情報処理安全確保支援士試験 令和7年度秋期

問1 では，従業員によるWeb アプリケーションへの攻撃を題材としたインシデントを通して，脆 ぜい 弱性の分 析，攻撃手法の特定，及び対策の立案について出題した。全体として正答率は平均的であった。 設問1 は，正答率がやや低かった。Content Security Policy（CSP）を理解することは，堅牢なWeb システ ムを開発及び構築する上で重要である。リソース読込みの制御を適切に行うために，CSP の内容や緩和効果に ついて理解を深めてほしい。 設問2 は，(1)～(4)の正答率が高かった。図3 及び図4 から攻撃内容を読み取ることができている受験者が 多かった。一方で，(5)の正答率がやや低かった。CSP による制御を回避する攻撃手法について考察すること は，攻撃者によるスクリプト実行を防ぐ対策を立案する上で重要である。CSP の仕組みについて理解を深めて ほしい。 設問4 は，正答率が低かった。脆弱性を検出し修正するための開発プロセスを出題したが，“ログ分析を行 う”や“ID の棚卸しを行う”，“アノマリ検知の仕組みを導入する”などの運用プロセスでの対策，“権限チェ ックを行う”，“多要素認証の仕組みを導入する”などの修正機能の追加，及び“WAF を導入する”などのセキ ュリティ製品導入に関する解答が散見された。開発プロセスに対する理解を深めてほしい。

問2 では，暗号資産交換業における暗号鍵の管理を題材に，暗号技術の適切な利用方法について出題した。 全体として正答率は平均的であった。 設問3(1)は，正答率がやや低かった。一般に，攻撃者が不正行為を行うために用いる手段を推測すること は，セキュリティを強化する上で重要である。システム構成及び業務手順を詳細に把握し，既存業務における 弱点を見つけられるようにしてほしい。 設問3(2)は，正答率が低かった。“デジタル署名”という解答が多く見られた。さまざまな暗号技術をしっ かり理解してほしい。 設問4(1)は，正答率が平均的であった。情報の暗号化において暗号鍵としてパスワードを用いることは一般 的であり，適切にパスワードを管理すれば情報の機密性を守ることができる。しかし，攻撃者が暗号文とパス ワードを同時に入手できれば情報が攻撃者に知られてしまう。パスワードなどの暗号鍵及び暗号化した情報の 管理方法を併せて検討してほしい。

問3 では，インターネットバンキングの利用とリモートワーク環境の導入を題材に，社内のIT 環境のセキ ュリティ対策及びVPN サービスの導入方法について出題した。全体として正答率は平均的であった。 設問2 は，正答率がやや高かった。インターネットバンキングの振込みの流れやハードウェアトークンの特 徴を理解し，攻撃手法を正しく想定できていることがうかがえる。 設問4(2)は，正答率が低かった。社内からVPN サービスを利用する場合に，初期設定時及びVPN 接続前に必 要な通信も踏まえて解答してほしい。 設問5(1)は，正答率が平均的であった。外部の攻撃者の不正アクセスを防止する上で，リモートワーク環境 における認証は重要な役割である。本環境で利用する認証基盤の仕様を踏まえ，スマートフォン故障時にもセ キュリティ強度を落とすことのない代替策を解答してほしい。

問4 では，セキュリティ管理体制の構築について出題した。全体として正答率は平均的だった。 設問3 は，正答率がやや低かった。提示された攻撃シナリオに対して有効な対策を問うたが，SCADA の利用 者認証の強化という解答が散見された。マルウェアは，OS やアプリケーションの脆 ぜい 弱性を悪用したり，正常に 認証された利用者をだましたりして実行される。マルウェア対策として利用者認証の強化はあまり効果がない ことに注意してほしい。 設問4 は，正答率が平均的だった。万一マルウェアなどによる被害が発生してしまった場合に，いかに早く 復旧するかを問うたが，被害に至る攻撃を阻止する手段について言及した解答が散見された。迅速な復旧のた めにはバックアップの取得など平常時に何を行うかが重要であり，この点についての解答を期待していた。レ ジリエンスという言葉に代表されるように，企業の社会的立場によっては，被害に至る経緯を解明するより も，事業の復旧を優先する場合もあることを考えてほしい。