令和2年度 10月 情報処理安全確保支援士試験 午後I 過去問・解説

大問1　スマートフォン決済アプリのなりすまし対策（配点50点）

問1 スマートフォンを用いた決済に関する次の記述を読んで，設問1〜3に答えよ。 N社は，従業員数10,000名の飲食業者で，全国に500店舗を展開している。 N社では，会員番号をバーコードとして表示するスマートフォン用ポイントアプリケーションプログラム（以下，ポイントアプリという）を使って，ポイントサービスを提供している。店員がバーコードをバーコードリーダで読み取ることによってポイントが付与される仕組みである…

設問

• 〔項番1への対策〕について。どのような手段でなりすまして決済ができるのか，想定される手段を30字以内で具体的に述べよ。また，その攻撃が成功してしまう決済アプリにおける問題を25字以内で，具体的に述べよ。
• 図3中の a に入れる適切な字句を，30字以内で述べよ。
• 本文中の下線①について，攻撃者はどの設定項目の内容をどのように変更するか。変更する設定項目を表5の中から選び，記号で答えよ。また，変更後の設定内容を25字以内で述べよ。
• 図4中の b 〜 d に入れる適切な字句を，b ， d については解答群の中から選び記号で， c については5字以内で，それぞれ答えよ。
• 本文中の下線②について，Nシステムのどのような挙動を利用してスクリーニングを実行したと考えられるか。利用したと考えられる挙動を40字以内で具体的に述べよ。
• 本文中の下線③について，表3中の修正すべき処理を記号で答えよ。また，どのように修正すべきか，修正後の処理を25字以内で述べよ。

大問2　S/MIMEによる電子メール暗号化（配点50点）

問2 電子メールのセキュリティ対策に関する次の記述を読んで，設問1〜3に答えよ。 R社は，従業員数100名のシステム開発会社である。 R社では，電子メール（以下，メールという）を利用している。メールアドレスのドメイン名には，r-sha.co.jp（以下，R社ドメイン名という）を使用している。R社では，委託先との設計ドキュメントファイルの交換に当たって，F社のファイル交換サービス（以下，Fサービスという）の利用を推進している…

設問

• 表1中の a に入れる適切なプロトコル名を，英字5字以内で答えよ。
• 本文中の b に入れる適切なプロトコル名を，英字5字以内で答えよ。
• 本文中の下線①の理由を，35字以内で述べよ。
• 本文中の c に入れる適切な字句を，10字以内で答えよ。
• 本文中の下線②について，復号できなくなるのはどのような場合か。25字以内で述べよ。
• 本文中の d ～ g に入れる適切な字句を，d，fは，それぞれ10字以内で，e，gは，それぞれ5字以内で答えよ。

大問3　ECサイトの脆弱性診断計画（配点50点）

問3 Webシステムのセキュリティ診断に関する次の記述を読んで，設問1，2に答えよ。 L社は，ECサイトを運営している従業員数800名の企業である。L社のモールの会員は，モールで買物をすると，購入金額に応じてL社が独自に発行するポイントが得られる。L社のポイントサービス部が管理するポイントシステム（以下，Pシステムという）のネットワーク構成を図1に示す…

設問

• 本文中の下線①について，その理由を35字以内で述べよ。
• 本文中の下線②について，どのような設定変更をすべきか。設定変更の内容を30字以内で述べよ。
• 本文中及び表2中の a に入れる診断PCの接続箇所を，図1中の接続点(a)〜(f)の記号で答えよ。
• 本文中の b に入れる適切な字句を，15字以内で具体的に答えよ。
• 本文中の下線③について，何をどのように変更すべきか。Pシステムの通信量に着目し，変更する項目を表2から選び答えよ。また，変更する内容を20字以内で具体的に述べよ。
• 本文中の下線④について，どの機器に対して，どのように設定を変更すべきか。機器は図1から選び答えよ。変更内容は55字以内で具体的に述べよ。
• 本文中の c ， d に入れる適切な字句を，図1中から選び答えよ。また，本文中の e に入れる適切な字句を，許可又は拒否のいずれかで答えよ。答案用紙の'許可'，'拒否'のいずれかを○印で囲んで示す。

この回の出題傾向と学習ポイント

令和2年度10月の午後Iは、スマートフォン決済アプリのなりすまし対策、S/MIMEによるメール暗号化、ECサイトの脆弱性診断計画という3問構成の選択制です。決済・メール・診断と題材は分かれますが、いずれも表に整理された機能・処理・ルールを根拠に、攻撃手段や設定変更を具体的に記述させるタイプの回です。

問1　スマートフォン決済アプリのなりすまし対策

飲食業者が独自開発するスマートフォン決済システムを題材に、なりすまし決済の手段とそれを許すアプリ側の問題を具体的に記述させる設問、攻撃者が変更する設定項目を表から選び変更内容を述べる設問、修正すべき処理を記号で示し修正後の処理を書く設問が並びます。会員登録・決済処理の表を精読し、認証や通知の穴を見つける演習に適した大問です。

問2　S/MIMEによる電子メール暗号化

パスワード付きZIPをメールとメーリングリストで送る運用の問題点から、S/MIME導入の課題と解決策までを扱います。プロトコル名を英字5字以内で答える穴埋め、運用上の理由や復号できなくなる場合を25〜35字で述べる記述が中心です。S/MIMEの証明書と鍵の扱い、メーリングリスト経由で暗号化メールを送る際の制約を理解しておくと確実に得点できます。

問3　ECサイトの脆弱性診断計画

本番環境・ステージング環境・管理LANから成るポイントシステムに対する脆弱性診断の計画立案とレビューが題材です。診断PCの接続点を図中の(a)〜(f)から選ぶ設問、通信量に着目した計画変更、IPSやFWの設定変更内容を最大55字で記述する設問が続きます。診断を安全かつ有効に行うための環境選定・機器設定という、診断実務の観点を学べる大問です。

3問とも「表・図の何行目を根拠にしたか」を明確にできれば短い記述で足ります。決済フロー・メール暗号化・診断計画のいずれも、手順を自分で図に描き直す練習が有効です。