情報処理安全確保支援士試験 令和2年度10月試験

問1 では，スマートフォン用決済アプリケーションプログラムの開発を題材に，メッセージ認証を用いたな りすまし対策及びスクリーニング対策について出題した。全体として，正答率は平均的であった。 設問1(1)“問題”は，正答率がやや低かった。本問で扱うバーコードは，仕様上，決済のなりすましにつな がるおそれがある。決済のなりすましが成功してしまう原因と防ぐ手段をよく理解してほしい。 設問2(2)は，正答率が低かった。サーバ証明書のフィールドと，その検証方法をよく理解してほしい。 設問3(1)は，正答率がやや高かった一方で，(2)“修正後の処理”の正答率は平均的だった。“修正後の処 理”では，登録されているメールアドレスにエラーを通知するといった誤った解答が多かった。スクリーニン グを防止するには，会員登録されている場合とされていない場合で表示内容を同じにする必要があることをよ く理解してほしい。

問2 では，電子メールの暗号化を題材に，S/MIME を使った電子メールシステムの設計について出題した。 全体として，正答率は平均的であった。 設問1(2)は，正答率がやや低かった。SSH やFTP といった解答が散見された。OCSP は，X.509 公開鍵証明 書の失効状態をタイムリーに確認できるプロトコルである。OCSP の仕組みをよく理解してほしい。 設問2(1)は，正答率が平均的であった。SMTP over TLS 及びPOP3 over TLS によって，通信は暗号される が，メールサーバ上の電子メールは暗号化されていないということをよく理解してほしい。 設問2(3)は，正答率が高かった。S/MIME での電子メールの復号の仕様について，よく理解されていた。

問3 では，EC サイトの脆 ぜい 弱性診断を題材に，診断を受ける企業での診断計画の策定について出題した。全 体として，正答率は平均的であった。 設問1 は，(1)の正答率が高かった。プラットフォーム診断を実施する際のネットワーク型IPS の基本的な挙 動は，よく理解されていた。一方，(3)は正答率が低かった。診断PC の接続箇所を，管理LAN にある接続箇所 から選択した誤った解答が多かった。表2 の“診断1”は，インターネットから本番Web サーバへの攻撃を想 定した診断を内部のネットワークから実施するものであり，管理LAN からでは適切な診断ができない。脆弱性 診断の計画策定においては，どのような脅威を想定したものなのかを念頭に置くことが重要である。 設問2(1)～(3)は，診断対象システムの業務影響や，既存のセキュリティ機器の運用への影響に関するマネジ メントの問題であった。診断において重要であるので，よく理解してほしい。

問1 では，企業の合併に伴う複数のWeb サイトの統合を題材に，リスク分析と，Web アプリケーションプロ グラムにおけるセキュアプログラミングについて出題した。全体として，正答率は平均的であった。 設問1a は，正答率が低かった。サイトP を運用するために，Web-P からLDAP-P への通信が必要だという点 を考慮できていない解答が多かった。ファイアウォールの設定は，セキュリティ確保の基本なので，細心の注 意を払う必要があることに留意してほしい。 設問2 と設問4 では，リスク分析について出題した。設問2 は正答率がやや低く，設問4 は正答率が平均的 であった。消費者向けのWeb サイトでは，個人情報を取り扱うことが多いので，個人情報保護に関する法規制 について，よく理解してほしい。 設問3 と設問5 では，Java を題材として，Web アプリケーションプログラムにおけるセキュアプログラミン グについて出題した。いずれも正答率が高かった。情報処理安全確保支援士の重要な業務の一つに，セキュリ ティの観点でのソースコードレビューが挙げられる。ソースコードレビューは，開発チーム全体の技術レベル を向上させる効果的な方法なので，ぜひとも今後の業務に生かしてほしい。

問2 では，働き方改革のためのマルチクラウドを活用したテレワーク環境の構築を題材に，クラウドサービ ス利用時のリスク評価について出題した。 設問1(1)は，正答率が低かった。知識として知らなくとも，ワンタイムパスワード生成に求められる要件か ら，QR コードには第三者に推測されない秘密情報が含まれている必要があると考えられれば解答できる問題 であった。 設問1(3)は，正答率が高かった。発行された秘密情報（トークンや認可コード）をどのタイミングで検証す れば認証の安全性が担保されるかがよく理解されていた。 設問3(2)は，正答率がやや低かった。ノートPC からアクセスするクラウドサービスと，仮想デスクトップ からアクセスするクラウドサービスを混同した解答が散見された。 設問6(2)は，正答率がやや高かった。利用者に秘密情報を設定させるリスクがよく理解されていた。しか し，本問中ではPIN コードとパスワードが明確に区別されていたのにもかかわらず，PIN コードとパスワード を取り違えた誤った解答も散見された。