マネジメント系（関連分野）の要点整理と想定問題

正解: A 【A（正解）】 ？ 作業を要素に分解して階層で表すものです。 WBS は成果物と作業を階層的に分解したもので、最下層の単位をワークパッケージという。 【B（不正解）】 ？ 提供者と顧客の間でサービスの水準を合意する文書です。 SLA はサービスの品質の合意で、作業を分解する図表ではない。 【C（不正解）】 ？ 作業の順序と日数から日程を調べる手法です。 PERT は日程の分析に使う。作業を洗い出して分解するのは WBS の役割である。 【D（不正解）】 ？ 部門が自ら内部統制を評価する手法です。 CSA は統制の自己評価で、プロジェクトの作業を分解するものではない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）プロジェクトのスコープ（WBS の作成、ワークパッケージ、要素分解）

正解: D 【A（不正解）】 ？ 依頼をすぐ作業に移す対応です。 影響を評価せずに作業を足すと、日程やコストが知らないうちに膨らむ。正式な手続を経ていない。 【B（不正解）】 ？ 計画を見直さずに人の頑張りで補う対応です。 影響を評価せず残業で補うのは、品質の低下や遅れにつながる。変更として扱うべきである。 【C（不正解）】 ？ 依頼を後回しにする対応です。 記録しないと依頼が失われ、セキュリティの要望が抜けたまま稼働するおそれがある。 【D（正解）】 ？ 決まった手続で変更を扱う対応です。 変更要求を記録し、日程・コスト・リスクへの影響を評価して承認を得る。承認後にベースラインを更新する。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）プロジェクトの統合（変更要求、承認された変更、ベースライン、CCB）

正解: C 【A（不正解）】 ？ 作業する人の数を増やすことです。 人を増やしても、関係する部門を巻き込んでいなければ同じことが起きる。 【B（不正解）】 ？ 検査の量を増やすことです。 テストを増やしても、審査が要ることに気づけなければ止められる結果は変わらない。 【C（正解）】 ？ 影響を与える・受ける相手を洗い出すことです。 ステークホルダを早く特定して登録簿にまとめれば、審査の時期を計画に入れられた。 【D（不正解）】 ？ 予定を外に知らせないことです。 発表しなくても、必要な審査が抜けている問題は解決しない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）プロジェクトのステークホルダ（ステークホルダの特定、ステークホルダ登録簿）

正解: B 【A（不正解）】 ？ 損失の負担を外部に移す考え方です。 負担を他に移した事実はない。承認のない追加で、自社の日程と品質が損なわれている。 【B（正解）】 ？ プロジェクトの作業や成果物の範囲に注目した見方です。 スコープの管理ができず、範囲が少しずつ広がるクリープの状態である。試験していない機能は脆弱性の元にもなる。 【C（不正解）】 ？ 必要な人が自分で情報を取りに行く伝え方です。 伝え方の話ではなく、範囲を決める手続が守られていないことが原因である。 【D（不正解）】 ？ 構成品目を記録して正しく保つ活動です。 試験していない機能が増えており、品質が保証されているとはいえない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）プロジェクトのスコープ（スコープの管理、プロジェクトスコープのクリープ）

正解: B 【A（不正解）】 ？ C に余裕があるとみる考え方です。 C の余裕は 1 日しかない。2 日遅れると余裕を超えるので全体も遅れる。 【B（正解）】 ？ 遅れから余裕の分を差し引いた考え方です。 もとのクリティカルパスは A→B→D の 3＋5＋2＝10 日。C が 6 日になると A→C→D が 3＋6＋2＝11 日で、全体は 1 日遅れる。 【C（不正解）】 ？ 遅れた日数をそのまま全体に足す考え方です。 C の経路には 1 日の余裕があったので、全体の遅れは 2 日ではなく 1 日である。 【D（不正解）】 ？ 遅れた作業の日数を全部足す考え方です。 B と C は並行なので、日数を足し合わせることはしない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）プロジェクトの時間（PERT、CPM）・日程計画（アローダイアグラム、クリティカルパス）

