問問1 設問1（1） a
対象の解答欄：a 本文中の a に入れる字句はどれか。解答群のうち，最も適切なものを選べ。
- ア Jサイトの顧客の個人情報が保存されているデータベースの管理用アカウントの認証情報を利用して不正アクセスする
- イ Jサイトの顧客の個人情報が保存されているデータベースの脆弱性を利用して不正アクセスする
- ウ Jサイトのパスワード入力時のパスワード判定ロジックの脆弱性を利用する
- エ 認証情報のリストに不正にアクセスし，改ざんする
- オ 認証情報のリストを入手して利用する
情報セキュリティマネジメント 2019年 秋期 午後 問題
情報セキュリティマネジメント 2019年 秋期 午後の問題文32問です。図・表・別冊資料と正解は掲載していませんので、出典の公表資料またはアプリでご確認ください。
共通事例は原資料の図版を上から順に確認してください。
問問1 設問1（2） b
対象の解答欄：b 本文中の b に入れる字句はどれか。解答群のうち，最も適切なものを選べ。
- ア 攻撃対象のサイトに SQL インジェクションの脆弱性がある
- イ 攻撃対象のサイトの WAF のシグネチャや IPS のシグネチャの定期的な更新がされていない
- ウ 攻撃対象のサイトの顧客が複数のオンラインサービスで認証情報を使い回している
- エ 攻撃対象のサイトの顧客用アカウントの認証情報に単純で短いパスワードを設定できる
- オ 攻撃対象のサイトの問合せフォームの処理に脆弱性がある
- カ 攻撃対象のサイトのログイン処理に送信元 IP アドレスによるアクセス制限機能がない
問問1 設問1（3） c
対象の解答欄：c (3) 本文中の c1，c2 に入れる技術と課題を，次の (i)～(x) の中から一つずつ挙げた組合せはどれか。c に関する解答群のうち，最も適切なものを選べ。 ［技術］ (i) Jサイトの顧客用アカウントの認証情報の複製を保存して利用するディレクトリシステム (ii) 指紋，虹彩，静脈などを利用した生体認証 (iii) ディジタル証明書を利用したクライアント認証 (iv) ボットからの入力と人からの入力を判別する CAPTCHA (v) ログインごとにメールで通知される認証用キーによる利用者認証 ［課題］ (vi) 顧客が意図せず利用者 ID を複数回間違った場合に Jサイトにログインできなくなる (vii) 顧客がメールアドレスを変更した際に Jサイトにログインできなくなる (viii) 顧客の端末が変わった際に端末の設定に関する問合せがカスタマサポート部に入る (ix) ボットの使い方についてカスタマサポート部に問合せが入る (x) 連続ログイン失敗回数が上限を超えてアカウントがロックされ，Jサイトにログインできなくなる
- ア c1：(i) ／ c2：(x)
- イ c1：(ii) ／ c2：(vii)
- ウ c1：(ii) ／ c2：(viii)
- エ c1：(iii) ／ c2：(x)
- オ c1：(iv) ／ c2：(vi)
- カ c1：(iv) ／ c2：(ix)
- キ c1：(v) ／ c2：(vii)
- ク c1：(v) ／ c2：(ix)
問問1 設問1（4）
本文中の下線①について，どのような対策が考えられるか。解答群のうち，最も適切なものを選べ。
- ア 各サイトで異なるパスワードを利用する。
- イ 公衆無線 LAN からは Jサイトを利用しない。
- ウ 顧客の PC の OS に脆弱性修正プログラムを適用し，OS にログインするためのパスワードを定期的に更新する。
- エ 顧客の自宅や職場の無線 LAN アクセスポイントのパスワードを推測されにくいものにする。
- オ 顧客の端末にマルウェア対策ソフトを導入し，マルウェア定義ファイルの自動更新を有効にする。
- カ 顧客の端末の内蔵ストレージを暗号化する。
- キ 送信するメールの添付ファイルにパスワードを付ける。
- ク 定期的に教育を受け，標的型メール攻撃に注意する。
問問1 設問2
対象の解答欄：d 設問2 本文中の d に入れる字句はどれか。解答群のうち，最も適切なものを選べ。
- ア 顧客用アカウントのパスワードのリストの作成
- イ 実際の利用者が使っているパスワードの複雑性の確認
