情報セキュリティ​マネジメント試験 令和元年度 秋期 午前

まず主催の問題冊子 (PDF)を開いて、時間を計って解きます。

各問の下の 1 行は答えに触れています。解き終えてから読んでください。

1. 問1 BEC (ビジネスメール詐欺) の手口

   BEC は、取引先や経営者になりすました偽のメールで、振込先をすり替えるなどしてお金をだまし取る詐欺です。正解はアです。

2. 問2 IPA の情報共有の取組 J-⁠CSIP

   J-⁠CSIP (サイバー情報共有イニシアティブ) は、IPA が情報ハブとなり、参加組織が受けたサイバー攻撃の情報を集めて共有する取組です。正解はウです。

3. 問3 リスク受容とリスク所有者の承認

   JIS Q 2⁠7⁠0⁠0⁠1 は、リスク対応の計画と、受け入れる残留リスクについて、リスク所有者の承認を得ることを求めています。正解はアです。

4. 問4 退職者による内部不正の対策

   退職の間際は重要情報の持出しが起きやすい時期なので、退職予定者のアクセスや媒体の持出しの監視を強めるのが適切です。正解はエです。

5. 問5 JIS Q 2⁠7⁠0⁠0⁠0 の是正処置

   不適合の原因を取り除き、同じことが二度と起きないようにする処置は、是正処置です。正解はウです。

6. 問6 IoT 機器が TCP 2⁠3 番を狙われる理由

   2⁠3 番ポートを使う遠隔操作の Telnet は、初期パスワードのままの機器が多く、ログインして乗っ取りやすいので狙われます。正解はアです。

7. 問7 SPF の仕組み

   SPF は、受信側のサーバが、送信元ドメインに登録された正規の送信サーバの IP アドレスと、実際に送ってきたサーバの IP アドレスを照らして、詐称を見分ける仕組みです。正解はイです。

8. 問8 VDI による Web 閲覧の分離

   Web の閲覧を DMZ の VDI サーバ上の仮想デスクトップで行うので、マルウェアをダウンロードしても届くのは VDI サーバ側で、内部ネットワークの PC には入りません。正解はアです。

9. 問9 JIS Q 2⁠7⁠0⁠1⁠7 のクラウドの管理策

   JIS Q 2⁠7⁠0⁠1⁠7 は、JIS Q 2⁠7⁠0⁠0⁠2 の管理策をクラウドサービス向けに補い、クラウドサービスに固有の管理策を加えた規格です。正解はアです。

10. 問1⁠0 シャドー IT とは

    シャドー IT は、IT 部門の許可を得ずに、従業員や部門が業務に使っているデバイスやクラウドサービスのことです。正解はイです。

11. 問1⁠1 ステガノグラフィとは

    ステガノグラフィは、画像などのデータの中に、秘密の情報をそれと気付かれないように埋め込む技術です。正解はアです。

12. 問1⁠2 SHA-⁠2⁠5⁠6 のハッシュ値の性質

    SHA-⁠2⁠5⁠6 では内容の違うデータが同じハッシュ値になることは実際上ないので、ハッシュ値が全く同じならファイル A と B の内容は同じと考えられます。正解はエです。

13. 問1⁠3 MITB 対策のトランザクション署名

    トランザクション署名は、振込先の口座番号などの取引の内容を PC とは別の機器に入れて作った値を送り、PC の中での書き換えを銀行側で見抜く方法です。正解はウです。

14. 問1⁠4 WAF のフォールスポジティブ

    フォールスポジティブは正常な通信を攻撃と誤って判定することで、正当なリクエストを遮断したアが当たります。正解はアです。

15. 問1⁠5 ボットネットの C&C サーバの役割

    C&C サーバは、ボットに感染した多数の機器に命令を送り、情報の収集や攻撃を指示する司令塔です。正解はアです。

16. 問1⁠6 DNS キャッシュポイズニングの影響範囲

    B 社の DNS キャッシュサーバに A 社 Web サーバの偽の情報が入ったので、誘導されるのは A 社 Web サーバにアクセスしようとする B 社従業員です。正解はイです。

