問2：個別化計画におけるシステムリスク対応方針の立案について

顧客の生活や企業の事業活動の基盤として利用され、継続して安定したサービスの 提供を求められるシステムは、システムリスク対応方針の立案が重要である。 システムリスク対応方針の立案とは、企業の情報システム戦略やセ キュリティポリシーなどに基づき、故障によるシステム停止、人為的ミスやサイバー 攻撃による情報漏えいなどのインシデントに備える施策の検討である。 ITストラテジストは、個別化計画におけるシステムリスク対応方針の立 案に当たっては、事業や顧客、提供するサービスの特性を十分に考慮し、社外の事例 も参考にした上で、インシデントが社会や自社の経営に与えるインパクトを想定する。 次に、想定したインパクトに応じて、予防策と発生時対策から成るシステムリスク 対応方針を関連部門とともに立案する。予防策とは、インシデントの発生を最小限に 抑える施策で、許容される停止時間に応じた冗長性確保、情報漏えいを防止する認 証・認可の厳格化などがある。また発生時対策とは、インシデント発生後のインパク トを最小限に抑える施策で、迅速な情報共有のための顧客と社内への緊急連絡シス テムの構築、迅速な復旧を実現するための定期的なリカバリ訓練の実施などがある。 これらの検討を基にITストラテジストは、施策の準備、実行及び維持や、組織の 体制強化などに要する費用を明らかにするとともに、システムリスク対応方針の効果 を検討し、事業部門と経営層に提案して承認を得ることが重要である。 あなたの経験と考えに基づいて、設問ア～設問ウに従って論述せよ。

【出題趣旨 / 解答要旨】IPA公式発表

【解答要旨 / 出題趣旨】 顧客の生活や企業の事業活動の基盤として利用され，継続して安定したサービスの提供を求められるシステ ムの個別システム化計画では，システムリスク対応方針の立案が重要である。 本問は，個別システム化計画において，対象システムに想定されるインシデント，そのインシデントが社会 や自社の経営に与えるインパクト，及びそのインパクトに応じて立案する，予防策と発生時対策から成るシス テムリスク対応方針について，具体的な論述を求めている。論述を通じて，IT ストラテジストに必要な，シス テムリスク対応方針の立案における構想力，分析力，洞察力などを評価する。

【採点講評 / 評価基準】IPA公式発表

【採点講評 / 評価基準】 問 2 では，インシデントに備える施策の検討として，予防策と発生時対策から成るシステムリスク対応方針 が具体的に示された論述が多く見受けられ，経験のある受験者には論述しやすかったと思われる。一方で，イ ンシデントが社会や自社の経営に与えるインパクトについて，具体的な内容が示されていない論述も散見され た。IT ストラテジストは，システムリスク対応方針の効果を十分に検討し，事業部門と経営層に提案して承認 を得られる分析能力や評価能力を養ってほしい。