- ウ 従業員の認証情報のリストの登録
- エ 特定の利用者IDが存在するかどうかの確認
- オ 入力フォームに特定の脆弱性があるかどうかの確認
- カ 認証方式の確認
問問1 設問3（1） e
対象の解答欄：e 本文中のeに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
- ア 2要素認証が実装されている
- イ ECサイトで要求しているパスワードの強度が低い
- ウ ECサイトで利用していないポートが開いている
- エ FWのルールの末尾に全て拒否のルールが設定されている
- オ OSの脆弱性修正プログラムが適用されていない
- カ 問合せフォーム処理時のアクセスが攻撃かどうかの判別に不備がある
- キ ファイルへのアクセス制御に不備がある
- ク 複数のサイトで認証情報を使い回している顧客がいる
問問1 設問3（2） f
対象の解答欄：f 本文中のfに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
- ア 攻撃者の入力したパスワードが誤っていることを攻撃者に知られてしまう
- イ 顧客が何回もパスワードを間違えてJサイトにログインできなくなる
- ウ 顧客が利用者IDを変更した際にJサイトにログインできなくなる
- エ 導入の際，顧客自身での生体情報の登録が必要になる
- オ ボットと顧客を判別できなくなる
問問1 設問3（3）
本文中の下線②について，どのような対応が必要か。解答群のうち，最も適切なものを選べ。
- ア アカウントロックされた顧客からの問合せへの対応マニュアルを作成する。
- イ 顧客の連続ログイン失敗回数をログインログから算出し，その値に基づいて，連続ログイン失敗回数の上限を全顧客で一つ決定する。
- ウ 今回の不正ログイン試行の回数をログインログから抽出して，連続ログイン失敗回数の上限を決定する。
- エ 生体認証導入前に，Webページにカスタマサポート部の問合せ先を掲載しておく。
- オ パスワードを連続5回間違えたらアカウントロックする。
- カ ボットからのアクセスを検知したらアカウントロックする。
問問1 設問4（1） g
対象の解答欄：g (1) 本文中の g に入れる字句はどれか。解答群のうち，最も適切なものを選べ。
- ア 問合せフォームに入力できる文字数の制限はあるが，文字種の制限がない
- イ 問合せフォームへのアクセスを顧客用アカウントをもっている者だけに許可している
- ウ 問合せを投稿する際に投稿者を認証する機能がある
- エ 問合せを投稿する際にボットかどうかを判別する仕組みがない
問問1 設問4（2） h
対象の解答欄：h (2) 本文中の h1，h2 に入れる対策と課題を，次の (i)～(x) の中から一つずつ挙げた組合せはどれか。h に関する解答群のうち，最も適切なものを選べ。 [対策] (i) 問合せの通信パケットをキャプチャし，解析する (ii) 問合せは顧客用アカウントをもっている者だけに許可し，問合せ投稿時に認証情報を暗号化する (iii) 問合せは顧客用アカウントをもっている者だけに許可し，問合せフォームへの入力後に認証情報をハッシュ化する (iv) 問合せフォームへの入力後に CAPTCHA への対応を求める (v) 問合せフォームへの入力の許容上限時間を設定する [課題] (vi) パスワード誤りが続いてアカウントロックされる (vii) パスワードを間違えて問合せが投稿できない (viii) パスワードを間違えてメールが送信できない (ix) ボットと認識されて問合せが投稿できない (x) ボットと認識されてメールが送信できない
- ア h1：(i) ／ h2：(vii)
- イ h1：(i) ／ h2：(x)
- ウ h1：(ii) ／ h2：(vi)
- エ h1：(ii) ／ h2：(viii)
- オ h1：(iii) ／ h2：(vii)
- カ h1：(iv) ／ h2：(ix)
- キ h1：(iv) ／ h2：(x)
- ク h1：(v) ／ h2：(ix)
問問1 設問5 i
対象の解答欄：i 表2中の i ～ k に入れる字句はどれか。解答群のうち，最も適切なものをそれぞれ選べ。
