edomaesec_20141004_murayama

初版から3年半，第6刷を経て改訂

©2014 MURAYAMA, NAOKI

第２回「江戸前セキュリティ勉強会」

ヤマ張り上等！あと２週間「情報セキュリティスペシャリスト試験」

平成26年度秋期［第2版］第3刷御礼還付企画この企画は…今後も続くのか？（ネット上で評判なら, たぶん）

2014/10/04 村山直紀 (MURAYAMA, NAOKI)

@MurayamaNaoki

於日本MS 品川セミナールールA

ハッシュタグ #edomaesec　または　#へー素敵な試験対策ですね

1

本日のスライド資料

Twitter上のハッシュタグ #edomaesec　にて，下記 SlideShare のURLを告知しております。

SlideShare

【【村山覚書：ここにURLを記しておく】】

2 ©2014 MURAYAMA, NAOKI

免責事項等①私は「情報セキュリティ “の” スペシャリスト」ではなく，まだまだ学習途中の身。勉強会では聴講する側の立場です。

合格させてナンボの「教え屋」です。

専門は社会情報学。この世の「知識」なるものは，どう蓄積され，受け継がれるのか？に興味有り。

ある程度のセキュリティの知識は習得・修得済みであることを，本日の受講の前提としております。「江戸前セキュリティ勉強会」参加者は，その充分なレベル。私の役目は「合格するための，プラスα」の伝達です。

本日のスライド中，ワラカシで入れたものはスルーですよ！


免責事項等②非商用・非出版用途に限り，本稿は無償でご利用頂けます。学習に御活用下さい。

有償・無償を問わず，電子書籍化も不可。

非商用として許容される上限は，金銭の授受がコピー代程度までである，合格を目指す（≠競合書の執筆を目指す）社内勉強会。

将来，本稿を村山直紀が出版物へと転用する可能性は，とても高いです。

それゆえ，後日トラブらないためにも，本稿の転載や商用利用は，村山直紀あてに，ご相談ください。

Twitter「@MurayamaNaoki」

facebook「www.facebook.com/naoki.murayama」

できるだけ教材は『ポケスタ』を選んでね♡

ただし古本で『ポケスタ』を買った人は，本稿の利用をご遠慮下さい。

だって印税が1円も入りませンのん。。。

本稿の予想が外れてもそれはスルー，当ったらスゴイィと騒いで下さい。


本日，お話“しない”ことお盆明けから蓄積してきた「ネタ繰り」の全成果

ワラカシを含むネタを色々と作ってきましたが，これらを試験2週間前に話されても，腹が立つだけだと思い，公開は別の機会に。やりましょう！来春向けの対策会！

合格者の下限未満だと判断した範囲の知識

H26春SC試験から抽出した「速効サプリ®」

作成済み，ではある。その公開は有償の講座のみ。

この試験に合格することのメリット

いかに上司や経営層の同意を得るか

なお，説得するのに便利な小冊子を配布予定。5 ©2014 MURAYAMA, NAOKI

今夏の「ネタ繰り」の成果

ネタ①『思い出のマーニー』　… お蔵入り

ネタ②「妖怪ウォッチ」　　　… 採用

ネタ③「おっちゃんユスリやろ！」… ボツ

ツカミはどんなネタを話そうかと……

参加者：「CTF大会とは異なる思考パターンが　　　　必要だな」だけでも，掴んで頂きたい受験者：すがってもらう藁になりたい合格者：継続学習と，指導・育成用の資料に発表者：書籍の販促に来ました♡


なぜネタに走ろうとした『SC2版』を作る気持ち：「S/N比」を高めたい。 S：「すごい（Sugoi）人たち」にウケが良いよう

N：「なんじゃ（Nanja）そりゃ」と言われぬよう

すごい人たちが集う「江戸前セキュリティ勉強会」，略して﹅﹅

「ドＳ」の集まりに，村山はいったい，　　　　　　　　　何を話せば，よいと言うのか。　　　　　　　　　　　　　　釈迦に説法，突き上げも喰らうだろうに。

ならば。「ドＳ」とくれば「ドＭ」。これや！「どや！皆これで, 出題の傾向が分かる」の略

﹅﹅

7©2014 MURAYAMA, NAOKI

ネタ①『思い出のマーニー』「時間、10分は喰うぞ！」

　泣く泣く断念した僕は

「ちゃんと仕事をした！」

　その証を残したかった。

　この夏、僕が得た

　大きな成果を右に示します。

村山直紀拝

©2014 GNDHDDTK

だけど今日はこのネタお蔵入りさせるんだよ！


40秒でまとめます正義のハッカー「ホワイトハッカー」の皆様なら，

正義のロリコン「ホワイトロリータ」がいても不思議ではない，とお思いだろう。

「ホワイトロリータ」は，子供達の夢を蝕む（含・ネグレクトや虐待）悪いオトナに，正義の鉄槌を振るう！

子供達にチャレンジ精神を与える企業が，内部不﹅﹅﹅﹅﹅﹅﹅

正で情報漏えいを起こすのも，とんでもない話！

秋期試験のヤマ①は「内部不正対策」で決まり！©2014 Bourbon Corporation Japan9©2014 MURAYAMA, NAOKI

試験日までにお読み下さい

『組織における内部不正防止ガイドライン』

http://www.ipa.go.jp/security/fy24/reports/insider/index.html


ネタ②「妖怪ウォッチ」

自作してみた。

˝©SSHHIIGGEERRUU MMIIZZUUKKII 1199994411©2014 MURAYAMA, NAOKI

「神社」と「漫画の1コマ」

近い

屋根は

似てる

中華そば屋

電通⼤大を挟む⻄西と東

筑摩書房『ゲゲゲの鬼太郎』11巻妖怪大裁判pp..115511より˝©SSHHIIGGEERRUU MMIIZZUUKKII 1199994412©2014 MURAYAMA, NAOKI

1分でまとめます「私が毎日お参りする神社やん」 … 気づきました。

私の執筆の進捗とか，ココロの悩みとか，今日どこに行ってきたとか，そういう「プライバシー」がすべて，猫娘

﹅﹅﹅

さんに筒抜けだったことに！

秀和システムよりも実家のオカンよりも，私の進捗をよく知るのは，近所の神社の神様。

ですがこの「妖怪」経由の漏えいルート，やや正確には，「神様とのやりとりを知り得る立場にいる妖怪」には…気づかんかった！

【結論】これ、この秋に出します。漢字で「妖怪」

書けるようにしといて下さい。


幸い，猫娘さんは出来た人今のところ，秘密を黙ってくれている。

フィッシングサイト，水飲み場攻撃，標的型メール等，「オレオレ系」の攻撃のソモソモの問題は，ユーザが相手を信じ切っちゃうことにある，として。

更に，猫娘さんのように「黙ってい続けておくこと」は，（ビジネスの最低限のマナーでもあるが）「漏えいの事実の発覚を遅らせるため」の手法，でもある。

そう，今秋の出題のヤマ，その②は「“信頼の拠り所（root of trust）”が崩れる」話！


あまり疑わなかった箇所ベンダ提供のファームウェア，パッチ

証明書

randomizerのエントロピーがショボいと… 複数の証明書で，同じ秘密鍵が！

解析法は？とくれば「ユークリッドの互除法」c00000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000002f9

c92424922492924992494924492424922492924992494924492424922492924992494924492424922492924992494924492424922492924992494924492424e5

Daniel J. Bernstein, et al.“Factoring RSA keys from certified smart cards: Coppersmith in the wild” 2013

むっちゃデッカい値ではある


「信じていたのに…」の例RSA暗号：実はショボい素数だった場合は？

サプライチェーンリスク

これ迄は，本文中に「定期的にウイルススキャンは行っていた」と書かれていれば，それ以上は疑わせなかった。そこを疑わせる出題も出るか？

とくれば、対策の一つは「マルチベンダ化」。但し，無料のソフトばかり入れていたら，ランサムウェアを取り込む可能性アリ。

2,048bitの証明書でも，ガラケー向け1,024bit証明書でも，通ればOK（下位互換性を保つため・利便性を優先させるため，平文へのフォールバックも…）


問xx　k-匿名性を満たすことの目的はどれか。 !

