情報処理安全確保支援士 2018年 春期 午後1 問03

解答の論理構成

1. 問題文は「JIS Q 31000:2010 及びJIS Q 31010:2012 では、リスクアセスメントは、a、リスク分析、bの三つのプロセスの順に進めると定義されています。」と記載しています。
2. JIS Q 31000 系列が示す標準的な流れは
   ① リスク特定
   ② リスク分析
   ③ リスク評価
   です。
3. よって
   • a には「リスク特定」
   • b には「リスク評価」
   が入ります。
4. 解答群の記号対応は
   • 「リスク特定」＝「ウ」
   • 「リスク評価」＝「エ」
   であるため、解答は
   a：ウ
   b：エ となります。

誤りやすいポイント

• 「リスク評価」と「リスク対応」を混同しやすいです。評価はリスクの大きさを判定する工程、対応は対策を選択・実施する工程です。
• 「リスクモニタリング」はプロセス全体を継続的に監視する活動で、三つの主要プロセス（特定・分析・評価）には含まれません。
• 流れを「分析→特定→評価」と思い込む逆順の誤答も頻出です。標準では「特定」が常に最初です。

FAQ

解答の論理構成

1. 【問題文】には、リスク分析の手順として
   “JIS Q 31000:2010 及びJIS Q 31010:2012 に沿って、cと、dを組み合わせてリスクのレベルを決定した。”
   と記載されています。
2. JIS Q 31010 で推奨されるリスク評価軸は
   ・リスクが発生した場合の影響（結果・損失）
   ・リスクの発生確率（起こりやすさ）
   の2軸です。
3. 解答群を照合すると
   ・影響を表す選択肢は “ア：リスクが顕在化したときの結果”
   ・発生確率を示す選択肢は “ウ：リスクの起こりやすさ”
   となり、これらを組み合わせてリスクレベルを決めることが標準的アプローチです。
4. したがって
   c＝ア（影響）、d＝ウ（発生確率）
   が適切です。

誤りやすいポイント

• “イ：リスク対応の実践の優先度” を選びたくなる受験者が多いですが、優先度はリスク評価の結果として決まるものであり、評価軸そのものではありません。
• “エ：リスク保有の利点” はリスク受容判断に関わる概念であって、レベル判定に直接使う尺度ではありません。
• “結果” と “起こりやすさ” は用語として「影響度・可能性」「インパクト・ライクリー フッド」など言い換えが多く、問題文中の表現と選択肢を正確に対応させる必要があります。

FAQ

解答の論理構成

• 表4のシナリオ1では、まず「事務PCからファイル転送サーバが感染する。」と示されています。次段で「ファイル転送サーバから①研究開発PCが感染する可能性は低い。」と低リスク判定が付いています。
• 低リスクの根拠は、通信方向を制御しているファイアウォール設定にあります。表3で「FW2」の許可ルールは「研究開発PCからファイル転送サーバへの必要な通信」のみで、禁止ルールは「他の全ての通信」です。
• したがって、マルウェアαが侵入したファイル転送サーバが能動的に「研究開発PC」に接続しようとしても、「他の全ての通信」に該当しFW2で遮断されるため、感染経路が断たれます。
• 以上から、「ファイル転送サーバから研究開発PCへの通信はFW2で禁止されているから」という理由で低いと判断されます。

誤りやすいポイント

• 「研究開発PCがファイル転送サーバへ通信できる＝逆方向も可能」と早合点する。実際はFW2が片方向通信しか許可していません。
• L2SW や OS の脆弱性記述に意識が向き、ファイアウォールの方向性制御を見落とす。
• シナリオ1とシナリオ2の「低い」の根拠を混同し、認証情報窃取が原因だと誤答する。

FAQ

解答の論理構成

1. 表4の項番2に「マルウェアβが、e、f、gの情報を窃取して、ファイル転送サーバにアクセスした。」とある。
2. 図4 手順1には
   「研究開発PCのWebブラウザからファイル転送サーバのアップロード用URLにアクセスし、表示される画面で利用者ごとに異なる利用者ID及びパスワードを入力してログインする。」
   と記載され、ファイル転送に必須の三つの情報が明示されている。
3. よって
   e：利用者ID
   f：パスワード
   g：アップロード用URL
   が適切となる。
4. これら三つをまとめて窃取するには、通信経路上でブラウザとサーバ間のHTTPパケットを盗み見れば同時に得られる。具体策として「事務PCのHTTPリクエストを監視する。」が妥当である。HTTPは平文である場合が多く、クッキーやURL、フォーム送信内容がそのまま取得できるためである。

誤りやすいポイント

• ダウンロード時の「ダウンロード用URL」と誤答するケース。表4のシナリオは「不正なファイルをアップロード」する流れであり、図4手順1の情報が必要。
• 「利用者名」や「ユーザ名」と表記を変えてしまうミス。問題文の正確な語は「利用者ID」。
• 窃取方法を「パケットキャプチャ」など抽象的に書き、どのPCの通信を狙うかがあいまいになるケース。シナリオでは事務PCが感染源なので「事務PCのHTTPリクエスト」を明示する必要がある。