正解: C 【A（不正解）】 ？ まず手を打ってから洗い出す順序です。 何が起きうるかを洗い出す前に対応を決めることはできない。 【B（不正解）】 ？ 洗い出しより前に評価する順序です。 特定していないリスクは評価できない。特定が先になる。 【C（正解）】 ？ 洗い出して大きさを見てから手を打つ順序です。 リスクを特定し、評価して優先順位を付け、対応を決めて、その後も状況を管理する流れである。 【D（不正解）】 ？ 監視から始めて最後に洗い出す順序です。 洗い出しが最後では、何を監視するかが決まらない。

出典: 情報セキュリティマネジメント試験（レベル 2）シラバス Ver.4.1（IPA）プロジェクトのリスク（リスクの特定、リスクの評価、リスクへの対応、リスクの管理）

正解: D 【A（不正解）】 ？ 送り手の側から情報を届ける伝え方です。 電子メールで送るなど、送り手から届ける方法である。共有サイトに置く形とは逆である。 【B（不正解）】 ？ 会議のように、その場でやり取りする方法です。 その場で意見を交わす方法で、置いた情報を各自が取りに行く形ではない。 【C（不正解）】 ？ 解決できない案件を上位に引き継ぐことです。 エスカレーションは案件の引継ぎで、情報の配り方の名前ではない。 【D（正解）】 ？ 受け手の側から情報を引き出す伝え方です。 共有サイトに置き、必要な人が見に行く方法はプル型である。

出典: 情報セキュリティマネジメント試験（レベル 2）シラバス Ver.4.1（IPA）プロジェクトのコミュニケーション（双方向、プッシュ型、プル型）

正解: C 【A（不正解）】 ？ 何を外部から得るかを決める段階です。 契約の前に、調達の対象や条件を決めるプロセスである。 【B（不正解）】 ？ 提案を比べて委託先を決める段階です。 委託先を選んで契約するまでのプロセスで、契約後の監視ではない。 【C（正解）】 ？ 契約後に供給者との関係を管理する段階です。 契約後に進捗や成果物を確かめ、供給者との関係を管理するのは調達の運営管理である。 【D（不正解）】 ？ プロジェクトの作業範囲を決める段階です。 スコープの定義は範囲を決めるプロセスで、調達の対象群ではない。

出典: 情報セキュリティマネジメント試験（レベル 2）シラバス Ver.4.1（IPA）プロジェクトの調達（調達の計画、供給者の選定、調達の運営管理）／応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）プロジェクトの調達

正解: A 【A（正解）】 ？ Service Level Agreement の略です。 SLA（サービスレベル合意書）は、サービスと合意したパフォーマンスを定めた合意文書である。 【B（不正解）】 ？ プロジェクトの作業を分解した図表です。 WBS は作業の分解で、顧客とサービスの水準を合意する文書ではない。 【C（不正解）】 ？ データをどの時点まで戻すかの目標です。 RPO は復旧の目標の一つで、合意文書そのものではない。 【D（不正解）】 ？ 災害などのときに事業を続けるための計画です。 事業継続計画は事業を続ける計画で、サービスの水準の合意文書ではない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）サービスマネジメント（SLA）

正解: B 【A（不正解）】 ？ 1 か月の時間の 0.05% にあたる値です。 720 × 0.0005 ＝ 0.36 時間 ＝ 21 分 36 秒は 0.05% にあたる。止まってよい割合は 0.5% なので、この 10 倍になる。 【B（正解）】 ？ 1 か月の時間の 0.5% にあたる値です。 30 日 × 24 時間 ＝ 720 時間。止まってよいのは 720 × 0.005 ＝ 3.6 時間 ＝ 3 時間 36 分である。 【C（不正解）】 ？ 1 か月の時間の 1% にあたる値です。 720 × 0.01 ＝ 7.2 時間は稼働率 99% のときの値である。 【D（不正解）】 ？ 1 か月の時間の 3% にあたる値です。 720 × 0.03 ＝ 21.6 時間は稼働率 97% のときの値である。

