IPA公式正解：ア ソフトウェア開発におけるセキュリティ機能の試験は，開発期間が終了した後に実施している。
※ 正解はIPA公表の解答です。解説は当サイトが生成AIを用いて作成しています。誤りにお気づきの場合はお問い合わせください。
【解説】正解は選択肢【ア】です。JIS Q 27001の管理策において、セキュリティ機能の試験は開発ライフサイクルの初期段階や適切なプロセスの中で継続的に実施すべきであり、開発期間終了後に後追いで行うことは不適切な管理体制として指摘対象となります。
【詳細解説】■ 本問の核心・解法のポイント
情報セキュリティマネジメントシステム（ISMS）の要求事項（JIS Q 27001:2014）の附属書Aにおける「システム開発および保守におけるセキュリティ（A.14）」の管理策に照らし、適切な開発プロセスが行われているかを判断する問題です。
・各選択肢の徹底解説：
・ア：【選択肢ア★】 セキュリティ機能の試験を開発期間終了後に実施することは、脆弱性の発見や手戻りのコスト増大を招くため、監査上の指摘事項となります。セキュリティ要件の検証は開発プロセス全体を通じて行われるべきです。
・イ：セキュリティ確保に配慮した開発環境の利用は、適切な管理策（A.14.1.1等）に合致しており、問題ありません。
・ウ：外部委託先における開発活動の監督・監視においてセキュリティを考慮することは、サプライチェーンリスク管理として適切な措置です。
・エ：パッケージソフトウェアの変更を必要なものに限定することは、セキュリティ上の整合性を保つための適切な変更管理の管理策です。
よって正解はアです。