FAQ

解答の論理構成

1. 表4 項番2には
   「ファイル転送サーバに不正なファイルがアップロードされる。」
   「その不正なファイルが原因となって②研究開発PCが感染する可能性は低い。」
   と記載されています。まず“アップロード”だけでは研究開発PCに到達しません。
2. 図4 手順3・4では
   「事務PCのWebブラウザからファイル転送サーバのダウンロード用URLにアクセスし…ログインする。」
   「…一覧が表示されるので、ファイルを一つ選択してダウンロードする。」
   とあり、ダウンロードは利用者が研究開発PC(または事務PC)から能動的に行う必要があります。
3. したがって、マルウェアβがサーバに置いた不正ファイルは、 ①研究開発PCがファイル転送サーバへアクセスし、 ②対象ファイルを選択してダウンロードする、 という2段階の“人手を伴う操作”がなければ実行されません。
4. よって攻撃者がアップロードしただけでは自動感染が起こらず、A氏は「研究開発PCが感染する可能性は低い」と判断しました。
5. 以上を要約すると、模範解答のとおり
   「研究開発PCからファイル転送サーバにアクセスして、ファイルをダウンロードする必要があるから」
   となります。

誤りやすいポイント

• 「アクセス手順を組み込んだマルウェアβ」という記述から“自動ダウンロード”まで行うと早合点しやすい。図4を読み直しましょう。
• ファイル転送サーバが中間LANにあるため“外部からの PUSH”と思い込みがちですが、ダウンロードは常に内部からの PULL 動作です。
• 「FW2 が通信を許可している」→「だから感染しやすい」と短絡すると失点します。FW2 は通すが利用者操作が必須という点を忘れがちです。

FAQ

解答の論理構成

1. 表6の検討対象は「配信サーバ」の設置位置です。
   ・「図3中の（あ）」は研究開発LAN内部、研究開発PCと同一セグメント側
   ・「図3中の（い）」は中間LAN側で、研究開発LANとは「FW2」、事務LANとは「FW1」で分離されます。
2. 感染経路「研究開発 PC から配信サーバへ」を考えると、 【問題文】「FW2 の設定内容…研究開発PCからファイル転送サーバへの必要な通信」以外は「他の全ての通信」を禁止とあります。
   しかし配信サーバを（あ）に置けば研究開発PCとの間にFWが存在せず、遮断ポイントがありません。
   ⇒ 結論は“高い”。理由は「通信経路上に感染活動を遮断する機器が存在しないから」。
3. 同じ経路で配信サーバを（い）に置く場合、研究開発PC→配信サーバの間には必ずFW2を経由します。
   【問題文】「FW2…他の全ての通信　禁止」と明示されているため、マルウェアが用いる不正ポート／プロトコルは通過できません。
   ⇒ 結論は“低い”。理由は「FW2によって感染活動を遮断できるから」。
4. よって【模範解答】
   h：高い
   i：通信経路上に感染活動を遮断する機器が存在しないから
   j：低い
   k：FW2によって感染活動を遮断できるから

誤りやすいポイント

• 「FW2 はインターネット側の防御」と誤認し、研究開発LAN内部との通信も素通りと考えてしまう。実際は研究開発LANと中間LANの境界に位置します。
• 「必要最小限の通信だけ許可」という条件を見落とし、FWがパッチ配信用ポートも開けると即断して“高い”を選んでしまう。
• 表6の列（あ）・（い）を逆に読み取り、答えを入れ替えてしまう。

FAQ

解答の論理構成

1. 想定される脅威
   問題文には「マルウェアが研究開発PC内のファイルをファイル転送サーバにアップロードしていた」とあり、利用者本人が操作していない状態で不正アップロードが起き得ると示されています。
2. 追加すべき手順の要件
   製品Ｚの拡張機能について「正当なファイル転送であることを確認するために、図4の手順2の後にlの手順を追加」と記載されています。この“正当”とは、アップロードが業務として妥当かを人が判断することを意味します。
3. 利用者本人以外の確認者が必要
   マルウェアが当該利用者IDで自動操作できるため、本人確認では効果がありません。そこで“権限が上位で、当該ファイルの業務妥当性を判断できる者”が承認する仕組みが理にかないます。
4. 最も自然な承認主体
   社内でファイルの持ち出し可否を判断できる立場は通常「上長」であり、短い語句で表せること、かつ業務フローとしても一般的です。
5. 結論
   以上よりlには「上長による承認」が適切となります。

誤りやすいポイント

• 「ウイルススキャン」や「ファイル無害化」と答える
  ── 技術的チェックでは業務妥当性を判断できず、問題文は“正当なファイル転送”を確認する人為的プロセスを求めています。
• 「本人による再確認」と答える
  ── マルウェアが本人になり替わる前提があるため無効です。
• 「第三者承認」とだけ書く
  ── 誰が承認するかを具体的に示す必要があります。社内の一般的なワークフローを踏まえ「上長」を明示しましょう。

FAQ