問1
CSIRTの説明として、適切なものはどれか。
- ア IPアドレスの割当て方針の決定、DNS ルートサーバの運用監視、DNS 管理に関 する調整などを世界規模で行う組織である。
- イ インターネットに関する技術文書を作成し，標準化のための検討を行う組織で ある。
- ウ 企業内・組織内や政府機関に設置され，情報セキュリティインシデントに関す る報告を受け取り，調査し，対応活動を行う組織の総称である。
- エ 情報技術を利用し、宗教的又は政治的な目標を達成するという目的をもった人 や組織の総称である。
情報セキュリティマネジメント 2016年 春期 午前 問題
情報セキュリティマネジメント 2016年 春期 午前の問題文50問です。図・表・別冊資料と正解は掲載していませんので、出典の公表資料またはアプリでご確認ください。
問2
情報セキュリティ対策のクリアデスクに該当するものはどれか。
- ア PCのデスクトップ上のフォルダなどを整理する。
- イ PCを使用中に離席した場合，一定時間経過すると、パスワードで画面ロックさ れたスクリーンセーバに切り替わる設定にしておく。
- ウ 帰宅時，書類やノートPCを机の上に出したままにせず、施錠できる机の引出 しなどに保管する。
- エ 机の上に置いたノートPCを，セキュリティワイヤで机に固定する。
問3
情報セキュリティに係るリスクマネジメントが効果的に実施されるよう、リスクアセスメントに基づいた適切なコントロールの整備，運用状況を検証又は評価し，保証又は助言を与えるものであり，実施者に独立かつ専門的な立場が求められるものはどれか。
- ア コントロールセルフアセスメント（CSA）
- イ 情報セキュリティ監査
- ウ 情報セキュリティ対策ベンチマーク
- エ ディジタルフォレンジックス
問4
ノートPCやスマートフォンなどのモバイル機器に重要情報を格納して持ち出すとき、機器の紛失による情報漏えい対策として有効なものはどれか。
- ア モバイル機器でのSNSの使用を制限する。
- イ モバイル機器内の情報をリモートから消去できるツールを導入する。
- ウ モバイル機器に通信を暗号化するツールを導入する。
- エ モバイル機器にのぞき見防止フィルムを貼付する。
問5
JIS Q 27001において、リスクを受容するプロセスに求められるものはどれか。
- ア 受容するリスクについては、リスク所有者が承認すること
- イ 受容するリスクをモニタリングやレビューの対象外とすること
- ウ リスクの受容は、リスク分析前に行うこと
- エ リスクを受容するかどうかは、リスク対応後に決定すること
問6
JIS Q 27001に基づく情報セキュリティ方針の取扱いとして、適切なものはどれか。
- ア 機密情報として厳格な管理を行う。
- イ 従業員及び関連する外部関係者に通知する。
- ウ 情報セキュリティ担当者各人が作成する。
- エ 制定後はレビューできないので，見直しの必要がない内容で作成する。
問7
IPA“組織における内部不正防止ガイドライン”にも記載されている，組織の適切な情報セキュリティ対策はどれか。
- ア インターネット上の Web サイトへのアクセスに関しては、コンテンツフィルタ （URL フィルタ）を導入して、SNS，オンラインストレージ，掲示板などへのア クセスを制限する。
- イ 業務の電子メールを、システム障害に備えて、私用のメールアドレスに転送す るよう設定させる。
- ウ 従業員がファイル共有ソフトを利用する際は、ウイルス対策ソフトの誤検知に よってファイル共有ソフトの利用が妨げられないよう、ウイルス対策ソフトの機 能を一時的に無効にする。
- エ 組織が使用を許可していないソフトウェアに関しては、業務効率が向上するも のに限定して、従業員の判断でインストールさせる。
問8
情報システムに対するアクセスのうち、JIS Q 27002でいう特権的アクセス権を利用した行為はどれか。
- ア 許可を受けた営業担当者が，社外から社内の営業システムにアクセスし，業務 を行う。
- イ 経営者が，機密性の高い経営情報にアクセスし，経営の意思決定に生かす。
- ウ システム管理者が、業務システムのプログラムのバージョンアップを行う。
- エ 来訪者が、デモシステムにアクセスし、システム機能の確認を行う。
問9
