基本情報技術者 2017年 春期 午前（科目A） 問39

サプライチェーンのセキュリティ対策【午前解説】

正解の理由

解法ステップ

1. 問題文のキーワード「実施状況を確認すべき」を押さえ、対象が誰かを特定する。
2. ガイドラインの目的（事業継続・供給網リスクの軽減）を思い出す。
3. 選択肢を「事業に直接関与するか」を基準に絞る（取引先＝関与、株主・地域＝非関与）。
4. 最も事業影響の大きい「サプライチェーンのビジネスパートナ」を正解とする。

選択肢別の誤答解説

• ア: 自社が提供する商品及びサービスの個人利用者が行うセキュリティ対策
  個人利用者の利用環境や行動は重要だが、ガイドラインで「実施状況を確認すべき」と明示されている主体は主に事業に関与する第三者であり、個人利用者は対象外。
• イ: 自社に出資している株主が行うセキュリティ対策
  株主は企業の利害関係者ではあるが、日常的な事業運営やシステム運用に直接関与する主体ではないため、対策実施状況の確認対象とはされない。
• ウ: 自社のサプライチェーンのビジネスパートナが行うセキュリティ対策（正解）
  サプライチェーン上のベンダー・委託先の対策不備が自社へ波及するリスクを排除するため、確認が求められる。
• エ: 自社の事業所近隣の地域社会が行うセキュリティ対策
  地域社会は重要なステークホルダーだが、ガイドラインが想定する「事業運営に直接影響を与える第三者」のカテゴリーには当たらない。

よくある誤解

• 「自社だけ整備すれば十分」：内部対策だけでは外部ルート経由の侵害を防げず、サプライチェーン管理が不可欠です。
• 「個人利用者や地域住民も同列に管理対象」：ガイドラインの重点は事業に関与する第三者（取引先等）であり、地域社会や株主の個人的対策まで確認する趣旨ではありません。
• 「口約束で十分」：口頭や曖昧な約束ではなく、契約条項・監査・定期評価などの具体手段が求められます。

補足コラム

FAQ