平成29年秋期 情報セキュリティマネジメント試験 | 解答一覧

1. 緊急時における最高情報セキュリティ責任者(CISO)の独断専行を防ぐために，経営者レベルの権限をもたない者をCISOに任命する。

2. サイバー攻撃が模倣されることを防ぐために，自社に対して行われた攻撃についての情報を外部に一切提供しないよう命じる。

3. サイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。

4. ビジネスパートナとの契約に当たり，ビジネスパートナに対して自社が監査を実施することやビジネスパートナのサイバーセキュリティ対策状況を自社が把握することを禁止する。

サイバーセキュリティ人材を確保するために，適切な処遇の維持，改善や適切な予算の確保を指示する。

1.

2.

3.

4.

1.

2.

3.

4.

1. 外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査，承認する。

2. 政府調達においてIT関連製品のセキュリティ機能の適切性を評価，認証する。

3. 電子政府での利用を推奨する暗号技術の安全性を評価，監視する。

4. 民間企業のサーバに対するセキュリティ攻撃を監視，検知する。

電子政府での利用を推奨する暗号技術の安全性を評価，監視する。

1. a，b，d

2. a，d

3. b，c

4. b，c，d

b，c，d

スポンサー

1. システム被害につながるリスクの発生を抑える対策に資金を投入する。

2. リスクが大きいと評価されたシステムを廃止し，新たなセキュアなシステムの構築に資金を投入する。

3. リスクが顕在化した場合のシステム被害を小さくする設備に資金を投入する。

4. リスクによってシステムが被害を受けた場合を想定して保険を掛ける。

リスクによってシステムが被害を受けた場合を想定して保険を掛ける。

1. 組織の情報セキュリティインシデントシナリオ

2. 組織の情報セキュリティのインシデント対応フロー

3. 組織の情報セキュリティのリスク基準

4. 組織の情報セキュリティリスク対応計画

組織の情報セキュリティのリスク基準

1. 監査員

2. トップマネジメント

3. 利害関係者

4. リスク所有者

リスク所有者

1. 管理策の欠如によって脅威が高まり，脆弱性の深刻度が低くなる。

2. 脅威が存在しないと判断できる場合，脆弱性に対処する必要性は低い。

3. 脅威のうち，脆弱性によってリスクが顕在化するのは環境的脅威である。

4. 脆弱性の有無にかかわらず，事故の発生確率は脅威の大きさで決まる。

脅威が存在しないと判断できる場合，脆弱性に対処する必要性は低い。

1. 継続的改善

2. 修正

3. 是正処置

4. リスクアセスメント

是正処置

スポンサー

1. ある利用者があるシステムを利用したという事実が証明可能である。

2. 認可された利用者が要求したときにアクセスが可能である。

3. 認可された利用者に対してだけ，情報を使用させる又は開示する。

4. 利用者の行動と意図した結果とが一貫性をもつ。

ある利用者があるシステムを利用したという事実が証明可能である。

1. サーバ室の空調

2. サーバの保守契約

3. 特権管理プログラム

4. ネットワーク管理者

サーバ室の空調

1. DLP

2. DMZ

3. IDS

4. IPS

DLP

1. 隔離された仮想環境でファイルを実行して，C&Cサーバへの通信などの振る舞いを監視する。

2. 様々な機器から集められたログを総合的に分析し，管理者による分析を支援する。

3. ネットワーク上の様々な通信機器を集中的に制御し，ネットワーク構成やセキュリティ設定などを動的に変更する。

4. パケットのヘッダ情報の検査だけではなく，通信が行われるアプリケーションを識別して，通信の制御を行う。

様々な機器から集められたログを総合的に分析し，管理者による分析を支援する。

1. TPMOR(Two Person Minimum Occupancy Rule)

2. アンチパスバック

3. インターロックゲート

4. パニックオープン

アンチパスバック

スポンサー

1. IT製品やITを活用して地球環境への負荷を低減する取組み

2. IT部門の公式な許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス

3. 攻撃対象者のディスプレイやキータイプを物陰から盗み見て，情報を盗み出すこと

4. ネットワーク上のコンピュータに侵入する準備として，攻撃対象の弱点を探るために個人や組織などの情報を収集すること

