令和6年度 プロジェクトマネージャ試験 午前II 問25

正解：ウ

AI解説

PoC（実証コード）を使った攻撃は，公表済みの既知の脆弱性を悪用するものである。したがって被害を未然に防ぐ最も直接的な対策は，自社Webサーバのソフトウェアの脆弱性情報を継続的に確認し，脆弱性修正プログラム（パッチ）の適用，またはそれが直ちにできない場合のワークアラウンド（回避策）の実施によって攻撃対象となる脆弱性自体をなくすことであり，ウが正解。「未然に防ぐ」＝予防的対策かどうかが判断基準。 ア: 誤り。採用時の適格性検査は内部者による情報持出しへの人的対策であり，外部から既知脆弱性を突く攻撃の防止には直接効果がない。 イ: 誤り。ダークウェブ等の監視は情報漏えいの発見には役立つが，脆弱性を突く侵害そのものを未然に防ぐ対策ではない。 ウ: 正しい。既知脆弱性への攻撃は，パッチ適用やワークアラウンドで脆弱性を解消・無効化することが最も効果的な予防策である。 エ: 誤り。ファイアウォールのログ調査は侵害後の不審通信の検知（事後対応）であり，未然防止策ではない。 💡 設問の「未然に防ぐ」「最も効果がある」という限定語に注目する。検知・調査系の肢は事後対応なので除外。PoC公開後は攻撃が急増するため，パッチ適用の迅速化が実務でも重要とされる。