平成30年秋の情報セキュリティマネジメント試験―公開問題と解説

答えと解説

答え　【ア】

CSIRTマテリアル

CSIRTマテリアルは、組織的なインシデント対応体制の構築や運用を支援する目的でJPCERT/CCが作成したものです。

もっと知識を深めるための参考

• 情報セキュリティ組織・機関

  不正アクセスによる被害受付の対応、再発防止のための提言、セキュリティに関する啓発活動などを行うセキュリティ機関があります。 jvn、cryptrec暗号リスト、サイバー情報共有イニシアティブなど情報セキュリティ組織・機関についてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【エ】

トップマネジメント

JIS Q 27000:2014（情報セキュリティマネジメントシステム―用語）における、 トップマネジメントは、組織を指揮し、管理する人々の集まりとして複数名で構成されていてもよいです。

もっと知識を深めるための参考

• 情報セキュリティマネジメントシステム（ISMS）

  ISMSは、組織体における情報セキュリティ管理の水準を高め、維持し、改善していく仕組みです。 ISMSの読み方や基本方針など、ISMSとはどのようなものかまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ア】

ゼロデイ攻撃

ソフトウェアの脆弱性への対策が公開される前に、脆弱性を悪用する攻撃のことをゼロデイ攻撃といいます。 脆弱性に対してセキュリティパッチが提供される前に当該脆弱性を悪用して攻撃します。

もっと知識を深めるための参考

• ゼロデイ攻撃

  ゼロデイ脆弱性の意味など、ゼロデイ攻撃とは何かをテーマに情報をまとめています。

• 攻撃手法

  情報システムへの外部からの不正な行為や手法など、サイバー攻撃の種類と対策知識をまとめています。またサイバー攻撃の被害額、被害件数、被害事例をまとめた公共機関の資料のリンクもまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【エ】

ボットネットにおけるC＆Cサーバの役割

ボットネットにおけるC＆Cサーバは、侵入して乗っ取ったコンピュータに対して、 他のコンピュータへの攻撃などの不正な操作をするよう、外部から命令を出したり応答を受け取ったりします。

もっと知識を深めるための参考

• ボット

  ボットの意味やボットによる買い占め、ボットネットでのC＆Cサーバの役割などボットとは何か解説しています。

• マルウェア・不正プログラム

  マルウェア・不正プログラムとはどのようなものかをテーマに、マルウェアの挙動やランサムウェア、ボット、mirai、pentyaなどの種類についてまとめています。

• 脅威

  情報セキュリティを考えるうえで、まずは、どのような脅威があるか理解しておく必要があります。 脅威の種類、マルウェアとコンピュータウイルスの種類を見ていきます。 またPCやスマホの感染時の駆除方法も補足していきます。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ア】

Wanna Cryptor（WannaCry）

Wanna Cryptor（WannaCry）は、SMBv1の脆弱性を悪用するなどして感染し、 PC内のデータを暗号化してデータの復号のための金銭を要求したり、他のPCに感染を拡大したりするマルウェア（ワーム型ランサムウェア）です。

もっと知識を深めるための参考

• ランサムウェア

  ランサムウェアとは、PC内のファイルを暗号化して使用不能にし、復号するためのキーと引換えに金品を要求するソフトウェアです。 Wannacry（読み方：ワナクライ）など、ランサムウェアとはどのようなものかわかりやすく解説をまとめています。

• マルウェア・不正プログラム

  マルウェア・不正プログラムとはどのようなものかをテーマに、マルウェアの挙動やランサムウェア、ボット、mirai、pentyaなどの種類についてまとめています。

• 脅威

  情報セキュリティを考えるうえで、まずは、どのような脅威があるか理解しておく必要があります。 脅威の種類、マルウェアとコンピュータウイルスの種類を見ていきます。 またPCやスマホの感染時の駆除方法も補足していきます。

• セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ア】

シャドーIT

シャドーITは、業務への利用には、会社の情報システム部門の許可が本来は必要であるのに、 その許可を得ずに勝手に利用されるデバイスやクラウドサービス、 ソフトウェアを指す用語です。