”不正のトライアングル”理論において、全てそろったときに不正が発生すると考えられている 3要素はどれか。
- ア 機会，動機，正当化
- イ 機密性，完全性，可用性
- ウ 顧客，競合，自社
- エ 認証，認可，アカウンティング
問10
利用者アクセスログの取扱いのうち，IPA“組織における内部不正防止ガイドライン”にも記載されており，内部不正の早期発見及び事後対策の観点で適切なものはどれか。
- ア コストにかかわらずログを永久保存する。
- イ 利用者にログの管理権限を付与する。
- ウ 利用者にログの保存期間を周知する。
- エ ログを定期的に確認する。
問11
BYOD の説明，及びその情報セキュリティリスクに関する記述のうち、適切なものはどれか。
- ア 従業員が企業から貸与された情報端末を，客先などへの移動中に業務に利用す ることであり，ショルダハッキングなどの情報セキュリティリスクが増大する。
- イ 従業員が企業から貸与された情報端末を，自宅に持ち帰って私的に利用するこ とであり，機密情報の漏えいなどの情報セキュリティリスクが増大する。
- ウ 従業員が私的に保有する情報端末を，職場での休憩時間などに私的に利用する ことであり，セキュリティ意識の低下などに起因する情報セキュリティリスクが 増大する。
- エ 従業員が私的に保有する情報端末を業務に利用することであり，セキュリティ 設定の不備に起因するウイルス感染などの情報セキュリティリスクが増大する。
問12
IDSの機能はどれか。
- ア PCにインストールされているソフトウェア製品が最新のバージョンであるかど うかを確認する。
- イ 検査対象の製品にテストデータを送り，製品の応答や挙動から脆弱性を検出す る。
- ウ サーバやネットワークを監視し，セキュリティポリシを侵害するような挙動を 検知した場合に管理者へ通知する。
- エ 情報システムの運用管理状況などの情報セキュリティ対策状況と企業情報を入 力し，組織の情報セキュリティへの取組状況を自己診断する。
問13
クライアントとWeb サーバの間において、クライアントから Web サーバに送信されたデータを検査して、SQLインジェクションなどの攻撃を遮断するためのものはどれか。
- ア SSL-VPN 機能
- イ WAF
- ウ クラスタ構成
- エ ロードバランシング機能
問14
PCで行うマルウェア対策のうち、適切なものはどれか。
- ア PCにおけるウイルスの定期的な手動検査では、ウイルス対策ソフトの定義ファ イルを最新化した日時以降に作成したファイルだけを対象にしてスキャンする。
- イ PC の脆弱性を突いたウイルス感染が起きないように，OS 及びアプリケーショ ンの修正パッチを適切に適用する。
- ウ 電子メールに添付されたウイルスに感染しないように、使用しないTCP ポート 宛ての通信を禁止する。
- エ ワームが侵入しないように、PCに動的グローバルIPアドレスを付与する。
問15
システム管理者による内部不正を防止する対策として、適切なものはどれか。
- ア システム管理者が複数の場合にも、一つの管理者 ID でログインして作業を行わ せる。
- イ システム管理者には、特権が付与された管理者 IDでログインして、特権を必要 としない作業を含む全ての作業を行わせる。
- ウ システム管理者の作業を本人以外の者に監視させる。
- エ システム管理者の操作ログには，本人にだけアクセス権を与える。
問16
ディジタルフォレンジックスでハッシュ値を利用する目的として、適切なものはどれか。
- ア 一方向性関数によってパスワードを復元できないように変換して保存する。
- イ 改変されたデータを，証拠となり得るように復元する。
- ウ 証拠となり得るデータについて、原本と複製の同一性を証明する。
- エ パスワードの盗聴の有無を検証する。
問17
機密ファイルが格納されていて、正常に動作する PC の磁気ディスクを産業廃棄物処理業者に引き渡して廃棄する場合の情報漏えい対策のうち、適切なものはどれか。
- ア 異なる圧縮方式で，機密ファイルを複数回圧縮する。
- イ 専用の消去ツールで，磁気ディスクのマスタブートレコードを複数回消去する。
- ウ ランダムなビット列で，磁気ディスクの全領域を複数回上書きする。