- ア WAF が検知した攻撃のうち J サイトの脆弱性を悪用した攻撃の数
- イ カスタマサポート部に入った電話での問合せ数
- ウ 同一 IP アドレスからの問合せフォームへのアクセス数
- エ 同一の顧客用アカウントについて一定数以上の IP アドレスから試行したログイン数
- オ 同一の顧客用アカウントについて失敗したログイン数
- カ 複数の顧客用アカウントについて同一の IP アドレスから試行したログイン数
問問1 設問5 j
対象の解答欄：j 表2中の i ～ k に入れる字句はどれか。解答群のうち，最も適切なものをそれぞれ選べ。
- ア WAF が検知した攻撃のうち J サイトの脆弱性を悪用した攻撃の数
- イ カスタマサポート部に入った電話での問合せ数
- ウ 同一 IP アドレスからの問合せフォームへのアクセス数
- エ 同一の顧客用アカウントについて一定数以上の IP アドレスから試行したログイン数
- オ 同一の顧客用アカウントについて失敗したログイン数
- カ 複数の顧客用アカウントについて同一の IP アドレスから試行したログイン数
問問1 設問5 k
対象の解答欄：k 表2中の i ～ k に入れる字句はどれか。解答群のうち，最も適切なものをそれぞれ選べ。
- ア WAF が検知した攻撃のうち J サイトの脆弱性を悪用した攻撃の数
- イ カスタマサポート部に入った電話での問合せ数
- ウ 同一 IP アドレスからの問合せフォームへのアクセス数
- エ 同一の顧客用アカウントについて一定数以上の IP アドレスから試行したログイン数
- オ 同一の顧客用アカウントについて失敗したログイン数
- カ 複数の顧客用アカウントについて同一の IP アドレスから試行したログイン数
問問2 設問1（1）
本文中の下線①について，Kさんが，電話ではなく，VサービスでDさんに連絡した場合に想定される被害はどれか。解答群のうち，最も適切なものを選べ。
- ア Kさんが，なりすまし者とのやり取りの結果，表3のGCメッセージがDさんからのものと信じ，URL-Pにアクセスすることによって，Kさんのパスワードが窃取される。
- イ Kさんが，なりすまし者にGCメッセージを送ることによって，Vサービスで利用しているB副所長のアカウントが，なりすまし者によって不正に利用される。
- ウ Kさんがなりすまし者への連絡のために送ったGCメッセージが，なりすまし者以外の第三者に盗聴され，内容が第三者に漏えいする。
- エ Kさんが連絡した直後に，なりすまし者によって証拠隠滅が図られ，Dさんのアカウントが利用されてGCメッセージが削除される。
問問2 設問1（2）
本文中の下線②について，次の(i)～(v)のうち，実施した防止策として適切なものだけを全て挙げた組合せを，解答群の中から選べ。 (i) Dさんに，Vサービスのパスワードを変更するよう指示する。 (ii) R営業所の全従業員に，URL-Pにアクセスした場合はB副所長に報告するよう指示する。 (iii) R営業所の全従業員に，URL-Pにアクセスしないよう指示する。 (iv) VアプリをスマホにインストールしているR営業所の従業員に，Vアプリを再インストールするよう指示する。 (v) WS管理者のパスワードを変更する。
- ア (i)，(ii)，(iii)
- イ (i)，(iii)
- ウ (i)，(iv)，(v)
- エ (ii)，(iii)，(iv)
- オ (ii)，(iv)，(v)
- カ (iii)，(iv)
問問2 設問2（1） a
対象の解答欄：a 本文中のaに入れる適切な字句はどれか。解答群のうち，最も適切なものを選べ。
- ア URLフィルタリング機能
- イ VPNサーバ
- ウ VPNサーバ及びURLフィルタリング機能
- エ VPNサーバ及びプロキシサーバ
- オ プロキシサーバ
- カ プロキシサーバ，VPNサーバ及びURLフィルタリング機能
- キ プロキシサーバ及びURLフィルタリング機能
問問2 設問2（2）
本文中の下線③について，最低限，R営業所のどの従業員にヒアリングをする必要があるか。解答群のうち，最も適切なものを選べ。
- ア 営業担当者
- イ 所長，副所長，営業担当者及び事務担当者
