基本情報技術者 2016年 春期 午前（科目A） 問61

パッチ適用時の動作確認【午前解説】

正解の理由

解法ステップ

1. 問題文で求めている統制目的を明確にする（今回は「パッチ適用時の不具合リスクを低減」）。
2. 各選択肢がその目的に直接結びつくかを判断する（「テスト・検証・事前確認」が直結）。
3. 関連する活動（テスト、ステージング、バックアウト、承認）を含む選択肢を優先する。
4. 間接的な管理（キャパシティ、台帳、役職）と直接的な検証を区別して選ぶ。
5. 正解を選んだら、監査証拠としてどのドキュメントを確認するかを一言でイメージする（テスト計画・結果・承認・バックアウト手順）。

選択肢別の誤答解説

• ア: キャパシティプランニングの手続を定めていること
  解説：キャパシティ計画は性能やリソース確保に関する統制であり、パッチ適用による機能・互換性不具合の事前検出には直接寄与しません。監査上は補助的な観点で確認しますが、主要なチェックポイントではありません。
• イ: データベース管理者が任命され、マスタデータの管理手続を定めていること
  解説：DB管理者任命やマスタデータ管理はデータ整合性の観点で重要ですが、ソフトウェアパッチ適用時の動作検証やシステム間影響の検出とは目的が異なります。
• ウ: ハードウェア管理台帳を作成し、システム管理者が管理していること
  解説：ハードウェア管理は資産管理や保守に関する統制であり、ソフトウェアパッチ適用後の動作確認や不具合検出の統制とは直接対応しません。
• エ: 本稼働前にシステムの動作確認を十分に実施していること
  解説：本稼働前の動作確認はパッチ適用による不具合リスクを直接低減する最も有効な統制です。テスト計画、テスト結果、UAT、ステージング環境、バックアウト手順などの証憑が揃っていれば監査上も評価できます。

よくある誤解

• 「資産台帳やキャパシティ計画が整っていればパッチは安全」と考える誤解：これらは運用管理には有益だが、パッチ適用後の動作確認そのものを代替しません。
• 「データベース管理者が管理していればDBパッチは安心」と過信する誤解：DB管理は重要だが、パッチ適用によるシステム間影響やアプリ側の互換性問題は別途テストが必要です。
• 「単体テストだけで十分」という誤解：単体テストは一部の不具合検出に有効だが、統合や運用条件下での問題は結合・回帰・性能テストでしか検出できないことが多いです。

補足コラム

• パッチ評価と優先度付け（CVEや影響範囲の評価）
• テスト計画の整備（テスト項目、受入基準、担当、環境）
• 本番に近いステージング環境の用意（データや設定をできるだけ再現）
• 回帰テストと性能テストの実施（既存機能や負荷の観点から確認）
• パイロット導入やカナリアリリースの活用（段階的展開で被害を限定）
• バックアウト／リカバリ手順の文書化とリハーサル（実行可能性の確認）
• 変更管理プロセスと承認履歴の保持（リリースノート、チケット）
  監査では「計画→実行→結果→是正」までの一貫した履歴があるかを重視します。

FAQ