ア　暗号化されたデータを復号せずに加減算を行える。イ　 n個に分散された元のデータの内，k個以上を集め　　れば元の値を復元できる。ウ　少なくともℓ種類の多様性を持たせる事で，k-匿名性　　の問題点を補う。エ　属性を保護することで，検索時のk人未満への絞り　　込みを不可能とする。

ヤマその③「プライバシー，パーソナルデータ」と絡めた，「午前 II」予想問題

アから順に，「秘密計算」「（k,n）閾値秘密分散」「ℓ-多様性」「k-匿名性」ジョーン・G・ロビンソン松野正子訳『思い出のマーニー』（岩波書店［1980,2014］p.89）


まとめ：今秋の狙い目は…

①内部不正（特に, 情報漏えい）対策

出題の中心は，人的な管理策

②“信頼の拠り所（root of trust）”が崩れる話

③「午前 II」対策：k-匿名性，本年5月改訂の　　　　　脆弱性報告制度

④組込系／制御系

今が旬の話！なのに出題は手薄


次は，試験の概要のお話


情報処理技術者試験「情報セキュリティスペシャリスト試験」

（略号「SC」）・「春期」「秋期」年2回実施・来春試験向けの応募開始は，来年1月中旬からの見込み・今秋試験の試験日は10月19（日）・合格率は14.65％（分母は受験者数，現行制度下での延人数ベース）・一期あたりの平均応募者数：約28,201人　合格者数：約2,720人

【計算上の平均的な合格者像】　

　・応募10〜～11回目で合格　・受験6〜～7回目で合格


共通知識「午前 I（いち）」試験

9:30〜～10:20（50分間，1問あたり100秒）四肢択一（マークシート）30問必須

応用情報技術者試験「午前」のサブセット

得点率60％未満が “足切り” 対象

「午前 I」受験者の，約44.3％が敗退

一定の条件を満たせば，免除の制度も有

だけど…本⽇日お集まりのメンツからすると「こんなの通過できてアタリマエ！」だとします！


専門知識「午前 II（に）」試験

10:50〜～11:30（40分間，1問あたり96秒）四肢択一（マークシート）25問必須

高度試験の各区分に沿う，専門知識を問う

得点率60％未満が “足切り” 対象

「午前 II」受験者の，約28.0％が敗退

お初の用語は，その日の「午後」に出る？

「60％（15問）以上，合ってれば良い…よね？（震え声）」 →いやそれは⽢甘い。特に「スペシャリスト」系の試験は。


H26春SC午前II 問12

参考：ICMP タイプ3（destination unreachable） ‐ コード3（port unreachable）


H26春SC午前II 問17


「午前 II」得点の分布9080706050400

0 12500 25000 37500 50000

この突出… 「プロ受験者」のしわざ？

・H21春〜～H26春（計11回）の集計で⾒見積もられた平均点は「67.9」。・平均合格率相当「上位14.65％」は，得点「84（正答数21）」付近に　位置し，これを合格者の下限だとすれば，許される誤答数は4問まで！・得点「60（正答数15）」だと不合格者集団の下半分「上位72.04％」


でも…「午前 I」「午前 II」は

通過するのが当たり前！ !

!

でないと… !

肝心の「午後 I」「午後 II」のお話ができない。


珍しく腹が立った出題表現

【H25秋SC午後I問3】　「図3」の「注1)」について。 ID・PWによる認証が成功するのが手順（5）。「（5）で認証が成功した場合だけ新たにクッキーが生成され，ブラウザに保存される。同じ利用者IDに対してさらに他のクッキーが生成された場合でも，このクッキーは90日間有効である。」古いクッキーが有効な間は不正なログインが可能，という答に導くためのヒント。ところで，上記の文における「この」は，どっちのクッキーを指す？（正解：前者）


「出題」身構えてない？Q：日本国において、お酒は何歳からOK？→満20歳。

Q：成長期のヒトが、その成長の過程でアルコールを摂取すると，大脳の発育を阻害すると言われています。そこで、数理モデルを立てた上で、摂取開始の時期として社会的に許容される妥当な年齢（満年齢）を、整数で示してください。→ えーっ，…3.02×10^-2歳？

SC試験，答を知ってしまえば「なんだ常識的な話じゃねぇか」と，膝カックンされる事が多い。

そこで，雑多な記述を削ぎ落とし，出題の本質に着目して作ったコンテンツが，次のスライド。


登録商標（マジ）

速効サプリ

『SC2版』 p.214-264


「こう出る」を超えた話， SC試験の出題者は「こう出す！」

① 受験者は「AはBだから，Cである。（常識！）」と，知識をもつだけでなく，理路整然と語れるか？

② そこで，Bを隠した本文「Aは，Cである。」を用意して，「AがCであるのは，なぜか？」を問おう。

③ 様々な「Bだから」候補の内，答えて欲しい「Bだから」に沿ってもらうヒントは，文中に与えよう。

④ 別解が出ると面倒だ。「Dだから」「Eだから」…を排除する，“枝払い”用のヒントも与えよう。ここまでヒントを与えても，書けない⼈人の⽅方が多いのよ！


それやったら「答」が先や。

“邪道”こそ正義！「Bだから」を覚えようだが，試験問題は，事前には盗めない。

過去問題を基に「Bだから」をパターン化意外にも有限の個数で収束した（させた）。

これが後の「速効サプリ®」である。その始まりは「意地でも合格する必要に迫られたから。（18字）」

“その制限字数で表現できるのは，こんな内容！” も,『SC2版』の「速効サプリ®」なら, 分かる！


試験における「この世」とは　「この世」なるものは，大宇宙に1個だけ厳然と存在している，のではなく！　個々のヒトが五感を駆使して得る情報や，周りのヒトが寄ってたかって教え込む話などを材料に，個々のヒトの脳内で解釈・再構成・思い浮かべた表象こそが「この世」なのだ，という考え方があります。　その考え方に沿えば，ヒトの数だけ，いや生き物の数だけ，「この世」がある，とも言えます。

　で。それをいいことに。各自の脳内ででっち上げた「この世」像こそが，本当に「この世」なのだ！とまで信じ切っちゃえる人……センスあり。

　出題された長大な本文を読み，脳内に思い浮かべる世界こそが，その出題が対象とする「この世」。いわば二次元の世界。　なので「私はこう経験したのだから，それが唯一の答だ」と，ろくに本文を読まずに書く答は，大抵バツ。「問題冊子に印刷された，この場面においては，どうなのか」を答えて下さい。


ですが，知識や経験は大切

　知識や経験は豊富なほど，合格に有利！　なぜなら，最も効率的な解き方，「私が得てきた経験は，この出題の正解だとは限らない。だけど，正解候補を複数あげておくための豊富な材料にはなる。あとは本文中のヒントを基に，豊富な正解候補を “枝払い” すればよいだけの話だ。」という手法を駆使できるからです。（高得点者は，このようにして解きます！）


そこで今回，ご用意しました！

速効サプリちょお♡ プラス

インスパイア!


