[https://www.youtube.com/watch?v=EPX6cIC9mHQ:embed:cite]
令和3年度 春期 ITサービスマネージャ試験 午後Ⅰ 問2は、ランサムウェア感染によって生産システムが停止した状況を題材に、ITサービスマネージャとして「限られた時間内に安全に復旧させる意思決定」と「再発防止に向けた運用管理の立て直し」を、与件に即して具体的に記述できるかを問う問題です。単なるBCPやバックアップの一般論では得点になりにくく、感染という脅威の性質を踏まえ、どの資産が安全で、どこに追加の確認や接続手順が必要かを読み解く力が合否を分けます。この動画では、提供された問題文、解答例、採点講評に基づいて、午後Ⅰとして最重要となる読解ポイントと、答案で落としやすい論点の切り分けを丁寧に整理します。 本問の中心は、当日18:00までに生産システムを再稼働させるという厳しい制約の下で、正系の生産サーバをそのまま使うとマルウェアチェックやOSパッチ適用の完了が19:00になってしまい、期限に間に合わないという状況です。ここで受験者に求められるのは、「早く動かす」だけでなく「感染を持ち込まない形で動かす」という二重の要求を同時に満たす復旧案を、与件の構成と運用ルールから論理的に導くことです。したがって、問題文中のLAN構成、LAN切替スイッチの運用、業務LANからの切離しのタイミング、バックアップサーバの接続位置といった情報が、そのまま答案の根拠になります。 設問1(1)で問われる副サーバ群を代用できる理由は、災害対策用の予備だからという説明では足りません。読解ポイントは「副サーバ群が普段どのネットワークに属し、今回の感染経路と交わっているか」です。与件では、副サーバ群は保守LANに接続され、土曜日の日中を除きLAN切替スイッチによって業務LANから切り離されている運用が示されています。ランサムウェアは業務LANを介して侵入・拡散しているため、平時から分離されていた副サーバ群は感染の影響を受けていないという因果で説明でき、ここを明確に書けるかが得点の分かれ目です。採点講評の趣旨としても、可用性対策の話に逃げず、セキュリティインシデント下での安全性の根拠を与件から示す答案が評価される構造になっています。 設問1(2)は、復旧手順（表2）に追加すべき作業を埋める問題ですが、ここでも一般的な「復旧作業を実施する」ではなく、感染事象特有の追加統制をピンポイントで答える必要があります。空欄aはバックアップサーバに対する作業であり、バックアップサーバが業務LAN側に接続されているという与件が決定的です。副サーバ群が分離されていたのに対し、バックアップサーバは感染源と同じネットワークに存在し得るため、バックアップデータを使う前に「感染していないことを確認する」作業が必要になります。しかも確認は形式的な点検ではなく、最新のマルウェア定義でスキャンして安全性を確かめるという具体性が重要で、ここを抽象化すると減点のリスクが高まります。空欄bは、初動で全サーバと全PCを業務LANから切り離したという状況を踏まえ、バックアップサーバからデータをコピーするために「業務LANに接続する」必要があるという手順上の必然を答える設問です。復旧の流れを追いながら、今その機器が接続されているのか、切り離されているのかを与件で確認し、必要な状態遷移として書くことが午後Ⅰの読解そのものになります。 設問2では、復旧に間に合わせる場当たり的対応で終わらせず、再発防止としての運用管理をどう組み直すかが問われます。(1)の開封率把握は、不審メール対応訓練の仕組みを利用して現状を定量化する発想が鍵です。誰が開封したかという情報が自動的に集計サーバに送信される設計になっている以上、その送信情報を基に開封率を計算することで、教育や訓練の効果を測れる状態を作れます。単に「教育を強化する」と書くのではなく、測定可能なデータ源が既に用意されている点を見落とさず、現状把握の方法として答案化することが求められています。 (2)の空欄cは、最新のOSパッチが適用されていないPCを把握する情報源を答える問題で、ここでも与件の“どこに何が記録されるか”を読めているかが勝負です。構成管理システムにエージェントが導入され、OSセキュリティパッチの適用状況が構成情報として更新されると明記されているため、正解は構成管理システムの構成情報になります。インシデントの原因分析や対策立案をする際に、勘や現場ヒアリングだけでなく、構成管理の仕組みによって網羅的に状態を把握できる点を示す設問であり、ITサービスマネジメントの基盤プロセスを理解しているかが試されています。 (3)の空欄dは、バックアップデータがランサムウェアにより暗号化されるリスクへの対策です。ここでの難所は、単にバックアップ頻度を上げるのではなく、マルウェアが到達できる範囲からバックアップを隔離するという発想に切り替えることです。業務LANからアクセスできる保管場所にバックアップがあると、感染端末やサーバから同じ経路で暗号化され得るため、外部記憶媒体に複写して業務LANからアクセスできない場所に保管する、あるいはライトワンス媒体に複写して書き換え不能とする、といった「オフライン化」「不変化」によって完全性と可用性を守るのが筋になります。採点講評の観点でも、単なる“保護する”という表現ではなく、脅威モデルに対する直接的な防御として隔離・書換防止まで言及できているかが評価のポイントになります。 本問で合否を分けるのは、復旧を急ぐあまり安全性の根拠が曖昧になる答案、あるいは安全性を語るあまり手順上の前提条件を落とす答案を避け、与件の事実関係を軸に「なぜその判断が妥当か」を短い字数で言い切る力です。午後Ⅰでは、手順や対策を列挙するのではなく、設問が求める因果の一点に答えを収束させることが重要になります。副サーバ群が使える理由はネットワーク分離であり、バックアップサーバには感染確認が必要であり、切り離した機器は接続し直さなければデータが取れず、パッチ適用状況は構成管理で把握でき、バックアップはオフライン化しなければ同時被害を受けるというように、各設問は与件上の構成と運用ルールがそのまま解答の根拠になっています。ここを外すと、もっともらしい一般論を書いても採点基準と噛み合いません。 この動画では、設問ごとに「どの記述を根拠にするか」「受験者が取り違えやすいポイントは何か」を整理し、午後Ⅰで要求される読解の手順を再現します。ランサムウェアという現代的な題材でありながら、問われている本質は、インシデント管理と継続性確保を、構成管理や訓練の仕組みと結び付けて運用品質として担保する能力です。試験対策としてはもちろん、実務でもそのまま通用する考え方として、緊急復旧の意思決定、感染拡大防止の統制、可観測性の確保、バックアップ防御の設計という一連の流れを理解できます。最後まで視聴することで、答案作成の迷いどころを事前に潰し、与件から根拠を拾って短時間で“刺さる一文”に落とし込む感覚が身に付き、本試験での再現性を高められます。
