情報セキュリティ管理基準（平成28年）を基に，情報システム環境におけるマルウェア対策の実施状況について監査を実施した。判明したシステム運用担当者の対応状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。

解説　本サイト独自（IPA公表のものではありません）

ウ　マルウェア対策とは，不正な動作をするソフトウェアによる感染や被害を予防し，検出し，対応するための管理である。スキャンを実施していても，組織が認可していないソフトウェアの使用は管理を逸脱し，感染などの危険を生むため，指摘事項となる。

• ア　Webページのスキャンは，そこに含まれるマルウェアを検出して利用者への感染を防ぐための予防的な対応であり，指摘事項には当たらない。
• イ　感染による被害を想定した事業継続計画の策定は，事故が発生した場合にも重要な業務を継続し，復旧するための適切な対応である。
• エ　脆弱性の情報を収集し，必要に応じて修正コードを適用することは，マルウェアに悪用される弱点を減らす適切な予防策である。