出典: 可用性（AWS Well-Architected フレームワーク 信頼性の柱）／応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）SLA（サービス可用性、サービス時間）

正解: A 【A（正解）】 ？ 決めた間隔で実績を確かめる進め方です。 サービスレベル管理では、決めた間隔で目標に照らして実績を監視し、レビューして報告する。 【B（不正解）】 ？ 都合の悪い実績を伏せる進め方です。 未達を伏せると、改善の機会を失い顧客の信頼も損なう。 【C（不正解）】 ？ 合意した後は何もしない進め方です。 合意しただけで実績を見なければ、目標を守れているかが分からない。 【D（不正解）】 ？ 合意した指標とは別のものを見る進め方です。 苦情の数だけでは、合意した応答時間を守れているかは分からない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）サービスレベル管理

正解: B 【A（不正解）】 ？ 外部の障害は自社と関係がないとみる対応です。 外部のサービスを使っていても、利用者へのサービスへの責任は自社に残る。何もしないのは適切でない。 【B（正解）】 ？ 外部の提供者との契約と実績を管理する対応です。 供給者管理として、契約で約束された水準と実績を照らして監視し、必要なら是正を求める。 【C（不正解）】 ？ 私物の端末で一時的にしのぐ対応です。 管理されない端末に勤怠情報が残り、別のリスクが生まれる。根本的な対応でもない。 【D（不正解）】 ？ 記録を取らずに報告する対応です。 記録が無いと、実績を示して事業者と話し合うことができない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）供給者管理（外部供給者、契約、SaaS などのクラウドサービスの利用）

正解: D 【A（不正解）】 ？ 止まったサービスをできるだけ早く元に戻す活動です。 インシデント管理は早く元に戻すことが目的で、再起動での回復はこちらに当たる。根本原因の追究は別の活動である。 【B（不正解）】 ？ 利用者からの定型の依頼に応える活動です。 パスワードの再設定のような依頼に応える活動で、障害の原因を探すものではない。 【C（不正解）】 ？ 資源の容量を計画し監視する活動です。 資源の不足が原因のこともあるが、繰り返す障害の根本原因を探して再発を防ぐのは別の活動の役割である。 【D（正解）】 ？ インシデントの傾向から根本原因を探る活動です。 問題管理はインシデントの傾向を分析し、根本原因を突き止めて再発を防ぐ処置を決める。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）インシデント管理・問題管理

正解: B 【A（不正解）】 ？ 受付の順番だけで決める考え方です。 順番だけでは、影響の大きい障害が後回しになることがある。 【B（正解）】 ？ 事業への影響の大きさと急ぎ具合で決める考え方です。 インシデント管理では、影響と緊急度を考慮して優先順位を付ける。 【C（不正解）】 ？ 依頼者の立場で決める考え方です。 役職の高さは、サービスへの影響の大きさと一致するとは限らない。 【D（不正解）】 ？ 作業のしやすさで決める考え方です。 簡単なものを先にすると、重大なインシデントの対応が遅れるおそれがある。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）インシデント管理（影響、緊急度、優先順位）

正解: D 【A（不正解）】 ？ 手続をすべて飛ばす進め方です。 手続を飛ばすと、失敗したときに戻せず、何を変えたかも追えなくなる。 【B（不正解）】 ？ 急ぎの変更も通常の日程に回す進め方です。 深刻な脆弱性を放置すると攻撃を受けるおそれがある。緊急の変更として扱える。 【C（不正解）】 ？ 失敗への備えをしない進め方です。 失敗したときに戻す手順を用意していないと、障害が長引く。 【D（正解）】 ？ 急ぎの変更の区分で手続を踏む進め方です。 変更管理では緊急の変更も区分として扱い、承認を得る。失敗時に戻す（ロールバック）手順も用意しておく。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）変更管理（変更のカテゴリー（緊急変更など）、ロールバック）

