令和5年度 春期 ITストラテジスト試験 午後II 問2 個別システム化計画のシステムリスク対応方針(論文)

ストラテジシステム戦略・企画セキュリティ管理

この問題は2023(R5)春 ITストラテジスト 午後IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています(改行・記号・数式・図表参照の調整)。設問の趣旨および正解に影響する変更は加えていません。

学習ガイド

個別システム化計画で、停止や情報漏えいに備えるリスク対応方針を論じる午後II問題です。想定インシデントから社会・経営への影響を具体化し、予防策と発生時対策を分けて示します。費用対効果、経営層の指摘、改善まで因果を保つ論文構成を解説します。設問アからウまで同じ事例と因果関係を保ち、一般論に流れず、実施内容と評価を具体的に書き切るための構成を示します。

この記事で押さえる論点

  • 継続して安定したサービス提供を求められる事業特性と個別システムの役割を、インパクトの大きさを裏付ける前提として述べる
  • 想定したインシデントが社会や自社の経営に与えるインパクトを損害・信用・停止期間などで具体化する
  • インパクトに応じた予防策と発生時対策の両面からシステムリスク対応方針を立案し、工夫点を論述する
  • 費用と効果を示して事業部門・経営層に提案し、指摘を受けて改善した過程を設問ウで書き分ける

問題本文

問2 個別システム化計画におけるシステムリスク対応方針の立案について

顧客の生活や企業の事業活動の基盤として利用され,継続して安定したサービスの提供を求められるシステムの個別システム化計画では,システムリスク対応方針の立案が重要である。システムリスク対応方針の立案とは,企業の情報システム戦略やセキュリティポリシーなどに基づき,故障によるシステム停止,人為的ミスやサイバー攻撃による情報漏えいなどのインシデントに備える施策の検討である。

ITストラテジストは,個別システム化計画におけるシステムリスク対応方針の立案に当たっては,事業や顧客,提供するサービスの特性を十分に考慮し,社外の事例も参考にした上で,インシデントが社会や自社の経営に与えるインパクトを想定する。

次に,想定したインパクトに応じて,予防策と発生時対策から成るシステムリスク対応方針を関連部門とともに立案する。予防策とは,インシデントの発生を最小限に抑える施策で,許容される停止時間に応じた冗長性確保,情報漏えいを防止する認証・認可の厳格化などがある。また発生時対策とは,インシデント発生後のインパクトを最小限に抑える施策で,迅速な情報共有のための顧客と社内への緊急連絡システムの構築,迅速な復旧を実現するための定期的なリカバリ訓練の実施などがある。

これらの検討を基にITストラテジストは,施策の準備,実行及び維持や,組織の体制強化などに要する費用を明らかにするとともに,システムリスク対応方針の効果を検討し,事業部門と経営層に提案して承認を得ることが重要である。

あなたの経験と考えに基づいて,設問ア〜設問ウに従って論述せよ。

設問と解答・解説

設問ア

あなたが携わった個別システム化計画におけるシステムリスク対応方針の立案において,対象としたサービスと個別システムの概要を,事業特性とともに800字以内で述べよ。

模範解答

模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。

採点基準(配点 34点)

知識・理解度(内容)(17点)

  • 17: 対象サービス、個別システムの概要、事業特性が具体的に明確に記述されており、継続して安定したサービスの提供が求められる背景が十分に説明されている。
  • 10: 対象サービス、個別システムの概要、事業特性は記述されているが、安定したサービス提供が求められる背景の具体性にやや欠ける。
  • 0: 事業特性やシステム概要が不明確である、または記述されていない。

論理性(構造)(17点)

  • 17: 事業特性とシステムの関係が論理的に整理されており、後段のリスク対応方針立案(インシデントの影響)へ繋がる前提条件として一貫性がある。
  • 10: 事業特性とシステムの関係は説明されているが、後段へのつながりの観点から論理的整合性がやや弱い。
  • 0: 論旨が飛躍しており、全体としての構成や一貫性がない。

解説

本問は、システムリスク対応方針を立案する前提となる、対象サービス個別システムの概要、および事業特性を明確にすることが求められています。
顧客の生活や企業の事業活動の基盤として利用され、継続して安定したサービスの提供が強く求められるという背景を、事業特性と絡めて説得力を持って記述する必要があります。

