附属書Aの開発管理策から監査の指摘事項を見分ける

正解はアです

選択肢ごとの解説

1. ○ア  ソフトウェア開発におけるセキュリティ機能の試験は，開発期間が終了した後に実施している。
   開発期間が終了した後に、セキュリティ機能の試験を行っている状況です。管理策は、この試験を開発期間中に実施するよう求めています。したがって、この状況は要求に反し、指摘事項になります。終了後の試験では脆弱性（弱点）の発見が遅れます。そのため修正が後回しになったり、修正の期間が足りなくなったりして、コストとリスクが大きくなります。
2. ×イ  ソフトウェア開発は，セキュリティ確保に配慮した開発環境において行っている。
   セキュリティに配慮した開発環境を確立し、保護することは、管理策が求めている内容そのものです。この状況は適切な運用なので、指摘する理由はありません。
3. ×ウ  ソフトウェア開発を外部委託している場合，外部委託先による開発活動の監督・監視において，セキュリティ確保の観点を考慮している。
   開発を外部に委託した場合でも、組織は委託先の開発活動を監督・監視することが求められています。その監督・監視でセキュリティの観点を考慮しているのは、管理策に沿った適切な対応です。
4. ×エ  パッケージソフトウェアを活用した開発において，セキュリティ確保の観点から，パッケージソフトウェアの変更は必要な変更に限定している。
   管理策では、パッケージソフトウェアの変更はなるべく抑え、必要な変更に限ることが求められています。不要な変更は、バグやセキュリティホールを生む原因になりかねません。変更を必要なものに限っているこの状況は、管理策に合っています。