情報処理安全確保支援士 2023年 秋期 午後 問04

解答の論理構成

1. ア ― 該当する「情報セキュリティの状況」の抽出
   • 該当シナリオは「W社従業員によって持ち出されたIDとPWが利用され、W社外からSサービスにログインされて、Z情報がW社外のPCなどに保存される。」
   • ここで関与する統制は、表2の人的面・PW管理面に関するものです。
     • 項番「10」は「全従業員に対して、次の基本的な情報セキュリティ研修を行っている。」
     • 項番「11」は「聞取り調査の結果、従業員の倫理意識は十分に高いことが判明した。」
     • 項番「12」は「配送管理課長が毎月PWを変更し…課員全員に周知している。」
     • 項番「13」は「PWを書いた付箋が、机上に貼ってあった。」
   • これら4項番だけがシナリオと直接関係するため、ア＝「10、11、12、13」となります。
2. イ ― 被害の大きさの判断
   • 攻撃者は正規アカウントで「Z情報がW社外のPCなどに保存」できる状態です。
   • 図3の基準で「ほぼ全てのZ情報について、機密性が確保できない。」は“大”であるためイ＝「大」です。
3. ウ ― 総合評価の算定
   • 表4で発生頻度は「低」固定。
   • 表3のマトリクスで「被害 大 × 発生頻度 低」はセル「C」に該当。
   • したがってウ＝「C」です。
4. エ ― 追加管理策の提案
   • 表1「項番3」で「ログインを許可するアクセス元IPアドレスのリストを設定することができる。」
   • 現状は「全てのIPアドレスからのログインを許可している。」
   • リスク1-1は“ID／PWを持ち出されても社外から接続させない”対策が有効です。
   • W社従業員は必ず社内から「プロキシサーバ」を経由（図2）してアクセスするので、そのIPだけを許可すればよい。
   • 従ってエ＝「G百貨店で、Sサービスへログイン可能なIPアドレスをW社プロキシだけに設定する。」となります。

誤りやすいポイント

• アで技術的対策（例：項番2のマルウェア対策ソフト）まで列挙してしまう。ID／PWの持ち出しリスクには直接関係しません。
• イを“中”にしてしまうケース。正規アカウントによるアクセスは全件取得が容易であり、影響は“大”です。
• エで「二要素認証を強制」と回答し重複する。すでに別行で盛り込まれているため、IP制限という追加策を見落とさないよう注意が必要です。

FAQ

解答の論理構成

1. 【問題文】ではリスク番号2-4の“リスク源”が「W社外の第三者」、“行為又は事象の分類”が「W社へのサイバー攻撃」と示されています。したがって[あ]には、外部攻撃者がW社にマルウェアを送り込む具体的手口を記述する必要があります。
2. 表2「メールSaaS」(項番5)の状況では、セキュリティオプションのうち
   ・「添付ファイルに対するパターンマッチング型マルウェア検査」だけを有効
   ・「迷惑メールのブロック」、「特定のキーワードを含むメールの送信のブロック」は無効
   とあります。未知（シグネチャ未登録）のマルウェアを添付すれば、検査をすり抜けやすいことが分かります。
3. G百貨店とW社は業務連絡を「メール」で行うと【問題文】に明記されています。この“通常ルート”を偽装すれば、配送管理課員が不審に思わず開封する可能性が高いです。
4. 以上を踏まえると、最も妥当なリスク源の行為は
   「G百貨店からのメールを装い、未知のマルウェア付きファイルを配送管理課員宛てに送信する」
   となります。これは受験参考情報として提示された解答例①とも一致します。

誤りやすいポイント

• 「フィッシングメールでURLリンクを送る」だけを書くと、リスク番号2-1（既にフィッシングが記載）と重複しやすい点。2-4は“マルウェア侵入”を具体化する設問です。
• 既知マルウェアと書くと、表2項番2の「パターンマッチング型のマルウェア対策ソフト」で検知され得るため、リスクが適切に表現できません。必ず「未知のマルウェア」や「新種のマルウェア」とする必要があります。
• 「USBメモリ等の物理媒体で侵入」とすると、メール経路を前提とする本文記述（G百貨店→W社メール連絡）に合致しません。

