問１
システム開発の外部委託に関する次の記述を読んで，設問 1〜3 に答えよ。
R 社は，大手エレクトロニクスメーカ系のソフトウェアハウスである。主要な事業は，企業顧客向け
SI 事業と製造業向け購買管理ソフトウェアパッケージ(以下，パッケージという)の開発・販売である。
R 社は，半年前にこのパッケージの新バージョンの開発を決定した。同時に，社長直轄の開発プロジェクトチームが編成され，T
部長が責任者として任命された。本プロジェクトチームは，機密保護のため企画以降の全工程について外部委託しない方針とし，社員だけのメンバ構成でスタートした。
ところが，プログラミング及び単体テスト工程に入ってから 2 か月を経過した時点で，あるサブシステムの開発工数が当初見積りを大幅に上回ることが判明した。T
部長は，この超過分作業を外部委託せざるを得ないと判断した。従来からR 社と取引のある受託開発会社
3 社に見積提案を求めた結果，一括請負契約を受託の条件とする D 社が最も低価格であった。
T 部長は，機密保護のためには仕様書を社外に持ち出さない派遣契約が望ましいと考えてはいたが，開発コストを抑制するために，次の事項を契約条件に付加して，D
社に委託することにした。
〔T 部長の提示事項〕
| (1) | 契約は請負方式とする。ただし，プログラム仕様書に関しては，紙で渡すのではなく，R 社の開発用サーバに公衆回線経由でリモートアクセスして閲覧する方式とする。 |
| (2) | リモートアクセスに必要なネットワーク機器・設備は，すべて R 社が用意する。 |
| (3) | 開発用パソコンとしては，R 社からデスクトップ型のものを貸与するが，D 社所有のものを使用してもよい。プリンタは，D 社所有のものを使用する。 |
| (4) | 開発用パソコンヘのダウンロードは，プログラム仕様書とソースコードに限って認める。ただし，その都度，D 社担当部長の書面による承認を必要とする。 |
| (5) | 単体テストに使用するテスト計画書及びテスト報告書の書式は，R 社所定のものとする。また，検収の手続と基準についても，R 社の規定に従う。 |
| (6) | プログラム仕様書とソースコードのプリントは認めるが，プリントしたものはすべて所定の書類バインダにとじ込み，夜間は施錠可能なロッカーに保管する。また，これらの社外への持ち出しは一切認められない。 |
| (7) | 開発用パソコンヘダウンロードしたデータの外部記憶媒体へのコピーを禁止する。 |
| (8) | 委託終了後は，すべての貸与・支給物を R 社に返却する。また，その後も一定期間，守秘義務を負う。 |
| (9) | プログラムの著作権は，すべて R 社に帰属する。 |
| (10) | 開発の再委託を禁止する。 |
前記条件の(3)について，“開発用パソコンは，各自が必要なソフトウェアをインストールしている使い慣れたものを使用するのが効率的である。D
社所有のもの(一部ノート型パソコンも含まれる)をそのまま使いたい”と D 社が提案してきたので，T
部長はそれを受け入れた。
また，T 部長は，D 社事務所の入退室管理などの安全対策及び開発方法について，D
社担当部長から次の説明を受けた。
〔D 社担当部長の説明〕
| (1) | 事務所はテナントビル内にあるが，D 社区画への入退室には ID カードによるオートロックシステムが使われている。カードの発行・回収管理は，総務部長が担当している。 |
| (2) | 派遣要員を含む全員に，写真入り ID カードの携行が義務付けられている。 |
| (3) | 受託開発期間中，本受託案件の開発用パソコン及びプリンタは，すべて D 社の LAN から切り離し，R 社の開発用サーバヘのアクセスだけに限定した環境とする。 |
| (4) | ノート型パソコンは休日などに自宅で開発業務を行う場合に使用されるが，持ち帰り及び返却を総務課長が台帳で管理する。 |
| (5) | 機密を社内で分散させないために，本受託案件の開発用デスクトップ型パソコンを1か所に集結させ，その上に“R 社次期パッケージ開発専用パソコン”というプレートを掲示する。 |
〔委託開始前の R 社開発環境〕
本件実施前の R 社のパッケージ開発環境は，図 1 のとおりであった。
| (1) | 開発用サーバには，事業企画，開発原価，システム仕様書，プログラム仕様書，ソースコードなど本プロジェクトに関するすべての情報が格納されている。 |
| (2) | リモートアクセスサービスサーバ(以下，RAS サーバという)は，社員によるメールサーバヘのアクセス専用として使用され，相手確認のための機能としてコールバックを採用している。 |
| (3) | 開発用パソコンはすべてデスクトップ型であり，プロジェクトメンバ全員が事務所内で業務を行っている。 |
| (4) | 開発用サーバヘのログイン時のユーザ認証には，8 けたのパスワード(3 か月ごとの更新が義務付けられている)が使われている。データベースの種別ごとのアクセス制御は行われていない。 |
| (5) | すべての開発用パソコンに，アンチウイルスソフトが搭載されている。 |
| (6) | 開発用サーバ内のすべてのデータは，毎週末にバックアップのためのコピーが取得されている。 |
〔T 部長が認識した脅威〕
T 部長は，今回の公衆回線を利用したリモートアクセスによる開発委託に伴う最大の脅威は，“開発用サーバヘの不正アクセスによる情報の漏えい”であると考えた。さらに，これに対する対策は開発委託中と委託終了時とでは異なるが，委託中の対策として次表の措置が必要であると考えた。
機密保護対策導入後の両社の開発環境は，図 2 のとおりである。
設問１
今回のリモートアクセス方式による開発において想定すべき脅威は，T 部長が認識したものだけではない。ほかに想定されるものを二つ挙げ，その対策を含めてそれぞれ
60 字以内で述べよ。
設問２
D 社担当部長が D 社事務所の安全対策及び開発方法として説明した事項の中には，機密保護の上で不適切なことが含まれている。不適切と思われる事項を二つ挙げ，その理由を含めてそれぞれ
50 字以内で述べよ。
設問３
機密保護対策の観点から，開発委託終了時に R 社が実施すべき処置を二つ挙げ，それぞれ
40 字以内で述べよ。