情報セキュリティスペシャリスト試験 平成21年度秋期

問1 では，電子メールからの情報漏えいとその対策事例における，規定とシステムの両面の改善策について 出題した。全体として，正答率は想定どおりだった。 設問2(2)は，漏えいした顧客の情報について，紛失した端末が携帯電話であるということに注意して，メー ルでやり取りしている価格表以外のものを解答してもらうものだったが，価格表と同類の“提案書”という解 答が散見された。また，対策については，利用者の振る舞いに依存せず，漏えいした情報を短時間で特定でき ることが重要であることに着目してほしい。 設問4(2)は，箇条と項番については正答率が高かった。しかし，対策については正答率が低く，だれがどの ように徹底するかを記述していない解答が多かった。また，メール閲覧用の利用者ID とパスワードを盗まれ なくてもメールを閲覧されるシナリオを想起した上で対策を考えてほしい。 設問5 は，事故の再発防止のために，規定面からの対策を問うた。5.13(2)が転送にかかわる規定なので，転 送にかかわる内容を追記すべきである。

問2 では，Java アプレットを用いたシステムを例にとり，サンドボックスに関する ぜい 脆弱性とその対処方法に ついて出題した。全体として，正答率は想定どおりだった。 設問1 は，b の正答率が低かった。jar ファイルに対するディジタル署名の方式を問う問題であったが，誤っ た解答であるRSA を選択する受験者が多かった。解答群の中からは，RSA とDSA の二つが候補となるが，本 文中の署名の実現方式に関する記述から，DSA が正解となる。基本的な暗号技術については特徴を理解してお いてほしい。 設問4(2)は，正答率が低かった。問題文の設定上，クライアント側とサーバ側のJRE のバージョンが異なる ものとなることから，システム間の結合テストの実施を趣旨とした解答が多く見られた。問題文中の前提にお いては，結合テストで合格したからといって，サーバ側のJRE をバージョンアップしなくてもよいということ にはならないことに注意してほしい。脆弱性の影響範囲を正確に把握して，必要かつ十分な対処の実践を期待 したい。

問3 では，IC カードを用いた認証システムのセキュリティ対策について出題した。全体として，正答率は想 定どおりだった。 設問1(1)は，正答率が低かった。IC カードのセキュリティ要件を問うたが，“偽造されていないこと”など のあいまいな解答やほかの要件と混同した解答が散見された。専門領域であるセキュリティ要件は正確に定義 できてほしい。 設問3 は，正答率が低かった。特に，設問3(1)で問うた，PIN によるパスワードの保護について誤った解答 が目立ったが，認証システムとして何を保護しなければならないかが理解できていなかったと推察される。 設問5 は，残留リスクについては正答率が高かったものの，その低減措置については，印刷ログを取得する といった措置は通常の運用で行われているが，この問題の設定では不適切な解答が散見され，正答率は低かっ た。条件に応じて適切な措置が行えるような応用力を期待したい。

問4 では，社外で使用するノートPC からの情報漏えい対策について出題した。全体として，正答率は高か った。 設問3 は，正答率が低かった。ハードディスク全体の暗号化対策について，本文中で“データの暗号化と復 号を利用者に意識させることなく行う”ことを明示した上で，ノートPC のスリープ状態からの復帰にパスワ ードを設定しないと，だれもがスリープ状態から復帰させることができ，データが自動的に復号されるので情 報漏えいにつながるという，現実に散見される問題点を問うた。“パスワード設定がないと問題である”こと を解答すればよいのだが，PC 起動時にハードディスク全体を一括で復号するという，処理能力上非現実的な 仕組みを解答している受験者が少なくなかった。システムを総合的に考えた上で解答するようにしてほしい。 設問5(1)は，正答率が高かった。ノートPC と鍵メモリを同時に持ち歩く業務がないと仮定した場合，P 社 製品に優位点がある理由を問うたが，上記仮定と関係ない優位点を挙げる解答が見受けられた。セキュリティ 対策においては，業務や制約条件を考慮した最適解の選定を求められる場面が多い。設定条件をよく理解して 解答するようにしてほしい。 設問5(2)は，正答率が低かった。TPM について問うたが，仕組みを理解していない誤った解答が目立った。 利用が拡大しており，今後普及が見込まれるセキュリティ技術については，理解しておいてほしい。

問1 では，ID 連携を含む，認証・認可基盤の統合について出題した。全体として，正答率は低かった。 設問1 は，a 及びc の正答率が低かった。SAML 及びHTTP の標準仕様の中で定義された用語を理解してい ないと見受けられる解答が多かった。具体的な製品仕様や技術の表層的な理解だけではなく，その標準仕様の 全体的な理解も深めてほしい。 設問2(2)は，正答率が低かった。本文に記述された状況から想定される具体的な問題点を問うたが，削除さ れずに残った利用者ID やアクセス権が“悪用される”，“不正アクセスに使われる”といった，あいまいな解 答が見受けられた。 設問3 は，全体では想定どおりの正答率だったが，(4)の運用見直しの内容の正答率は低かった。ID 管理及 びアクセス管理においては，異動・退職といった変更を情報システムに即座に反映させることが重要である。 しかし，図7 に示された方式を説明しただけの解答，図7 と矛盾する内容の解答が見受けられた。また，“適 切に管理する”といった，あいまいな解答も見受けられた。 設問4 は，正答率が低かった。本文及び設問でそれぞれ“個々の業務システムのシステム改修”，“営業管理 システムを例にとり”と記載しているにもかかわらず，“ID 体系を統一する”，“権限情報を一元化する”，“デ ィレクトリを統合する”といった，X 社情報システム全体に関する解答が多かった。また，営業管理システム の改修として，認証方式の変更と認可方式の変更の両方が必要であるが，どちらか一方だけに関する解答も多 かった。

問2 では，ネットワークの統合を含む，社内LAN の見直しについて出題した。全体として，正答率は想定 どおりだった。 設問2 では，DoS 攻撃を想定した場合における，UDP ポートの動的開閉の効果について記述していない解答 が散見された。IP 電話については，今後，利用がますます促進すると思われるので，関連するセキュリティ対 策についても理解を深めてほしい。 設問3(2)は，正答率が低かった。残存する極秘情報を検知することの重要性を考慮して，解答してほしかっ た。 設問4(2)は，正答率が低かった。環境の変化に伴い，製造サーバに極秘情報が保存されるようになったこと について，新たな対応が必要であることを理解していない解答が多く見られた。重要な情報の所在が変化する 場合があり，情報セキュリティ対策の継続的な見直しと改善を図る必要があることを理解しておいてほしい。 設問5(2)は，正答率が低かった。PEAP 方式はEAP 方式を強化したものであり，EAP-TLS 方式と共通の技 術を採用しているが，PEAP 方式は利用者ID とパスワードによって利用者本人を特定できる方式であり， EAP-TLS 方式はクライアント証明書によってPC を特定できる方式である。採用する認証方式によって，認証 の対象が異なることについて理解しておいてほしい。