情報セキュリティスペシャリスト試験 平成23年度特別試験

問1 では，C++におけるバッファオーバフロー対策について出題した。全体として，正答率は想定どおりだ った。 設問3 は，正答率が低かった。図6 では領域の境界をプログラムで管理する必要がないことは問題中の記述 から読み取れる。その上で，なぜ必要がないのか，代わりにどのような仕組みで管理するのかという点を具体 的に解答してほしかった。これは類似の脆弱性を回避するために重要な点であり，確実に理解しておいてほし い。 設問4 では，開発標準ルールの具体的な記述を問うた。プログラム開発では，脆弱性対策だけでなく品質確 保の面からも，開発標準ルールを決めることは重要である。具体的な開発標準ルールなどを参考に学習してほ しい。

問2 では，ソフトウェア資産管理に関連する情報セキュリティ対策について出題した。全体として，正答率 は想定どおりだった。 設問2 は，正答率が低かった。全社としての調査で初めて把握できる内容を解答してほしかったが，各部門 の調査でも把握できるような誤った解答が散見された。 設問4(2)は，正答率が低かった。セキュリティパッチの提供が終了したソフトウェアを抽出することの意義 として，“新たな脆弱性が発見されたら速やかに対処できる”という解答も見られたが，脆弱性が発見された としても，開発元からセキュリティパッチは提供されない。このような危険な状況は，直ちに回避する必要が ある。 設問5 は，正答率が低かった。権限の集中による不正行為を防ぐために，“権限分離”又は“相互けん制” という考え方に基づき，ソフトウェアの利用者以外の第三者が登録することを理解してほしかった。

問3 では，PC や記憶媒体による情報の社外への持出しを題材として，情報漏えい対策について出題した。全 体として，正答率は想定どおりだった。 設問2 は，正答率が低かった。PC の持運びに関する注意点を問うているにもかかわらず，持運び自体を禁止 するといった誤った解答が散見された。設問で何が問われているのかを，落ち着いて把握するようにしてほし い。 設問3(2)は，正答率が高かったものの，認証やアクセス制限，DMZ の設置によるWeb サーバ自体の防御とい った誤った解答が散見された。これらは，いずれも不正アクセスを防ぐための方法であり，設問で問われてい る不正アクセス後の被害の拡大防止には寄与しない。各種の対策がどのようなリスクに対して効果をもってい るのかを，改めて確認しておいてほしい。 設問4 は，正答率が低かった。マルウェア対策が困難な理由を問うたが，Web サーバへの感染拡大といった ウイルス感染後の事象を述べた誤った解答が散見された。感染後に何が起こるかは，感染対策が困難であるこ ととは直接の関係がないことを理解した上で解答してほしかった。

問4 では，Web サイトのセキュリティ対策について出題した。全体として，正答率は低かった。 設問1(3)は，正答率が低かった。パスワード認証方式のSSH は，活発なブルートフォース攻撃によって危険 性が高くなっているので，公開鍵認証方式の理解が不可欠である。 設問1(4)は，ログを保存するという趣旨だけの誤った解答が多く見受けられた。FW のドロップログを分析 することで様々なインシデントやその予兆を検知できることを理解しておいてほしい。 設問1(5)は，正答率が低かった。本来ならば必要のないスクリプトファイルへのアクセス権限を付与するこ とでリスクは増大する。最小権限の原則を改めて意識してほしい。 設問2 は，ログイン試行の時間，アクセス元，回数に関しては触れていたが，ログイン試行の結果（成功又 は失敗）に関する条件が欠けている解答が多く見られた。結果に関する条件を明確にしないで検知しようとす ると誤検知が大量に発生してしまうことを覚えておいてほしい。

問1 では，メールシステムの情報漏えい対策の強化を題材にして，電子メールに関する知識，設計能力及び Web サーバの情報セキュリティ対策について出題した。全体として，正答率は想定どおりだった。 設問2 は，正答率が高かった。メールのオープンリレーに関する理解が高いことがうかがわれた。 設問4(2)は，正答率が低かった。問題中の記述と図表をよく読めば正答を導けるはずである。メールシステ ムの設計においては，メール機能以外の条件も考慮する必要があることを理解しておいてほしい。 設問4(5)は，エンベロープについての言及がない解答が目立った。SPF（Sender Policy Framework）は迷惑 メールに対する有効な対策である。SPF の仕組みをよく理解しておいてほしい。 設問5(2)は，情報漏えい対策として，情報システム部が行うべき運用方法についての解答を求めたにもかか わらず，機能を述べた解答が目立った。設問をよく読み，求められていることを理解した上で解答してほし い。

問2 では，無線LAN やWeb アプリケーションに関する技術的対策や，PDCA サイクルに代表されるマネジメン ト面での対策を題材にして，企業における情報セキュリティ監査対応について出題した。全体として，正答率 は低かった。 設問1(1)は，正答率が低かった。平成15 年に経済産業省の情報セキュリティ監査制度が開始されてから既 に8 年が経過しているが，受験者の知識がまだ不十分であることがうかがわれた。 設問4(2)は，HTTPS とHTTP でクッキーを使い分けるという解答や，全てのページを暗号化するという解答 が多かったが，それに加えてHTTPS で利用するクッキーにsecure 属性を付与することまで踏み込んだ解答は 少なかった。セッション管理はWeb アプリケーションの技術的セキュリティ対策において重要な要素なので， 代表的な対策についてよく理解しておいてほしい。 設問5(2)は，管理策を策定するプロセスについての解答を求めたにもかかわらず，管理策を策定した後の実 施状況の確認や内部監査について述べた解答が目立った。設問をよく読み，求められていることを理解した上 で解答してほしい。