正解: C 【A（不正解）】 ？ いつまでに復旧させるかの目標です。 RTO は復旧までの時間の目標で、どの時点のデータまで戻すかではない。 【B（不正解）】 ？ 故障と故障の間に動いている時間の平均です。 MTBF は信頼性の指標で、復旧の目標ではない。 【C（正解）】 ？ どの時点の状態までデータを戻すかの目標です。 RPO は失ったデータを過去のどの時点まで戻すかの目標である。前日の夜までなら、少なくとも毎晩のバックアップが要る。 【D（不正解）】 ？ サービスの水準を合意する文書です。 SLA は合意文書そのもので、データを戻す時点の目標の名前ではない。

出典: 事業継続ガイドライン（令和 5 年 3 月）（内閣府 防災担当）／NIST SP 800-34 Rev. 1 Contingency Planning Guide for Federal Information Systems

正解: B 【A（不正解）】 ？ 施設や設備を管理する活動です。 ファシリティマネジメントは施設や設備の管理で、問合せの窓口ではない。 【B（正解）】 ？ 利用者の問合せを受ける単一の窓口です。 サービスデスクは単一の窓口として問合せを受け、引継ぎや記録の管理を行う。 【C（不正解）】 ？ 独立した立場から検証・評価する活動です。 システム監査は監査人による評価で、日々の問合せ対応ではない。 【D（不正解）】 ？ 構成品目を記録して正しく保つ活動です。 構成管理は機器などの構成情報を管理するもので、問合せの窓口ではない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）サービスデスク（SPOC）

正解: A 【A（正解）】 ？ 決めた手順と記録に基づいて作業する方法です。 運用オペレーションは定めた手順に沿って行い、作業指示書に従う。操作ログを残せば後から確かめられる。 【B（不正解）】 ？ 人の経験に頼る方法です。 手順書を無くすと、記憶に頼った省略がさらに起きやすくなる。 【C（不正解）】 ？ 人を替えるだけで済ませる方法です。 手順の仕組みを直さなければ、別の担当者でも同じミスが起きうる。 【D（不正解）】 ？ 途中の記録を取らない方法です。 記録が無いと、何をしてミスが起きたかを後から調べられない。

出典: 情報セキュリティマネジメント試験（レベル 2）シラバス Ver.4.1（IPA）サービスの運用（運用オペレーション（作業指示書、操作ログ））／応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）運用オペレーション

正解: C 【A（不正解）】 ？ 費用を減らすための見直しです。 台数を減らすと、短い停電への備えも弱くなる。長い停電の対策にはならない。 【B（不正解）】 ？ 部屋を冷やしておく対策です。 停電すると空調も止まるので、電源の問題は解決しない。 【C（正解）】 ？ UPS より長く電気を供給できる設備を足す対策です。 無停電電源装置は停電の間をつなぐもので、長い停電には自家発電設備で長時間の電力を確保する。 【D（不正解）】 ？ 止めることを前提にした運用です。 安全に止める助けにはなるが、稼働を続けたいという目的は果たせない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）ファシリティマネジメント（電源や回線の冗長化、電気設備（UPS、自家発電設備ほか））／NIST SP 800-34 Rev. 1 Contingency Planning Guide for Federal Information Systems

正解: D 【A（不正解）】 ？ 対象を最もよく知る人を選ぶ考え方です。 自分が作ったものを自分で評価することになり、監査の独立性と客観性を保てない。 【B（不正解）】 ？ 対象を作った外部の会社の人を選ぶ考え方です。 自ら作ったシステムを評価することになり、客観的な判断が期待できない。 【C（不正解）】 ？ 対象の業務の責任者を選ぶ考え方です。 監査対象の業務の責任者なので、監査される側から独立した立場とはいえない。 【D（正解）】 ？ 監査される側と別の指揮系統の人を選ぶ考え方です。 システム監査基準が定める監査人の倫理では、監査の独立性と客観性の保持が求められる。対象から独立した部門の者が適する。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）システム監査

