令和2年度 10月 情報処理安全確保支援士試験 午後II 過去問・解説

大問1　Webサイト統合のリスク分析とSAML（配点50点）

問1 百貨店におけるWebサイトの統合に関する次の記述を読んで，設問1〜5に答えよ。 C社は，半年ほど前に旧A社と旧B社が合併してできた会社である。旧B社が存続会社となり，旧A社の事業を承継した上で，C社に改称した。C社には，旧A社の10店舗の百貨店（以下，A百貨店という）と，旧B社の5店舗の百貨店（以下，B百貨店という）を運営している…

設問

• 表2中の a ， b に入れる適切な字句を答えよ。
• 設問2 〔個人情報の取扱い〕について，旧A社と旧B社の合併によるC社の事業承継に伴って取得した個人情報の取扱いに関し，個人情報保護法に定められている禁止事項を，70字以内で述べよ。
• 本文中の c ， d ， f ， g に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の e ， h に入れる適切な図3又は図4の行番号を，解答群の中から選び，記号で答えよ。
• 本文中の i に入れる適切な処理内容を，50字以内で具体的に述べよ。
• 本文中の j に入れる適切な内容を，40字以内で述べよ。
• 本文中の k に入れる適切な内容を，40字以内で述べよ。
• 本文中の下線①について，更に大きな被害とは何か。具体的な被害を二つ挙げ，それぞれ30字以内で述べよ。
• 利用者の操作によって，図7のとおりに画面が遷移した場合，（い）（う）の画面は，図6の(1)〜(4)のどの時点で表示されるか。それぞれ，(1)〜(4)の記号で答えよ。
• 利用者の操作によって，図7のとおりに画面が遷移した場合，（あ）（い）（う）の各画面では，どのサーバから送られたHTMLを表示するか。それぞれ，答案用紙の"SP"，"IdP"のいずれかを○印で囲んで示せ。
• 利用者の操作によって，図8の（え）（か）（き）（く）（け）の順に画面が遷移した場合，（え）（か）（き）（く）の各画面では，どのサーバから送られたHTMLを表示するか。それぞれ，答案用紙の"SP"，"IdP"のいずれかを○印で囲んで示せ。

大問2　マルチクラウドとゼロトラストのテレワーク環境（配点50点）

問2 クラウドサービスを活用したテレワーク環境に関する次の記述を読んで，設問1～6に答えよ。 E社は，従業員5,000名のIT企業である。E社では，働き方改革の一環として，テレワーク環境を整備することになった。テレワーク環境について検討すべき重要なテーマの一つに，テレワーク環境経由での情報漏えいを起こさないためのセキュリティ確保がある…

設問

• 本文中の下線①について，QRコードに含まれ，OTPアプリがOTPの生成に使用する情報を，解答群の中から選び，記号で答えよ。
• 本文中の下線②について，E社のネットワークからのアクセスだけに制限しなかった場合，OTPについてどのような問題が起きると考えられるか。起きると考えられる問題を30字以内で述べよ。
• 図2及び図3中の a 〜 f に入れる適切な通信メッセージ又は処理を，解答群の中から選び，ア〜カの記号で答えよ。
• 本文中の下線③について，ノートPCを介して持ち出す方法を30字以内で具体的に述べよ。
• 本文中の下線④について，マルウェアが社内情報を取得する方法を35字以内で具体的に述べよ。
• 本文中の下線⑤について，T環境内のアクセスも必要最小限にする場合，許可するアクセス先を解答群の中から全て選び，記号で答えよ。
• 本文中の下線⑥について，どのような方法か。35字以内で述べよ。
• 本文中の下線⑦について，該当する対策を本文中の用語を用いて35字以内で具体的に述べよ。
• 本文中の g に入れる適切な字句を，20字以内で述べよ。
• 本文中の下線⑧について，利用者に設定させるとどのような問題が起きると考えられるか。起きると考えられる問題を25字以内で具体的に述べよ。
• 本文中の下線⑨について，DaaS-Vへのアクセスと同等のセキュリティを実現するためには，FWのVPN機能にどのような仕組みが必要か。必要な仕組みを30字以内で具体的に述べよ。

この回の出題傾向と学習ポイント

令和2年度10月の午後IIは、合併に伴うWebサイト統合のリスク分析とSAMLによる認証連携、マルチクラウドを活用したゼロトラスト志向のテレワーク環境という2問構成の選択制です。問1は個人情報保護法やコードレビューまで踏み込み、問2はIDaaSやOTPなどクラウド認証技術が中心で、いずれも設計判断の理由を問う記述が目立つ回です。

問1　Webサイト統合のリスク分析とSAML

百貨店合併後の3サイト統合を題材に、事業承継で取得した個人情報の取扱いに関する個人情報保護法上の禁止事項（70字）、ソースコードの行番号を選ぶコードレビュー設問、インシデントの被害を二つ挙げる設問、SAMLの画面遷移でSPとIdPのどちらのHTMLが表示されるかを判定する設問まで幅広く問われます。SAMLのリダイレクトの流れを図で追える力が決め手です。

問2　マルチクラウドとゼロトラストのテレワーク環境

SaaS・IDaaS・DaaSを組み合わせたテレワーク実証環境が題材です。OTPアプリがQRコードから取得する情報の選択、認証フローの空欄を解答群で埋める設問、ノートPC経由の情報持出し方法や許可すべきアクセス先の選択など、25〜35字の具体的な記述と選択が交互に出ます。多要素認証の仕組みとアクセス制御を最小権限で設計する考え方を押さえておきましょう。

両問とも認証連携のシーケンスが得点の中心にあります。演習ではSAMLやOTPのフロー図を白紙に再現し、各ステップで何が検証されるかを説明できる状態を目指しましょう。