その“目新しさ”が感動的！「これをネタに薄い本も書ける」そんな濃いぃ〜い♡ 内容を本勉強会で一挙公開！

（イメージ図）

インスパイア系


「インスパイア系」なにそれおいしいの？

「SC試験の出題者は，一体なにを見て設問を作る？」に着目し，未来志向で未出題テーマを編纂！

!

今回，抽出したのは … ・『情報セキュリティ白書』・他の試験区分での類題


ここから先を読むには…「2014年10月4日実施の

『江戸前セキュリティ勉強会』に参加する」 OR

「以下に示す書籍を，“新品で（≠古書で）” ご購入頂く（近日購入する，は可）」SC試験受験者の必携（その１）近日，Amazonほかで電子書籍化！ ISBN978-4-7980-4026-4 定価本体￥1,500（税別）

※上記の条件を満たす方のみ，以降のスライドを御活用下さい。


インスパイア系【第1部】●『情報セキュリティ白書2014』から（計40問）　①「暗号化・認証・署名」（4問）　②「通信ネットワーク」（3問）　③「情報システム開発」（5問）　④「情報システム運用」（8問）　⑤「監査・リスク分析」（20問）

SC試験受験者の必携（その２）電子書籍もアリ

ISBN978-4-905318-25-5 定価本体￥2,000（税別）

（注：以降のスライド中，「…」内の表現が，『情報セキュリティ白書2014』から引用した範囲）


インスパイア系【第1部】『白書2014』①「暗号化・認証・署名」

想定される出題答え方（例）頁認証トークンの説明文，「サーバと共有する乱数表等」「ログイン用のチャネルとは別のチャネルを使用した認証（Webサイトログイン時に携帯電話やスマートフォンを利用する等）」が指す，各用語は？

「ルックアップシークレットトークン」「別帯域トークン」

153

「パスワードを固定して大量のIDの組み合わせでの認証を試みる」攻撃である「リバースブルートフォース攻撃」が成り立ちやすいサイトとは？

「組み合わせの少ない数字4桁のパスワードしか利用できないサイト」。

28

警察庁が「メールで受信するワンタイムパスワードを利用する際」に推奨する，送信先の設定方法は？

「Webメールのアドレスではなく，携帯電話会社から提供されているメールアドレス（キャリアメール）を送信先に設定する」。

29

某氏はなぜ，パスワードリスト攻撃の場合は個人のPCを防御しても無駄だ，と考えたのか？

「パスワードリスト攻撃で悪用されるID・パスワードは，個人のパソコンからではなくサービスを提供している企業のサーバから盗み取られる」から。

28


インスパイア系【第1部】『白書2014』②「通信ネットワーク」想定される出題答え方（例）頁

「DNSリフレクター攻撃とNTPリフレクター攻撃と呼ばれるDDoS攻撃が相次いで発生した」が，これらが「攻撃者にとって都合の良い攻撃と言える」のはなぜ？

「応答のパケット量は，リクエストのパケット量の数十倍から数百倍に増幅されるため」。

33

HTMLのソース中，どこをヒントに攻撃をしたのか？

「WebサイトのHTMLソース上に記載されているgeneratorという情報を参照してCMSのバージョンを確認し，古いバージョンにどのような脆弱性が存在するかについては，JVNの公表情報を参照していた。」

42

Webサイト更新用のFTPのIDやパスワードを盗み取るウイルスに感染しないための対策は？（パッチとセキュリティ対策ソフト以外で，2つ）

「Webページや電子メールの添付ファイルの閲覧等によるウイルス感染を防止するため，Webサイト更新専用端末を導入する。」「アクセス元IPアドレスによる接続制限等によりWebサイトを更新できる場所（端末）を限定する。」

32


インスパイア系【第1部】『白書2014』③「情報システム開発」

想定される出題答え方（例）頁「OSに依存したアプリケーションマーケットなら，そのOSの開発元が審査等をすることにより，ある程度安全性が確保される」のと比べた，「異なるプラットフォームであっても，アプリが動作する共通な環境（例えばHTML5）をWebブラウザが提供すれば，利用者はOSを意識することなく，端末の選択肢が増える」事のデメリットは？

「不正なコンテンツもOSに依存せずに作ることができ，OSへの依存性がないために特定のOS以外にも被害が拡大する恐れがある」点。

138

製品開発者は「あらかじめサポート期間を通知しておくことが望ましい」のは，なぜ？

「ソフトウェアを計画的に利用できるよう」にするため。

41

2013年5月の経済産業省「電気用品の技術上の基準を定める省令の解釈の一部改正について」について，「インターネットを介して電源をONにすることも可能となった」満たすべき条件として，『情報セキュリティ白書2014』が挙げている例は？

「遠隔操作による危険源がないことや操作結果のフィードバックを確認できること，同時に2カ所以上からの遠隔操作を受け付けない対策を講じること等の条件」。

77

「ソースコード静的検査」では「特定のパターンが含まれているかどうか等を機械的に検査している」が，後で「脆弱性が正確に検知できたかどうかを確認する必要がある」のはなぜ？

動的検査で検知されるような性質の脆弱性もあるから。

48


想定される出題答え方（例）頁「プログラムの動的検査」では「実際に検査用のコードを送り込むため，検査の精度は高い傾向にある」が，「本番環境での検査は慎重に行う必要がある」のは，なぜか？

「検査コードによっては，データベースの内容が改変される可能性があるため」。

49


インスパイア系【第1部】『白書2014』④「情報システム運用」

想定される出題答え方（例）頁「脆弱性対策情報の公表」時は，「原則として同時公開」する。「複数社にまたがる脆弱性を発見した場合は，他社との調整をするためにも」どのように届け出るのが望ましい？

「パートナーシップへ届出を行うことが望ましい。」

41

「脆弱性対策情報の公表」時は，「原則として同時公開」するが，複数社にまたがる脆弱性の場合に「1社が先行して脆弱性対策情報を公表してしまう」と，どのような問題が生じるおそれがあるか？

「公表された脆弱性情報から他社ソフトウェア製品に脆弱性が存在することを攻撃者に類推され，他社ソフトウェア製品は未対策の脆弱性を悪用される可能性がある」から。

41

「脆弱性情報を製品開発者へ通知できるように連絡手段を用意する必要がある」が，「BBS（Bulletin Board System：電子掲示板）やTwitter等は脆弱性の連絡手段として適切ではない」のは，なぜ？

「連絡内容が第三者に開示されてしまう」手段だから。

41


想定される出題答え方（例）頁

標的型攻撃メールの事後的な対策として，アーカイブサーバを導入した理由は？

「自組織が標的型攻撃メールのターゲットとされているかどうかを知るためには，メールログの長期保存やメールアーカイブソリューションを使い，過去も含めて標的型攻撃メールの受信の有無を確認することが有効」だから。

