情報処理安全確保支援士試験 平成29年度秋期

問1 では，ランサムウェアへの対策について出題した。全体として正答率は高かった。 設問2(2)は，復元に利用するバックアップデータを選択する際の適切な判断について問う問題である。“バ ックアップの開始時刻”という誤った解答が見受けられた。バックアップの取得には時間が掛かるので，その 間にランサムウェアが暗号化を行うと，バックアップファイルの中に暗号化されてしまったファイルが含まれ 復元できなくなることを理解してほしい。 設問3(2)は，暗号化に使う鍵について問う問題である。正答率は低かった。本文で示された共通鍵暗号と公 開鍵暗号を組み合わせる方法での具体的な処理を理解した上で解答してほしい。 設問4 は，脆 ぜい 弱性を悪用して他のサーバやPC に感染を広めるランサムウェアの被害について問う問題であ る。このランサムウェアの場合，管理者権限でファイルを暗号化するので，そのときの被害を想定して，対策 の立案ができるようになることを期待したい。

問2 では，Web アプリケーション開発におけるセキュリティ対策について出題した。全体として正答率は低 かった。 設問1(1)は，SQL インジェクションの脆 ぜい 弱性対策の問題である。設問1(2)及び設問1(3)は，クロスサイトス クリプティング脆弱性対策の問題である。これらについては，比較的よく解けていた。理解が進んでいると思 われる。 設問2(1)は，Cookie についての問題である。Secure 属性については理解されているようだが，それに比べる とHttpOnly 属性については理解が進んでいないようであった。設問2(2)は，正答率は低かった。Web アプリ ケーションでの認証後のリダイレクト機能に関する問題である。不適切な実装は，オープンリダイレクタの問 題を招くことを確認するとともに，オープンリダイレクタの対策としては，ホワイトリストが知られているの で，対策できるようになってほしい。 設問3 は，ソフトウェア開発における検査及びリスク低減策に関する問題である。正答率は低かった。検査 にWeb ブラウザを用いることもあるので，最近のWeb ブラウザの機能をよく理解しておいてほしい。

問3 では，SSL/TLS を用いたサーバの設定と運用について出題した。全体として正答率は低かった。 設問1(1)は，SSL/TLS が利用する暗号関連技術を問う問題である。SSL/TLS の安全性は一部これらの技術に よっているので，SSL/TLS を安全に利用するために，正しく理解しておいてほしい。 設問2(1)は，鍵の危たい化発生時の対応を問う問題である。危たい化が明らかとなった場合，被害の発生を 最小にとどめるために，関係するサーバ証明書の利用を停止し，かつ当該サーバ証明書の失効を遅滞なく行わ なければならない。設問2(2)で採り上げたように，情報公開を適切に行うことも求められる。システム運用の 現場において，危たい化発生時の対応についての検討が不足していることはないだろうか。受験者各位は，正 しい知識を身につけ，現場に貢献してほしい。 設問3(4)は，サーバ証明書の種類についての問題である。正答率は低かった。市場で販売されているサーバ 証明書には複数の種類があり，適材適所がある。Web サーバの目的に照らして最適なサーバ証明書を採用でき るように，サーバ証明書の仕様及び発行時の審査の違いを正しく理解しておいてほしい。

問1 では，クラウドサービスとIoT を組み合せたシステムを題材に，セキュリティについての検査と対策立 案について出題した。 設問1(1)及び設問2(1)は，いずれも知識問題であり，正答率が高かった。情報セキュリティに関する一般的 な用語については，受験者の知識が高いことがうかがえる。 設問1(2)は，TCP/IP の3 ウェイハンドシェークについての知識を問う問題であるが，特に“閉じている場 合”について，正答率が低かった。サイバー攻撃に関するインシデント対応やセキュリティ検査においては， ネットワークの知識は重要である。基本的な事項は理解しておいてほしい。 設問2(3)は，正答率が低かった。セキュリティ検査では，検査の目的に応じて，手法とテスト環境を検討し 選択することが必要である。 設問3(1)は，正答率が低かった。クラウドの利用拡大によって，クラウドにアクセスする端末が増える一方 で，不正アクセス対策の重要度が増している。利用者認証だけでなく，端末を認証する方法についても理解を 深めてほしい。

問2 では，DBMS とハードウェアセキュリティモジュール（以下，HSM という）を用いたシステムを題材 に，データ暗号化の設計について出題した。 設問1(1)は，知識問題であるが，正答率が低かった。業界ごとの代表的なセキュリティ基準，データ暗号化 に関する基準は，セキュリティ要件を定義する際に参照すべきものであり，代表的なものについては知識をも っておいてほしい。設問1(2)及び設問1(3)は，正答率が高かった。多くの受験者が，比較的簡単な前提条件に 基づいて，リスクを特定したり数値化したりする能力をもっていることがうかがえる。 設問2 は，HSM に関する知識問題であるが，(5)を除いて正答率があまり高くなかった。HSM は，データ暗 号化に用いられる鍵を安全に管理する技術である。基本的な知識をもっておいてほしい。 設問3(1)は，DBMS の暗号化機能，HSM，及びHSM をネットワーク経由で利用するためのソフトウェアの 3 種類の構成要素を組み合わせたデータ暗号化の設計に関する設問であるが，正答率が低かった。鍵を安全に 保護した上でデータを暗号化する仕組みについての理解を深めてほしい。また，設問文で求められている解答 形式から大きく逸脱した解答が多かった。他者と協力して業務を行う技術者は，問いと解答形式を正しく理解 し，求められている解答を的確に表現できるよう基本的なコミュニケーション能力を身につけてほしい。 設問4 は，セキュリティ対策後の残留リスクに関する設問であるが，正答率が低かった。セキュリティ対策 の設計において，対策後の残留リスクを正しく分析する能力を身につけてほしい。