情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

表題について、
IPAの公式回答：「作業の妥当性を確認できる詳細なレビュー記録を委託先が提出していること」
回答：「レビュー記録やテストエビデンスの提出及び脆弱性診断の合格を受け入れ条件とする」

とあり、脆弱性診断の合格が公式回答にはありません。

これは、P19の『Webサイトの開発スケジュールが短くて、診断をセキュリティ専門業者に依頼するとリリースに間に合わない』から、脆弱性診断の合格は受入条件に含めていないとの認識でよろしいでしょうか？

ご教示いただけますと幸いです。

この設問は作文の問題と思われます。
脆弱性診断については、工程4.テスト「適切な診断が実施されていること、並びに
検出された脆弱性が修正されていること」
とあります。この部分が脆弱性診断の結果への対応（合格）と読み取れます。

図11 「注意事項：各工程の最後にレビューを行い、作業の妥当性を確認すること」と
あります。
「工程4.テスト」も注意事項で挙げられている各工程の一つであり、脆弱性診断は
「工程4.テスト」に含まれます。ここから脆弱性診断の対応が不要ということでは
ないと読み取れます。

pix様

ご回答ありがとうございます。

実際の試験にてIPAが脆弱性診断の合格を条件とした回答を正解と
みなすかはわからないので、どこまで踏み込むか難しいですね...。

また、ご返信の中にある「作文の問題」とはどのような意味でしょうか？

>また、ご返信の中にある「作文の問題」とはどのような意味でしょうか？
以下の2つの解答を比べてみます。
IPAの正答：「作業の妥当性を確認できる詳細なレビュー記録を委託先が提出していること」
スレ主様の解答：「レビュー記録やテストエビデンスの提出及び脆弱性診断の合格を受け入れ
条件とする」

IPAの正答は簡潔であり、一切冗長な点がありません。
スレ主様の解答は
・「レビュー記録やテストエビデンスの提出」は全ての工程で必要
・「脆弱性診断」は工程4.テストの一項目
というように、「脆弱性診断」だけ特別扱いしています。
解答の粒度を併せるのであれば、
・「脆弱性診断」だけ特別扱いするのではなく、すべての工程の中の項目を列挙する
・工程の中の一項目については言及しない
のどちらかになると思われます。
しかし、すべての工程の中の項目を列挙したのであれば、40字以内では解答できません。
そのため、工程の中の一項目については言及せず、簡潔に解答したのがIPAの正答と
なります。

こういった解答文章を組み立てることがポイントとなっているため、作文の問題であると
考えました。

pix様

丁寧な解説ありがとうございます。

記述の粒度が異なる点は気づきませんでした。
ご指摘ありがとうございます。