情報セキュリティスペシャリスト試験 平成23年度秋期

問1 では，Web アプリケーションのセキュアプログラミングに関して，C++とJava での脆弱性対策の共通点 と相違点を正しく認識しているかどうか出題した。全体として正答率は想定どおりだった。 設問1 のコード上から変数名を選択する問題では，(1)は比較対象もあり正答率は高かったが，(6)は正答率 は低かった。(4)は代表的な脆弱性を解答群から選択する問題で正答率は高かったが，“コマンドインジェクシ ョン”という誤った解答が多かった。設問1 の中ではプログラミング技法について複数出題したが，開発標準 に関する経験が少ないためか，正確に記述できているものが少なかった。 設問2 では，二つの言語の特性を表す用語を答える問題だったが，(1)～(3)全て正答率は高かった。 設問3 では，二つの言語を比較してバッファオーバフロー攻撃が可能になる言語特性を問うたが，問題文を 丁寧に読んでいないのか，単純なバッファオーバフローの範囲までの解答が多く，正答率が低かった。 セキュアプログラミングについて，脆弱性対策の手段だけではなく，その発生理由や防御メカニズムも含め て，正確な情報を理解して，活用できるようにしてほしい。

問2 では，開発プロジェクトの設計工程における，セキュリティの観点から行うレビューについて出題し た。全体として正答率は想定どおりだった。 設問2 は全体的に正答率が高かった。利用者ID の状態を意識してログイン処理のフローを設計すること は，システムのセキュリティを確保するためにも重要であり，実務においても確実にできることを期待した い。 設問3 は正答率がやや低かった。現行システムの設計や運用手順を十分に理解しないままシステムに不用意 な機能追加を行うと，セキュリティ上の問題が発生する可能性があること，及びそういったセキュリティ上の 問題を発見するための組織的なレビューが重要であることを再認識してほしい。 設問4 は正答率が低かった。問題文中に記載されたシステムの変更点だけを書いている解答が散見された。 状況設定を理解した上で，仮パスワードを知り得るのが誰であるのかに注目して解答してほしかった。

問3 では，HTTPS 通信時におけるプロキシでのログ取得を題材として，HTTPS 通信時の動作及び証明書の検 証について出題した。全体として正答率は低かった。 設問1 は(3)の正答率が低かった。昨今のインターネットの利用形態の多くがHTTP プロトコルをベースとし ている状況を踏まえ，情報セキュリティ技術者としてもHTTP プロトコルの基本的な仕様は是非理解しておい てほしい。 設問2 は(2)の正答率が低かった。証明書に関する確認事項として，有効期限やCRL の確認を挙げる受験者 が多く見られたが，想定する脅威に対してそれぞれの確認事項がどの程度有効であるのかを意識して解答して ほしかった。 設問3 は全体的に正答率が低かった。暗号化された通信路が二つ存在するという応用的な問題ではあった が，HTTPS 通信時の処理の流れを理解していれば解ける問題である。重要なところなのでHTTPS 通信の基礎を 理解してほしい。

問4 では，内部統制を題材に，情報セキュリティマネジメントの基本知識及び外部サービス利用時の情報セ キュリティの確保について出題した。全体として正答率は想定どおりだった。 設問1 及び設問2 は穴埋め問題であり，高い正答率を期待したが，設問2c 以外は正答率が低かった。これ らの用語や内容は，情報セキュリティに関する基本的な知識であり，しっかりと理解してほしい。また，設問 2e は，誤って“破棄や管理”と解答した受験者が多かった。クリアデスクの意味を考えてほしい。 設問3 では，(1)，(2)は正答率が高かったが，(3)は正答率が低かった。管理的対策としてどのような対策 が効果的かを考えて解答してほしかった。 設問4 では，(1)は正答率が高かったが，(2)は低かった。統制状況に関する報告書では，利用者ID の登録 に関してどのような項目の記述が必要かを理解して解答してほしかったが，不十分な解答が多かった。

問1 では，医療情報システムを題材に，個人情報の取り扱い，ディジタル署名やタイムスタンプを用いたデ ータの完全性及び真正性，社会インフラにおける重要なシステムの事業継続について出題した。 設問1(1)は，正答率が低かった。複数存在するアクタのうちどのアクタになりすますのかによって，発生す るセキュリティ上のリスクが異なってくることを理解して解答してほしかった。(2)は，基礎的な技術に関す る出題で，解答の多くは正しい技術用語で解答できていなかった。正しく理解し覚えてほしい。 設問2(3)は，“アクセス主体”の意味を正しく理解していない解答が多かった。アクタ種別ごとのアクセス 制御では不十分なことを踏まえ，“アクセス主体”を更に細かな単位で制御する必要があることに着眼してほ しい。 設問3(2),(3)は，正答率が低かった。タイムスタンプ技術の目的と適用方法について，曖昧なまま理解して いる解答が多いように見受けられたので，基本的な技術を正確に理解してほしい。(4)は，改ざん検知後，電 子カルテを回復する場合，どの時点の状態に戻るのかを認識して解答してほしい。 設問4(1)は，緊急時にはシステム環境などに関する制約がある中で業務遂行上の優先順位付が必要になるこ とを認識した上で，実行性のある方式を具体的に解答してほしい。(2)は，非常時に医療情報システムを利用 する者の識別及び資格の有無など，アクセスの許可を判断する上で必要となる手続などを具体的に解答してほ しい。

問2 では，複数種類のサーバからなる既存システムに対して，統一したログ管理システムを適用する際の設 計について出題した。全体として正答率は想定どおりであり，実務経験をもつ受験者にとっては，正解を導き やすい問題であったと思われる。 設問2(2)は，正答率が低かった。特権操作1 に対して記録すべきデータ項目と製品R の仕様とを比較するこ とで，解答を導き出すことを期待したが，製品R の仕様や本文中に記載されている条件を十分に理解していな いと思われる解答が多かった。実装方法の検討においては，要件や制約の抽出及び整理を行う必要があること を再認識してほしい。また，設問の趣旨を誤解した解答も多かった。解答においては，設問の趣旨を十分に理 解してほしい。 設問2(4)では，システムを正しく選択できているのに，理由を正確に記述できていない解答が多かった。大 量のディスク資源が必要になる真の理由は，製品H の仕様上の制約の結果，必要のないログが大量に取得され てしまうことである。ログ管理においては，ログの保存や分析のために大量のディスク資源が必要になるの で，必要なログだけを取得する必要があることを理解しておいてほしい。 設問4(1)は，正答率が低かった。“管理端末に固定のIP アドレスを割り当てる”とした解答が多く，本文に 記載されている，各特権操作に対して取得すべきデータ項目を，正確に理解していない受験者が多かった。ロ グ管理においては，どのようなデータ項目を取得し，どのような分析を行うかを要件として具体的に定義した 上で，最適な実装方法を検討する必要があることを再認識してほしい。