高得点のポイント

  • 携わったプロジェクトの事業特性(ビジネスモデル、顧客層、社会的重要性など)が具体的に記述されていること。
  • 対象となるサービス個別システムの役割・機能が明確に定義されていること。
  • 設問イ以降で論述する「インシデントによるインパクト」の大きさを裏付ける、システムの重要性や前提条件が論理的に示されていること。

設問イ

設問アで述べた個別システムにおいて,あなたはどのようなシステムリスク対応方針を立案したか。想定したインシデントとインパクトを明らかにし,立案に当たり工夫した点とともに,800字以上1,600字以内で具体的に述べよ。

模範解答

模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。

採点基準(配点 33点)

知識・理解度(内容)(17点)

  • 17: 予防策と発生時対策から成るシステムリスク対応方針が具体的に示されており、想定されるインシデントとそれが社会や自社の経営に与えるインパクトが詳細かつ明確に分析されている。
  • 10: インシデントの予防策・発生時対策は示されているが、社会や自社経営に与えるインパクトの具体的な内容や分析が不十分である。
  • 0: インシデントやインパクト、対応方針の内容が不明確であるか、記述されていない。

説得力(考察)(16点)

  • 16: リスク対応方針立案における工夫点が、インシデントのインパクトを踏まえた深い洞察(構想力・分析力)に基づいて論理的かつ説得力を持って述べられている。
  • 8: 工夫点について記述はあるが、インパクトとの関連や分析の深さがやや不足しており、説得力に欠ける。
  • 0: 工夫点についての記述がない、あるいはインシデントの対策としての関連性がない。

解説

設問アで定義した個別システムに対して、具体的なインシデントを想定し、それが社会や自社経営に与えるインパクトを分析することが求められます。
さらに、インパクトに応じた予防策発生時対策から成るシステムリスク対応方針を立案し、その際の工夫点を論述します。採点講評にもある通り、インパクトの具体的記述の有無が評価を大きく分けます。

高得点のポイント

  • 想定するインシデントが具体的であり、社会や経営に与えるインパクト(損害額、信用失墜、業務停止期間など)が深く分析されていること。
  • リスク対応方針として、予防策(インシデントの発生を防ぐ仕組み)と発生時対策(発生時の復旧・影響軽減策)の両面が網羅されていること。
  • ITストラテジストとしての構想力・分析力・洞察力を発揮し、インパクトの大きさに応じた対応方針を立案した工夫点が説得力をもって論述されていること。

設問ウ

設問イで述べたシステムリスク対応方針について,あなたは事業部門と経営層にどのような提案を行い,承認を得たか。事業部門と経営層から指摘を受けて改善したこととともに,600字以上1,200字以内で具体的に述べよ。

模範解答

模範解答は公表されていません。下の採点基準と解説から、解答に求められる要素を読み取ってください。

採点基準(配点 33点)

論理性(構造)(16点)

  • 16: 事業部門と経営層に対する提案内容、受けた指摘、および改善内容が論理的に一貫して記述されており、システムリスク対応方針の効果が十分に検討されていることがわかる。
  • 8: 提案・指摘・改善の経緯は記述されているが、それぞれの因果関係や論理的つながりに一部不明瞭な点がある。
  • 0: 提案や改善のプロセスが論理的に破綻している、あるいは経緯が不明確である。

説得力(考察)(17点)

  • 17: 経営層や事業部門から承認を得るプロセスにおいて、ITストラテジストとしての高度な評価能力や合意形成能力が発揮されており、指摘を受けて改善した内容が非常に説得力がある。
  • 8: 指摘に対する改善内容は示されているが、ITストラテジストとしての評価能力や経営層への説得力の観点でのアピールがやや弱い。
  • 0: 提案の説得力がなく、指摘や改善内容の具体性に欠ける。

解説

設問イで立案したシステムリスク対応方針について、事業部門および経営層へ提案し、承認を得るまでのプロセスを論述します。
単なる状況報告ではなく、経営層の視点(費用対効果や事業継続など)や事業部門の視点(業務プロセスへの影響など)からの指摘を受け、どのように改善したかを具体的に示す必要があります。

高得点のポイント

  • 事業部門と経営層のそれぞれの立場や視点を踏まえた指摘事項が、現実的かつ具体的に記述されていること。
  • ITストラテジストとして、指摘事項に対してシステムリスク対応方針の効果を十分に再評価・検討し、適切な改善を行ったプロセスが論理的に説明されていること。
  • 経営層の承認を得るに足る分析能力・評価能力および合意形成プロセスの説得力が示されていること。