平成29年春期 情報セキュリティマネジメント試験 | 解答一覧

1. ISMSの有効性に寄与するよう人々を指揮し，支援する。

2. ISMSを組織の他のプロセスと分けて運営する。

3. 情報セキュリティ方針に従う。

4. 情報セキュリティリスク対応計画を策定する。

ISMSの有効性に寄与するよう人々を指揮し，支援する。

1. 自社が提供する商品及びサービスの個人利用者が行うセキュリティ対策

2. 自社に出資している株主が行うセキュリティ対策

3. 自社のサプライチェーンのビジネスパートナが行うセキュリティ対策

4. 自社の事業所近隣の地域社会が行うセキュリティ対策

自社のサプライチェーンのビジネスパートナが行うセキュリティ対策

1. CSIRTマテリアル

2. ISMSユーザーズガイド

3. 証拠保全ガイドライン

4. 組織における内部不正防止ガイドライン

CSIRTマテリアル

1. 業務の継続性を維持するために必要な人員計画と交代要員の要求スキルを示す指標

2. 災害発生時からどのくらいの時間以内にシステムを再稼働しなければならないかを示す指標

3. 災害発生時に業務を代替する遠隔地のシステム環境と，通常稼働しているシステム環境との設備投資の比率を示す指標

4. システムが再稼働したときに，災害発生前のどの時点の状態までデータを復旧しなければならないかを示す指標

システムが再稼働したときに，災害発生前のどの時点の状態までデータを復旧しなければならないかを示す指標

1. リスクマネジメントは，静的であり，変化が生じたときに終了する。

2. リスクマネジメントは，組織に合わせて作られる。

3. リスクマネジメントは，組織の主要なプロセスから分離した単独の活動である。

4. リスクマネジメントは，リスクが顕在化した場合を対象とする。

リスクマネジメントは，組織に合わせて作られる。

スポンサー

1. リスク特定→リスク対応→リスク分析→リスク評価

2. リスク特定→リスク分析→リスク評価→リスク対応

3. リスク評価→リスク特定→リスク分析→リスク対応

4. リスク評価→リスク分析→リスク特定→リスク対応

リスク特定→リスク分析→リスク評価→リスク対応

1. 脅威によって付け込まれる可能性のある，資産又は管理策の弱点

2. 結果とその起こりやすさの組合せとして表現される，リスクの大きさ

3. 対応すべきリスクに付与する優先順位

4. リスクの重大性を評価するために目安とする条件

結果とその起こりやすさの組合せとして表現される，リスクの大きさ

1. 情報セキュリティインシデント管理を一元化するために，委託契約継続可否及び再発防止策の決定をB社に任せた。

2. 情報セキュリティインシデントに迅速に対応するためにサービスレベル合意書(SLA)に緊急時のセキュリティ手続を記載せず，B社の裁量に任せた。

3. 情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために，あらかじめ定めた連絡経路に従ってB社から連絡した。

4. 迅速に対応するために，特定の情報セキュリティインシデントの一次対応においては，事前に定めた対応手順よりも，経験豊かなB社担当者の判断を優先した。

情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために，あらかじめ定めた連絡経路に従ってB社から連絡した。

