- 午後Ⅱ(小論文)でいつもつまづいている
- 小論文のネタを探している
- 合格者のアドバイスを受けたい
ＩＴサービスマネージャ試験の午後Ⅱの小論文を作成してみました。小論文のネタ探しや午後Ⅱ対策の参考にしてもらえるとうれしいです。
問題文および設問
問題文および設問は、下記にてご確認ください。
解答例
設問ア
１．ＩＴサービス概要と環境の変化
１．１．ＩＴサービス概要
私が担当したＩＴサービスは、社内ＣＳＩＲＴの運営である。金融事業を主力とし、顧客情報保護が事業継続の根幹である当社において、ＣＳＩＲＴは攻撃の未然防止、迅速なインシデント対応、再発防止を担う専門組織である。主要活動はセキュリティ監視・分析、脆弱性評価・対応、インシデント対応、改善提案であり、これらはＳＩＥＭ等を活用し、専門チーム約１０名と外部業者で対応した。ＣＳＩＲＴの適切な運営は、高度化する脅威から情報資産を守り、顧客信頼を維持するため不可欠であった。
１．２．変更管理に影響を与えた環境変化
既存の変更管理は月次開催のＣＡＢで全ての変更を一括して審議・承認する方式が基本だったが、近年の環境変化が影響を与え始めた。
１）サイバー攻撃の高度化と即応要求
ランサムウェアやゼロデイ攻撃が増加し、短時間で深刻な被害に至る脅威が増大した。そのため迅速なファイアウォール変更やパッチ適用が不可欠となった。脆弱性公開後数時間で攻撃が始まる中、月次ＣＡＢでは緊急変更の承認が間に合わず、対応遅延リスクが顕在化した。脆弱性対応遅延によるインシデント寸前の事象も発生し、即応の重要性が認識され、緊急変更要求の増加に既存プロセスは対応困難だった。
２）ＤｅｖＯｐｓ推進と開発高速化
ＤＸ推進でアジャイル開発やＤｅｖＯｐｓが導入され、ＣＩ／ＣＤでリリース頻度は週次・日次へ向上した。システム変更も短サイクル化した。この高速化に対し、従来の都度ＣＡＢ承認は開発のボトルネックとなった。開発の早い段階でセキュリティを考慮する方針が求められる中、変更管理が迅速な対応を妨げ、セキュリティ対策の遅延や形骸化リスクが懸念された。変更要求の内容が複雑化し、その数も増加したことで、従来のプロセスでは対応しきれないことが明らかになった。
（７９３文字）
設問イ
２．変更管理プロセスの問題点と改善策
２．１．環境変化による変更管理プロセスの問題点
前述の環境変化は、従来の変更管理に以下の問題を生じさせ、ＣＳＩＲＴ業務に重大な支障をきたした。
１）変更承認の遅延によるセキュリティリスク
攻撃の高速化に対し、月次ＣＡＢでの一律審議という固定的な承認プロセスが、セキュリティ対応の著しい遅延を引き起こした。緊急パッチ適用等が数日遅れ、事業継続に深刻なリスクをもたらした。この承認のボトルネックが、ＣＳＩＲＴ活動の致命的な制約になると認識した。
２）リスク評価の形骸化と専門性不足
ＤｅｖＯｐｓ推進によるリスクの多様化により、既存のリスク評価プロセスが陳腐化した。評価担当の専門性不足もあり、ＣＳＩＲＴの知見が十分に反映されない状況だったため、対策不備での承認や過大評価による遅延が発生した。これは、重大なインシデントを見逃す原因となった。
３）ＣＳＩＲＴ担当者の負荷増大
従来の煩雑なＣＡＢ手続きは、増加したＣＳＩＲＴ主導の変更要求にも求められた。担当者は調整に忙殺され、本来の専門業務の時間が取れずにいた。これは、担当者の疲弊と意欲低下、さらに組織のセキュリティ低下に繋がる問題だった。
２．２．問題解決のための改善策と意思決定
上記問題点を解決し、実効性あるセキュリティ統制を維持するため、経営層等と協議の上、以下の主要施策を立案・実行した。限られた資源で最大効果を得るため、実現可能性、費用対効果、ＣＳＩＲＴミッションへの貢献度を勘案し取り組んだ。
１）緊急変更プロセス導入による即応体制確立
インシデント対応の迅速化を最重要と捉え、「緊急セキュリティ対応変更」カテゴリを導入した。これはゼロデイ脆弱性対応等の緊急時、ＣＳＩＲＴと情報システム部長の判断による即時変更を可能とし、ＣＡＢへ報告は事後とした。経営層とは、従来のＣＡＢでは手遅れになるという危機感を共有し、即時変更によるリスクを許容する（事業継続を優先する）こと合意した上で導入した。特に判断基準（影響範囲等）を明確にし、迅速な意思決定の実現に注力した。結果、対応時間を平均６時間短縮させ、実害の未然防止に貢献した。
２）ＤｅｖＯｐｓへのセキュリティ対策組込み
