情報セキュリティスペシャリスト試験 平成22年度秋期

問1 では，セキュリティと費用のバランスをとった複数企業とのデータ伝送のセキュリティ設計について出 題した。全体として正答率は低かった。 設問3(2)は，正答率が低かった。作業報告書には運用担当者と保守担当者の氏名が記載され，個人が特定可 能であるのに対して，通信ログに記録される運用担当者の利用者ID 及び保守担当者の利用者ID は，共用され ているので，作業報告書と通信ログの突合せにおいて，個人が特定できないという点に気づいてほしかった。 システムの運用・保守において利用者ID を共用すると，特権の悪用が容易になり，かつ，インシデントが発 生した場合の追跡調査が困難になってしまうことを再認識してほしい。 設問4 は，正答率が低かった。クライアントPC が，案1 ではZ 社から各SI ベンダに貸与される専用PC で あるのに対して，案2 では各SI ベンダが所有するベンダPC を利用する点が大きく異なることに気づいてほし かった。企業間接続においては，各企業の管理範囲を明確にした上で，各社間のセキュリティポリシの整合性 を確認する必要があることに注意してほしい。

問2 では，複数の社内システムのID 統合を題材として，ID のライフサイクル管理を出題した。全体として 正答率は想定どおりだった。 設問2 は，状況設定を理解した上で，契約が終了した派遣社員のID を確実に削除するための工夫を問うた が，設問2(3)の正答率は低かった。現場任せではID 削除が進まないという状況設定にもかかわらず，現場に 任せるという誤った解答が散見された。問題文をよく読み，状況設定に注意して，実務的に解答をしてほし い。 設問3 は，状況設定からセキュリティホールを探す問いだった。多くの受験者が正答には近かったが，解答 すべきポイントを一部省略してしまった解答が見受けられた。必要条件を漏らさず解答するよう心がけてほし い。 設問4 は，設問3 のセキュリティホールを回避する具体的な手続を問うた。あいまいな表現や，その手続に よって達成したい目的の記述が散見された。情報セキュリティスペシャリストの重要な役割は，セキュリティ 対策を具体的に検討し実施することなので，実践的な対策を解答してほしい。

問3 では，Web アプリケーションの保護のために，Web アプリケーションファイアウォール（WAF）を導入す る際に検討すべき点について出題した。全体として正答率は低かった。 設問3(1)は，正答率が低かった。悪意のある第三者が，ミドルウェアが発行するセッションID を推定でき た場合にも，WAF によって暗号化された後の値を推定することは困難である点に注目して解答してほしかっ た。 設問3(2)は，選択肢形式であるにもかかわらず正答率が低かった。クッキーへの不適切な属性付与によるセ キュリティ事故を防止するためにも，クッキーについての基本的な知識を理解しておいてほしい。 設問4 は，正答率が低かった。問題文中のネットワーク構成では，ブラウザとWeb サーバ間で通信がSSL 暗 号化されていると，シグネチャによる通信検査機能などWAF の機能が有効に動作しない点に気づいてほしかっ た。

問4 では，マルウェア対策において，攻撃の特徴を踏まえた被害範囲の調査方法や再発防止策について出題 した。全体として正答率は高かった。 設問3(1)は，正答率が低かった。状況設定を理解して，被害があった顧客の範囲が明確になるような調査方 法を解答してほしかった。“改ざんがないかブラウザから直接ページにアクセスして試す”といった，被害拡 大につながりかねない危険な調査方法を解答している例が散見された。 設問3(2)は，正答率が低かった。G 攻撃のシナリオから，テストサーバが改ざんされる条件を洗い出した上 で，不正プログラム送り込みサイトが増えたときのURL フィルタの限界に注意して解答してほしかった。“テ ストサーバが改ざんされて不正プログラム送り込みサイトになった場合”など，テストサーバの改ざん内容を 説明しようとする解答が散見された。

問1 では，開発プロジェクトにおいて安全なシステム開発のために情報セキュリティスペシャリストが支援 すべきテーマについて幅広く出題した。全体として正答率は想定どおりだった。 設問2(1)は，プロジェクトマネジメント上の問題を問うたが，手戻りがあるとだけ解答したものが散見され た。プロジェクトをセキュリティ面で支援するときには，納期やコストなどの問題を考慮して解答してほしか った。 設問2(2)は，正答率が高かった。しかし，設計工程において求められる，セキュリティ要件の実現方法を設 計するという観点が漏れている解答が散見された。脆弱性対策だけではなく，開発プロジェクトにおける工程 ごとに行うべき作業を幅広く理解しておいてほしい。 設問4(1)は，正答率が低かった。アクセス権の設定についての記述がない解答が散見された。SQL インジェ クションは知っているものの，データベースのアクセス権に関する知識が十分活用されていなかった結果と思 われる。本設問では，問題文の状況の下でマルチテナントのシステムにおけるデータベースの分離方法をセキ ュリティ面から検討している。これをきっかけにデータベースのアクセス権について理解しておいてほしい。

問2 では，組織内の認証システムの統合に関する技術及び統合におけるスケジューリングについて出題し た。全体として正答率は想定どおりだった。 設問2(1)は，正答率が低かった。チャレンジレスポンス認証は，ネットワークにおける認証の基本であるの で，よく理解しておいてほしい。 設問3(1)は，正答率が低かった。セキュリティレベルの異なる部門において同じ暗号化鍵を用いることが問 題であることを，旧認証システムであるA-SSO システムの設計及び問題文中の状況設定から理解してほしかっ た。 設問3(2)は，正答率が低かった。SAML ではドメインをまたいだWeb アプリケーションの認証に SAMLResponse メッセージを用いていることに加えて，SAMLResponse メッセージでは，暗号化とディジタル署 名を用いて，セキュリティを確保していることを理解しておいてほしい。