IT部門の公式な許可を得ずに，従業員又は部門が業務に利用しているデバイスやクラウドサービス

1. 画像などのデータの中に，秘密にしたい情報を他者に気付かれることなく埋め込む。

2. 検索エンジンの巡回ロボットにWebページの閲覧者とは異なる内容を送信し，該当Webページの検索順位が上位に来るように検索エンジンを最適化する。

3. 検査対象の製品に，JPEG画像などの問題を引き起こしそうなテストデータを送信し読み込ませて，製品の応答や挙動から脆弱性を検出する。

4. コンピュータに認識できないほどゆがんだ文字が埋め込まれた画像を送信して表示し，利用者に文字を認識させて入力させることによって，人が介在したことを確認する。

画像などのデータの中に，秘密にしたい情報を他者に気付かれることなく埋め込む。

1. パスワードに対応する利用者IDのハッシュ値を登録しておき，認証時に入力されたパスワードをハッシュ関数で変換して比較する。

2. パスワードに対応する利用者IDのハッシュ値を登録しておき，認証時に入力された利用者IDをハッシュ関数で変換して比較する。

3. パスワードをハッシュ値に変換して登録しておき，認証時に入力されたパスワードをハッシュ関数で変換して比較する。

4. パスワードをハッシュ値に変換して登録しておき，認証時に入力された利用者IDをハッシュ関数で変換して比較する。

パスワードをハッシュ値に変換して登録しておき，認証時に入力されたパスワードをハッシュ関数で変換して比較する。

1. アクセスポイントがもつDHCPサーバ機能において，参加者の端末に対して動的に割り当てるIPアドレスの範囲をセミナごとに変更する。

2. アクセスポイントがもつURLフィルタリング機能において，参加者の端末に対する条件をセミナごとに変更する。

3. アクセスポイントがもつ認証機能において，参加者の端末とアクセスポイントとの間で事前に共有する鍵をセミナごとに変更する。

4. アクセスポイントがもつプライバシセパレータ機能において，参加者の端末へのアクセス制限をセミナごとに変更する。

アクセスポイントがもつ認証機能において，参加者の端末とアクセスポイントとの間で事前に共有する鍵をセミナごとに変更する。

1. DMZに設置されているWebサーバへの侵入を外部から実際に試みる。

2. TLSによる暗号化と復号の処理をWebサーバではなく専用のハードウェアで行うことによって， WebサーバのCPU負荷を軽減するために導入する。

3. システム管理者が質問に答える形式で，自組織の情報セキュリティ対策のレベルを診断する。

4. 特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。

特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。

スポンサー

1. 遠隔操作が可能なマルウェアに，情報収集及び攻撃活動を指示する。

2. 電子商取引事業者などに，偽のディジタル証明書の発行を命令する。

3. 不正なWebコンテンツのテキスト，画像及びレイアウト情報を一元的に管理する。

4. 踏み台となる複数のサーバからの通信を制御し遮断する。

遠隔操作が可能なマルウェアに，情報収集及び攻撃活動を指示する。

1. DNSサーバのソフトウェアのバージョン情報を入手して，DNSサーバのセキュリティホールを特定する。

2. PCが参照するDNSサーバに偽のドメイン情報を注入して，利用者を偽装されたサーバに誘導する。

3. 攻撃対象のサービスを妨害するために，攻撃者がDNSサーバを踏み台に利用して再帰的な問合せを大量に行う。

4. 内部情報を入手するために，DNSサーバが保存するゾーン情報をまとめて転送させる。

PCが参照するDNSサーバに偽のドメイン情報を注入して，利用者を偽装されたサーバに誘導する。

1. AES

2. DH

3. DSA

4. RSA

RSA

1. 受信者が署名鍵を使って，暗号文を元のメッセージに戻すことができるようにする。

2. 送信者が固定文字列を付加したメッセージを署名鍵を使って暗号化することによって，受信者がメッセージの改ざん部位を特定できるようにする。

3. 送信者が署名鍵を使って署名を作成し，それをメッセージに付加することによって，受信者が送信者を確認できるようにする。

4. 送信者が署名鍵を使ってメッセージを暗号化することによって，メッセージの内容を関係者以外に分からないようにする。

送信者が署名鍵を使って署名を作成し，それをメッセージに付加することによって，受信者が送信者を確認できるようにする。

1.

2.

3.

4.

スポンサー