26

標的型攻撃メールの内「やり取り型」の手口への対策として，各ユーザがもつ過去のメールを秘匿しようと考えた理由は？

「普段からメールのやり取りをしている組織や関係者を事前に攻撃し，そこから窃取したメールを基に本物そっくりの標的型攻撃メールを送りつける」攻撃を防ぐため。

25

「利用者が当該ソフトウェアをアップデートするとウイルスに感染するインシデント」を何という？

アップデート・ハイジャッキング（リスクの名称としては，サプライチェーン・リスク）

19

「感染防止のため，OSだけでなく利用しているアプリケーションを新の状態に更新することが必須」から考えられる出題パターンは？

一方はパッチを当てていたが，他方を当てていた旨が読み取れない出題。

14

標的型攻撃メールの事後的な対策として「実際に攻撃を受けた際の攻撃情報の共有を推奨する」理由は？

被害者が身近な人だと，耳を傾けてもらえやすいから。

26


インスパイア系【第1部】『白書2014』⑤「監査・リスク分析」

想定される出題答え方（例）頁オフィスの機器からの情報漏えい，「設置されている複合機が受信したファックスやスキャンされた文書に誰でもアクセスできる状態であった」。発覚が遅れたのはなぜ？

利用者が「そもそもWebサーバが搭載されている等の機器仕様に気づいていない」ため。

23

リアルタイムに不正送金される手口で「ハードウェアトークンで生成されたワンタイムパスワードを使用していても防ぐことができない」とは，どのような原因だった？

「利用者と銀行とのやり取りをウイルスに傍受されてしまうこと」。

29 ｜30

「修正プログラムが提供された2週間後の2013年11月26日，セキュリティベンダのブログに「一太郎の脆弱性の悪用に成功した攻撃を確認」という記事が公表された」を踏まえ，セキュリティホールの詳細が非公開であっても，パッチが公開されたら早急に適用すべきなのは，なぜ？

公開されたパッチを解析する事で，攻撃者は攻撃用コードを作るためのヒントを得るため。

20


想定される出題答え方（例）頁水飲み場型攻撃で「特定のIPアドレスや組織ドメインからの接続時にのみウイルスを感染させる」という，攻撃対象を限定することの，攻撃者への利点は？（2つ）

「攻撃の発覚を遅らせることができる」から。攻撃対象に対し「効率的に攻撃を行」えるから。

7

標的型攻撃メールと比べ，「Webサイトを悪用する水飲み場型攻撃」が，だましやすい理由は？

「標的型攻撃メールのように個別に利用者を信用させるような細工は必要なく，利用者がいつものWebサイトを閲覧するだけでウイルスに感染するため」。

18

『JIS Q 27001:2014』が沿うISO 31000での，リスクマネジメントの対策は？（7つ）

「リスクの回避」「リスクを取るまたは増加すること」「リスク源の除去」「起こりやすさの変更」「結果の変更」「リスクの共有」「リスクの保有」

95

ISO/IEC 27002を基にした文書名，「情報セキュリティ確保のために，クラウドサービスの利用者及び事業者が対策すべき事項を記載したもの」とは？

『クラウドサービス利用のための情報セキュリティマネジメントガイドライン』（その解説書は『クラウドセキュリティガイドライン活用ガイドブック』）

66

「制御システムのセキュリティマネジメントシステムの認証」で，ISMSの認証スキームを参考とし「事業者向けにセキュリティ要求事項を規定した規格」は？

「CSMS（Cyber Security Management System）」

9


想定される出題答え方（例）頁「サイバー情報共有イニシアティブ」を略すと？

「J-CSIP（Initiative for Cyber Security Information sharing Partnership of Japan）」

53

「サイバー情報共有イニシアティブ」の略称は「J-CSIP」。四択マークシートでの，残3つの選択肢は？（注：村山が勝手に選定）

NISC「情報セキュリティ緊急支援チーム（CYber incident Mobile Assistant Team：CYMAT）」，「技術研究組合制御システムセキュリティセンター（Control System Security Center：CSSC）」，「情報セキュリティ早期警戒パートナーシップ」

54 ・ 67

「特定秘密保護法」でいう特定秘密，「公になっていない以下の4つの事項に該当する安全保障に関する情報」でいう，4つの事項とは？

「防衛に関する事項」「外交に関する事項」「特定有害活動（スパイ行為等）の防止に関する事項」「テロリズムの防止に関する事項」

76

「利用者がこれまでに匿名掲示板に書き込んでいた内容を特定できたため」発生した「二次的な被害」とは？

「過去に書き込んでいた内容によっては，情報漏えいの被害者が誹謗中傷を受ける」被害。

17

自動車の「車内からCANに直接接続した状態で任意のコードを送った場合」に可能なことは？

「速度計や走行距離計等の計器類を操作すること，及び運転アシスト機能の誤作動を引き起こすこと」。

143

その社員が「顧客のカード情報を不正に取得し，キャッシュカードを偽造していた」背景は？

「長年同一業務に携わり，システムに関わる権限が集中していた。」

7

数ある情報の内，攻撃者が「Apple ID・パスワードの詐取を狙った」のは，なぜ？

「個人情報やクレジットカード情報とも紐付く重要な情報であるため，攻撃者にとって魅力のある情報」だったから。

31


想定される出題答え方（例）頁医療機器に「脆弱性が作りこまれた場合」，「運用中の医療機器に対する脆弱性対策プログラムの適用が困難になることも予想される」のは，なぜ？

「制度的な制約」があるから。 148

「古いバージョンのCMSを利用しているWebアプリケーション」の，「被害拡大の原因について」どのような分析がなされた？（2つ）

「環境によっては脆弱性情報が公開されても容易にアップデートできない場合がある。」「外部に委託して製作したWebシステムの詳細な利用状況を把握できない場合がある。」

43

マルウェア対策やパッチ当てを軸に答を書いても的外れとなってしまうような出題パターンとは？

「脆弱性を解消する手段がない状態で攻撃が発生することも考慮」した出題。

35

標的型攻撃メールの内「やり取り型」の手口，「履歴書や製品の不具合が記載された資料を送ることで，ファイルを開くことが自然な行為であるかのように思わせ，ウイルスが仕込まれたファイルを開かせる」を踏まえ，なぜ攻撃の初期には無難なファイルを添付するのか？

慣れさせるため。 25

「近年では，IMEに限らず翻訳や検索サービス等，様々なWebサービスを介して情報のやり取りが行われている」を踏まえ，インストールが面倒でもローカルでLaTeXをコンパイルしたり，ローカルで文書ファイルをPDF化することにしたのは，なぜか？

情報漏えいを防ぐため。 23


インスパイア系【第2部】●他の試験区分の出題から（計74問）　①「暗号化・認証・署名」（13問）　②「SSL/TLS」（8問）　③「通信ネットワーク」（12問）　④「情報システム開発」（3問）　⑤「組込」（8問）　⑥「情報システム運用」（11問）　⑦「監査・リスク分析」（19問）

講師のコメントつき♡

（注：以降のスライド中，「…」内の表現が，IPA公表の出題または解答例から引用した範囲）


インスパイア系【第2部】他区分の出題①「暗号化・認証・署名」

どう問われた？解答例村山の一言

送られてくるパケットを制限する設定を，（他ならぬエッジ側の）その機器に設定しなければならない理由は？

「パケットの内容は，暗号化してカプセル化されており，中継する装置では内容を認識できないから」（H23秋NW午後II問1設問4（4）「理由」）

「読めない」系の出題の，基本形。（『SC2版』p.16）

ロードバランサにSSLサーバ証明書を導入する必要があるが「その機器でなければならない理由」は？

「Cookieの情報を参照する必要があるから」（H25秋AP午後問8設問3（3））

「読めない」ならば，まずはデコード。一般に，復号させる場所は，処理させたい場所よりもWAN側。（『SC2版』p.16）

「インターネットを経由して，外出先から給水器の設定を変更したり，状態を監視したりする機能を，給水器に追加することを検討した。この通信はインターネットを経由することから，“通信相手の［　e　］を行い，なりすましによる不正な給水器操作を防止する”，“通信内容が漏えいしないように，通信データを［　f　］する”などのセキュリティ対策が必要である。」に入れる適切な字句は？