- エ ランダムな文字列で，機密ファイルのファイル名を複数回変更する。
問18
2要素認証に該当する組はどれか。
- ア ICカード認証，指紋認証
- イ ICカード認証，ワンタイムパスワードを生成するハードウェアトークン
- ウ 虹彩認証，静脈認証
- エ パスワード認証、パスワードリマインダ
問19
APTの説明はどれか。
- ア 攻撃者は DoS攻撃及びDDoS攻撃を繰り返し組み合わせて、長期間にわたり特 定組織の業務を妨害する。
- イ 攻撃者は興味本位で場当たりに，公開されている攻撃ツールや脆弱性検査ツ ールを悪用した攻撃を繰り返す。
- ウ 攻撃者は特定の目的をもち、標的となる組織の防御策に応じて複数の手法を組 み合わせ，気付かれないよう執拗に攻撃を繰り返す。
- エ 攻撃者は不特定多数への感染を目的として、複数の攻撃方法を組み合わせたマ ルウェアを継続的にばらまく。
問20
利用者PCのHDDが暗号化されていないとき、攻撃者が利用者PCから HDDを抜き取り，攻撃者が用意したPCに接続して HDD内の情報を盗む攻撃によって発生する情報漏えいのリスクの低減策のうち、適切なものはどれか。
- ア HDD にインストールした OSの利用者アカウントに対して、ログインパスワー ドを設定する。
- イ HDDに保存したファイルの読取り権限を、ファイルの所有者だけに付与する。
- ウ 利用者 PC上で HDD パスワードを設定する。
- エ 利用者 PCにBIOS パスワードを設定する。
問21
クロスサイトスクリプティングに該当するものはどれか。
- ア Web アプリケーションのデータ操作言語の呼出し方に不備がある場合に、攻撃 者が悪意をもって構成した文字列を入力することによって、データベースのデー タの不正な取得，改ざん及び削除を可能とする。
- イ Webサイトに対して、他のサイトを介して大量のパケットを送り付け，そのネ ットワークトラフィックを異常に高めてサービスを提供不能にする。
- ウ 確保されているメモリ空間の下限又は上限を超えてデータの書込みと読出しを 行うことによって、プログラムを異常終了させたりデータエリアに挿入された不 正なコードを実行させたりする。
- エ 攻撃者が罠を仕掛けたWeb ページを利用者が閲覧し，当該ページ内のリンクを クリックしたときに、不正スクリプトを含む文字列が脆弱な Web サーバに送り込 まれ、レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいを もたらす。
問22
クリックジャッキング攻撃に該当するものはどれか。
- ア Web アプリケーションの脆弱性を悪用し、Web サーバに不正なリクエストを送 ってWebサーバからのレスポンスを二つに分割させることによって、利用者の Web ブラウザのキャッシュを偽造する。
- イ WebサイトAのコンテンツ上に透明化した標的サイトB のコンテンツを配置し， Web サイトA 上の操作に見せかけて標的サイト B 上で操作させる。
- ウ Web ブラウザのタブ表示機能を利用し、Web ブラウザの非活性なタブの中身を， 利用者が気付かないうちに偽ログインページに書き換えて，それを操作させる。
- エ 利用者のWebブラウザの設定を変更することによって、利用者のWebページの 閲覧履歴やパスワードなどの機密情報を盗み出す。
問23
送信者Aが文書ファイルと，その文書ファイルのディジタル署名を受信者Bに送信したとき，受信者Bができることはどれか。ここで、受信者 B は送信者Aの署名検証鍵Xを保有しており，受信者Bと第三者は送信者 A の署名生成鍵Yを知らない。ものとする。
- ア ディジタル署名，文書ファイル及び署名検証鍵 X を比較することによって，文 書ファイルに改ざんがあった場合，その部分を判別できる。
- イ 文書ファイルがウイルスに感染していないことを認証局に問い合わせて確認で きる。
- ウ 文書ファイルが改ざんされていないこと、及びディジタル署名が署名生成鍵Y によって生成されたことを確認できる。
- エ 文書ファイルとディジタル署名のどちらかが改ざんされた場合，どちらが改ざ んされたかを判別できる。
問24
公開鍵暗号を利用した電子商取引において、認証局（CA）の役割はどれか。
- ア 取引当事者間で共有する秘密鍵を管理する。
