情報セキュリティマネジメント試験 平成29年度秋期

問1 では，在宅勤務の導入に伴うIT 利用環境の変化を題材として，業務の現場において情報セキュリティ リーダに求められる情報セキュリティリスクアセスメントの能力のうち，特に詳細リスク分析の能力について 出題した。 設問1 は，おおむね理解されていたが，事業継続性と混同した解答が見受けられた。情報セキュリティの3 要素について十分に理解しておいてほしい。 設問3 の (2) は，しきい値を考慮していない解答が多く見受けられた。(3) は，正答率が低かった。様々な要 因によってリスク値が変化することを理解してほしい。(6) は，正答率が低かった。各管理策が脅威α に対し て有効かどうかを，適切に判断できていない解答が見受けられた。 情報セキュリティリーダは，限られた経営資源を有効に活用し，情報資産のリスク値を考慮したバランスの 取れた管理策を実施し，必要に応じてリスクの再評価を適切に行ってほしい。

問2 では，Web アプリケーションソフトウェア開発を題材として，攻撃の分類や対策と，ソフトウェア開発 の外部委託に際して留意すべき事項について出題した。 設問2 は，(1) ，(2) とも攻撃についての知識を問う設問であるが，(1) はおおむね解答できていたものの， (2) は正答率が低かった。Web アプリケーションソフトウェアのセキュリティ対策では，情報セキュリティリ ーダとして攻撃についての知識が必要となるので習得しておいてほしい。 設問3 の (1) は，おおむね解答できていたが，脆 ぜい 弱性の検出数だけで診断結果を評価している解答が見受け られた。脆弱性診断の結果報告を受ける際は，危険度なども踏まえて適切にリスクを評価できるように，攻撃 の特性についても理解を深めてほしい。また，(2) もおおむね解答できていたものの，WAF 設定などの技術的 な観点だけに着目していた解答も見受けられた。暫定策を適用する際の考え方についても理解しておいてほし い。 設問4 は，おおむね解答できていたが，(1) では，WAF のメリットについて誤解している解答が見受けられ た。WAF がWeb サービスの継続性確保に有効であることを理解してほしい。 情報セキュリティリーダは，Web アプリケーションソフトウェアへの攻撃や効果的な対策に関する知識を習 得し，リスクに応じて根本的な解決策と暫定的なリスク低減策を使い分けられるようになってほしい。

問3 では，モバイルワークにおけるスマートデバイス利用を題材に，リスク及びその対策，並びにその対策 実施によって生じる課題及びその解決策について出題した。 設問1 は，(1) b，(2) の正答率が高く，スマートデバイス利用におけるリスクの対策についてはよく理解され ていた。(3) の正答率は低かった。スマートデバイスのOS 改造によるリスクについても正確に理解しておいて ほしい。 設問2 は，全体的に正答率が高く，よく理解されていた。(4) では，会社が許可したスマートデバイスか否 かを特定できる項目及び方法を理解していない解答が多く見受けられた。 モバイルワークにおけるスマートデバイスの利用は，今後ますます拡大することが予想される。情報セキュ リティリーダは，スマートデバイスに関するリスクや課題についての具体的な対策を検討するために必要な知 識と能力を習得しておいてほしい。