頼を失う |
試験では、スケジュールや代わりの対策を理由に基準を緩める選択肢が並びます。 受入れ基準は稼働の可否を決める条件だと押さえておけば見分けられます。