平成26年度 春期 情報セキュリティスペシャリスト試験 午後II 過去問・解説

大問1　クレジットカード情報（PAN）の安全な管理とPCI DSS（配点50点）

問1 百貨店事業におけるクレジットカード情報の安全な管理に関する次の記述を読んで，設問1〜4に答えよ。 L社は，全国に百貨店事業を展開している従業員数3,000名の企業である。L社では，L社の百貨店だけで使用できるクレジットカード（以下，ハウスカードという）を発行している。ハウスカードは，顧客からハウスカード申込書を記入して，L社に提出し，審査に合格した後に発行される…

設問

• 本文中の下線①について，会員サポート課の業務の中で，どのような点が方針1に反しているか。40字以内で具体的に述べよ。
• 本文中の下線②について，L社の方針に従った権限の付与を解答群の中から選び，記号で答えよ。
• 本文中の下線③について，保守課のどの作業で，どのような状態で，できるようになるか。それぞれ15字以内で答えよ。
• 本文中の下線④について，図4に示す要件を満たさないものがある。その方式名と満たさないPCI DSS要件の項目番号をそれぞれ答えよ…
• 本文中の下線④の理由を35字以内で具体的に述べよ。
• 表4中の a ～ d に入れる適切な方式名を表3の中から答えよ。
• 本文中の下線⑤について，セキュリティ上の問題につながる事象を一つ，40字以内で述べよ。
• 本文中の e に入れる適切な字句を答えよ。
• 本文中の下線⑥について，どの手順をどのように改善できるか。40字以内で具体的に述べよ。
• 図8中の f ， g に入れるテーブル構造を答えよ。なお，主キーには下線を引くこと。

大問2　公開Webサーバのコンテンツ改ざんとインターネット接続システムのセキュリティ対策（配点50点）

問2 金属加工業者におけるデータ管理に関する次の記述を読んで，設問1〜5に答えよ。 D社は，従業員数200名の金属加工業者である。CAD/CAM（Computer Aided Design/Computer Aided Manufacturing）システム及びDNC（Direct Numerical Control）システムを導入し，設計と製造に活用している。大型機械製造業や電気機器製造業の大手企業から委託を受けることも多い…

設問

• 本文中の下線①について，調査が困難になるのはなぜか。25字以内で述べよ。
• 図2中の下線②について，バックアップメディアを用いてコンテンツの復元を行わない理由を45字以内で述べよ。
• 本文中の下線③について，追加した適用対象を15字以内で答えよ。
• 本文中の a に入れる適切なプロトコル名を，英字6字以内で答えよ。
• 本文中の下線④について，変更することにした項目の項目名を答えよ。また，変更後の内容を，図1中の字句を用いて答えよ。
• 本文中の下線⑤について，不都合が生じる業務を行う課を答えよ。また，不都合の内容を45字以内で具体的に述べよ。
• 表7中の b ～ d に入れる適切な接続先を答えよ。
• 表8中の e ～ g に入れる適切な字句を答えよ。
• 図3中及び本文中の h に入れる適切な字句を10字以内で答えよ。
• 本文中の下線⑥について，利点を30字以内で述べよ。
• 本文中の下線⑦の通信を二つ挙げ，それぞれ50字以内で述べよ。
• 本文中の下線⑧の通信を，35字以内で述べよ。

この回の出題傾向と学習ポイント

平成26年度春期の午後IIは、百貨店のクレジットカード情報（PAN）をPCI DSSに準拠して管理する問1と、金属加工業者の公開Webサーバ改ざん対応とネットワーク見直しの問2の2問からの選択制です。基準への準拠状況を点検する問1と、インシデントを起点に運用を総点検する問2で、いずれも実務色の濃い長編です。

問1　クレジットカード情報（PAN）の安全な管理とPCI DSS

ハウスカードを発行する百貨店で、PANの取扱いをPCI DSSの要件に照らして点検します。業務のどこが方針に反するかを40字で指摘する記述、PANを保護する各方式が要件を満たすかの判定と違反内容の説明、無線LAN検知に関する要件11.1への対応、主キーを明示したテーブル構造の設計まで出題されます。PCI DSSの趣旨とPAN秘匿化の方式ごとの特性、DB設計の基礎を併せて確認しておきましょう。

問2　公開Webサーバのコンテンツ改ざんとインターネット接続システムのセキュリティ対策

FTPでコンテンツを更新していた金属加工業者の公開Webサーバが改ざんされた事案が題材です。バックアップからの復元を行わない理由を45字で述べる記述、代替プロトコルを英字6字で答える穴埋め、プロキシ・FW設定やログ管理の見直し、専門加工業者へCADデータを送る際に発生する通信を列挙する設問があります。改ざん対応の手順と、通信経路を機器名レベルで洗い出す力を鍛えておきたい大問です。

問1は基準の条文と業務実態の突き合わせ、問2は構成図上の通信の追跡が中心です。演習では、要件・ルールの番号と本文の該当箇所を線で結ぶように根拠を明示する解き方を徹底しましょう。