情報処理安全確保支援士 2011年 春期 午後2 問02

解答の論理構成

誤りやすいポイント

• 「助言型」「保証型」を英語の“advisory”“assurance”で覚えていると、空欄に英単語を入れたくなる。設問は日本語指定です。
• 「企業会計帳」を「企業台帳」と誤記しやすい。問題文は“経済産業省の～cに登録”と“登録簿”の役割をほのめかしているが、正式名称に注意します。
• 「助言型＝現状評価＋提言」「保証型＝基準適合性証明」という本質的な違いを混同し、順序を逆にして解答してしまう。

FAQ

解答の論理構成

1. 監査の原則には「独立性」があります。監査人は被監査部門やその業務に利害関係をもたないことで、公正・客観的な評価を下せます。
2. 【問題文】では、
   • G君 ：
     「いつもシステム開発をお願いしているソフトウェアハウスのY社…」
   • F主任 ：
     「①今回のような場合、Y社に監査を依頼すべきではないね」
     と記載されています。
3. Y社はK社システムの設計・開発を受託している当事者であり、監査対象システムの成果物に直接関与しています。
4. そのため、Y社が監査を実施すると「自らが開発したシステムを自ら評価する」構図となり、公平性・客観性を担保できません。
5. よって「監査の独立性を確保できない」ことが、F主任がY社への依頼を避けた理由となります。

誤りやすいポイント

• 「秘密保持」の観点と混同し、独立性ではなく情報漏えいリスクを理由にしてしまう。
• 「監査コストを抑えるため」といった経済的理由を挙げる。監査原則に基づく理由が求められています。
• Y社が“外部企業”だから独立性があると早合点する。業務委託関係がある場合は独立性を満たさないことに注意です。

FAQ

解答の論理構成

1. 問題文は、対象情報について

   “K社ではこれらの情報をdに規定された営業秘密の要件を満たすよう管理している。”
   と述べています。

2. “営業秘密の要件”を法律上で定義しているのは「不正競争防止法」です。具体的には同法第2条第6項で、 ①秘密管理性　②有用性　③非公知性
   の3要件を満たす情報を“営業秘密”と定義しています。
3. 解答群の中で“営業秘密”を直接取り扱う法令は
   オ：不正競争防止法
   だけです。
4. したがって d には “オ” が入ります。

誤りやすいポイント

• 「顧客情報」という言葉に引きずられて“イ：個人情報保護法”を選びやすいですが、問題は“営業秘密”を満たすかどうかを論点にしています。
• “営業秘密”を技術情報と誤解して“エ：特許法”を連想するケースがありますが、特許法は公開を前提とした権利保護であり非公開情報の保護ではありません。
• “ウ：著作権法”は創作物の保護、“ア：金融商品取引法”はディスクロージャやインサイダー取引規制が中心で、いずれも営業秘密の定義条項を持ちません。

FAQ

解答の論理構成

1. 監査人は「V氏は、ポリシとそれに関連する社内規程のほか、②K社の現状の情報セキュリティ対策の具体的な内容を決定する際の根拠となった文書の提示を求めた」と要求しています。
2. “現状の情報セキュリティ対策の具体的な内容”は、脅威・脆弱性・資産価値を洗い出し、リスクを評価したうえで選定されるのが一般的です。
3. 情報セキュリティマネジメント体系（ISO/IEC 27001 など）のプロセスでは、対策選定の根拠を生む作業は「リスクアセスメント（リスク分析・評価）」です。
4. よって下線②の文書は、リスクアセスメントの結果として作成されるリスク評価結果・リスク対応方針等を指すと判断できます。
5. したがって解答は「リスクアセスメント」となります。

誤りやすいポイント

• ポリシや対策基準そのものと混同し「情報セキュリティ基本方針」などと答えてしまう。これらは“根拠”ではなく“策定済みのルール”です。
• “リスク対応計画”と答えるケース。対応計画はリスクアセスメント後に作るため、根本の“作業名”としては不適切です。
• “マネジメントレビュー”や“内部監査”を連想する受験者もいますが、これらは対策の有効性を評価・是正するフェーズであり、対策選定の根拠を作るフェーズではありません。

