情報セキュリティスペシャリスト試験 平成25年度秋期

問1 では，クロスサイトスクリプティングについて出題した。全体として正答率は低く，広く知られた脆 ぜい 弱 性のはずだが，正確には理解されていないようであった。 設問1(1)では判定基準と対策との関連性について出題した。選択問題にもかかわらず，正答率が低かった。 設問1 の(2)～(4)，設問2(1)～(3)，(5)，(6)ではそれぞれ原因箇所，問題の種類，対策方法を出題した。 原因箇所を正しく特定できると正解を導き出せる。また，原因箇所の特定ができなくても，問題文中の診断結 果をよく読めば，問題の種類を特定でき，対策方法を導き出せる。これらの関係を別々に考えるのではなく， 一組として理解できれば，さらに正答率が高まるはずである。 設問2(4)では，対策に用いるメソッド名をプログラム中から読み取ることについて出題した。正答率は高か った。 設問2(7)では，特定した原因箇所を修正することについて出題した。無解答が多かった。できるだけ修正範 囲を限定した上で，プログラムを修正する能力をつけてほしい。 この問題では，IPA が公表している脆弱性対策資料を題材にした。この資料を活用して，試験だけではな く，実際のアプリケーション開発時も脆弱性への対策を正確かつ確実に実施してほしい。

問2 では，スマートフォンアプリケーション（以下，スマホアプリという）を用いたサービスにおいてセキ ュリティ上考慮すべき点について出題した。全体として正答率は低かった。 設問1 では，スマホアプリの利用者認証について出題した。(2)は選択問題にもかかわらず，正答率は低か った。暗号方式やハッシュ関数について正確に覚えておいてほしい。 設問2 では，スマホアプリを利用したサービスにおける問題点の改善案について出題した。正答率は高かっ た。アドレス帳の全件データを送信しなくても要件を満たせる手段を考えれば，正解を導けるはずである。 設問3 では，スマホアプリからのリクエストを処理するWeb アプリケーションの問題点について出題した。 (1)では二つのパラメタのうち“DateTime”を“AuthKey”と誤って解答した受験者が多かった。各パラメタの 役割をよく理解して，正解を導いてほしかった。各パラメタの役割を理解できれば，(2)の追加する仕様とし て“YoyakuCode”と“AuthKey”との対応をチェックしなければならないということも導けるはずである。 今後普及が見込まれるものも含め，スマホアプリのセキュリティについては，IPA が公表している情報セキ ュリティ対策資料なども参考にして，体系的に学習しておいてほしい。

問3 では，パブリッククラウドサービスの業務利用を題材に，2 要素認証の利用と事業継続について出題し た。 設問1 では，2 要素認証の利用を開始するプロセスについて出題した。2 要素認証は，パスワードだけを用 いた認証に比較すると安全性を格段に高めることが可能であるが，運用が不適切であるとその目的は達成でき ない。2 要素認証の利用開始プロセスにおいてどのようなリスクがあるかを認識し，正しいプロセスを設計す ることが重要である。 設問2 では，2 要素認証に利用している携帯電話に盗難，紛失があった際の対応について出題した。不正使 用が継続してしまう理由については正答率が高かった。一方，その対策についての正答率は低く，クッキーに 関する対応を答えた受験者が多く見受けられた。クッキーに関する対応では効果は限定的である。認証に利用 している要素（この場合は携帯電話）の盗難・紛失に対しては，管理者が速やかに対応できるように，確実に 届け出させることが必要であることを認識してほしい。 設問3 では，パブリッククラウドサービスを用いた業務の事業継続に関して出題した。正答率は高かった。 パブリッククラウドサービスを利用する際には，可用性についても検討を行い，必要な対策をあらかじめ実施 することが必要であるという点については理解されていたようだ。

問1 では，マルウェア感染事例を題材に，調査と調査結果に基づく対策立案について出題した。本問では， 事実を正確に把握した解答を求めており，問題文中に記載された各事象を時系列で整理することを期待した。 問全体としての正答率は高かったが，解答内容から，マルウェア感染事例やその調査手法における，受験者の 具体的な知識や経験の差が感じられた。 設問1(2)は，正答率が低かった。マルウェアP について解答した受験者が多かったが，本設問で問うている 時点では，マルウェアP 自体は検出・駆除済であることを把握してほしかった。 設問4(3)は，正答率が低かった。プロキシサーバでの認証機能を用いる対策は，IPA が公開している“『標 的型メール攻撃』対策に向けたシステム設計ガイド”内でも述べられている対策である。問題文中では，対策 が万全ではない場合があることを記載しているが，実際のマルウェア対策を検討する上でも，各認証方式の違 い，プロキシ製品やUTM 製品における認証機能の実装の違い，また対策が有効なマルウェアの範囲についても 理解して検討を進めてほしい。

問2 では，会社貸与のモバイルPC を利用した既存のリモートアクセス環境を拡張し，個人所有のスマート フォンを利用したリモートアクセス環境を構築する際の設計について出題した。実務経験をもつ受験者にとっ ては，正解を導きやすい問題であったと思われる。 設問1(1)では，D 社が認めていないアクセスを正しく識別できているのに，それを防ぐ対策を正確に記述で きていない解答が多かった。ファイアウォールのルールから，モバイルPC とスマートフォンという二つの用 途ごとに通信経路を分離する必要があることを導き出してほしかったが，どちらか一方の記述にとどまってい る解答が多かった。また，ファイアウォールのルールとして，問題文中に記載されているWeb メールサーバ及 びVPN に関する条件を十分に理解していないと思われる解答も多かった。問題解決においては，対策が，与え られた条件を満たしているか，論理的な観点から検証する必要があることに注意してほしい。 設問2(1)は，正答率が低かった。製品E，携帯電話事業者のサービスのそれぞれでのデータ消去に必要な条 件の違いから，製品E でないとデータ消去が行えない二つの条件を導き出してほしかったが，一方の条件の記 述にとどまっている解答や，条件を正確に記述できていない解答が多かった。解答においては，与えられた条 件を理解し，論理的に考えて解答を記述してほしい。 設問2(2)は，正答率が低かった。問題文中に記載されている条件から，原因となるスマートフォンの仕様を 識別してほしかったが，原因となる仕様を，正しく識別できていない又は正確に記載できていない解答が多か った。要件や制約を抽出及び整理し，正確に記述する必要があることを再認識してほしい。