情報処理安全確保支援士 2011年 春期 午後1 問02

解答の論理構成

1. 図1の(2)には「旧バージョンのライセンス保持者だけに許諾される○○ライセンス」が登場します。旧バージョン所有者が新バージョンを安価に入手できる仕組みは“アップグレードライセンス”が定番であり、他に該当する一般名称はありません。したがって
   　→ a＝「アップグレード」
2. 図1の(3)では、ライセンス契約違反を犯した場合「正規のライセンス料のほかに○○金や訴訟費用を請求される」旨が示されています。違反によって発生した損害を回復させる金銭は“損害賠償金”が法的用語として最適です。
   　→ b＝「損害賠償」
3. 同じく図1の(3)の後半に「海賊版の使用、許諾ライセンス数を超えるインストールなどが○○法に違反すると指摘された事例」という説明があります。海賊版使用や不正コピーを規制する根拠法は“著作権法”です。
   　→ c＝「著作権」

誤りやすいポイント

• aで「アップデート」と解答してしまう
  “アップデート”は無償・有償を問わず小規模な修正を意味し、旧版所持を条件とした優待販売のライセンス形態とは異なります。
• bを「違約金」とする
  違約金は契約であらかじめ定める金銭。著作権侵害の民事責任として請求されるのは通常“損害賠償金”です。
• cに「不正コピー防止法」など架空・限定的な法を挙げる
  ソフトウェアの複製権・公衆送信権などを定め、侵害を禁じる一般法は“著作権法”です。

FAQ

解答の論理構成

1. まず部門別の調査結果
   引用: 「各部門で使用実態に比べて十分な数のライセンスを保有していることが確認できた。」
   → 各部門“単独”では不足がないと判断できる。
2. しかし部門間のバラつき
   引用: 「ソフトウェアの使用数に比べて保有ライセンス数がかなり多い部門も存在していた。」
   → 余剰ライセンスが発生している部門がある。
3. 他部門の需要とのギャップ
   引用: 「このようなライセンスの中には、他部門が購入を予定しているものも含まれていた。」
   → 余剰を抱える部門と追加購入を予定する部門が同時に存在する。
4. 全社集計の効果
   個別部門では見えない「余剰ライセンスを他部門に回せる可能性」が全社レベルで初めて可視化される。
   したがって設問の答えは「遊休ライセンスを全社で有効利用する可能性」となる。

誤りやすいポイント

• 「不足を把握できる」と答えてしまう
  → 各部門でも不足は分かるので設問条件に合わない。
• 「ライセンス契約違反の有無」と答える
  → 調査対象外のOSやサーバソフトは含まれておらず論点が異なる。
• 余剰の存在だけを書き、「有効利用」という観点を落とす
  → 設問は“把握できること”を問うため、利活用の視点まで触れる必要がある。

FAQ

解答の論理構成

1. 本文では、対象ソフトウェアについて「①インストール情報が記録されないソフトウェアがある」と指摘しています。
2. 一方、管理ツールの「実行情報収集機能」は「PC上でソフトウェアが実行されたときに、PCのOSが採取した実行情報を収集し、PCごとの収集実行情報として管理サーバ上に保存する。」と明記されています。
3. さらに「ソフトウェア比較機能」は「収集インストール情報又は収集実行情報が、それまでになかった新しい情報の場合には、ライセンス未登録とマーク」します。
4. したがって、インストール情報が存在しないソフトウェアであっても、実行時に取得される実行情報が管理サーバに送られ、比較機能で“新しい情報”として検出・マーキングされるため、管理ツールは当該ソフトウェアを把握できます。
5. 以上より、模範解答「インストール情報が存在しなくても、実行情報は存在するから」となります。

誤りやすいポイント

• 「インストール情報を拾えない＝検出不可能」と早合点し、実行情報の存在を忘れる。
• ソフトウェア比較機能が“両方”の情報を対象にしている点を読み落とす。
• 実行情報は OS が自動で採取するログであり、ユーザが改ざんしにくいことを意識しない。

FAQ

解答の論理構成

1. 原因の把握
   • 問題文に「そのウイルスは、PC用のあるソフトウェアの脆弱性を悪用して感染するもので、そのソフトウェアに特定のセキュリティパッチを適用すれば感染しない」とあります。
2. 情報の取得手段
   • さらに「T部長が管理ツールの機能を確認したところ、表1中の機能で、該当するセキュリティパッチの適用状況を把握できることが判明した」と述べられ、パッチ適用有無を確認できる機能があると明記されています。
   • 表1の「インストール情報収集機能」は「PC上のソフトウェアのインストール情報を定期的に収集」すると説明されています。インストール情報にはバージョンやパッチ適用状況も含まれるため、ここから必要なデータを取り出せます。
3. 対策の具体化
   • 収集したインストール情報を基に「特定のセキュリティパッチが含まれていないPC」を抽出すれば、未適用端末だけを素早く特定できます。
4. 期待される効果
   • 抽出結果を使い、該当PCにパッチを適用すれば「C社では、管理ツールの機能を活用して、このウイルスの感染を未然に防ぐことができた」と示すように被害を回避できます。
5. 以上より模範解答の「インストール情報に、特定のセキュリティパッチが含まれていないPCを抽出する。」が導かれます。