ＤｅｖＯｐｓ開発の高速サイクルにセキュリティを統合するため、開発初期から対策を講じる「シフトレフト」を実践した。具体的には、ＣＩ／ＣＤパイプラインの設計・実装工程に、自動セキュリティテストツール（ＳＡＳＴ／ＤＡＳＴ等）を組み込み、ビルド毎の脆弱性スキャンを自動化した。検出された課題はＣＳＩＲＴの確認・承認プロセスを経て、開発チームへ迅速にフィードバックされた。この一連のプロセス状況は、課題管理システムとＣＳＩＲＴのインシデント管理システム間でリアルタイムに連携・共有され、対応の迅速性とトレーサビリティを大幅に向上させた。限られたリソース（人員・予算・スキル）を考慮し、パイロットプロジェクトでの実績をもって段階的に全社展開することにした。特に重視したのは、開発部門内でセキュリティ推進担当者を育成し、ＣＳＩＲＴとの能動的な連携を促進することで、組織全体のセキュリティ意識と実践力を高める狙いがあった。
３）ＳＴＡによる重要リスク対応強化
新基幹システム導入等、特に重要かつ複雑な変更に対して、ＣＳＩＲＴの専門家チームが脅威モデリング等の詳細な評価を行う、「セキュリティ技術評価（ＳＴＡ）」を導入した。巧妙化する攻撃手法へ対策として、専門的評価が不可欠と考え、経営層にその必要性を提言して導入に至った。現場の負担を考慮し、ＳＴＡの対象とする条件（機密度等）を明確化して評価案件を絞り込む工夫をした。結果、複数の重大なセキュリティリスクの発見・修正に繋がり、重要変更の統制強化に貢献した。
（１５９６文字）
設問ウ
３．改善策の評価と今後の課題
３．１．改善策の評価
先の改善策の効果を、迅速性・効率性（指標：緊急変更の平均承認時間、ＣＳＩＲＴの業務工数）、有効性・安全性（指標：変更が起因のインシデント数、脆弱性修正の所要日数）、関係者満足度（主要関係部門への調査結果）の観点で、評価した。
１）各改善策の評価結果と考察
・緊急変更プロセス
平均承認時間が数日から６時間に大幅短縮。初動が速まり、実害発生前の封じ込め事例が複数確認された。経営層とのリスク許容範囲合意と、明確な基準設定が功を奏した。
・ＤｅｖＯｐｓへのセキュリティ対策組込み
開発初期の不備検出・修正件数が約３０％増加し、コスト削減とリスク低減に貢献。セキュリティ推進担当者の育成が、開発部門の意識向上と連携円滑化に繋がった。
・ＳＴＡ導入による重要リスク評価の深化
重要変更案件で、クリティカルな欠陥をリリース前に５件発見・修正し、潜在的な重大インシデントを未然に防止。専門家の深掘り評価と、対象の絞り込みが有効だった。
２）総合評価と経営への貢献
改善策は変更管理の迅速性・効率性・安全性を大幅に高め、変化への対応と統制の両立を実現した。インシデント半減、脆弱性対応４割短縮等の成果は、事業リスク・コスト削減、信頼向上、ＤＸ推進のセキュリティ担保として経営に直結した。この変化に強い変更管理プロセスを構築できたことは、大きな成果と考える。
３．２．新たな課題と継続的改善
前述の改善策により一定の効果はあったものの、運用を通じていくつかの新たな課題が顕在化した。その中で私が最も問題視したのは、下記の外部委託先に関する問題であった。
１）外部委託先に対するセキュリティ管理の脆弱性
社内プロセス改善は進んだが、外部委託先の選定基準や契約におけるセキュリティ要件の明確化が不十分であった。また、委託後の開発・運用プロセスや変更管理に対する可視性も低く、統制が行き届いていない点が、サプライチェーン経由での新たなリスク要因であると強く認識した。
２）外部委託先管理の強化
外部委託先管理の脆弱性解決とサプライチェーンリスク低減のため、以下の取り組みでセキュリティ管理を強化する。評価と監査の連携で委託先起因のインシデント極小化を目指す。
・リスク評価の強化
委託先選定基準にセキュリティ体制、インシデント対応能力、再委託先管理状況を追加。業務重要度に応じリスクレベルを設定、対策状況の定期的評価・報告を義務付け、契約更新の判断材料とする。
・監査強化による実効性確保
重要委託先へ年１回以上の定期監査（書類・実地）を実施。監査項目には契約上のセキュリティ要件遵守状況、変更管理、インシデント対応体制を含める。指摘事項には改善計画を求め、ＣＳＩＲＴが実施状況を追跡する。
（１１７９文字）
まとめ
自分自身の論文のネタにするためには、サンプル論文はいくらあってもよいと思います。
このブログに記載したサンプル論文が役に立つとうれしいです。
参考図書
自分が受験したときに使用した参考図書は、下記の旧版です。
「最速の論述対策」で、回答文章のモジュール化と章立ての基本テクニックを学び、「合格論文の書き方」で自分の経験でモジュール化できなかった部分の補強を行い、過去問で実際に手書きの練習をしました。
上記はプロジェクトマネージャ試験の対策本ですが、ITサービスマネージャ試験でも通用する内容です。
コメント