【e】「機器認証」，【f】「暗号化」（H26春AP午後問7設問4）

意味が同じであれば，多少の表記揺れはOK。

クライアント認証に，クライアント証明書をインストールしたICカードやUSBトークンは利用せず「クライアント証明書をPC自体にインストールする方式」を採用した目的は？

「営業支援システムを利用できるPCを限定するため」（H26春AP午後問1設問2）

「管理者が管理用シールを貼るタイミングは？」の正解候補も「このインストールの時」。

「WEPキーが，電波を不正に傍受している装置に見破られると，不正アクセス以外にも重大なセキュリティリスクが発生する」セキュリティリスクの内容は？

「暗号化されたデータが盗聴されてしまうこと」（H25秋NW午後II問1設問3（1））

受験前には要確認！『CRYPTREC暗号リスト』


どう問われた？解答例村山の一言ディジタル署名を用いたとき，送信元局の身元の他に証明できることは？

「途中でデータの改ざんが行われていないこと」（H26春ES午後II問1設問1（3））

全試験区分の受験者の必須知識，「（狭義の）暗号化」「ディジタル署名」各々が行える（行えない）こと。

メールにディジタル署名を付加する目的は？「メールデータの改ざん防止のため」（H23秋NW午後I問2設問1（1））

数ある「ディジタル署名を付加する目的」中，本文に沿った答を！

「クライアント証明書の管理に必要な情報を，運用担当者に自動的に通知する仕組み」の情報とは？

「クライアント証明書の有効期限」（H25秋NW午後I問1設問4（1））

「管理」とくれば，正解は技術的な話ではなく，事務的な話。

PCの盗難や紛失が発生した時，「営業支援システムの不正利用を防ぐために」PCにインストールしたクライアント証明書に対して実施すべき対応策は？

「当該PCのクライアント証明書を失効させる。」（H26春AP午後問1設問4）

「既に手許には無いため，そもそも実施できない」はバツ。

パスワードの総当たり攻撃への対策として「販売管理システムのログイン処理に機能を追加する」の，機能とは？

「連続して利用者認証に失敗した場合に，該当する利用者IDをロックする機能」（H24秋SM午後I問4設問2（2））

具体的な閾値（例：毎時○○件以上）までは書かない記述が無難。

OTP（ワンタイムパスワード）のトークンが生成する数字を変化させる時間間隔を長くすると，トークンに表示された数字を正しく入力しても，不正パスワードになるケースが発生することがある。その理由は？

「パスワードの再使用となるから」（H23秋NW午後II問2設問3（1））

逆に「時間間隔を短くすると」，違う値でも許容する必要あり。

OTP（ワンタイムパスワード）のトークンが生成するパスワードで，OTP側のずれた時刻を認証サーバが推定する方法は？

「認証できたパスワードが生成された時刻と，パスワードを受信した時刻の差から推定する。」（H23秋NW午後II問2設問3（2））

認証サーバ側では，「そのパスワードが入力されたのなら，OTP内の時計の時刻はこの値を示していた筈だ。」と計算が可能。

電子カルテシステムの代行操作を，医師に代ってメディカルクラーク（MC）が行う場合，誰（MC）が誰（医師）の代行者なのか，あらかじめ特定されていないケースが見られる。同システムの操作ログの調査時，事前に確認しておくべき前提条件は？

「ユーザID及びパスワードの管理が適切で，なりすましの可能性がないこと」「調査の対象となる操作ログが全てそろっており，改ざんが行われていないこと」（H25春AU午後I問2設問1）

『SC2版』p.232-234「速効サプリ」パターン9「ID共用→特定ムリ」系。


インスパイア系【第2部】他区分の出題②「SSL/TLS」

どう問われた？解答例村山の一言

「…SSLセッションを確立させるためのハンドシェイクプロトコルでは，［　ア　］メッセージによって暗号化アルゴリズムを決定し…」の空欄アは？

「HELLO」（H25秋NW午後I問1設問1ア）

知識問題。この際，落とし穴として，フォールバックによって弱い暗号化アルゴリズムを選んでしまう出題に注意。（ユーザの利便性を優先させ，暗号化を諦めて平文で通信を始める可能性あり！）

「…アクセス経路を複数確保する必要がある。このとき，［　ウ　］と呼ばれる，1か所での障害発生時にシステム全体が動作不能になってしまう機器や部位を作らないことが重要」の空欄ウは？

「SPOF」又は「Single Point of Failure」又は「単一障害点」（H24秋NW午後II問1設問1ウ）

以前は「SPF」と表記。“Sender Policy Framework”や“Shortest Path First”と紛らわしいため，間に「O」を加える表現が無難。

SSL-非SSLを何度も遷移する送受信シーケンスの，「SIDの付与」に関する見直しの内容は？（注：SIDは「セッションID」の略）

「非SSLの状態からSSLを利用する際は，SIDを振り直す。」（H24秋NW午後I問1設問3（4））

「ずっとSSLにしておく」は，SIDの付与とは異なる話，バツ。

SSL-非SSLを何度も遷移する送受信シーケンスの，セキュリティ上の問題は？（注：SIDは「セッションID」の略）

「非SSLの通信時に，SIDが漏えいするおそれがある。」（H24秋NW午後I問1設問3（3））

これが「処理負荷上の問題は？」だと，答の軸は「高負荷」。

多くのモバイルPCがもつ「インターネットを介してデータセンタにセキュアなVPN接続を実現するための標準的な機能」とは？（様々な場所から接続を行う，という観点で）

「SSL」（H23秋NW午後II問1設問1（2））

筆者が採点者なら「TLS」も正解扱い。


　どう問われた？解答例村山の一言モバイルPCがモバイル端末接続装置に接続できるようにするための，VPN装置に必要な設定は？

「ポート番号443をもつパケットだけを，ポートマッピングによって10.0.0.1宛てにアドレス変換して転送する設定」（H23秋NW午後II問1設問4（3））

用語「ポートマッピング」を書けるか？を問うた出題。

（注「このサイトとの間で交換する情報は暗号化されているので，他の人から読み取られることはありません。しかし，このサイトは不正なセキュリティ証明書を使用しています。（略，有効期限に問題がある旨）」という）上図のダイアログボックスが表示されたことに対するWebサイト管理者の適切な対応は？

