基本情報技術者 科目A公開問題：契約・著作権・生成AI・監査の7問

この7問で問われること

この7問は分野が違いますが、どれも技術の知識というより決まりごとの問題です。契約は種類の区別（ボリュームライセンス）、知的財産は権利の種類と範囲（産業財産権、著作者人格権）、生成AIは「断る」という言葉の意味（オプトアウト）、監査は「指摘すべきか」「独立していなければならない」という原則が、それぞれの手がかりです。

情報セキュリティ管理基準に従った監査の問題は令和5年度と令和7年度に出ています。どちらも「指摘事項として記載すべきもの」を聞くので、監査の問題では「問題がない状況」と「問題がある状況」を選択肢から分ける力が問われます。

令和5年度 問20（ボリュームライセンス契約）：契約の名前と成立のしかた

答えはア（大量購入者向けに、インストールできる台数をあらかじめ取り決める契約）です。選択肢はソフトウェアの契約を四つ並べています。ボリュームライセンス契約に当たるのは、大量購入者とインストールできる台数をあらかじめ取り決めるアです。

ほかの三つは別の契約の説明です。

• イは場所を限定して台数や人数に制限をつけない契約で、サイトライセンスです。
• ウは画面の「同意する」を選ぶと成立する契約で、クリックラップです。
• エはパッケージの包装を解いたときに成立したとみなす契約で、シュリンクラップです。

ウとエは契約の成立のしかたを述べていて、台数の取り決めに触れていません。「大量」から台数の制限がない契約や、パッケージを量で買う契約を想像すると、イやエを選んでしまいます。台数を取り決めるのが、この契約の中身です。

令和6年度 問20（産業財産権）：特許庁に出願して得る四つ

答えはア（意匠権、実用新案権、商標権、特許権）です。産業財産権は特許権、実用新案権、意匠権、商標権の四つの総称で、いずれも特許庁に出願して登録することで生まれる権利です。

誤答の三つは、四つのうち一つを著作権に入れ替えた組合せです。著作権も知的財産権の一つなので産業財産権に含まれると考えたり、デザインを守る意匠権は著作権に近いと考えたり、聞き慣れない実用新案権を外したりすると、イ・ウ・エを選びます。著作権は作品を作った時点で自然に生まれ、出願も登録も要りません。「出願して登録する権利か」で、著作権を外せます。

令和7年度 問17（生成AIのオプトアウト）：入力と出力のどちらの話か

答えはイ（入力した情報を、生成AIの学習に利用させたくない場合）です。オプトアウトは事業者が利用者のデータを使うことを、利用者の側から断る仕組みです。生成AIサービスでは入力した情報をモデルの学習に使わせない設定にあたります。

アは出力した情報の著作権、エは出力の信ぴょう性で、どちらも出力の側の話です。オプトアウトは入力の取り扱いを決める設定なので、出力の権利や正確さには関係しません。ウは他の利用者にも知ってほしい場合で、学習に使われてよいのだから断る理由がありません。選択肢が入力と出力のどちらを指しているかに印をつけると、アとエを除けます。

入力と出力の留意点は「生成AIを業務で使うときの留意点」に、出力物の権利は「生成AIと著作権」にまとめています。

令和8年度 問20（業務フロー図の著作権）：譲渡できる権利と、残る権利

答えはイ（作成者名をA社に変えて提示することはできない）です。問題文の条件は、B社との契約で著作権は全てA社に譲渡するとあり、著作者人格権には特段の記述がないことです。著作権の財産としての権利は譲渡できますが、著作者人格権は譲渡できず、作成したB社に残ります。作成者名を変えると、氏名表示権や同一性保持権を侵すおそれがあります。

ほかの三つはA社が譲り受けた著作権の範囲でできることです。電子データの提供（ア）、印刷して社内資料として配る（ウ）、バックアップのための複製（エ）は、制約があると考えて「できない」と述べているので、誤りです。「他社が作ったものは複製や提供ができない」と考えると外します。譲渡の記述が「著作権」だけで、人格権に触れていない点を見て、できること（複製・提供）とできないこと（名義の変更）を分けます。

