平成23年度 春期 情報セキュリティスペシャリスト試験 午後II 過去問・解説

大問1　メールシステムの情報漏えい対策（配点50点）

問1 メールシステムの情報セキュリティ対策に関する次の記述を読んで，設問1〜5に答えよ。 P社は，従業員数300名のソフトウェア開発会社である。P社の主要事業は，ソフトウェア製品の開発及びWebアプリケーションの受託開発である。P社には，人事総務部，情報システム部，営業部及びシステム開発部がある。P社のネットワーク構成を図1に示す。 PCは，PCネットワークだけに接続されている…

設問

• 〔メールシステムの概要〕について，図2中の a ～ d に入れる適切な字句を解答群の中から選び，記号で答えよ。
• PCのメールソフトの送信者メールアドレスを誤って設定しても，社内メールサーバがPCのメールソフトからのメールの送信を拒否しない理由を，40字以内で述べよ。
• 本文中の下線①のログ調査結果を得るために調査したサーバの名称を図1中の字句を用いて答えよ。また，確認した内容を50字以内で述べよ。
• 本文中の下線②について，ウイルス定義ファイルのダウンロードに使用したサーバの名称を図1中の字句を用いて答えよ。
• 本文中の下線②について，U氏が助言した対策を30字以内で述べよ。
• 本文中の下線③について，MLサーバの設定の見直し案を45字以内で，許可済ドメイン名の設定ルール案を35字以内で答えよ。
• 本文中の下線④について，表7の修正箇所2か所の項番及び修正後の処理を答えよ。
• 本文中の e に入れる適切なサーバの名称を図1中の字句を用いて答えよ。
• 本文中の下線⑤について，U氏が連絡手段をメール以外の方法に変更するように助言した理由を40字以内で述べよ。
• 本文中の下線⑥について，SPFによってP社からのメールが迷惑メールと判定されないようにする対策を50字以内で述べよ。
• 本文中の下線⑧について，PJWebサーバに必要な情報セキュリティ機能のうち，情報漏えい対策に効果があるものを二つ挙げ，具体的な内容を，それぞれ40字以内で述べよ。
• 本文中の下線⑨について，PJWebサーバの情報セキュリティ対策のうち，情報漏えい対策として，情報システム部が行うべき運用方法を，想定するリスクを含めて，60字以内で具体的に述べよ。

大問2　情報セキュリティ監査によるリスクマネジメント（配点50点）

問2 情報セキュリティ監査に関する次の記述を読んで，設問に答えよ。 K社は，部品メーカや代理店から部品を仕入れ，それらを組み合わせた製品を販売する専門商社である。K社の情報システムは，企画グループが企画を行い，設計，開発は主としてソフトウェアハウスのY社に委託している。 〔情報セキュリティの見直しと情報セキュリティ監査〕 K社では，情報セキュリティの見直しについて，情報システム部のF主任とG君が会話している…

設問

• 本文中の a ～ c に入れる適切な字句を，それぞれ5字以内で答えよ。
• 本文中の下線①について，Y社に監査を依頼すべきではないとF主任が述べた理由を，監査の原則の観点から40字以内で述べよ。
• 本文中の d に入れる適切な法令を解答群の中から選び，記号で答えよ。
• 本文中の下線②に該当する文書は，情報セキュリティマネジメントの中で実施される。ある作業の結果として作成されるものである。その作業とは何か。10字以内で答えよ。
• 本文中の下線③について，Z社は，受発注Webシステムの安全性を損なわずに表1中のDMZスキャンを実施するために，IPSの設定を一時的に変更するようK社に依頼した。その変更内容を，40字以内で述べよ。
• 表2中の e ， f に入れる適切な字句を答えよ。
• 本文中の g に入れる適切な字句を，15字以内で答えよ。
• 本文中の h に入れる適切な字句を，10字以内で答えよ。
• 図4中の下線④に対応するための改善策を，35字以内で述べよ。
• 図4中の下線⑤に対応するために，図3中の“重要な情報の安全管理に関する事項”に追加すべき内容を，30字以内で述べよ。
• W氏が本文中の下線⑤のように述べたのはなぜか。解答欄に従い，“WPA-PSKでは，……のに対し，Webフォーム認証では，……から”というように，それぞれ40字以内で述べよ。
• 本文中の下線⑥について，図4中の検出事項(1)及び(3)に対する改善が図られていることをフォローアップ監査の監査人が確認できる証拠（エビデンス）には，Z社が実施した監査手続によって得られる証拠以外に，どのようなものがあるか…
• Z社による情報セキュリティ監査の対象としなかった情報資産として，他社との共同開発に関する情報がある。この情報を取り扱うときの管理策を定めるプロセスで，K社はどのようなことを実施したと考えられるか。60字以内で具体的に述べよ。

この回の出題傾向と学習ポイント

平成23年度春期の午後IIは、メールシステムの情報漏えい対策と情報セキュリティ監査の2問構成の選択制です。問1はFWルールやメール配送、SPFなどメール基盤の技術理解を軸にした長文読解、問2は経済産業省の情報セキュリティ監査制度を土台にしたマネジメント問題で、技術型と管理型の対照的な組合せになっています。

問1　メールシステムの情報漏えい対策

ソフトウェア開発会社のメールシステムを題材に、外部メール中継サーバ・社内メールサーバ・MLサーバの構成とFWルールを読み解きます。字句選択のほか、送信者メールアドレスを誤設定してもメールが拒否されない理由、ログ調査対象サーバの特定、MLサーバ設定の見直し、SPFで迷惑メールと判定されないための対策など、30〜60字の記述が多数並びます。メールの配送経路を図上でたどれる力が必須です。

問2　情報セキュリティ監査によるリスクマネジメント

専門商社が外部の専門家に情報セキュリティ監査を依頼する経緯を追う問題です。監査のタイプの穴埋め、システム開発委託先のY社に監査を依頼すべきでない理由（監査の原則の観点）、監査手続の穴埋め、フォローアップ監査で確認できる証拠など、10〜60字の記述と穴埋めで構成されます。監査制度の枠組みと監査の独立性の考え方を整理しておくと安定して得点できます。

どちらも設問数が多く、本文との往復に時間が掛かります。演習では、設問を先に読んで本文の該当箇所に印を付けながら読む練習をすると、長文でも解答の根拠を素早く特定できるようになります。