- イ 取引当事者の公開鍵に対するディジタル証明書を発行する。
- ウ 取引当事者のディジタル署名を管理する。
- エ 取引当事者のパスワードを管理する。
問25
ドライブバイダウンロード攻撃の説明はどれか。
- ア PCにUSBメモリが接続されたとき、USBメモリに保存されているプログラム を自動的に実行する機能を用いてウイルスを実行し、PC をウイルスに感染させる。
- イ PCに格納されているファイルを勝手に暗号化して、戻すためのパスワードを教 えることと引換えに金銭を要求する。
- ウ Web サイトを閲覧したとき、利用者が気付かないうちに、利用者の意図にかか わらず、利用者のPC に不正プログラムが転送される。
- エ 不正にアクセスする目的で，建物の外部に漏れた無線LANの電波を傍受して、 セキュリティの設定が脆弱な無線LANのアクセスポイントを見つけ出す。
問26
パスワードリスト攻撃の手口に該当するものはどれか。
- ア 辞書にある単語をパスワードに設定している利用者がいる状況に着目して、攻 撃対象とする利用者ID を定め、英語の辞書にある単語をパスワードとして、ログ インを試行する。
- イ 数字4桁のパスワードだけしか設定できない Web サイトに対して、パスワード を定め，文字を組み合わせた利用者ID を総当たりに，ログインを試行する。
- ウ パスワードの総文字数の上限が小さい Web サイトに対して、攻撃対象とする利 用者IDを一つ定め、文字を組み合わせたパスワードを総当たりに，ログインを試 行する。
- エ 複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着 目して，不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて、ロ グインを試行する。
問27
バックドアに該当するものはどれか。
- ア 攻撃を受けた結果、ロックアウトされた利用者アカウント
- イ システム内に攻撃者が秘密裏に作成した利用者アカウント
- ウ 退職などの理由で、システム管理者が無効にした利用者アカウント
- エ パスワードの有効期限が切れた利用者アカウント
問28
PCとサーバとの間でIPsec による暗号化通信を行う。ブロック暗号の暗号化アルゴリズムとしてAESを使うとき、用いるべき鍵はどれか。
- ア PCだけが所有する秘密鍵
- イ PCとサーバで共有された共通鍵
- ウ PC の公開鍵
- エ サーバの公開鍵
問29
攻撃者がシステムに侵入するときにポートスキャンを行う目的はどれか。
- ア 事前調査の段階で、攻撃できそうなサービスがあるかどうかを調査する。
- イ 権限取得の段階で，権限を奪取できそうなアカウントがあるかどうかを調査す る。
- ウ 不正実行の段階で，攻撃者にとって有益な利用者情報があるかどうかを調査す る。
- エ 後処理の段階で，システムログに攻撃の痕跡が残っていないかどうかを調査す る。
問30
AさんがBさんの公開鍵で暗号化した電子メールを、BさんとCさんに送信した結果のうち、適切なものはどれか。ここで，Aさん、Bさん、Cさんのそれぞれの公開鍵は3人全員がもち、それぞれの秘密鍵は本人だけがもっているものとする。
- ア 暗号化された電子メールを， B さん，Cさんともに、B さんの公開鍵で復号で きる。
- イ 暗号化された電子メールを， B さん、C さんともに、自身の秘密鍵で復号でき る。
- ウ 暗号化された電子メールを、Bさんだけが、Aさんの公開鍵で復号できる。
- エ 暗号化された電子メールを，Bさんだけが，自身の秘密鍵で復号できる。
問31
“OECD プライバシーガイドライン”には８原則が定められている。その中の四つの原則についての説明のうち，適切なものはどれか。
- ア 原則：安全保護の原則 ／ 説明：個人データの収集には制限を設け，いかなる個人データも，適法かつ公正な手段によって，及び必要に応じてデータ主体に通知し，又は同意を得た上で収集すべきである。
- イ 原則：個人参加の原則 ／ 説明：個人データの活用，取扱い，及びその方針については，公開された一般的な方針に基づかなければならない。
- ウ 原則：収集制限の原則 ／ 説明：個人データの収集目的は収集時点よりも前に特定し，利用はその利用目的に矛盾しない方法で行い，利用目的を変更するに当たっては毎回その利用目的を特定すべきである。