「SSLサーバ証明書を更新する。」（H25秋AP午後問8設問4）

「…対する“ユーザの”適切な対応は？」ではない！

ピーク時に利用頻度が増大することを考慮し，「SSL-VPN装置において，SSLセッションのキャッシュ時間を延ばす設定を行うことにした」目的は？

「SSLセッション確立による負荷を，軽減させるため」（H25秋NW午後I問1設問2（4））

単に「確立する回数を減らすため」だと，良くて△。


インスパイア系【第2部】他区分の出題③「通信ネットワーク」どう問われた？解答例村山の一言

「Webサーバの負荷に応じた分散ができない」理由は？（DNSラウンドロビン方式が，Webアクセス数を分散する方式であるという観点で）

「Webアクセス数とWebサーバの負荷が比例しないから」（H24秋NW午後I問1設問2（3））

分散させるタイミングが「Webアクセス」毎ゆえ，「コネクション数」や「WebサーバのCPU利用率」など考えない点に注意。

IPv4-IPv6トランスレータの，IPv4ポートの接続先を，FWよりもWAN側にした理由は？

「Webサーバへの通信がFW経由になるので，セキュリティが維持できる。」（H24秋NW午後II問2設問3（2）「理由」）

「重要な機器を，なぜ，そこに接続？」とくれば，「FWよりも内側だから」。

「あらかじめ指定されたWebサイト（自社のWebサイトや顧客のWebサイトなど）だけをアクセス可能にする方式を採用」した場合でも，Web閲覧によってノートPCがウイルスに感染する可能性がある。それはどのような攻撃があった場合か？

「あらかじめ指定されたWebサイトにマルウェアを埋め込まれた場合」（H25春AP午後問9設問4（1））

「そこは疑いもなく信じてきたのに…」を覆させる出題は，H26秋SC試験のヤマ張りポイント！

「MACアドレスの上位5ビットには，OUI（［　ウ　］に固有の値）がある」の空欄ウは？

「製造者」（H25秋NW午後I問2設問1ウ）村山が採点者なら「ベンダ」もOK。

OFC（OpenFlow Controller）はどのような接続制御処理をすればよいか？

「登録されていない送信元MACアドレスのパケットを破棄させる。」（H25秋NW午後II問2設問3（1））

セキュリティ対策としてのSDNの活用は，『SC2版』p.138-139を。

IEEE 802.1X認証の「ポートベース認証」を用いた「中継SWを介した同一ポートへの複数PC接続」で発生するセキュリティ問題と，OF（OpenFlow）方式で考えられる対処方法は？

【セキュリティ問題】「1台のPCが認証されると，後続のPCは認証なしで接続できる。」，【OF方式で考えられる対処方法】「認証されたPCのMACアドレスをf-TBLに反映させ，転送を許可する。」（H25秋NW午後II問2設問3（3））

OF方式では，L1～L4の値を組合せたパケットの制御が可能。


どう問われた？解答例村山の一言「IEEE 802.11iを基に策定されたWPA2（Wi-Fi Protected Access 2）では，セキュリティ面の改善の他に，事前認証及び認証キーの保持（Pairwise Master Keyキャッシュ）を行う方法が規定されているので，接続先のAPを切り替える時間を短縮することが可能になった。」の短縮される理由は？

「IEEE 802.1Xの認証が不要になるから」「再認証が不要になるから」（H25秋NW午後II問1設問3（2））

逆に「キャッシュの欠点は？」とくれば，古い（腐った）値を基に処理をしてしまう点。その策はとくれば「新の情報へと更新。」

無線LANで「（a）導入後に通信できないエリアが発生する，（b）他社の無線LANの影響を受ける，（c）期待どおりの通信速度が得られない，など」の問題が発生するのを避けるため，サイトサーベイで調査すべき電波の状態は？（二つ）

【内二つに言及】「社外から送信される無線LANの電波状態」「APからの電波到達範囲」「壁やパーティションの電波の透過状態」（H25秋NW午後II問1設問5（1））

逆にSC試験の場合，広範囲に届くことからの盗聴に注意！

「ソフトウェアモジュールがポートマッピングテーブルを参照して，待受けポートとプライベートアドレスに対応する転送先ポートへデータを送る」この方式で発生する，「使用できないアプリケーション」の通信の特徴は？

「サーバ側のポート番号が変化する。」（H25秋NW午後I問1設問2（2））

参考：『SC2版』p.254-255「速効サプリ」パターン30「コロコロ変わる→特定ムリ」系。

「ループバックアドレスの利用は，社内で使用中のプライベートアドレスを利用するよりも利点があり」，Javaアプレットは各PCのhostsファイルに「ループバックアドレスと開発システムの各サーバの宛先を対応させた定義」を追加し事前に指定したポートで待ち受け，SSLトンネルで転送。プライベートアドレスに比べた，ループバックアドレスを用いる利点は？（セキュリティ面に着目して）

「外部からの不正利用が発生しない。」（H25秋NW午後I問1設問2（1））

まだSC試験では問われていないパターン！ループバックアドレスは「127.0.0.1」〜「127.255.255.254」。

ソースNAT機能を使うと，「APサーバのログを基に，APサーバの利用状況を調査するときに，制約が生まれる」の制約とは？

「APサーバを使用したPCが特定できなくなる。」（H25春AP午後問5設問3（2））

『SC2版』p.232-234「速効サプリ」パターン9「ID共用→特定ムリ」系。

固定IPアドレスの割当て及び暫定運用中の対処に必要なDHCPサーバの機能は？（注「暫定運用では，使用者の利便性を考慮したDHCPサーバの運用ができること。」）

【固定IPアドレスの割当て】「MACアドレスに対応付けたIPアドレスを割り当てる。」，【暫定運用中の対処】「MACアドレスが未登録でもIPアドレスを割り当てる。」（H25秋NW午後I問2設問3（2））

本問はセキュリティ面ではなく「利便性」を優先させた話。


インスパイア系【第2部】他区分の出題④「情報システム開発」どう問われた？解答例村山の一言

情報システム開発では「近になって，保守を起因とする障害が連続して発生した」。観点「テストの実施対象範囲」のリスク，「テスト範囲が不十分で，不具合が残存している可能性」の，具体的なコントロールの内容は？

「修正箇所のテストだけでなく，修正プログラムの後続プログラムのテストも実施する。」（H26春AU午後I問1設問2）

他にも，パッチを当てる前には別環境で動作確認を。

「ウイルスによる感染や情報漏えいを防止する要件を満たすために，SSL-VPN装置へのログイン時とログアウト時に，（注：接続用の）Javaアプレットがもつべき機能」を，ログイン時とログアウト時それぞれ具体的に述べよ。

【ログイン時】「ウイルス対策ソフトの定義ファイルの適用状態を確認する機能」，【ログアウト時】「PCからリモート接続時のキャッシュ情報や履歴情報を削除する機能」（H25秋NW午後I問1設問4（2））

ウイルスの感染，情報漏えい防止，という論点は外さぬ答が必要。

仮想サーバを管理するプロビジョニングシステム（自社開発）で「サーバ停止とサーバ削除の二つのメッセージをメッセージキューに格納するだけだと，意図した結果にならないことがある」理由は？

「仮想サーバの状態が“停止”になる前にサーバ削除のメッセージが送信されるから」（H25春AP午後問8設問3）

尚，クラウド上の各ノード間を「キューイング」で伝達する場合のキューの振舞いは，教科書通りのキュー（FIFO型の待ち行列）とは異なり，到着順がズレる可能性あり。（『SC2版』p.172「結果整合性」）


インスパイア系【第2部】他区分の出題⑤「組込」

どう問われた？解答例村山の一言FPGAのコンフィグレーションデータについて「PCから受信した更新データを直接シリアルフラッシュメモリに書き込んだ場合において，データの更新が中断されたときの不具合」は？