FAQ

解答の論理構成

1. 監査計画では「DMZ上のサーバ群に対するZ社からのインターネット経由でのポートスキャン及び脆弱性スキャンの実施」と明示されています。
2. しかし現行の対策として「DMZ上のサーバ群に対する不正なパケットは、IPSによって遮断」と規定されており、そのままでは Z 社のスキャンが IPS によりブロックされてしまいます。
3. 受発注 Web システムを停止させずにスキャンを成立させるには、スキャンパケットだけを例外扱いにする必要があります。
4. そこで IPS に対し「Z社の IP アドレス」から来る通信を一時的に遮断対象外（ホワイトリスト）とする設定変更を依頼する、という結論になります。

誤りやすいポイント

• IPS 全体を無効化すると他の攻撃も通過しリスクが高まる点を見落とす。
• 設定変更を実施する装置を FW と勘違いし、ファイアウォール側で許可すると答えてしまう。
• 「遮断解除」ではなく「検知のみモード」など漠然とした表現にしてしまい、具体性が欠ける。

FAQ

解答の論理構成

1. 問題文の該当箇所を確認
   表2の説明欄に、以下の原文が示されています。
   • 「HTML出力文字列のエスケープ処理が不適切な場合、攻撃者の作成した不正なリンクによってWebサイトを閲覧した利用者のブラウザ上でスクリプトが実行される脆弱性」
   • 「利用者のブラウザによって、利用者の意図しないリクエストがWebサーバに送信され、ログイン中の利用者にだけ許可されたWebサイトの機能が勝手に実行される脆弱性」
2. 各説明が指す脆弱性を特定
   • 前者はブラウザ上で任意スクリプトが実行される典型例であり、一般に “クロスサイトスクリプティング（XSS）” と呼ばれます。
   • 後者はユーザが意図しないリクエストを強制的に送らされる攻撃で、“クロスサイトリクエストフォージェリ（CSRF）” です。
3. よって、e と f に入る用語は次のとおりです。
   • e：クロスサイトスクリプティング
   • f：クロスサイトリクエストフォージェリ

誤りやすいポイント

• 「XSS」と「CSRF」の日本語正式名を混同しがちです。略称のみで覚えていると、設問が“用語”で問う場合に漢字表記を失念しやすくなります。
• XSS の説明を「スクリプトがサーバ側で実行される」と誤解し、SQL インジェクションなどと取り違えるケースが頻発します。
• CSRF を「セッションハイジャック」と同義と誤解し、回答に「セッション固定攻撃」など別名称を書いてしまうミスが見られます。

FAQ

解答の論理構成

1. 【問題文】では、公開Webサーバに「SSL を利用していないページも存在」し、「HTTP 通信を盗聴することによってクッキーの情報を取得できる」と述べています。
2. 取得できるクッキーには「Set-Cookie ヘッダでセッション ID」が含まれており、これを盗まれると「なりすましによる不正アクセス」が発生すると指摘されています。
3. 盗聴したセッション ID を利用して利用者になりすます典型的な攻撃は「セッションハイジャック」と呼ばれます。
4. したがって、g に入る適切な字句は「セッションハイジャック」です。

誤りやすいポイント

• パスワードを盗む攻撃（フィッシング）と混同しやすい。ここでは「セッション ID」自体を盗む点が異なります。
• 「Cookie 盗聴」や「セッションフィクセーション」と誤記しやすい。後者は ID を固定してログインさせる手法で、本問の状況とは異なります。
• SSL を一部だけ導入しても、非 SSL ページが残っていれば同一ドメインで発行されたセッション ID が平文で流れる可能性がある点を見落としやすいです。

FAQ

解答の論理構成

1. 【問題文】の該当箇所

   「無線 LAN のアクセス制御の方式自体についても、EAP-TLS や PEAP による相互認証が可能な、IEEE hによるアクセス制御に変更することを提言した。」
   ここで“EAP-TLS”や“PEAP”と並記される「IEEE h」は、無線 LAN を含むネットワーク機器のポートに対して認証を行う標準規格を指しています。