誤りやすいポイント

• 「実行情報収集機能」を選んでしまう
  実行情報はソフトウェアが“起動された”記録であり、インストール済みか・パッチがあるかを直接示しません。
• 「ソフトウェア比較機能」で自動的にパッチ判定できると誤解
  比較機能は“ライセンス未登録”を検知するのが主目的で、パッチ有無の判定そのものはインストール情報で行います。
• 抽出後の“対処”まで書いてしまう
  設問は「どのように活用したのか」を問うため、抽出の行為を示せば十分です。

FAQ

解答の論理構成

• 問題文は、管理ツールが「インストール情報の一部として、ソフトウェアのバージョン（セキュリティパッチの情報を含む）を管理する機能」があると明示しています。
• さらに「開発元のセキュリティパッチ提供が終了したソフトウェアの利用が問題になっている」という記述から、パッチ提供が終わったソフトウェアは新たな脆弱性が修正されず放置されるリスクがあると読み取れます。
• つまり、該当ソフトウェアを抽出できれば、利用停止や置換・隔離などの措置を講じることで「脆弱性が放置されたままになる状態」を避けられます。
• したがって「脆弱性が発見されても対処する手段がない、という状況を回避することができる。」という結論になります。

誤りやすいポイント

• 「抽出＝即アンインストール」と早合点し、目的を“削除作業の省力化”と書く。実際の意義は“未対処脆弱性を抱えたままにしない”ことです。
• 「パッチ提供終了＝サポート終了」と表現し、パッチ有無よりサポートの有無を強調し過ぎる。設問はパッチ適用可否を軸としています。
• 単に「不正コピー防止」といったライセンス管理面の意義を書いてしまう。ここでは情報セキュリティ上の脆弱性対策が問われています。

FAQ

解答の論理構成

• 【問題文】では、②異動後の部門にPCを持っていく場合にPC上と管理ツール上でそれぞれ更に実施すべきことがあると指摘しています。
• 直前の手順では
  「PCを異動後の部門に持っていく場合には、使用ライセンス登録機能で、使用ライセンス情報の利用者所属部門を更新するとともに、業務内容の変更に伴って新たに必要となるソフトウェアがあればPCにインストールし、使用ライセンス登録機能で使用ライセンス情報に追加登録する。」
  と、追加インストールとライセンス登録“だけ”が述べられています。
• ところが異動後の業務では、以前の部門で使っていたソフトウェアが不要になる場合があります。そのまま残すと
  ① 不要ライセンスが占有され他部門が利用できない
  ② 脆弱性が放置されセキュリティリスクとなる
  ③ ライセンス数超過の温床になる
  という問題が起こります。
• したがって②の「更に実施すべきこと」として、PC側では「異動に伴い不要になったソフトウェアを削除する」ことが妥当になります。

誤りやすいポイント

• 「管理ツール上」の追加手順（ライセンス返却）と混同し、PC側では何もしないと誤判断する。
• 「不要ソフトの利用停止」だけを答え、具体的な作業（削除・アンインストール）を書かない。
• 管理ツールの機能名を入れた長い文章にし、趣旨がぼやけてしまう。

FAQ

解答の論理構成

1. 問題文は、現状として「管理ツール利用者が自分自身で利用するソフトウェアであっても保有ライセンス情報を登録できる」と述べています。
2. その結果、「保有ライセンス情報を不正に登録されると、ライセンス管理がうまく機能しないおそれ」が発生します。
3. T部長は対策として、「管理ツール利用者は、自分自身が利用するソフトウェアの保有ライセンス情報を登録できないようにする運用方針」を提案しました。
4. これにより、ライセンスを実際に使う人と、そのライセンスを登録する人が分離されます。
5. 登録者は利用実態を確認しながら登録し、利用者は登録内容を確認できます。両者が互いに監視する形になり、不正登録の抑止力が働きます。
6. したがって理由は「ライセンスの利用者と登録者の間で相互けん制が働くから」となります。

誤りやすいポイント

• 「登録操作を禁止＝不正がゼロになる」と短絡し、相互チェックという本質を見落とす。
• アクセス制御やログ監査など技術的施策に話を広げ、設問が問う“運用方針の狙い”から逸脱する。
• “けん制”を“監視”や“承認”とだけ説明し、両者が対等に抑止する仕組みを示さない。

FAQ