「コンフィグレーションデータが壊れる。」（H26春ES午後II問2設問1（3）（a））

受信時は一旦，別のメモリに溜めておく。ベンダのアップデート用サーバを乗っ取り，不正なファームウェアを送り込む攻撃に注意。

「2回の再起動後に，一時保管エリアに記憶された更新データで，FPGAが動作する。なぜ，2回目の再起動後なのか」？

「初期化処理でのシリアルフラッシュメモリへのデータ更新は，FPGAのコンフィグレーションデータの読込みの完了を待ってから行うから」（H26春ES午後II問2設問1（3）（c））

コンフィグレーションデータの受信時に一旦，別のメモリに溜めておくことを踏まえた出題。この「2回」という考え方は，『SC2版』p.205コラム「出張を命じられたら」中，「2回は再起動させ」に通じます。

「歩行者ナビ」が省エネモード中に位置情報タスクを停止する理由は？

「省エネモード中は現在位置の把握を行わないから」（H25春ES午後I問2設問3（1）（a））

IoTと絡めた，電力セーブによりインシデントの発覚が遅れる出題にも注意。

カーシェアリング運営システムで，「運転開始時に利用予約者を確認するために，運転者の顔認証を行う」「新たに専用機器を追加せずに，サーバで認証を行う」。車載端末から送信すべき情報と，その情報を車載端末に入力する方法は？（注：車載端末は，「車内，車外を撮れる車内カメラ」をもつ）

【情報】「顔画像データ」，【方法】「車内カメラで運転者の顔を撮影する。」（H24秋SA午後I問4設問3（2））

PCやスマホのカメラを遠隔操作され，盗撮される可能性に要警戒。

「電動車いすの誘導方式」として，APで受信した電波で位置を検知する「無線LAN方式」を用いることの利点は？

「常に電動車いすの位置が分かる。」（H25秋SA午後I問4設問3（1）（a））

常にMACアドレスを発信するデバイスの場合，APをトイレの前に設置すれば，持ち主の性別が（希には性癖も）把握可能。


どう問われた？解答例村山の一言メモリコンパクションを実行すると「メモリコンパクション前に実行したメモリ割当て関数の戻り値は，メモリ解放の関数の引数としては使えなくなる場合がある」理由は？

「メモリブロックの先頭アドレスが変わるから」（H25秋AP午後問2設問3（3））

「そこはOSや処理系に任せてた…」という人の裏をかく出題。

追加する新たなコマンドの機能は？「異常検出時には動作再開以外のコマンドは無視する。」（H25春ES午後I問3設問3（3）「制御」）

フォールバック（縮退運転）させて機器を守る，という発想。

飲料用自動販売機に持たせたい機能「災害情報提供機能と災害時商品無償提供機能の実現に伴う機能実装コスト及び保守コストの増加の原因」とは？

「電池を搭載したり，交換したりするための費用が掛かる。」（H24秋ST午後I問4設問2（2））

蓄電池だけではダメな理由，とくれば「電池は消耗するため」。


インスパイア系【第2部】他区分の出題⑥「情報システム運用」どう問われた？解答例村山の一言

サービスAと比べたサービスBの，復旧作業手順の所要時間の割合が高い原因として考えられる理由は？

「インシデントの記録が十分に蓄積されていないから」（H26春AP午後問10設問3（1））

その対策は？とくれば，筆頭は「文書化」。

「モバイル端末の機種・OSの多様さによる，モバイル端末利用に関する問合せ件数の増加及び内容の多様化が考えられる」で，ヘルプデスクで強化する対策は？（二つ挙げよ）

「専用問合せ窓口を設置する。」「想定FAQを作成し公開する。」（H26春AU午後I問3設問5）

文中から，量と質の両方を問うている旨を読み取ろう！

検知内容の通知において，「S社の担当者にメールが大量に送られ，重要なものを見落としてしまう。」状況の回避方法は？

「複数の検知内容を一つのメールにまとめるようにする。」（H23秋NW午後I問3設問3（2））

「担当者にラクをさせる」は，解答の立派な着眼点。

「安否確認システム」が用いるパスワードだけは夜間のバッチ処理で反映させることにした。全社員に周知すべき事は？

「パスワードを変更した日は，安否確認システムには旧パスワードでアクセスすること」（H25秋SA午後I問1設問2（2））

「バッチ処理」の問題点とくれば「処理完了まで待たされる」。

「感染したことによって（略）PCが使用不能となった場合に備えるための対策の策定」で，PCの利用者が実施可能な対策は？

「データのバックアップを外部媒体に定期的にとる。」（H25春AP午後問9設問4（2））

万能キーワード！「定期的に」の旨。

「メールの送信元や内容などで自動的に判定する基準が適切でないと，利用者がスパムメールを大量に受信してしまうことがある。その他に発生するおそれがある問題」とは？

「誤検知によって受信するべきメールが取り込めない。」（H25春AP午後問9設問1（1））

要区別，「フォールスポジティブ」と「フォールスネガティブ」（『SC2版』p.114）

メールによる障害通知の運用に支障を来す，その内容は？

「S社の担当者にメールが大量に送られ，重要なものを見落としてしまう。」（H23秋NW午後I問3設問3（1））

過剰検知が甚だしいと，全て無視→実効性が無くなる。


どう問われた？解答例村山の一言「販売管理システムのログを分析し，特権IDを使用した操作の正当性を確認する際に，ログの分析に支障を来すおそれがある」への対策としてNTPサーバの導入を提案した理由は？

「全サーバの時刻が一致していないと，取得したログの分析に支障があるから」（H24秋SM午後I問4設問3（2））

NTPの存在意義とくれば，ログを確かなものにする点。

「ソフトウェアのライセンス管理の精度が向上し，現在Z社が抱えている問題（注「ソフトウェア管理台帳上での貸出ライセンス数が，実際にインストールされている本数よりも多い」「従業員が利用申請したときにライセンスの在庫がない場合には，単純に購入していた」）の対策が進んだ場合に期待できる効果」とは？

「ソフトウェアライセンス数の適正化によるライセンス購入費用の抑制」（H25春AP午後問11設問3（3））

堅く書かれていますが，「無駄なライセンスを買わずに済む」程度にベタに書かれていても村山が採点者ならマル。

地震発生時には携帯電話を活用して「社員に対して緊急連絡が行われ，これを受けた社員は安否情報の登録」を行う安否確認システムの「安否情報自主登録機能は，どのような場合にどのように利用することを想定して実装されているか」？

「緊急連絡を受けられない場合に，自主的に安否情報を登録すること」（H25秋SA午後I問1設問1）

大規模な災害時，連絡は必ず届くとは限らない！

固定電話からの入力が可能な「安否確認システム」が用いる社員コード変換の方式について，「会社及び雇用形態を表す2桁のアルファベットを，それぞれ01〜26の数字に置き換えて4桁の数字とし，その後に社員コードの下4桁の数字を加え，8桁の新番号を作成する。」を採用した理由は？（注「社員コードは，1桁目がグループ内の各会社を表すアルファベット，2桁目が雇用形態を表すアルファベット，3桁目から6桁目までが各社員に割り当てられた数字の連番」）

「社員コードだけで容易に導ける利用者IDだから」（H25秋SA午後I問1設問2（1））

災害時にも高信頼性を，とくれば原始的なデバイスも考慮を！


インスパイア系【第2部】他区分の出題⑦「監査・リスク分析」どう問われた？解答例村山の一言

「リモートロックやリモートワイプは，MDMサーバがモバイル端末と通信できない場合には実行できないので（略）モバイル端末内に保存されているデータを保護するための対策を検討する必要がある。」でシステム監査人が想定した対策は？（二つ挙げよ）