2. EAP-TLS／PEAPと親和性のある規格
   • どちらも“EAP（Extensible Authentication Protocol）”をフレームワークとして利用し、
   • 有線／無線を問わず、アクセスポイントと認証サーバ（RADIUS など）の間で 802 系フレームを用いる。
     これらの特徴は「IEEE 802.1X（ポートベースのネットワークアクセス制御）」そのものです。
3. 他候補との比較
   • 「IEEE 802.11i」は暗号化（WPA2）の規格で、相互認証プロトコルそのものではない。
   • 「IEEE 802.11x」という規格は存在せず、誤記。
     従って空欄に入る正しい字句は「802.1X」です。

誤りやすいポイント

• 802.11i（WPA2）と 802.1X（認証）を混同する。
• “x”を小文字で書いたり「802.11x」など実在しない番号を記入する。
• 「WPA2-Enterprise＝802.1X」と短絡的に覚え、相互認証方式（EAP-TLS／PEAP）との関係を曖昧にする。

FAQ

解答の論理構成

1. 脆弱性の把握
   • 【問題文】には「公開Webサーバ内には SSL を利用していないページも存在し、HTTP 通信を盗聴することによってクッキーの情報を取得できることが判明した」とあります。
   • 取得されるクッキーには「Set-Cookie ヘッダでセッション ID をブラウザに対して発行」した値が含まれます。
2. 攻撃リスクの整理
   • 同じ箇所で「この脆弱性を放置すると、gという攻撃手法によってなりすましによる不正アクセスが発生する可能性がある」と記述されています。
   • つまり、平文 HTTP 上でセッション ID が漏えいするとセッションハイジャックが成立します。
3. 改善提言③の要求事項
   • 図4の「(1-a) ③セッション ID の取扱いに関するセキュリティ強化」は、“セッション ID を安全に扱えるようにせよ”という指摘です。
4. Secure 属性の有効性
   • Secure 属性を付けたクッキーは HTTPS でしか送信されません。
   • したがって、HTTP ページを閲覧してもセッション ID はネットワークに流れず、盗聴を防止できます。
5. 結論
   • 指摘された不備を最小の修正で解消できる具体策は「セッション管理用のクッキーにsecure属性を付与する」です。

誤りやすいポイント

• HTTPOnly 属性との混同
  • HttpOnly は XSS に有効ですが、ネットワーク盗聴を防げません。
• SSL ページだけ用意すればよいと考える
  • 実装ミスや混在コンテンツで HTTP 要求が残ることが多く、Secure 属性の方が確実です。
• セッション ID を暗号化するだけで安全と誤解
  • 暗号化されていても同じ ID が HTTP に載れば復号不要で利用できるため不十分です。

FAQ

解答の論理構成

1. 【問題文】では、監査中に「Y社の開発系プラットフォーム上の DB サーバに、数年前に K 社の本社 DB サーバに格納されていた顧客情報が格納されていることが判明した」とあります。
2. これは
   ① 本来テスト終了後に削除すべき顧客情報が残存していた
   ② テスト目的で実データを持ち出した可能性がある
   という二つの問題を示唆します。
3. 図3の“重要な情報の安全管理に関する事項”には、(a)(b)などはありますが、上記①②を直接規定する条項が見当たりません。
4. 図4の改善提言では「④顧客情報の取扱いに対する管理策の追加」と指摘されています。
5. したがって、追加すべき内容は
   ・テスト時に実データを使わせない
   ・利用終了後には確実に返還・削除・廃棄させる
   という二点を明記することが最も合理的です。

誤りやすいポイント

• 暗号化やアクセス権設定だけを盛り込んでしまい、削除・廃棄の義務を書き忘れる。
• 「テスト用データの作成義務」など周辺事項に触れるだけで、実データ利用禁止を明確に表現しない。
• 契約書全体の見直しと混同し、追加条項の趣旨がぼやける。