FAQ

解答の導き方

1. まず、どのような「行為又は事象（あ）」を想定するか
   　図2に「プロキシサーバ」があり、表2項目6に「プロキシサーバは、社内の全てのPCとサーバから、インターネットへのHTTPとHTTPSの通信を転送する。URLフィルタリング機能があり、アダルトとギャンブルのカテゴリだけを禁止している。HTTPS復号機能はもっていない。」とあります。プロキシの検査が限定的でかつHTTPS復号がなく、配送管理用PCがインターネットへアクセスできること（図2）を踏まえると、W社外の第三者が改ざん済みのWebページを用意して誘導すれば、配送管理用PCがマルウェアに感染する現実的な経路が成立します。よって あ は次のように設定します。
   　「W社外の第三者が、改ざんしたWebページに誘導し、配送管理用PCをマルウェアに感染させる。」
2. その行為から「Z情報の機密性への影響に至る経緯（い）」を具体化する
   　図1の(1)により配送管理課員がSサービスを参照してZ情報を扱うこと、SサービスはIDとPWでの認証（表1項番1で多要素未設定）であること、またマルウェアがキーロガー等で認証情報を窃取し得ることを組み合わせると、以下の経緯が成立します。したがって い は次のようになります。
   　「配送管理課員が、改ざんされたWebページを閲覧した結果、マルウェアをダウンロードして配送管理用PCが感染する。マルウェアがキー入力を監視してSサービスのIDとPWを窃取し、そのIDとPWが利用されて、W社外からSサービスにログインされて、Z情報がW社外のPCなどに保存される。」
3. 次に、この経路に関連する表2の項目（う）を選ぶ根拠
   　- 表2項番2：「全てのPCとサーバに、パターンマッチング型のマルウェア対策ソフトを導入している。…」は記載どおりだが、未知のマルウェア（ゼロデイや難読化された攻撃）を確実に検出できないため、攻撃の成立確率・影響評価に関係する。
   　- 表2項番3：「脆弱性修正プログラムの適用は、遅滞なく行われている。」は、既知の脆弱性利用は低減するが、ブラウザのプラグインやユーザ操作によるドライブバイダウンロード等を完全に防ぐわけではなく、評価に影響する。
   　- 表2項番6（前述）：「URLフィルタリングは限定的、HTTPS復号なし」は、改ざんサイトやHTTPSで配信されるマルウェアを検出・遮断しにくいことを示す。
   　以上から、該当する表2の項番は「2、3、6」です。したがって う = 2, 3, 6。
4. 被害の大きさ（え）の判断根拠
   　Z情報は「配送先の住所・氏名・電話番号の情報が含まれている」と明記されているため、SサービスのIDとPWが外部で悪用されれば「ほぼ全てのZ情報について、機密性が確保できない」状態になり得ます（図3の被害定義参照）。よって被害の大きさは「大」です。つまり え = 大。
5. 発生頻度（お）の判断根拠
   　図3の2.(3)は、表2の情報セキュリティの状況を考慮に入れた上で、“リスク源による行為又は事象”が発生し、かつ、“Z情報の機密性への影響に至る経緯”のとおりに進行する頻度を評価するとしています。この経緯が進行するには、配送管理課員が改ざんされたWebページを閲覧し、マルウェアがダウンロードされて実行され、キー入力の監視によってIDとPWが窃取され、さらにW社外からSサービスにログインされる、という複数の段階を全て経る必要があります。表2の項番2（マルウェア対策ソフトの導入）や項番3（脆弱性修正プログラムの遅滞ない適用）によって、途中の段階で止まる場合も多いと考えられます。そのため、この経緯のとおりに最後まで進行する頻度は年に2回未満と評価でき、図3の定義（低：発生頻度は年に2回未満である。）から お = 低 です（解答例も ② は「低」）。
6. 総合評価（か）の決定
   　表3のリスクレベルの基準で「被害の大きさ：大」かつ「発生頻度：低」はリスクレベルCに対応します。したがって か = C。
7. 表5の管理策（き）の検討と記入
   　要件に「図1のデータの流れを変更しない前提」であるため、Sサービス側やデータフローを変えずにW社側で取れる現実的対策が望ましい。今回の想定経路はWebアクセス経由なので、ネットワーク層でアクセス先を厳格に制限することが効果的です。表2項番6に基づき、プロキシのURLフィルタリング設定を強化して配送管理用PCからの不要な外部サイトアクセスを禁止することが有効です。よって き は次の一文が適切です。
   　「プロキシサーバのURLフィルタリング機能の設定を変更して、配送管理用PCからアクセスできるURLを必要なものだけにする。」