- エ 原則：データ内容の原則 ／ 説明：個人データは，利用目的に沿ったもので，かつ利用目的の達成に必要な範囲内で正確，完全，最新の内容に保つべきである。
問32
個人情報に関する記述のうち、個人情報保護法に照らして適切なものはどれか。
- ア 構成する文字列やドメイン名によって特定の個人を識別できるメールアドレス は，個人情報である。
- イ 個人に対する業績評価は，特定の個人を識別できる情報が含まれていても，個 人情報ではない。
- ウ 新聞やインターネットなどで既に公表されている個人の氏名、性別及び生年月 日は，個人情報ではない。
- エ 法人の本店所在地，支店名，支店所在地，従業員数及び代表電話番号は，個人 情報である。
問33
刑法における“電子計算機損壊等業務妨害”に該当する行為はどれか。
- ア 企業が運営するWebサイトに接続し、Webページを改ざんした。
- イ 他社の商標に酷似したドメイン名を使用し、不正に利益を得た。
- ウ 他人のWebサイトを無断で複製して、全く同じWebサイトを公開した。
- エ 他人のキャッシュカードで ATMを操作し、自分の口座に振り込んだ。
問34
特定電子メール送信適正化法で規制される，いわゆる迷惑メール（スパムメール）はどれか。
- ア ウイルスに感染していることを知らずに、職場全員に送信した業務連絡メール
- イ 書籍に掲載された著者のメールアドレスへ，匿名で送信した批判メール
- ウ 接客マナーへの不満から，その企業のお客様窓口に繰返し送信したクレームメ ール
- エ 送信することの承諾を得ていない不特定多数の人に送った広告メール
問35
不正競争防止法によって保護される対象として規定されているものはどれか。
- ア 自然法則を利用した技術思想の創作のうち高度なものであって、プログラム 等を含む物と物を生産する方法
- イ 著作物を翻訳し、編曲し、若しくは変形し、又は脚色し，映画化し、その他翻 案することによって創作した著作物
- ウ 秘密として管理されている事業活動に有用な技術上又は営業上の情報であって， 公然と知られていないもの
- エ 法人等の発意に基づきその法人等の業務に従事する者が職務上作成するプログ ラム著作物
問36
請負契約の下で，自己の雇用する労働者を契約先の事業所などで働かせる場合，適切なものはどれか。
- ア 勤務時間，出勤時刻などの労働条件は、契約先が定めて管理する。
- イ 雇用主が自らの指揮命令の下に当該労働者を業務に従事させる。
- ウ 当該労働者は、契約先で働く期間は、契約先との間にも雇用関係が生じる。
- エ 当該労働者は、契約先の指揮命令によって業務に従事するが，雇用関係の変更 はない。
問37
スプレッドシートの利用に係るコントロールの監査において把握した，利用者による行為のうち，指摘事項に該当するものはどれか。
- ア スプレッドシートに組み込まれたロジックの正確性を，検算によって確認して いた。
- イ スプレッドシートに組み込まれたロジックを，業務上の必要に応じて，随時， 変更し上書き保存していた。
- ウ スプレッドシートにパスワードを付した上で、アクセスコントロールが施され たサーバに保管していた。
- エ スプレッドシートを所定のルールに従ってバックアップしていた。
問38
従業員の守秘義務について，“情報セキュリティ管理基準”に基づいて監査を行った。指摘事項に該当するものはどれか。
- ア 雇用の終了をもって守秘義務が解消されることが，雇用契約に定められている。
- イ 定められた勤務時間以外においても守秘義務を負うことが，雇用契約に定めら れている。
- ウ 定められた守秘義務を果たさなかった場合，相応の措置がとられることが、雇 用契約に定められている。
- エ 定められた内容の守秘義務契約書に署名することが、雇用契約に定められてい る。
問39
“情報セキュリティ監査基準”に基づいて情報セキュリティ監査を実施する場合，監査の対象，及びコンピュータを導入していない部署における監査実施の要否の組合せのうち，最も適切なものはどれか。
- ア 監査の対象：情報資産 ／ コンピュータを導入していない部署における監査実施の要否：必要
- イ 監査の対象：情報資産 ／ コンピュータを導入していない部署における監査実施の要否：不要
