情報セキュリティの管理・運用に関すること
試験センターが発表する「午後の出題範囲」（重点対策P32）に、「４ 情報セキュリティの管理・運用に関すること」というのがある。
午後１や午後２では、重要な位置づけになるテーマだ。
現に、H17〜H20において、午後?では各1問が「セキュリティ管理」に関する出題である。（重点対策P33参照）
午後１に関しては、セキュリティ管理に特化した問題は稀であるが、セキュリティ管理をテーマとして書くことは可能である。
例えば、システム障害の題材をセキュリティインシデントにしたり、運用管理においてセキュリティの監視をする、などである。
H18午後１問２は、色々な意味で勉強になる。
例えば、[セキュリティ侵害時のW社の対応手順]を読んでいると、セキュリティ対応の基本的なやり方が書いてあり、勉強になる。
また、このまま午後２の問題になってもおかしくない。
例えば、[セキュリティ侵害時のW社の対応手順]が記載され、
設問ア あなたが携わったITサービスの概要と、発生したセキュリティインシデントの概要を800字で述べよ。
設問イ 設問アで述べたセキュリティインシデントの検知から終了までのプロセスを、どのような視点で原因究明をしたか及び工夫した点を含め、800字以上1600字以内で、具体的に述べよ。
設問ウ SLAで取り交わした合意内容の達成を目指した、セキュリティインシデント管理プロセスの定期的な評価と改善について、600字以上1200字以内で、具体的に述べよ。
その解答例は、H18午後１問２の[状況調査と処置]で書かれている内容そのものである。
ITサービスマネージャの立場として、「（自ら）ログを調査した」「（自ら）内容を確認した」などではなく、「指示した」という表現になっており、論文で使える表現である。
セキュリティインシデントの論文ネタとしておくのもよい。
・インシデント：不正アクセスの発生。Webサーバに不審なファイルの存在
・直接原因：OSのセキュリティホールを利用したもの
・原因：開発環境にはパッチを適用しているが、本環境には適用していなかった。
・工夫した点：・原因分析を確実に行えるように、ハードディスク内容の保存、ログイン状況、プロセス稼働状況を記録した。（こういう記述ができると、経験をさりげなくアピールできる）
・不正アクセスの再発を防止するために、インターネット接続を遮断した。
情報セキュリティの運用・管理に関すること
試験センターが発表する試験範囲の１つに、「情報セキュリティの運用・管理に関すること」があります。（重点対策のP32参照）
ITILの中には「セキュリティ管理」というテーマはありません。ですが、セキュリティ管理は運用管理部門における大切な業務であり、過去の出題も多かったため、注意深く学習する必要があります。
一例ですが、H20SU午後�兇量簑蠅法▲僖好錙璽匹留人僖襦璽襪亡悗垢詢磴�あります。覚える必要はありませんし、それほど重要とは思いませんが、一読の価値はあるでしょう。
| ・パスワードを保存する場合には、その内容を暗号化すること ・パスワードを送信する場合には、その内容を暗号化すること ・利用者に対し、定期的にパスワードを変更するように促すこと ・利用者が自らパスワードを変更できること ・利用者が定期的にパスワードを変更していることを、管理者が確認できること ・利用者が定期的にパスワードを変更しないと、その利用者はシステムを利用できなくなること ・破られやすいパスワードは設定できないこと ・それまでに利用していたパスワードは再設定できないこと。 図2 パスワード管理に関するセキュリティ要件（H20SU午後�玉�1より引用） |
SLAについて
SLAに関しては、重点対策のP45〜で詳しく書いているが、「合意している」という点が重要である。
顧客はともかく、サービス提供側が合意しているとなれば、SLAを遵守できる実現可能性が明確になっていなければならない。
午前問題で出題されても、この点を間違える人はいないであろう。しかし、午後Ⅱの論文では、間違える可能性があるので注意しておく。
例えば、以下のような記述はNGである。
・顧客にNOと言えず、しぶしぶ合意した。
・顧客の要望が「24時間365日の可用性」であったため、合意した。実際には、二重化されておらず、実現はほぼ不可能。だが、顧客もそれを分かっているので、それほど厳しく言われることもない。