1. 暗号化通信を行う前に，データの伝送速度や，暗号の設定情報などを交換すること

2. 考案された当時は容易に解読できなかった暗号アルゴリズムが，コンピュータの性能の飛躍的な向上などによって，解読されやすい状態になること

3. 自身が保有する鍵を使って，暗号化されたデータから元のデータを復元すること

4. 元のデータから一定の計算手順に従って疑似乱数を求め，元のデータをその疑似乱数に置き換えること

考案された当時は容易に解読できなかった暗号アルゴリズムが，コンピュータの性能の飛躍的な向上などによって，解読されやすい状態になること

1. 公式の記録において使われる全世界共通の日時情報を，暗号化通信を用いて安全に表示するWebサービス

2. 指紋，声紋，静脈パターン，網膜，虹彩などの生体情報を，認証システムに登録した日時を用いて認証するサービス

3. 電子データが，ある日時に確かに存在していたこと，及びその日時以降に改ざんされていないことを証明するサービス

4. ネットワーク上のPCやサーバの時計を合わせるための日時情報を途中で改ざんされないように通知するサービス

電子データが，ある日時に確かに存在していたこと，及びその日時以降に改ざんされていないことを証明するサービス

スポンサー

1. 情報セキュリティ適用宣言書

2. 情報セキュリティ内部監査結果

3. 情報セキュリティ方針

4. 情報セキュリティリスク対応計画

情報セキュリティ方針

1. 工業製品などに関する技術上の評価や製品事故に関する事故情報及び品質情報

2. 国家や重要インフラに影響を及ぼすような情報セキュリティ事件・事故とその対応情報

3. ソフトウェアなどの脆弱性関連情報や対策情報

4. 日本国内で発生した情報セキュリティインシデントの相談窓口に関する情報

ソフトウェアなどの脆弱性関連情報や対策情報

1. 管理下のネットワーク内への不正侵入の試みを検知し，管理者に通知する。

2. 実際にネットワークを介してWebサイトを攻撃し，不正に侵入できるかどうかを検査する。

3. ネットワークからの攻撃が防御できないときの損害の大きさを判定する。

4. ネットワークに接続されたサーバ上に格納されているファイルが改ざんされたかどうかを判定する。

管理下のネットワーク内への不正侵入の試みを検知し，管理者に通知する。

1. アクセスログの定期的な確認と解析

2. ウイルス対策ソフトの導入

3. 重要なデータのバックアップ

4. ノートPCのHDD暗号化

アクセスログの定期的な確認と解析

1. あらかじめ設定した運用基準に従って，メールサーバを通過する送受信メールをフィルタリングすること

2. 外部からの攻撃や不正なアクセスからサーバを防御すること

3. 磁気ディスクなどの書換え可能な記憶媒体を廃棄する前に，単に初期化するだけではデータを復元できる可能性があるので，任意のデータ列で上書きすること

4. 不正アクセスなどコンピュータに関する犯罪に対して法的な証拠性を確保できるように，原因究明に必要な情報の保全，収集，分析をすること

不正アクセスなどコンピュータに関する犯罪に対して法的な証拠性を確保できるように，原因究明に必要な情報の保全，収集，分析をすること

スポンサー

1.

2.

3.

4.

1. WebサーバとDBサーバをDMZに設置する。

2. WebサーバとDBサーバを内部ネットワークに設置する。

3. WebサーバをDMZに，DBサーバを内部ネットワークに設置する。

4. Webサーバを外部セグメントに，DBサーバをDMZに設置する。

WebサーバをDMZに，DBサーバを内部ネットワークに設置する。

1. クライアント証明書，ハードウェアトークン

2. 静脈認証，指紋認証

3. パスワード認証，静脈認証

4. パスワード認証，秘密の質問の答え

パスワード認証，静脈認証

1. 受信者が，受信した暗号文を送信者の公開鍵で復号することによって，送信者の購入しようとした商品名が間違いなく明記されていることを確認する。

2. 受信者が，受信した暗号文を送信者の公開鍵で復号することによって，メッセージの盗聴を検知する。

3. 受信者が，受信したディジタル署名を検証することによって，メッセージがその送信者からのものであることを確認する。

4. 送信者が，メッセージに送信者のディジタル証明書を添付することによって，メッセージの盗聴を防止する。

受信者が，受信したディジタル署名を検証することによって，メッセージがその送信者からのものであることを確認する。

1. 同じメッセージダイジェストを出力する二つの異なるメッセージは容易に求められる。

2. メッセージが異なっていても，メッセージダイジェストは全て同じである。

3. メッセージダイジェストからメッセージを復元することは困難である。

4. メッセージダイジェストの長さはメッセージの長さによって異なる。

メッセージダイジェストからメッセージを復元することは困難である。

スポンサー

1. オフィスから廃棄された紙ごみを，清掃員を装って収集して，企業や組織に関する重要情報を盗み出す。

2. キー入力を記録するソフトウェアを，不特定多数が利用するPCで動作させて，利用者IDやパスワードを窃取する。

3. 日本人の名前や日本語の単語が登録された辞書を用意して，プログラムによってパスワードを解読する。

4. 利用者IDとパスワードの対応リストを用いて，プログラムによってWebサイトへのログインを自動的かつ連続的に試みる。

オフィスから廃棄された紙ごみを，清掃員を装って収集して，企業や組織に関する重要情報を盗み出す。

1.

2.

3.

4.

1. 攻撃者が，Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，管理者の意図していないSQL文を実行させる。

2. 攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。

3. 攻撃者が，利用者をWebサイトに誘導した上で，WebアプリケーションによるHTML出力のエスケープ処理の欠陥を悪用し，利用者のWebブラウザで悪意のあるスクリプトを実行させる。

4. セッションIDによってセッションが管理されるとき，攻撃者がログイン中の利用者のセッションIDを不正に取得し，その利用者になりすましてサーバにアクセスする。

攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。

1.

2.

3.

4.

1. CA

2. CP

3. CPS

4. CRL

CRL

スポンサー