平成24年度 春期 情報セキュリティスペシャリスト試験 午後II 過去問・解説

大問1　インターネット向けサーバの災害復旧対応（事業継続・BCP）（配点50点）

問1 インターネット向けサーバの災害対策に関する次の記述を読んで，設問1〜5に答えよ。 A社は，従業員数3,000名の医薬品卸売会社である。東京に本社のほか，大阪に関西地域本社があり，支社は東京と大阪を含めた7都市があり，12か所に物流センタ（以下，LCという）を置き，60か所に営業所を配置している…

設問

• 表2中の a ，本文中の b に入れる適切な字句をそれぞれ実字で答えよ。
• 図3中の c に入れる適切なサーバ名を図1中の字句を用いて答えよ。
• Xウイルスの活動がなかったことを確認するには，FW-Aで何を調べればよいか。35字以内で述べよ。
• 図3中の下線①について，フルスキャンを実施したかどうかを確認できないPCがあった。PCがどのような状態にある場合に確認できないのか。その状態を二つ挙げ，それぞれ20字以内で具体的に述べよ。
• 図3中の下線②のように，従業員がどのようにWebメールを使用した場合，PCを特定できないか。30字以内で述べよ。
• 本文中の d ， e に入れる適切なサーバ名をそれぞれ図5中の字句を用いて答えよ。
• 本文中の下線③について，インターネット上のメールサーバが外部メールDRサーバから転送されたメールをSPFによって迷惑メールと判定する条件を40字以内で具体的に述べよ。
• サービス管理Webサーバの使用に当たり，B社に依頼しておくべき事項を50字以内で述べよ。
• 災害時の情報提供について，公開WebサーバのWebページに盛り込む内容に対応した結果として，25字以内で具体的に述べよ。
• 本文中の下線④について，プロキシサーバ及びプロキシDRサーバにおいて対応した内容を30字以内で述べよ。
• 外部メールDRサーバの起動後，メールの転送を開始するまでの間に実施すべきことを，図6以外の事項について，30字以内で述べよ。
• Iシステムの復旧において，Iシステムの機器に関する情報セキュリティ対策として行うべき事項を55字以内で具体的に述べよ。

大問2　クラウドサービス及び携帯端末の業務利用とセキュリティ（配点50点）

問2 携帯端末とクラウドサービスの利用に関する次の記述を読んで，設問1〜5に答えよ。 R社は，各種イベントの企画・運営を行う会社である。R社は従業員数が以前よりも増加しているので，現在のオフィスでは手狭になってきた。そのため，R社はオフィスを半年後に移転することを決定し，各部門からメンバを集めて移転のためのプロジェクトチーム（以下，PJという）を結成した…

設問

• 本文中の a ～ c に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線①について，どのようなメールについてどのようなリスクが高まるか。30字以内で答えよ。
• 図3の検討課題について，利用者に対して周知，教育すべき事項を二つ挙げ，それぞれ25字以内で答えよ。
• 表2中の d ， e に入れる適切な字句を，それぞれ3字以内で答えよ。
• 表2について，ある事業者が提供するサービスにおいて，保証するサービスの稼働率が99.9%のとき，1か月間での最大停止時間は何分になるか。以下は切り捨てて分単位で答えよ。ただし，1か月は30日とし，1日のサービス提供時間は24時間とする。
• 本文中の下線②について，メールやグループウェアのサービスをSaaS型サービスで利用する場合，メールやグループウェアのデータ以外に，R社においてバックアップを行う必要があると考えられるデータは何か。25字以内で答えよ。
• 本文中の下線③の監査において用いられる監査基準を解答群の中から選び，記号で答えよ。また，プライバシーマーク付与やISMS認証なども含め，第三者による認証，監査などを受けている事業者を候補とすることで，事業者にはどのようなことが期待できるか…
• 本文中の下線④について，携帯端末から貸与PC上のデータにアクセスするには具体的にどのような方法が想定されるか。25字以内で述べよ。
• 表3の下線に対応するため，従業員に個人所有携帯端末の詳しい脆弱性情報を提供することに加え，各従業員に必要かつ十分な脆弱性情報を提供するには，従業員の個人所有携帯端末の利用申請時にどのようなことを行う必要があるか。40字以内で述べよ。
• 図10中の f ， g に入れる適切な字句を， f は5字以内で， g は15字以内で答えよ。
• 図9中の下線⑥について，携帯端末がウイルスに感染しやすくなる理由を，60字以内で述べよ。
• 本文中の下線⑦について，どこにあるどのようなデータがどのような経路で漏えいすることが想定されるか。50字以内で具体的に述べよ。
• S主任が発見したセキュリティ上の問題を防ぐために，図9の個人所有端末有端末に関するポリシの追加及び変更すべき項目と，R社内の情報システムにおいて実現可能と考えられる技術的な対策を，それぞれ40字以内で述べよ。

この回の出題傾向と学習ポイント

平成24年度春期の午後IIは、インターネット向けサーバの災害復旧（事業継続）を扱う問1と、クラウドサービス・個人所有携帯端末の業務利用を扱う問2の2問構成の選択制です。どちらもシステム構成や表の読み取りを基に、25〜60字の記述で運用面の判断を説明させる設問が中心です。

問1　インターネット向けサーバの災害復旧対応（事業継続・BCP）

医薬品卸売会社A社のインターネット接続システムに災害復旧用の環境を設ける検討が題材です。前半はウイルス対処の経過から、フルスキャンを確認できないPCの状態など運用の穴を問い、後半はDRサーバへの切替えに伴う課題として、SPFによって転送メールが迷惑メールと判定される条件（40字）や復旧時のセキュリティ対策を記述させます。メールの仕組みと事業継続の両方の知識が必要な大問です。

問2　クラウドサービス及び携帯端末の業務利用とセキュリティ

オフィス移転を機に、クラウドサービスの利用と個人所有の携帯端末の業務利用を検討する大問です。SaaS型サービス利用時にバックアップすべきデータ、稼働率99.9%から最大停止時間を求める計算問題、監査基準を選ぶ設問、ポリシの追加・変更内容など、契約・運用・規程の観点が幅広く問われます。クラウド利用時に自社側に残る管理責任を意識しておくと解きやすい問題です。

両問とも、技術の細部よりも「サービスが止まったら」「管理の及ばない端末だったら」という運用リスクの想定力が問われます。演習では、対策を書く前にリスクの主体と経路を特定する手順を意識してください。