17. 問1⁠7 IPsec で AES に使う鍵

    AES は暗号化と復号に同じ鍵を使う共通鍵暗号なので、PC とサーバで共有した共通鍵を用います。正解はイです。

18. 問1⁠8 WPA3 とは

    WPA3 は、無線 LAN のセキュリティ規格で、WPA2 の後継です。正解はエです。

19. 問1⁠9 リバースブルートフォース攻撃

    リバースブルートフォース攻撃は、パスワードを 1 つに決め、利用者 ID のほうを次々に変えてログインを試す攻撃です。正解はイです。

20. 問2⁠0 ディジタル署名の鍵の組合せ

    ディジタル署名は、送信者が自分だけが持つ秘密鍵で作り、受信者が送信者の公開鍵で確かめます。正解はエです。

21. 問2⁠1 バックドアとは

    バックドアは、正規の認証などの手続を通らずに中に入れる隠れた入口で、手続を経ずにアクセスできる URL のアが当たります。正解はアです。

22. 問2⁠2 マルウェアの動的解析

    動的解析は検体を実際に動かして振る舞いを観察する方法で、サンドボックスで実行するイが当たります。正解はイです。

23. 問2⁠3 ブロック暗号で作るメッセージ認証符号

    メッセージ認証符号 (MAC) は、メッセージと共有した鍵からブロック暗号などで作る値で、改ざんの有無を確かめるのに使います。正解はウです。

24. 問2⁠4 リスクベース認証

    リスクベース認証は、いつもと違う環境からのアクセスなど、危険が高いと判断したときだけ追加の認証を求める方式です。正解はウです。

25. 問2⁠5 DNS のランダムサブドメイン攻撃

    実在しないサブドメインはキャッシュに答えが無く、多数のオープンリゾルバが毎回“あるドメイン”の権威 DNS サーバに問い合わせるので、そこに負荷が掛かります。正解はアです。

26. 問2⁠6 共通鍵を公開鍵で包むメールの暗号化

    本文を暗号化し、その鍵を受信者の公開鍵で包んでいるので、受信者の秘密鍵を持つ人しか本文を読めません。得られる効果は本文の漏えいの防止です。

27. 問2⁠7 カード会員データを守る基準

    PCI DSS は、クレジットカードの会員データを守るために、カードの国際ブランドが共同で作った、技術と運用の要件を並べた基準です。

28. 問2⁠8 メール送信者の認証

    SMTP-⁠AUTH は、メールを送るときに、送信者の利用者 ID とパスワードを自分のドメインのメールサーバ (SMTP サーバ) で確かめる仕組みです。

29. 問2⁠9 わざと攻撃させるおとりの機器

    ハニーポットは、攻撃者をおびき寄せるために、わざと侵入しやすくしたおとりの機器やシステムです。集まった攻撃を観察して、手口やマルウェアを調べます。

30. 問3⁠0 ポートスキャナの使い道

    ポートスキャナは、サーバのどのポートが開いていて、どのサービスが動いているかを外から調べる道具です。不要なサービスが動いていないかの確認に使います。

31. 問3⁠1 業務のコンピュータを壊す行為を罰する法律

    業務に使うコンピュータのデータを消して業務を妨げる行為は、刑法の電子計算機損壊等業務妨害罪に当たります。

32. 問3⁠2 罰則規定のない法律

    出題当時の公益通報者保護法は、通報した人を解雇などの不利益から守る法律で、違反した事業者を罰する規定がありませんでした。

33. 問3⁠3 シュリンクラップ契約の成立の時点

    シュリンクラップ契約は、ソフトウェアの包装を破ったことで、使用許諾の条件に同意したとみなす契約の形です。

34. 問3⁠4 請負で作ったプログラムの著作権

    契約で特に決めていなければ、プログラムの著作権は、実際にプログラムを作った B 社に最初から帰属します。

35. 問3⁠5 労働者派遣に当たる契約

    労働者派遣では、雇うのは B 社 (派遣元) でも、仕事の指示 (指揮命令) は受け入れる側の A 社 (派遣先) が出します。A 社の監督者が直接指示しているアが当たります。

