令和3年度 春期 情報処理安全確保支援士試験 午後II 過去問・解説

大問1　インシデント対応体制の整備（配点50点）

問1 インシデント対応体制の整備に関する次の記述を読んで，設問1〜5に答えよ。 N社は，従業員800名のドラッグストアチェーンである。グローバルに事業を展開する海外の企業B社のブランドライセンスを取得し，同ブランドで国内80店舗の展開，及びN社Webサイト（以下，通販サイトという）での通信販売を行っている。N社は，消費者向けの会員制度を設けており，会員は商品購入時に特典を受けられる。N社の組織を図1に示す…

設問

• 図5中の下線①で示したパスワードリスト攻撃とは，一般にどのような攻撃か。45字以内で具体的に述べよ。
• 図5中の下線②について，パスワードの安全な設定方法とは何か。35字以内で具体的に述べよ。
• 図5中の下線③について，ログインが普段と異なる環境から行われたことを判定する技術的手法を，45字以内で具体的に述べよ。
• 図5中の a に入れる適切な字句を8字以内で答えよ。
• 図5中の b に入れる適切な数値を答えよ。
• 表1中の下線④について，社内LANから店舗用PCを経由せずにどのようにマルウェアが侵入すると想定されるか。侵入方法を50字以内で具体的に述べよ。
• 表2中の c に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 図7中の d ～ f に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線⑤について，図9の接続元IPアドレスのうち，不正ログインを行ったと推測される接続元IPアドレスは幾つか。個数を答えよ。
• 図10中の下線⑥について，脆弱性Mだけを悪用しても「/etc/shadow」ファイルを参照できない理由を，「/etc/shadow」ファイルの性質を含めて，70字以内で述べよ。
• 図10中の下線⑦について，攻撃者が行った設定変更の内容を，45字以内で具体的に述べよ。
• 図10中の下線⑧について，F2ファイルには，幾つのIPアドレスをスキャンした結果が格納されていると考えられるか。図9中の値及び図10中の値を用いて求めよ。
• 本文中の下線⑨について，措置を75字以内で具体的に述べよ。
• 本文中の下線⑩について，悪用される可能性を評価する際に加えるべき観点，又は影響を評価する際に加えるべき観点を，今回の事例を踏まえて30字以内で述べよ。

大問2　クラウドセキュリティとIT統制（配点50点）

問2 クラウドセキュリティに関する次の記述を読んで，設問1〜6に答えよ。 C社は，従業員150名の個人向けの投資コンサルティング会社である。金融商品や不動産投資に詳しいファイナンシャルプランナ60名からなる事業部，50名の営業部，20名の企画部，20名の経営管理部がある。顧客の投資診断や運用面の提案を行うロボットアドバイザサービスが好調で，創立5年目で売上高が30億円を超える会社に成長を遂げた…

設問

• 本文中の下線①は何と呼ばれているか。解答群の中から選び，記号で答えよ。
• 本文中の下線②について，C社内LANの個人所有機器のどのような利用状況によって，どのような問題が引き起こされたか。60字以内で具体的に述べよ。
• 本文中の下線③について，UTM以外にDHCPサーバが稼働しているかどうかをどのように調査するのか，UTMのDHCPサーバを稼働させたまま行う方法と停止させて行う方法を，それぞれ50字以内で具体的に述べよ。
• 本文中の下線④について，アクセスログの調査以外に何を調査すべきか。調査すべきものを40字以内で述べよ。
• 本文中のa，bに入れる適切な字句を，図1中の用語から選び答えよ。
• 本文中のcに入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線⑤で示した，C社において支障が出る業務とは何か。一つ挙げ，25字以内で述べよ。
• 要件4は，表3中のどの機能で実現できるか。表3中の番号で一つ答えよ。
• 要件5は，表3中のどの機能で実現できるか。表3中の番号で一つ答えよ。
• 本文中の下線⑥について，図3中のどの段階で遮断するか。解答群の中から選び，記号で答えよ。また，総務Gが管理していない機器かどうかをどのような方法で判定するか。判定の方法を30字以内で具体的に述べよ。
• 本文中の下線⑦について，規格又は認証の例を二つ，20字以内で答えよ。
• 本文中のdに入れる適切な番号を，表3中の番号で一つ答えよ。
• 本文中の下線⑧について，要件2を満たし，そのセキュリティ設定が従業員によって無効にされないためには，どのように設定する必要があるか。30字以内で述べよ。
• 本文中の下線⑧について，要件4及び要件5を満たし，それを維持するためには，どのソフトウェアをどのように設定する必要があるか。40字以内で述べよ。

この回の出題傾向と学習ポイント

令和3年度春期の午後IIは、ブランドライセンス契約下でのインシデント対応体制の整備と、SaaS活用・テレワークを見据えたクラウドセキュリティの2問構成の選択制です。どちらもマネジメント寄りの題材ですが、ログ分析やDHCP調査など技術的な手を動かす設問が組み込まれており、規程と技術の両面を問う回です。

問1　インシデント対応体制の整備

ドラッグストアチェーンを舞台に、パスワードリスト攻撃の説明（45字）から始まり、不正ログインの接続元IPアドレスの個数を数える設問、脆弱性を悪用されても/etc/shadowを参照できない理由（70字）、攻撃者の設定変更内容、スキャン件数の計算まで、ログと調査結果を読み解く設問が14問並びます。攻撃手法の知識とログ分析の両方を鍛えておきたい大問です。

問2　クラウドセキュリティとIT統制

投資コンサルティング会社のSaaS活用・テレワーク整備を題材に、勝手に接続された機器によるトラブルの調査方法（DHCPサーバの探索を50字で記述）、セキュリティ要件を満たす機能を表から番号で選ぶ設問、規格・認証の例を挙げる設問などが続きます。資産管理・機器認証・クラウド選定基準といった、中小規模組織のIT統制の定石を整理しておくと解きやすい構成です。

両問とも本文中の規程・要件と技術的事実を対応付ける構図です。演習では「どの要件を根拠にこの対策を選ぶか」を毎回言語化しながら解くと、70字級の長文記述でも要素の漏れが減り、答案の精度が上がります。