正解: C 【A（不正解）】 ？ 監査人が改善の作業を引き受ける考え方です。 改善を実施するのは監査される側である。監査人が自ら行うと、監査の独立性と客観性を損なう。 【B（不正解）】 ？ 報告で役割が終わるとみる考え方です。 システム監査は、報告の後のフォローアップまでが一連の流れである。改善提案の後も状況を確かめる。 【C（正解）】 ？ 改善の進み具合を確かめて伝える考え方です。 監査計画・実施・報告に続くフォローアップで、改善提案への対応が進んでいるかを確かめて報告する。 【D（不正解）】 ？ 監査人が業務を止める権限を使う考え方です。 監査人は保証や助言を行う立場で、業務を止めさせる役割ではない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）システム監査

正解: A 【A（正解）】 ？ 情報システムの管理のあり方を示した基準です。 システム管理基準は、システム監査の判断尺度を決めるときの客観的な参照基準として用いることができる。 【B（不正解）】 ？ 提供者と顧客がサービスの水準を合意する文書です。 SLA は個別のサービスの合意で、経済産業省の定めた規範ではない。 【C（不正解）】 ？ プロジェクトの作業を分解した図表です。 WBS は作業の分解で、監査の判断の尺度ではない。 【D（不正解）】 ？ 日程を分析する手法です。 PERT は日程の手法で、監査の基準ではない。

出典: 応用情報技術者試験（レベル 3）シラバス Ver.7.2（IPA）システム監査基準・システム管理基準

正解: A 【A（正解）】 ？ 権限と責任を担当者ごとに分ける見直しです。 職務分掌で入力と承認を分ければ、1 人での不正や誤りが起きにくくなる。統制活動の代表例である。 【B（不正解）】 ？ 待遇で不正を防ごうとする見直しです。 待遇を変えても、1 人で発注を完結できる仕組みは残る。 【C（不正解）】 ？ 使い勝手を良くする見直しです。 画面を直しても、入力と承認を同じ人ができる問題は解決しない。 【D（不正解）】 ？ 全体の数を知らせる見直しです。 件数の掲示だけでは、個々の発注の不正や誤りは防げない。

出典: 財務報告に係る内部統制の評価及び監査の基準（金融庁 企業会計審議会・令和 5 年改訂）統制活動

正解: B 【A（不正解）】 ？ 内部統制を完全なものとみる考え方です。 内部統制は絶対的なものではなく、固有の限界がある。必ず防げるわけではない。 【B（正解）】 ？ 内部統制の限界の一つを表す考え方です。 金融庁の基準は、判断の誤りや不注意、複数の担当者による共謀で内部統制が働かなくなる場合があるとしている。 【C（不正解）】 ？ 担い手を一部の部門に限る考え方です。 内部統制は組織内の全ての者によって遂行されるプロセスである。 【D（不正解）】 ？ 費用を考えずに統制を強める考え方です。 内部統制の整備と運用では、費用と便益の比較衡量が求められる。

出典: 財務報告に係る内部統制の評価及び監査の基準（金融庁 企業会計審議会・令和 5 年改訂）内部統制の限界

正解: C 【A（不正解）】 ？ 開発・運用・アクセス管理などの基盤側の統制です。 ITに係る全般統制は、業務処理統制が働く環境を保証するものである。個々の入力チェックは含まない。 【B（不正解）】 ？ 部門が自ら統制を評価する手法です。 CSA は評価の手法で、システムに組み込んだ入力チェックの分類ではない。 【C（正解）】 ？ 業務のシステムに組み込んで処理を正しく保つ統制です。 入力情報の完全性・正確性・正当性を確保する統制は、ITに係る業務処理統制の例として挙げられている。 【D（不正解）】 ？ 施設や設備を管理する活動です。 ファシリティマネジメントは設備の管理で、入力チェックとは関係がない。

出典: 財務報告に係る内部統制の評価及び監査の基準（金融庁 企業会計審議会・令和 5 年改訂）IT に係る全般統制・業務処理統制