36. 問3⁠6 秘密保持を就業規則と個別の合意で決める

    就業規則の一般的な秘密保持の規定に加えて、担当者の仕事に合わせて守るべき秘密を具体的に決める個別の合意を結ぶのは、労働法に照らして適切です。

37. 問3⁠7 受け渡したデータの件数と金額を照らす

    受け渡す前と後で、入金額の合計とデータの件数 (コントロールトータル) を照らせば、データの欠けや重複、値の誤りに気付けます。

38. 問3⁠8 内部統制の統制活動の例

    統制活動は、経営者の命令や指示がきちんと実行されるようにする、日々の業務の中の決まりや手続きです。発注と検収を別の人に分ける職務の分離がその代表例です。

39. 問3⁠9 処理の流れを追跡する監査技法

    ウォークスルー法は、データが生まれてから使われるまでの流れと、途中のコントロールを、監査人が書類の上で、又は実際になぞって確かめる技法です。

40. 問4⁠0 アクセス制御の監査人がすること

    システム監査人は、監査の対象から独立した立場で、規程や記録を見て確かめる役です。管理規程を閲覧するのは監査人の行為として適切です。

41. 問4⁠1 サービスの中断や品質の低下の呼び名

    サービスマネジメントでは、計画していないサービスの中断や品質の低下、まだ影響は出ていないがその恐れがある事象を、インシデントと呼びます。

42. 問4⁠2 運用作業でのエラープルーフ化の例

    エラープルーフ化は、人の注意力に頼らず、作業のやり方や道具の側を工夫して、間違いが起きにくくすることです。ウィンドウごとに背景色を変えるアがこれに当たります。

43. 問4⁠3 プロジェクトの進み方とリスクの変わり方

    プロジェクトは、進むほど分からないことが減り、決まったことが増えるので、リスク (不確かさ) は完了に近づくにつれて小さくなります。

44. 問4⁠4 アローダイアグラムのクリティカルパス

    結合点ごとに最も早く始められる日を求めると、B、E、F の経路が 5 ＋ 4 ＋ 5 ＝ 1⁠4 日で最も長く、これがクリティカルパスです。

45. 問4⁠5 Web システムの応答時間

    応答時間 (レスポンスタイム) は、利用者が要求を出し終えてから、結果が返り始めるまでの時間です。ボタンを押してから表示が始まるまでのアが当たります。

46. 問4⁠6 トランザクションの正しい扱い

    デッドロックは、互いに相手のロックの解放を待って動けなくなる状態です。DBMS はどれかのトランザクションをロールバックしてロックを外し、行き詰まりを解きます。

47. 問4⁠7 通信相手の IP アドレスを問い合わせる仕組み

    DNS は、www.example.jp のようなドメイン名やホスト名から、通信相手の IP アドレスを問い合わせて求める仕組みです。

48. 問4⁠8 RPA による業務の改善

    RPA は、人がパソコンで行っている決まった手順の事務作業を、ソフトウェアのロボットに代わりにさせる仕組みです。コピー＆ペースト作業を自動化したイが当たります。

49. 問4⁠9 提案依頼書を作るときの発注者の心得

    RFP に要求の重要度を書いておけば、ベンダ企業は何を優先して提案すればよいかが分かり、ユーザ企業も提案を同じ物差しで比べられます。

50. 問5⁠0 自由記述の文章を分析する手法

    テキストマイニングは、文章のデータを単語に分け、単語の出現頻度や、一緒に出てくる単語の組などを調べて、役に立つ情報を取り出す手法です。

出典：令和元年度 秋期 情報セキュリティ​マネジメント試験 午前

出典 主催の過去問題の頁（2026年10月30日に確認）