午後Ⅰ・Ⅱの本文には、「セキュリティ要件」「セキュリティポリシ」が書かれていることが多いです。さらにセキュリティ要件とセキュリティポリシから引用して答えさせる問題が出題されます。
これらのセキュリティ要件・セキュリティポリシは、問題に出てきている企業が定めている規定です。この規定に沿ってない「ルール作り」「対策」を実施しても、ＯＫ（正解）にはなりません。 世間一般的な回答を書いても、本文のセキュリティ要件・セキュリティポリシに沿った内容でない場合、マルはもらえないということです。
２つの過去問を使って説明します
２０１７年秋のセキュリティスペシャリスト午後Ⅱ問１設問２
公式解答
（１）
● 業務上いずれかの事業用システムを利用する必要があること（２７文字）
● 申請者に対して認証カードがすでに発行済みでないこと（２５文字）
２０１７年春のセキュリティスペシャリスト午後Ⅱ問１設問２
公式解答
（１）ｂ：Ａ社ＩＲＴに報告すべきインシデントの範囲（２０文字）
（２）Ａ社ＩＲＴ主導で、一元的なインシデント対応や判断を行えるようにするため。（３６文字）