FAQ

解答の論理構成

1. 問題文は、無線 LAN の監査結果について
   「⑤事前共有鍵を用いる WPA-PSK は、その仕組み上、同じ長さのパスワードによる Web フォーム認証に比べて辞書攻撃に弱い」
   と指摘しています。
2. ここで鍵となるのは、攻撃者が試行回数をどれだけ高速に積み重ねられるかという点です。
3. 【WPA-PSK の特性】
   • 4ウェイハンドシェイクを傍受すれば、以降は無線 APと通信せずにローカル環境で総当たり試行が可能。
   • AP 側にロックアウトや遅延などの「試行制御」が働かないため、GPU や専用機で高速に辞書攻撃を回せる。
4. 【Web フォーム認証の特性】
   • 毎回サーバへリクエストを送る“オンライン攻撃”になる。
   • サーバ側でアカウントロック／遅延応答／IP ブロックなどを設定でき、試行速度を低減できる。
5. よって模範解答のとおり、 「WPA-PSKでは、一度情報を傍受された後は無線APに接続せず高速に試行を繰り返されてしまう」のに対し、 「Webフォーム認証では、攻撃を受けた場合、後続する試行を遅らせることができる」
   という論理が導けます。

誤りやすいポイント

• 「鍵長が同じなら安全性も同じ」と思い込み、試行環境の差を考慮しない。
• Web フォーム認証でも辞書攻撃が可能だが、オンラインかオフラインかを区別しない。
• WPA-PSK が弱い理由を「TKIP が古いから」と誤解し、事前共有鍵方式そのものの問題を見落とす。

FAQ

解答の論理構成

1. フォローアップ監査では、監査人が再度スキャンなどを実施する以外に、組織側が作成・保存している客観的な文書・ログを用いて改善を裏付けます。
2. 図4には、検出事項として
   ・「(1) 受発注 Web システムにおけるセッション ID の取扱いに関する不備」
   ・「(3) 配送センタの無線 LAN における WPA-PSK 事前共有鍵の不備」
   が列挙されています。
3. 検出事項(1)の改善確認では、セッション ID 取扱い強化が実装・試験された証跡が必要です。改修計画書や受入テスト結果は、実施内容と品質を同時に示せる代表的エビデンスとなります。
4. 検出事項(3)は、弱い「8 文字の事前共有鍵」が問題でした（本文）。鍵を強化し定期変更したこと、さらに将来の「IEEE h」導入を見据えた計画が確認対象です。鍵変更の作業記録やシステム更改計画書は、その実施と継続性を証明します。
5. したがって模範解答の「受発注Webシステムの改修に関する計画書」「受発注Webシステムの受入テストの結果」「無線AP及びHTの事前共有鍵変更に関する作業の記録」「配送センタのシステム更改に関する計画書」が妥当となります。

誤りやすいポイント

• フォローアップ監査＝再スキャンと誤解し、文書証跡を挙げ忘れる。
• 監査人自身が取得した脆弱性スキャン結果や設定画面のスクリーンショットを答えてしまうと、設問条件（「Z社が実施した監査手続によって得られる証拠以外」）に反する。
• WPA-PSK の件で「通信ログ」だけを挙げ、鍵変更・更改計画という管理的エビデンスを忘れる。
• セッション ID 対策で「ソースコード」だけを挙げ、受入テストの結果など検証系資料を漏らす。

FAQ

解答の論理構成

1. 【問題文】には「他社の営業秘密には、部品に関するノウハウや、他社との共同開発に関する情報があります」とあり、機密性が高いことが分かります。
2. 同じく「他社から開示される営業秘密は、他社との秘密保持契約に従って管理しています」と明示されています。
3. さらに「技術サポート部の部門共有サーバに保管し…アクセス制限を行っています」「毎年内部監査で確認」とあることから、契約と技術的管理策を連動させていると読み取れます。
4. 以上より、共同開発情報を扱うプロセスでは、(a)情報の機密度評価、(b)秘密保持契約への具体的な管理策の反映、(c)アクセス・受渡し・廃棄まで含む統制手順の策定が必要だと導けます。
5. これを60字以内でまとめた解答例が以下です。

誤りやすいポイント

• 技術的対策（暗号化やアクセス制御）だけを書き、契約面を忘れる。
• 「内部監査でチェックしている」事実を根拠にしないため、実務プロセスと結び付かない。
• 共同開発情報の“受渡し”や“廃棄”まで統制範囲に含めることを失念する。

FAQ