情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

色々悩ましい解答があり、どうもすっきりしません。

設問1(4)
IPAの解答
・A 社情報システム部に事故発生後にすぐ報告していない点
市販のCC解説本の解答
・事故の発生時点で速やかにA社の情報システム部に報告すべき

CC解説本の解答が不適切な理由  (部分点も無)
設問の「・・改善すべき点を30字以内で述べよ」の改善すべき点とは、すなわち問題は何かである。
従ってCC解説本の解答の様に改善策を述べてはいけない。


設問2(3)
IPAの解答
・修正によって新たな脆弱性が発生していないこと
私の解答
・修正完了までの間に新な脆弱性か生じていないこと

IPAの解答が不適切な理由  (部分点も無)
設問に「・・検出された脆弱性が適切に修正されたこと以外に、」とある。
修正によって新たな脆弱性が発生することは、リグレッションテストをしていないこと、
つまり適切に修正されいないことになり、設問に応えていない。
従って修正以外のことを言わなければならない。


設問3(6)
IPAの解答
・初回にブラウザで Web サイトへ http でアクセスした場合
CC解説本の解答
・中間者が http で受け付け、Web サイトへ https で通信した場合

IPAの解答が不適切な理由  (部分点は５割)
いずれの場合も、Web サイトからブラウザにHSTS通知がなされない場合なのでOKの様に思われる。
しかし、設問に「本文中の下線5の事象が起きる場合がある」とあり、
下線5には「・・中間者によって通信を盗聴されてしまう」とある。
従って、中間者が存在する場合の解答を求めているのであって、IPAの解答のように
ブラウザと Web サイトの直接通信の解答は不適節だ。