- ウ 所長，副所長及び営業担当者
- エ 所長及び副所長
- オ 流通担当者及び事務担当者
問問2 設問2（3） b
対象の解答欄：b 本文中のbに入れる適切な字句を，解答群の中から選べ。
- ア GC-1，GC-2及びGC-3
- イ GC-1，GC-2及びGC-4
- ウ GC-1，GC-3及びGC-4
- エ GC-2
- オ GC-2及びGC-3
- カ GC-2，GC-3及びGC-4
- キ GC-2及びGC-4
- ク GC-3
- ケ GC-3及びGC-4
- コ GC-4
問問2 設問2（4）
(4) 本文中の下線④について，十分な調査とはいえない理由はどれか。解答群のうち，最も適切なものを選べ。
- ア Dさんのアカウントでは確認できないGCメッセージがあるから
- イ URL-P にアクセスした結果，マルウェアをダウンロードした従業員がいる可能性があるから
- ウ なりすまし者がDさんのアカウントに不正にログインした後，GCメッセージのうち秘密情報を含むものを選んで削除した可能性があるから
- エ なりすまし者がDさんのアカウントに不正にログインしていた間は閲覧可能であったが，その後に削除されたGCメッセージがあった可能性があるから
- オ 表3に示すGCメッセージを閲覧していない従業員がいるから
問問2 設問2（5）
(5) 本文中の下線⑤について，パスワードを入手又は特定した方法はどれか。解答群のうち，最も適切なものを選べ。
- ア Dさんのスマホを物理的に入手しフォレンジックすることによって特定する。
- イ GCメッセージから特定する。
- ウ 辞書攻撃を行うことによって特定する。
- エ 他のサービスから流出したパスワードのリストから特定する。
問問2 設問3
設問３ 本⽂中の下線⑥～⑧について，“詳細調査の間の D さんの業務への影響”，“詳細調査への影響”及び“詳細調査への影響なしに D さんの業務への影響を軽減する策”を，次の (i)～(x) の中から一つずつ挙げた組合せはどれか。解答群のうち，最も適切なものを選べ。 ［詳細調査の間の D さんの業務への影響］ (i) D さんが NPC を業務に利用できない。 (ii) D さんが URL-P にアクセスできない。 (iii) D さんが配送業者からの連絡を受け取ることができない。 ［詳細調査への影響］ (iv) D さんが参加している GC のメッセージが消去され，内容を追跡できない。 (v) NPC-D 内に保存されているデータが消去されてしまい，調査できない。 (vi) NPC-D の OS の設定変更が発生してしまい，V サービスに D さんのアカウントでログインしても，内容を調査できない。 ［詳細調査への影響なしに D さんの業務への影響を軽減する策］ (vii) D さんが業務で利用しているファイルを，詳細調査の対象から外す。 (viii) D さんに，新たに NPC を手配し，詳細調査の間は追加で貸与する。 (ix) D さんの業務終了後の時間帯に詳細調査を行う。 (x) NPC-D に保存されているファイルを全てバックアップし，バックアップファイルを詳細調査する。
- ア (i)，(v)，(vii)
- イ (i)，(v)，(viii)
- ウ (i)，(v)，(ix)
- エ (i)，(vi)，(ix)
- オ (ii)，(iv)，(ix)
- カ (ii)，(v)，(viii)
- キ (ii)，(v)，(x)
- ク (ii)，(vi)，(vii)
- ケ (iii)，(iv)，(viii)
- コ (iii)，(v)，(x)
問問2 設問4（1） c
対象の解答欄：c (1) 表４中の c に入れる字句はどれか。解答群のうち，最も適切なものを選べ。
- ア VPN サーバ，プロキシサーバ及びスマホに，悪意のあるサイトの IP アドレスを基にサイトへの接続を遮断する機能をもつセキュリティ対策ソフトを追加導入する
- イ Vサービスに対して，P社が指定する監査法人による監査を毎年実施するよう要求し，実施しない場合は，Vサービスの利用を停止する
- ウ Vサービスの代わりに，これまでフィッシング対策協議会の緊急情報にフィッシングメールが報告されたことがない別のチャットサービスを利用し，緊急情報を毎日確認する