もっと知識を深めるための参考

• 脆弱性

  脆弱性とは、もろくて弱い性質や性格を意味する言葉です。読み方は「ぜいじゃくせい」、英訳は「vulnerability」です。 特に情報セキュリティでよく使われる言葉です。 情報セキュリティにおける脆弱性の意味、種類についてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

APT

APTは、攻撃者が特定の目的をもち、標的となる組織の防御策に応じて複数の攻撃方法を組み合わせ、 気づかれないよう執拗に攻撃を繰り返す攻撃です。

もっと知識を深めるための参考

• 標的型攻撃

  標的型攻撃とは、特定の組織や団体などをターゲットとして、その取引先や関係者、公的機関などをだましてマルウェアや不正なリンクが埋め込まれたメールを送信することで相手をだまし、情報を盗もうとする攻撃です。

• 攻撃手法

  情報システムへの外部からの不正な行為や手法など、サイバー攻撃の種類と対策知識をまとめています。 またサイバー攻撃の被害額、被害件数、被害事例をまとめた公共機関の資料のリンクもまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

TLSの手順

PCからWebサーバへのTLSを用いたアクセスにおいて、 該当PCがサーバ証明書を入手した後に、認証局の公開鍵を利用してサーバ証明書の正当性を、認証局の公開鍵を使って検証します。

もっと知識を深めるための参考

• セキュアプロトコル

  IPSec、SSL／TLS、SSHなど通信データの盗聴、不正接続を防ぐセキュアプロトコルについてまとめています。 IPSecのトンネルモードやTLSハンドシェイクなどの情報も補足しています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

EDoS攻撃

EDoS（Economic Denial of Service、又はEconomic Denial of Sustainability）攻撃は、 クラウドサービス利用者の経済的な損失を目的に、リソースを大量消費させる攻撃です。

もっと知識を深めるための参考

• DoS攻撃

  DRDoSなど攻撃の種類とそれぞれの対策についての情報など、サイバー攻撃の種類の一つDoS攻撃についての情報をまとめています。

• 攻撃手法

  情報システムへの外部からの不正な行為や手法など、サイバー攻撃の種類と対策知識をまとめています。 またサイバー攻撃の被害額、被害件数、被害事例をまとめた公共機関の資料のリンクもまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

ステガノグラフィ

ステガノグラフィは、伝えたいメッセージを画像データなどのコンテンツに埋め込み、 埋め込んだメッセージの存在を秘匿する技術です。

もっと知識を深めるための参考

• 情報セキュリティ対策

  情報セキュリティ対策（英語でInformation security measures）は、人的、技術的、物理的セキュリティの側面から対策が必要です。 ビヘイビア検出ソフトも含め、各種セキュリティ対策の概要を把握する一覧としてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

デジタル署名の目的

デジタル署名の目的は、次の2つがあります。

1. 受信者がメッセージの発信者を確認すること
2. 署名が行われた後で、メッセージが改ざんされていないか確認すること

もっと知識を深めるための参考

• 認証技術

  XMLデジタル署名、メッセージ認証符号、チャレンジレスポンス認証方式など、 認証の種類、仕組み、特徴、脅威を防止するためにどのような認証技術が用いられるか、 認証技術が何を証明するかなど、認証技術についてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

AES

AESとは、Advanced Encryption Standardの略、共通鍵暗号方式の１つでブロック暗号方式です。 DESの後継となる米国政府の標準暗号方式です。 ブロック長は128ビットで、使用する鍵の長さは128/192/256ビットの中から選択できます。

データベースで管理されるデータの暗号化に用いることができ、 共通鍵暗号方式なので暗号化と復号とで同じ鍵を使用する暗号方式です。

もっと知識を深めるための参考

• 共通鍵暗号方式

  共通鍵暗号方式とは、英語でCommon key cryptosystem。暗号化と復号に同じ鍵を用いる方法です。 共通鍵暗号方式の特徴と、ブロック暗号のDES、AES、ストリーム暗号のKCipher-2などの代表的な暗号の例についてまとめています。

• 暗号技術

  脅威を防止するために用いられる暗号技術の活用、暗号化の種類、代表的な暗号方式の仕組み、特徴など、暗号技術についてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

CVSSの特徴

CVSSの特徴は、情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり、 特定ベンダに依存しない評価方法を提供する点です。

