平成26年度 秋期 情報セキュリティスペシャリスト試験 午後II 過去問・解説

大問1　海外展開企業におけるグローバルな情報セキュリティ管理（IAMの統合）（配点50点）

問1 利用者ID管理システム及び認証システムの設計に関する次の記述を読んで，設問1〜6に答えよ。 N社は，従業員20,000名の大手金融機関である。N社はこれまで，日本の顧客企業の海外展開に合わせて海外にも支店を設け，顧客企業の現地法人及びその従業員向けの金融サービスを提供することによって，海外での取引を急速に拡大させてきた。N社は現在，日本，欧米，アジアという地域ごとに業務を行っており，システムも地域ごとに構築している…

設問

• 図1中の a に入れる適切な字句を，本文中の用語を用いて答えよ。
• 図3中の b に入れる適切な字句を，図3中から選び答えよ。
• アジア地域におけるアジアLDSへの正社員及び契約社員のIDの登録手順について，セキュリティ上の問題点を45字以内で述べよ。
• 本文中の下線①について，必要なカスタマイズの内容を35字以内で述べよ。
• 本文中の下線②について，変更の内容を25字以内で述べよ。
• 本文中の下線③について，どのような現状の問題を解決するために必要か。30字以内で述べよ。
• 本文中の下線④について，ID管理サブシステムの設計における不十分な点を，25字以内で述べよ。
• 認証情報の収集元として適切なものを，図4から三つ選び，答えよ。
• 本文中の下線⑤について，地域のポータルサーバへのアクセスが失敗する地域を，本文中の用語を用いて答えよ。また，ポータル画面に載せるリンクはどのサーバのURIにすべきか。サーバ名を10字以内で答えよ。
• 拡張GIAMシステムの二要素認証において使われる認証要素を二つ挙げ，それぞれ8字以内で答えよ。
• 本文中の下線⑥について，Yさんがテスト工程の期間と工数が大きくなると説明したのは，テスト工程でどのような機能検証を行う必要があると考えたからか。25字以内で述べよ。
• 本文中の下線⑦について，利用者が他の地域のシンクライアントサーバにアクセスした場合に発生するおそれがある問題を，ネットワークに関連する要因とともに50字以内で述べよ。
• 本文中の下線⑧について，IDとパスワードの再入力が必要である地域を，本文中の用語を用いて答えよ。
• SSOを実現するために，どの構成要素に対して，どのような設定が必要か。設定が必要な構成要素を二つ選び，答えよ。また，それらの設定内容を，それぞれ15字以内で述べよ。

大問2　Webサイトのセキュリティ対策の推進と評価（配点50点）

問2 Webサイトのセキュリティに関する次の記述を読んで，設問1〜3に答えよ。 A社グループは，サービス業，小売業，ネットビジネス業及び情報サービス業のA社〜G社の7社から成る企業グループである。A社を含むグループ各社が運営しているWebサイトは，企業情報サイト，BtoCサービスサイト，BtoBサービスサイト，一時的なキャンペーンサイトなど，様々である。グループ各社及びその情報システム関連部門の概要を，表1に示す…

設問

• 本文中の a ， b に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の c に入れるURIのパス名と，本文中の d に入れるパラメタ名を，それぞれ15字以内で答えよ。
• 本文中の下線①について，T氏が携帯サイト全体に対して対策を行うべきであると考えた理由を，40字以内で述べよ。
• 事故発生後のNさんの対応で，改善すべき点を30字以内で述べよ。
• 図1中の e に入れる適切な字句を15字以内で答えよ。
• 図1中の f に入れる適切な内容を，"ファイアウォール"と"ポート"の二つの用語を用いて40字以内で述べよ。
• 図1中の下線④の診断で，検出された脆弱性が適切に修正されたこと以外に何を確認することを目的としているか。30字以内で述べよ。
• 図3中の g ， h に入れる適切な文字列を答えよ。
• 本文中の下線②について，反射型XSSの診断方法を65字以内で述べよ。また，その診断方法ではDOMベースのXSSを発見できない理由を35字以内で述べよ。
• 本文中の下線③の対策を行うと，正規の利用に不具合が発生するサイトを，表3の中から選び，かつ，不具合が起こらないようにするためには，下線③の対策をどのように変更すればよいかを，45字以内で述べよ。
• 本文中，図4中及び図5中の i に入れる適切な応答ヘッダフィールド名を解答群の中から選び，記号で答えよ。
• 本文中の j に入れる，利用者がすべきことを，40字以内で具体的に述べよ。
• WebサイトがHSTSが有効になるよう設定している場合でも，本文中の下線⑤の事象が起きる場合がある。HSTSの有効期限が切れた場合以外に，どのような場合に起きるのか，35字以内で述べよ。

この回の出題傾向と学習ポイント

平成26年度秋期の午後IIは、海外展開する金融機関のID管理・認証システム統合と、企業グループのWebサイトセキュリティ対策の推進・評価の2問からの選択制です。どちらも大規模組織を舞台に、設計レビューやガイドライン制定という上流工程の視点で解答させる、マネジメントと技術の融合型の回です。

問1　海外展開企業におけるグローバルな情報セキュリティ管理（IAMの統合）

地域ごとに異なるID管理・認証方式（ICカードと証明書、TGTの発行など）を全地域共通のシステムへ統合する設計が題材です。ID登録手順のセキュリティ上の問題点を45字で述べる記述、設計レビューでの不十分な点の指摘、二要素認証で使われる認証要素、SSO実現に必要な構成要素と設定を答える設問が続きます。ディレクトリによる認証基盤とシングルサインオンの仕組みを構成要素レベルで理解しておきましょう。

問2　Webサイトのセキュリティ対策の推進と評価

7社から成る企業グループで、ショッピングサイトへの攻撃対応から脆弱性診断ガイドラインの制定へ進む題材です。攻撃されたURIのパス名とパラメタ名の特定、事故対応の改善点、反射型XSSの診断方法とその方法ではDOMベースのXSSを発見できない理由、HSTSが有効でも攻撃が成立する場合など、Web脆弱性の細部を問う設問が豊富です。XSSの分類と診断の観点、HTTPS強制の仕組みを整理しておくと有利です。

組織や地域、グループ会社が多数登場するため、関係図を描いて主体を整理してから設問に入るのが得策です。技術記述はいずれも本文の構成・手順の穴を突くもので、レビューアの視点で読む練習になります。