情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

令和4年春期  午後２  問2
ここの答えを、自分は「ライブラリを使用する場合は、最新バージョンを使うようにすること」としたのですが、これでも良いのでしょうか？
良い場合は、満点近く貰えるのか部分点になるのかどっちでしょうか？

ここに限らず午後問をやっていると技術的には答えは分かっているけど、表現方法が違ったり、IPAの公式回答が思ってたのと違うような部分を書いてたり、書き方をしていることがよくあるのですがそういうときの自己採点でかなり悩みます。
皆さんはそのようなときには、自己採点はどうしていますか？
また、技術的に理解できていてもダメで、やはりなるべくIPAの公式回答に似せるようにできるように努力するべきなのでしょうか？

もしかして
令和4年春期  午後２  問2は

「マルウェアが含まれていない、既知の脆弱性が修正された、安全性が確認できているライブラリを公開しているWebサイト」からダウンロードしてるとあって、

「マルウェアが含まれていない、既知の脆弱性が修正された、安全性が確認できているライブラリを公開しているWebサイト」←  ここの部分に書いてあることは正しくて、開発の都合上ライブラリから最新バージョンじゃなくて古いバージョンをダウンロードして使って脆弱性ができたと解釈してましたが、

「マルウェアが含まれていない、既知の脆弱性が修正された、安全性が確認できているライブラリを公開しているWebサイト」という言葉自体が間違っていて、実際は既知の脆弱性が修正されていなかったという事でしょうか？

例として話題にしている問題は、正しくは 午後２  問１  設問１  （２）でした

問の文を読み解くと、
『いつもは「マルウェアが含まれていない、既知の脆弱性が修正された、安全性が
確認できているライブラリを公開しているWebサイト」を利用することになっている。
しかし、今回使われていたマルウェアMはその決まりが守られていなかった。』
という意味と読み取れます。

「今回使われていたマルウェアMはその決まりが守られていなかった。』と読み取れるとのことですが、具体的に文章のどこら辺からそのように読み取れるのでしょうか？
文章のどこをみても、決まりが守られてなかったことをほのめかすことは書かれてなくて
何度見返してみてもわかりませんでした。

「マルウェアが含まれていない、既知の脆弱性が修正された、安全性が確認できているライブラリを公開しているWebサイトからダウンロードする」は問題文に書いてあるから正しいと考えて、社員がその決まりを破ったことも書いてないので、その状態で可能性があるのはバージョンだけかなと考えて、消去法で最初の「ライブラリを使用する場合は、最新バージョンを使うようにすること」という回答になりました。

文章に「今回使われていたのは既知のXSS脆弱性対策をしていない【バージョン】であった」とも書いてありましたし。

「マルウェアが含まれていない、既知の脆弱性が修正された、安全性が確認できているライブラリ」  ここのライブラリ自体の安全性も間違ってるとほのめかすような文章もなかったですし。

ここら辺の考え方を理解できないと文章題でミスしまくりそうなのでしっかり理解できるようになりたいです。

B社におけるルールで最新バージョンを使うようにするとも書かれていなかったはずですし

以下2文を比較します。
① P.4最後部分「マルウェアが含まれていない、既知の脆弱性が修正された、
安全性が確認できているライブラリを公開しているWebサイトからダウンロードし、
利用している。」

② P.5先頭部分「今回使われていたライブラリMは、既知のXSS脆弱性の対策をして
いないバージョンであった。」

①は通常運用の運用、②は今回発生したイレギュラーと判断しました。
②は脆弱性の対策をしていないバージョンであったとあるので、①の運用が
守らていないと読み取りました。

詳細については明記してなく、ある程度行間を読んでいます。
スレ主様が明記していないことに対して違和感を感じるのであれば、
申し訳ありませんが、これ以上の補足は難しいです。

前提条件が明記されていなくて、行間から推測しないといけないような問題って結構あるんですか？
想像で書いてしまうのはよくないような気がするのですが、結構あるなら考え方を切り替えないといけないかもしれませんね。

>前提条件が明記されていなくて、行間から推測しないといけないような
>問題って結構あるんですか？
前提条件が明記されていない問は数は少ないです。
しかし、ゼロではありません。
そういう点ではIPAの問題は単純に割り切れないという、一筋縄でいかない
点があります。

不正解（得点無）と考えます。
IPAの解答例と比べてみてください。

この投稿は投稿者により削除されました。(2024.04.16 03:15)

あくまで、本文のどこかに必ずヒントがあるはず・・・という前提で（こじつけ感が強いかもしれませんが・・・）
[開発プロセスの見直し]の図７、注記１に
「ライブラリの活用などで2週間周期での改良リリースを実現しているが・・・」といった記載があるので、
この記載から想像して、2週間という短い切羽つまった期間でリリースに意識が行き過ぎて、もちろん決まりは知っていたけどうっかりミスで既知の脆弱性のあるバージョンを使用してしまっていた・・・なんて考えるのはいかがでしょうか？
（なんかめったにないのですが、問題文の後ろにほうにある情報も総合的にみるとうっすら感じ取れるような、若干理不尽さを感じる設問がほんとごくまれにあるような気がしまして・・・）

あくまで、一つの観点としてご参考になれば幸いです。

同じミスをしたのですみません。
一般的に業務で最新版当てることじゃ稀だからじゃないかと思いました。