「モバイル端末を使用するためのパスワードなどの設定」「モバイル端末内に保存されているデータの自動暗号化」（H26春AU午後I問3設問2）

この出題の「表1」は良い題材。「端末内のデータはクラウド側に持たせ，端末のローカル側はカラッポにしておく」はバツ。

Z社のクラウドサービス（注：Z社は監査の受入れ「不可」）の評価として，顧客要求への不適合の可能性があると判断した根拠は？

「サーバ管理についての監査ができない。」（H25春PM午後I問1設問3（3））

可監査性の確保，対外的な利点とくれば「安心感」（『SC2版』p.199）

サービスコンポーネント「ファイアウォール，Webサーバ，社内LAN及びDBサーバAは，影響度が高い」理由は？

「サービスコンポーネントが故障した場合，両サービスが中断するから」（H26春AP午後問10設問2）

SPOFや，処理やパケットが集中する箇所を見つけたら，正解候補は「そこをヤラレたら全部オシャカ」，対策は？とくれば「冗長化」。

新人材管理システム特有のリスクとは？（注：同システムが含む「研修管理システム」では，社員が取得した「公的資格などの情報」も管理）

「人材情報が漏えいすること」（H26春PM午後I問1設問4（2））

デリケートな話を遠回しに問う際に，「特有のリスク」「避けては通れない問題」等，少しボカした表現が使われる傾向。

社員が登録した連絡先へと確認する「安否確認システム」による「安否確認訓練を年2回定期的に行うことにした目的に挙げられている，回避すべきリスク」とは？（注：全社員への緊急連絡という観点で）

「社員が緊急連絡先の変更を登録せず，緊急連絡が届かなくなるリスク」（H25秋SA午後I問1設問3（2））

キャッシュ上の古いデータによるトラブルも，その解決策は「新の情報に更新させる」。


どう問われた？解答例村山の一言クラウドサービスプロバイダの事業撤退，倒産などによるサービス停止を想定した検討とは，どのような内容？（資産保全の観点で）

「サービス停止時の契約顧客のデータ保全に関する契約が妥当かどうか。」（H24春AU午後I問1設問1（1））

この問の「表1」は，思考実験の良い材料！

指摘「システム管理者が特権IDを使う操作をした場合，内部統制の観点で問題」への改善策は？

「システム管理者以外の情報システム部員が作業内容を確認する。」（H24秋SM午後I問4設問3（1））

参考：『SC2版』p.241-242「速効サプリ」パターン15「強すぎ権限ヤラレ放題」系。

本番サービス実行中に脆弱性検査を行う予定。これによる混乱を避けるために，事前に実施すべき対策は？

「販売管理システムの監視サービス会社に対し，脆弱性検査の計画を通知する。」（H24秋SM午後I問4設問1（1））

無意味なアラートで混乱させないため。（参考：『SC2版』p.79「ペネトレーションテストの留意点」）

なぜ担当者はパッチを適用しなかったのか，その根本原因は何かを調査するための手続は？

「システム担当者にインタビューを行い，新のパッチを適用しなかった理由を

確認する。」（H24春AU午後I問3設問3）

調査確認とくれば「面と向かって」が強，もしも話しにくい案件ならば，調査者が調査方法について気を利かせましょう。

受注管理システムの障害に備えた評価項目は？（本文中の字句を用いて）

「ファックスによる受注連絡への切替え」（H25秋AP午後問10設問2（2）空欄f）

本文中の原始的な記述は，フォールバック時の行動の正解候補！

システム監査人が確認した「移行作業中に予期せぬトラブルが発生したときの対応」とは？（移行作業の継続又は中止に関するコントロールを中心に）

「移行を中止する場合の判断基準が明確になっていること」（H24春AU午後I問4設問4）

“茹でガエル”防止策，の意。PM試験でも定番の問われ方。

遠隔で脆弱性検査を行うR社の検査端末の，グローバルIPアドレスを確認した目的は？

「各サーバのログを，検査に伴うレコードと通常運用のレコードに区別するため」（H24秋SM午後I問4設問1（2））

FW等ではそのグローバルIPアドレスからのパケットを素通しし，FW等への検査は別の機会に行う。（参考：『SC2版』p.79「ペネトレーションテストの留意点」）

監査実施時，各監査担当者の事前の統一した理解が必要な理由は？（その対策として「監査担当者への詳細なガイダンスを作成すべきである。」）

「規程は概括的で，担当者によって妥当性の判断に差異が生じる可能性があるから」（H25春AU午後I問4設問1）

各部署の担当者間で，セキュリティ対策への認識がバラバラだと？→ も認識が甘い部署から漏えいする！


どう問われた？解答例村山の一言モバイル端末に関する技術は「進歩が速いので，Z社が定めるバージョンよりも古いOSを搭載したモバイル端末の使用禁止に関する項目を，セキュリティポリシに追加すべき」は，どのようなリスクを想定したものか？

「旧型の機種を使用し続けることによって，Z社が定めるセキュリティ要件を満たせなくなるリスク」（H26春AU午後I問3設問1）

悪い意味での「もったいない精神」は発揮させない！

クラウドサービスプロバイダ（CSP）の事業継続性について，SaaS利用開始後に定期的に確認すべき事項は何か？（万一の場合における他CSPへの乗換えも含めた観点で）

「契約しているCSP及び競合するCSPの経営状況，経営方針の変化，契約顧客数の増減」（H24春AU午後I問1設問1（2））

「事業継続性」ゆえ，そのCSPが潰れないか，という観点で！

「利便性を重視し，情報管理の面からアクセス管理について十分に検討されていない可能性がある」。情報管理の面で，実施すべき監査手続は？

「権限マトリックスを閲覧し，機密レベルの高い情報の参照権限が適切に制限されているか確かめる。」（H26春AU午後I問2設問5）

ついでに覚える“no write down”と“no read up”（『SC2版』p.76）

「移行後も現システムと新システムの並行運用を行うことで対応する」とした，新システムのリスクとは？

「実装が漏れている機能が発見される。」「処理結果に不一致が発見される。」（H26春PM午後I問3設問4（2）「リスク」）

本問での，再構築した「新システム」は，「現システム」改修履歴の不備等の理由で完成度に不安がある。

「移行後も現システムと新システムの並行運用を行うことで対応するとした，新システムのリスク」への対応策とは？（注：リスクとは「実装が漏れている機能が発見される。」「処理結果に不一致が発見される。」）

「現システムの処理結果を使う。」「現システムに切り戻す。」（H26春PM午後I問3設問4（2）「対応策」）

とりあえず安全な方へと退却，という発想。

「電子カルテシステム」から「手書き伝票による代替運用」に変えた途端，その代替運用が実質的に機能しない可能性があるとシステム監査人が考えた理由は？

「手書き伝票で運用を代替した場合の業務負荷の増加分が検証されていないから」「手書き伝票起票後の各部門システムとの連携方法が検証されていないから」（H25春AU午後I問2設問4）

マンパワーについての話だが，機器の処理負荷の話にも流用可！


質疑応答ご清聴ありがとうございました。

!

!

・「情報セキュリティマネジメント試験（仮称）」・「iコンピテンシ・ディクショナリ」


edomaesec_20141004_murayama

Internet

sshhiiggeerruu mmiizzuukkii

sc amazonisbn978

sc isbn978

factoring rsa keys

certified smart cards

murayamanaoki ms a1

bourbon corporation