- ウ 監査の対象：情報システム ／ コンピュータを導入していない部署における監査実施の要否：必要
- エ 監査の対象：情報システム ／ コンピュータを導入していない部署における監査実施の要否：不要
問40
SLA に記載する内容として、適切なものはどれか。
- ア サービス及びサービス目標を特定した，サービス提供者と顧客との間の合意事 項
- イ サービス提供者が提供する全てのサービスの特徴、構成要素、料金
- ウ サービスデスクなどの内部グループとサービス提供者との間の合意事項
- エ 利用者から出されたITサービスに対する業務要件
問41
事業継続計画で用いられる用語であり，インシデントの発生後，次のいずれかの事項までに要する時間を表すものはどれか。（1） 製品又はサービスが再開される。（2）事業活動が再開される。（3） 資源が復旧される。
- ア MTBF
- イ MTTR
- ウ RPO
- エ RTO
問42
過去5年間のシステム障害について、年ごとの種類別件数と総件数の推移を一つの図で表すのに最も適したものはどれか。
- ア 積上げ棒グラフ
- イ 二重円グラフ
- ウ ポートフォリオ図
- エ レーダチャート
問43
コンピュータシステムに対して問合せの終わり又は要求の終わりを指示してから，利用者端末に最初の処理結果のメッセージが出始めるまでの経過時間を何というか。
- ア アクセスタイム
- イ サイクルタイム
- ウ ターンアラウンドタイム
- エ レスポンスタイム
問44
企業の様々な活動を介して得られた大量のデータを整理・統合して蓄積しておき、意思決定支援などに利用するものはどれか。
- ア データアドミニストレーション
- イ データウェアハウス
- ウ データディクショナリ
- エ データマッピング
問45
ルータの機能に関する記述として、適切なものはどれか。
- ア LAN 同士やLAN と WAN を接続して，ネットワーク層での中継処理を行う。
- イ データ伝送媒体上の信号を物理層で増幅して中継する。
- ウ データリンク層でネットワーク同士を接続する。
- エ 二つ以上のLANを接続し、LAN 上のMAC アドレスを参照して、その参照結果 を基にデータフレームを他のLAN に流すかどうかの判断を行う。
問46
社内ネットワークからインターネットへのアクセスを中継し、Web コンテンツをキャッシュすることによってアクセスを高速にする仕組みで，セキュリティ確保にも利用されるものはどれか。
- ア DMZ
- イ IPマスカレード （NAPT）
- ウ ファイアウォール
- エ プロキシサーバ
問47
利用者が，インターネットを経由してサービスプロバイダのシステムに接続し，サービスプロバイダが提供するアプリケーションの必要な機能だけを必要なときにオンラインで利用するものはどれか。
- ア ERP
- イ SaaS
- ウ SCM
- エ XBRL
問48
図に示す手順で情報システムを調達するとき、bに入るものはどれか。発注元はベンダにシステム化の目的や業務内容などを示し，情報提供を依頼する。発注元はベンダに調達対象システム，調達条件などを示し、提案書の提出を依頼する。発注元はベンダの提案書，能力などに基づいて、調達先を決定する。発注元と調達先の役割や責任分担などを、文書で相互に確認する。
- ア RFI
- イ RFP
- ウ 供給者の選定
- エ 契約の締結
問49
事業継続計画の策定に際し、リスクへの対応として適切なものはどれか。
- ア 全リスクを網羅的に洗い出し，リスクがゼロとなるように策定する。
- イ 想定するリスクのうち、許容できる損失を超えるものを優先的に対処する。
- ウ 想定するリスクの全てについて，発生時の対応策をとることを目的とする。
- エ 想定するリスクの優先度に差をつけずに検討する。
問50
企業経営の透明性を確保するために、企業は誰のために経営を行っているか，トップマネジメントの構造はどうなっているか，組織内部に自浄能力をもっているかなどの視点で、企業活動を監督・監視する仕組みはどれか。
- ア ーコアコンピタンス
- イ コーポレートアイデンティティ
- ウ コーポレートガバナンス
- エ ステークホルダアナリシス
出典
各問題の下に出典を記載しています。