- エ 従業員が Web ブラウザから V サービスにアクセスするときは，必ずブックマークからアクセスする
- オ フィッシングサイトにアクセスしたときに，それが確実に記録されるように，NPC 又は DPC からだけ V サービスを利用する
問問2 設問4（2） d
対象の解答欄：d (2) 本文中の d に入れる字句はどれか。解答群のうち，最も適切なものを選べ。
- ア P社内でフィッシング対策についての従業員研修を行い，研修を終えた従業員は，V認証機能を無効のままにできるよう V サービス利用ルールを更新する
- イ R営業所の全従業員について V 認証機能及び V 省略機能を有効にする
- ウ R営業所の全従業員について V 認証機能を有効にし，V サービスのパスワードの長さを 32 文字以上に設定した従業員だけ，V 省略機能を有効にする
- エ V サービスのパスワードを 30 日ごとに変更するよう V サービス利用ルールに定め，V 認証機能を有効にしない
- オ V サービス利用ルールを満たしたパスワードを利用しているか，ツールによって確認し，満たしている従業員は，V 認証機能を無効にする
問問3 設問1（1） a
対象の解答欄：a (1) 本文中の a に入れる字句はどれか。解答群のうち，最も適切なものを選べ。
- ア DKIM
- イ DomainKeys
- ウ HTTP over TLS
- エ IMAP over TLS
- オ POP3 over TLS
- カ SMTP over TLS
問問3 設問1（2）
(2) 本文中の下線①について，情報セキュリティ上のどのような効果が期待できるか。次の (i) ～ (vi) のうち，期待できるものだけを全て挙げた組合せを，解答群の中から選べ。 (i) NDB の DBMS の脆弱性を修正し，インターネットからの不正なアクセスによる情報漏えいのリスクを低減する効果 (ii) NDB を格納している記憶媒体が不正に持ち出された場合に X 情報が読まれるリスクを低減する効果 (iii) N 社のうちの US 部以外の従業員が NDB に不正にアクセスすることによって X 情報が漏えいするリスクを低減する効果 (iv) X 情報へのアクセスが許可された US 部の従業員が NDB を誤って操作することによって X 情報を変更するリスクを低減する効果 (v) 攻撃者によって NDB に仕込まれたマルウェアを駆除する効果 (vi) 攻撃者によって NDB に仕込まれたマルウェアを検知する効果
- ア (i)，(ii)
- イ (i)，(ii)，(iii)
- ウ (i)，(v)
- エ (ii)，(iii)
- オ (ii)，(v)
- カ (iii)，(iv)
- キ (iii)，(vi)
- ク (iv)，(v)
- ケ (iv)，(v)，(vi)
問問3 設問2
対象の解答欄：b 本文中のbに入れる字句はどれか。解答群のうち、最も適切なものを選べ。
- ア X業務に従事しないY-CS部の従業員によるX情報の不正な持出しリスクを低減
- イ X業務に従事するY-CS部の従業員によるX情報の不正な持出しリスクをN社に移転
- ウ X業務に従事するY-CS部の従業員によるX情報の不正な持出しリスクを回避
- エ システム管理部の従業員によるX情報の不正な持出しリスクを回避
問問3 設問3（1） c
対象の解答欄：c 表４中の c に入れる字句はどれか。解答群のうち，最も適切なものを選べ。
- ア F課長
- イ T部長
- ウ X業務に従事するY-CS部の２名の一般従業員
- エ X業務に従事するY-CS部の２名の主任
- オ X業務に従事するY-CS部のパートタイマ
問問3 設問3（2） d・e
対象の解答欄：d・e 表４中の d，e に入れる評価根拠として適切なものを，解答群の中から選べ。
- ア Y-CS部の従業員が３階の業務エリアに入室できる。
- イ Y-CS部のパートタイマが５階の業務エリアに入室できる。
- ウ 営業部の従業員が３階の業務エリアに入室できる。
- エ システム管理部の従業員が５階の業務エリアに入室できる。
- オ 退職者の一部が３階の業務エリアに入室できる。
- カ 元Y-CS部の従業員が，他部門に異動した後も，３階の業務エリアに入室できる。