令和5年度 問14（テレワーキング規程の監査）：組織として決めるべきことを個人任せにしていないか

答えはウ（テレワーキングで使用するPCへのマルウェア対策ソフト導入の要不要は、従業員それぞれが判断する）です。問題文は情報セキュリティ管理基準に従って監査をして、「指摘事項として監査報告書に記載すべきもの」を聞いています。四つの選択肢のうち、規程の不備に当たるものを一つ探します。

マルウェア対策ソフトを入れるかどうかを個人の判断に任せると、対策のないPCが自社のネットワークにつながる恐れがあります。組織として導入を決めて守らせるべき事項なので、これは指摘の対象です。

• アの全ての従業員が規程に従うことを条件に利用できる、は対象を広げすぎだと考えた選択肢です。規程に従う条件があるので、これだけで不備とは言えません。
• イの会社から支給したPCに限定する、は使い勝手の問題で、むしろ管理が行き届く決まりです。
• エの家族に使わせない、は自由を縛るように見えますが、情報の漏えいを防ぐための決まりです。

「厳しすぎる決め」は不備に見えやすいですが、監査が探すのは、守るべきことが決まっていない、または個人に任されている点です。

令和7年度 問15（サーバ室の物理的な安全対策の監査）：施錠していないのは出入口

答えはウ（社外からサーバ室へ直接出入りするドアを設置しているが、出入りを考慮して常時施錠していない）です。社外から直接出入りできるドアを施錠しないでおくと、無関係の人が入れてしまいます。物理的な安全対策として不備なので、監査人が指摘事項に挙げます。

• アの無人の領域で営業時間中も警報装置が作動するのは、侵入を検知する対策で、問題がありません。営業時間中なのに作動するのは誤作動のもとだと考えた選択肢です。
• イの非常口や避難器具、誘導灯の設置は、安全のための設備で、不備ではありません。出入口が増えるから防犯上の問題になると考えた選択肢です。
• エのサーバ室の所在を室外に表示しないのは、場所を知られにくくする対策です。案内がなくて困ると考えた選択肢です。

令和5年度 問14と同様に、問題がある状況を探す問題です。選択肢を「対策としてあるべき姿か」「守るべきことが守られていないか」に分けて、後者だけを選びます。

令和8年度 問15（システム監査人の行為）：自分が関わったものを監査しない

答えはウ（経営者のニーズを把握したうえで、監査の目的と対象範囲を決める）です。システム監査人の行為を聞く問題で、三つの誤答は同じ型で、どれも自分が作ったり関わったりしたものを自分で評価することになり、独立性が保てません。

• アは改善計画を作って実行する行為で、自分で手を入れたものを自分で監査することになります。
• イは開発と保守をしている事業者に監査を委託する行為で、その事業者が自分の仕事を評価することになります。
• エは情報システム部門の在籍者を監査メンバにする行為で、監査対象の部門の人が自部門を監査することになります。

ウは経営者のニーズを把握したうえで、監査の目的と対象範囲を決めるという内容です。問題文に「経営者から指示されたとき」とあるので、経営者の求めに沿って範囲を決める流れが自然です。

「詳しい人に任せる」「改善まで手伝う」は親切に見えますが、監査では不適切になります。選択肢が監査の対象から独立した立場を守っているかで見ます。

残りの選択肢が何の説明かまで言う

令和5年度 問20のイはサイトライセンス、ウはクリックラップ、エはシュリンクラップの説明でした。令和6年度 問20の誤答は著作権を混ぜた組合せ、令和7年度 問17のアとエは出力側の話、令和8年度 問20のア・ウ・エは譲り受けた権利の範囲でできること、令和8年度 問15のア・イ・エは独立性を欠く行為です。令和5年度 問14のアとイとエ、令和7年度 問15のアとイとエは、問題がないか、むしろ望ましい状況でした。答えを選んだあとで、残りがこのどれに当たるかを言えれば、次に同じ用語が別の形で出ても迷いにくくなります。

開発・プロジェクト管理・テクノロジの16問は、三つに分けて「基本情報技術者 科目A公開問題：スクラムと日程管理（プロジェクトマネジメント）の7問」と「基本情報技術者 科目A公開問題：設計とインフラ（E-R・多相性・クラウド・ping）の5問」と「基本情報技術者 科目A公開問題：開発手法とツール（スタブ・コーディング規約・ローコード）の4問」に、セキュリティの7問は「基本情報技術者 科目A公開問題：セキュリティの7問（攻撃・暗号・認証・組織）」にあります。