もっと知識を深めるための参考

• CVSS

  CVSS（ITのセキュリティ用語）は脆弱性の特徴とインパクトを採点するための共通脆弱性評価システムです。基本値（ベーススコア）などの解説をまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【エ】

SSH

SSHはリモートログインやリモートファイルコピーのセキュリティを強化したプロトコル、 及びそのプロトコルを実装したコマンドです。

もっと知識を深めるための参考

• セキュアプロトコル

  IPSec、SSL／TLS、SSHなど通信データの盗聴、不正接続を防ぐセキュアプロトコルについてまとめています。 IPSecのトンネルモードやTLSハンドシェイクなどの情報も補足しています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【イ】

WAFにおけるブラックリスト

WAFにおけるブラックリストは、問題がある通信データパターンを定義したものであり、 該当する通信を遮断します。

もっと知識を深めるための参考

• WAF

  WAFとは、読み方は「ワフ」、Web Application Firewallの略で、 Webサイトに対するアクセス内容を監視し、攻撃とみなされるパターンを検知したときに該当アクセスを遮断する製品です。 FWとの違い、防げない攻撃などまとめています。

• 情報セキュリティ対策

  情報セキュリティ対策（英語でInformation security measures）は、人的、技術的、物理的セキュリティの側面から対策が必要です。 ビヘイビア検出ソフトも含め、各種セキュリティ対策の概要を把握する一覧としてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【エ】

サイバーセキュリティ戦略本部

サイバーセキュリティ基本法において定められたサイバーセキュリティ戦略本部は内閣に置かれています。

もっと知識を深めるための参考

• 情報セキュリティ組織・機関

  不正アクセスによる被害受付の対応、再発防止のための提言、セキュリティに関する啓発活動などを行うセキュリティ機関があります。 jvn、cryptrec暗号リスト、サイバー情報共有イニシアティブなど情報セキュリティ組織・機関についてまとめています。

• 情報セキュリティ

  情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【エ】

“不正アクセス行為を助長する行為の禁止”規定によって規制される行為

不正アクセス禁止法における“不正アクセス行為を助長する行為の禁止”規定によって規制される行為は、 正当な理由なく他人の利用者IDとパスワードを第三者に提供する行為です。

もっと知識を深めるための参考

• 不正アクセス禁止法

  不正アクセス禁止法とは親告罪？規制されている行為は？など不正アクセス禁止法について解説しています。

• 法務

  ITの法務をテーマにサイバーセキュリティ基本法などITの法律、ガイドライン、標準化一覧情報をまとめています。

• ストラテジ系

  ストラテジ系の分野のサイトオリジナル教科書です。ストラテジ系の各分野の解説と情報処理の過去問をマッピングしています。

答えと解説

答え　【イ】

電子署名法

電子署名には民事訴訟法における押印と同様の効果が認められます。

もっと知識を深めるための参考

• 法務

  ITの法務をテーマにサイバーセキュリティ基本法などITの法律、ガイドライン、標準化一覧情報をまとめています。

• ストラテジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにストラテジ系の知識をまとめています。

答えと解説

答え　【エ】

Webページの著作権

特定の分野ごとにWebページのURLを収集し、 独自の解釈を付けたリンク集は、著作権法で保護されえます。

もっと知識を深めるための参考

• 著作権法

  「著作権とは創造性のある表現に対する権利で、文芸、学術、美術および音楽など著作物の複製や翻案などに排他的権利を認め、著作者の権利の保護を目的」として、著作権法が制定されました。 属他主義などの用語の意味や保護対象についてまとめています。

• 法務

  ITの法務をテーマにサイバーセキュリティ基本法などITの法律、ガイドライン、標準化一覧情報をまとめています。

• ストラテジ系

  ストラテジ系の分野のサイトオリジナル教科書です。ストラテジ系の各分野の解説と情報処理の過去問をマッピングしています。

答えと解説

答え　【ア】

ボリュームライセンス契約

ボリュームライセンス契約は、企業などソフトウェアの大量購入者向けに、 インストールできる台数をあらかじめ取り決め、マスタが提供される契約です。

もっと知識を深めるための参考

• 企業間の取引にかかわる契約

  使用許諾契約、請負契約や双務契約など 企業間の取引にかかわる契約についてまとめています。

• 法務

  ITの法務をテーマにサイバーセキュリティ基本法などITの法律、ガイドライン、標準化一覧情報をまとめています。

• ストラテジ系

  ストラテジ系の分野のサイトオリジナル教科書です。ストラテジ系の各分野の解説と情報処理の過去問をマッピングしています。

答えと解説

答え　【エ】

WBSの使用目的

ソフトウェア開発プロジェクトにおいて、 WBS（Work Breakdown Structure）を使用する目的は、 作業を階層的に詳細化して、管理可能な大きさに細分化することです。