問問3 設問3（3）
表４中の下線②は，どのような情報セキュリティリスクが残留していると考えたものか。次の(i)～(v)のうち，残留している情報セキュリティリスクだけを全て挙げた組合せを，解答群の中から選べ。 (i) X業務に従事する従業員が，攻撃者からのメールを複合機からのものと信じてメールの本文中にあるURLをクリックし，フィッシングサイトに誘導される。 (ii) X業務に従事する従業員が，攻撃者からのメールを複合機からのものと信じて添付ファイルを開き，マルウェア感染する。 (iii) X業務の中で，複合機から送信されるメールが攻撃者宛に送信される。 (iv) 攻撃者が，複合機から送信されるメールの本文及び添付ファイルを改ざんする。 (v) 攻撃者が，複合機から送信されるメールを盗聴する。
- ア (i)，(ii)
- イ (i)，(ii)，(iii)
- ウ (i)，(iii)，(iv)
- エ (ii)，(iii)
- オ (ii)，(iii)，(iv)
- カ (ii)，(iv)，(v)
- キ (iii)，(iv)
- ク (iii)，(iv)，(v)
- ケ (iv)，(v)
問問3 設問3（4）
表４中の項番14について，Y社が追加の対策をとり，要求事項を満たすことによってどのような情報セキュリティリスクが低減できるか。次の(i)～(iv)のうち，適切なものだけを全て挙げた組合せを，解答群の中から選べ。 (i) Y-PC内のデータを外部記憶媒体に保存して持ち出される。 (ii) Y-PC内のデータを複合機でプリントして持ち出される。 (iii) Y社で許可していないアプリケーションソフトウェアが保存されているUSBメモリをY-PCに接続されて，Y-PCに当該ソフトウェアが導入される。 (iv) マルウェア付きのファイルが保存されているUSBメモリをY-PCに接続されて，Y-PCがマルウェア感染する。
- ア (i)
- イ (i)，(ii)，(iv)
- ウ (i)，(iii)
- エ (i)，(iv)
- オ (ii)
- カ (ii)，(iii)
- キ (ii)，(iii)，(iv)
- ク (iii)
- ケ (iii)，(iv)
- コ (iv)
問問3 設問4（1）
本文中の下線③について，表４中の項番５の要求事項への有効な対応案はどれか。解答群のうち，最も有効なものを選べ。
- ア Nサービスのアクセス制御の設定機能でX社及びY社以外からのアクセスを禁止する。
- イ Nサービスの監査ログを監視し，3階の業務エリア以外からのアクセスを検知する。
- ウ Nサービスの顧客情報の操作権限の設定機能で，X情報の閲覧だけ許可する。
- エ VPNサーバのVPN制御機能を使用して，ノートPCからNサービスへのアクセスを禁止する。
- オ Y-CS部の管理職は，Nサービスへのアクセスを禁止する。
- カ プロキシサーバのプロキシ制御機能を使用して，Nサービスへのアクセスを禁止する。
問問3 設問4（2）
本文中の下線③について，表４中の項番１８の要求事項への有効な対応案としてどのようなものがあるか。次の(i)～(v)のうち，有効なものだけを全て挙げた組合せを，解答群の中から選べ。 (i) Nサービスにログインできる従業員のデスクトップPCからWebブラウザを削除し，導入が必要な場合にだけ，システム管理部に申請する。 (ii) Nサービスにログインできる従業員は，デスクトップPCは使用せずに，ノートPCだけを使用してX業務を実施する。 (iii) Nサービスにログインできる従業員を対象に，プロキシサーバの利用者認証機能を使用し，プロキシログを監視する旨を通知する。 (iv) デスクトップPCからはNサービスだけにアクセスすることを社内ルールに明記し，Nサービスにログインできる従業員を対象に，通知する。 (v) プロキシサーバのプロキシ制御機能を使用して，Nサービス以外へのアクセスを禁止する。
- ア (i)
- イ (i)，(v)
- ウ (ii)
- エ (ii)，(iii)
- オ (ii)，(v)
- カ (iii)
- キ (iii)，(iv)
- ク (iv)
- ケ (iv)，(v)
- コ (v)
出典
各問題の下に出典を記載しています。