• あ：W社外の第三者が、改ざんしたWebページに誘導し、配送管理用PCをマルウェアに感染させる。
• い：配送管理課員が、改ざんされたWebページを閲覧した結果、マルウェアをダウンロードして配送管理用PCが感染する。マルウェアがキー入力を監視してSサービスのIDとPWを窃取し、そのIDとPWが利用されて、W社外からSサービスにログインされて、Z情報がW社外のPCなどに保存される。
• う：2、3、6
• え：大
• お：低
• か：C
• き：プロキシサーバのURLフィルタリング機能の設定を変更して、配送管理用PCからアクセスできるURLを必要なものだけにする。

誤りやすいポイント

• 攻撃経路の混同：フィッシングで偽サイトに誘導する手法（Sサービスを偽装する攻撃）と、改ざんサイトに誘導してマルウェアを落とす手法を混同しやすい。前者は「偽サイトで認証情報を入力させる」経路、後者は「端末感染→キーロガー等で認証情報を窃取する」経路と区別する。
• 表2の項番選定ミス：表2の記載は「存在する対策」と「その制限」を示す。例えば「パターンマッチング型マルウェア対策が導入されている」からといって未知の振る舞い検知が効くと誤認するのは誤り。
• 発生頻度の判定ミス：図3の定義どおり、行為又は事象が発生し、かつ経緯のとおりに最後まで進行する頻度で評価する。PCを毎日使うことだけを根拠に「高」とすると、途中で防がれる段階を考慮していないことになる。
• 管理策の検討で「図1のデータの流れを変更しない」という条件を見落とすと、Sサービス側の設定変更（データ流れの変更に当たる）など実行不可能な提案をしてしまう。
• 「多要素認証を導入すれば万全」と判断するのは早計。MFAは有効だが、端末乗っ取りやセッションハイジャックなど別経路が残るため、端末防御やネットワーク制御も必要。

FAQ

解答の論理構成

1. a に入るのは、表4の行に示された「リスク番号1‐2と同じ」シナリオに適合する “情報セキュリティの状況” の項番です。
   ・リスク番号1-2は「故意に、SサービスのIDとPWを、W社外の第三者にメールで送信する。」という行為です。
   ・メール送信に直接関係する、もしくはID／PWの扱いに関係する対策を表2から抽出します。
   適合する項番
   5：「メールSaaSには、セキュリティ対策のオプションとして…“特定のキーワードを含むメールの送信のブロック”」
   10：「全従業員に対して…メール送信時の注意事項」
   12：「配送管理課長が毎月PWを変更し、IDと変更後のPWをメールで配送管理課員全員に周知」
   以上より a＝5,10,12となります。
2. b に入るのは、「不正に操作されたPC又はサーバが踏み台にされて…キーロガーが埋め込まれ…IDとPWが窃取される」シナリオに関連する対策です。
   ・キーロガーを含むマルウェア対策、脆弱性悪用の阻止、外部からの不正通信遮断が論点です。
   適合する項番
   2：「全てのPCとサーバに、パターンマッチング型のマルウェア対策ソフトを導入」
   3：「全てのPC、サーバ及び配送用スマートフォンで、脆弱性修正プログラムの適用は、遅滞なく行われている」
   4：「FWは…インターネットからW社への全ての通信を禁止…W社からインターネットへの通信は、プロキシサーバからの必要な通信だけを許可」
   以上より b＝2,3,4となります。

誤りやすいポイント

• 表2の文章を読まずにキーワードだけで選んでしまい、メール送信ブロック機能の有効／無効を見落とすケース。
• 「脆弱性修正プログラムの適用」は“踏み台化防止”に直結する点を見逃し、項番3を外すミス。
• ID／PWの運用ルール（項番12）が“情報セキュリティの状況”として評価対象になることに気付かず漏らすパターン。

FAQ