もっと知識を深めるための参考

• プロジェクトスコープマネジメント

  ITにおけるWBSとは何かなど、プロジェクトスコープマネジメントについてまとめています。

• マネジメント系

  情報処理試験対策用のサイトオリジナル教科書をテーマにマネジメント系の知識をまとめています。

答えと解説

答え　【ウ】

フェールセーフ

フェールセーフとは、英語でfail safeといい、 システムの一部が故障しても、危険が生じないような構造や仕組みを導入する設計のこといいます。 機械やシステムが壊れたり、故障したりしても機械やシステムの振る舞いが人間に害を及ぼさないように（設計・作成）します。

たとえば、異常動作の信号を検知したときは、自動的に停止するなど、コンピュータシステムに障害が発生したとき、被害を最小限に食い止めて安全を保つ機能で、あらかじめ設定した、より安全な状態の方へシステムをダウンさせる対策をとります。 このようにフェールセーフは、故障や誤動作が発生した場合、その被害を最低限に抑え、ほかの正常な部分に影響が及ばぬよう、あらかじめ定められた安全側に働くようにして危機を回避し、全体として安全を保つようにします。

もっと知識を深めるための参考

• 信頼性設計

  システム障害の影響を最小限に抑えるフォールトトレラントなど、信頼性設計に関する考え方や手法、システムの設計観点についてまとめています。

• システムの構成

  3層クライアントサーバシステム、RAID5のパリティの説明などシステム構成についてまとめています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【ウ】

ポート番号

ポート番号は、TCPやUDPにおいてアプリケーションを識別する情報です。

もっと知識を深めるための参考

• トランスポート層のプロトコル

  TCPとUDPの役割、機能、使い分けなどトランスポート層のプロトコルについてまとめています。

• ネットワーク

  通信プロトコル、osi基本参照モデル7階層の覚え方などネットワーク関連の知識をまとめています。

• テクノロジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

答えと解説

答え　【イ】

データサイエンティストの主要な役割

データサイエンティストの主要な役割は、情報科学についての知識を有し、ビジネス課題を解決するためにビッグデータを 意味ある形で使えるように分析システムを実装・運用し、課題の解決を支援することです。

もっと知識を深めるための参考

• システム活用促進・評価

  情報リテラシーの確立、データ活用、普及啓発など、情報システム活用促進、評価についてまとめています。 情報リテラシーとはやデジタルデバイドの意味も簡単に解説しています。

• ストラテジ系

  情報処理試験対策用のサイトオリジナル教科書をテーマにストラテジ系の知識をまとめています。

答えと解説

答え　【ウ】

デジタルディバイドの解消のために取り組むべきこと

デジタルディバイドの解消のために取り組むべきことは、情報リテラシの習得機会を増やしたり、 情報通信機器や情報サービスが一層利用しやすい環境を整備したりすることです。

もっと知識を深めるための参考

• システム活用促進・評価

  情報リテラシーの確立、データ活用、普及啓発など、情報システム活用促進、評価についてまとめています。情報リテラシーとはやデジタルデバイドの意味も簡単に解説しています。

• ストラテジ系

  ストラテジ系の分野のサイトオリジナル教科書です。ストラテジ系の各分野の解説と情報処理の過去問をマッピングしています。

答えと解説

答え　【ウ】

成熟している段階では任せることが重要です。

もっと知識を深めるための参考

• 経営・組織論

  企業活動から経営管理、行動科学、コッターやレヴィンのリーダーシップ、リスクマネジメントなど経営・組織論の基礎知識をまとめています。

• ストラテジ系

  ストラテジ系の分野のサイトオリジナル教科書です。ストラテジ系の各分野の解説と情報処理の過去問をマッピングしています。