情報セキュリティマネジメント試験 令和元年度秋期

問1 では，生活雑貨販売会社のEC サイトで発生した情報セキュリティインシデントを題材に，EC サイトに おける利用者認証とアクセス監視について出題した。問1 は得点率が高かった。 設問4 は，全体として正答率が高かった。受験者の多くは複数のオンラインサービスを利用しており，ボット 対策の技術の一つであるCAPTCHA についてもよく理解していたと思われる。 設問3(3)及び設問5 のj の正答率が低かった。j はパスワード総当たり攻撃を検知する方法を問うた。パスワー ド総当たり攻撃は理解しているが，その検知のためのしきい値の設定についての理解は不十分であったと思われ る。

問2 では，チャットサービスを題材に，アカウント乗っ取りの際のインシデント対応について出題した。問 2 は得点率が低かった。文章量が多かったことが原因と考えられる。 設問2 の(2)は，ログからでも確認できる対象者を含むような誤った解答が多く見受けられ，正答率が低かっ た。効率良く調査を行うため，対象範囲を絞る考え方を理解してほしい。(5)では，ファイルを保護するための パスワードをファイルと同じ通信経路で通知した場合，攻撃者が両方を入手してしまうリスクが高いことを理 解してほしい。 設問4 の(1)では，今回の問題点に対して効果がない解答が多く見受けられた。(2)では，不正ログインへの多 要素認証による対策と利便性とのバランスについて問うたが，正答率は低かった。各対策によるリスク低減の 効果について正確に理解してほしい。

問3 では，業務委託先の選定を題材に，委託先の情報セキュリティ対策を評価する能力，及び問題点への対 応策を検討する能力について出題した。問3 は特に得点率が低かった。状況設定が複雑かつ文章量が多かった こと，また，問1，問2 の解答に時間を使ってしまい，問3 を解くのに十分な時間を確保できなかったことが 原因と考えられる。 設問1 の(2)は，暗号鍵管理の仕組みとその効果について問うた。暗号化の効果は暗号鍵の管理の仕組みに依 存することを正確に理解してほしい。 設問2 は，自社システムを利用した場合の，内部犯行へのリスク対応について問うたが，正答率は低かっ た。リスク対応の種類について理解してほしい。 設問3 の(1)，(2)は，論理的及び物理的なアクセス制限について問うた。人事異動に伴う入室権限の不備につ いてはよく理解されていた。論理的なアクセス制限と物理的なアクセス制限を効果的に組み合わせる方法につ いて理解しておいてほしい。 設問4 は極めて正答率が低かった。無回答の割合も高く，時間不足の影響が特に現われていた。