平成22年度 春期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　勤務時間管理システムの開発とレースコンディション（配点50点）

問1 Javaプログラミングに関する次の記述を読んで，設問1〜3に答えよ。 S社は，従業者数500名（従業員30名，パートタイマ（以下，パートという）470名），営業所が1か所の警備業者であり，各種イベントの警備や交通誘導警備を請け負っている。これまで，パートの勤務時間の集計と給与計算は，手書き帳票を基にして経理課にて行っていた…

設問

• 本文中の a に入れる適切な字句を15字以内で答えよ。
• 本文中の下線①の苦情について，他人の勤務時間集計表をダウンロードしてしまった原因について，図3のプログラム上の変数名を用いて，60字以内で述べよ。
• 本文中の下線①の原因となるプログラムのバグで発生する問題は何と呼ばれるか。15字以内で答えよ。
• 上記(2)のバグを修正するためのプログラムの変更内容を，45字以内で具体的に述べよ。ただし，図2に示した仕様は変更しないものとする。
• このプログラムに関して，上記(2)のバグの有無を確認するためにテストを実施したい。どのようなHTTPリクエストをどのようにWebサーバに送信すればよいか。50字以内で述べよ。
• 本文中の下線②の脆弱性について，この脆弱性を突いて，他人の勤務時間集計表をダウンロードする方法を50字以内で述べよ。
• この脆弱性を解消する修正仕様に関して，図4中の b に入れる適切な字句を20字以内で答えよ。

大問2　データの暗号化とバックアップ（暗号化機能導入時の機密保護）（配点50点）

問2 データの暗号化とバックアップに関する次の記述を読んで，設問1〜3に答えよ。 G社は，従業員数800名の医薬品販売会社であり，全国15か所に営業所をもっている。3か月前，ある営業所内で火災が発生し，その営業所内のPCとサーバが被害を受けた。顧客データや注文データなどの電子データが消失してしまい，顧客データを再入力したり，顧客に注文データを確認したうえでの復旧作業に1か月を要するなど，事業に大きな影響が出た…

設問

• 図1，2及び本文中の a ～ c に入れる適切な字句を解答群の中から選び，記号で答えよ。
• ファイル暗号化方式において，G社が利用しているPCのTPMで必ず実行できる機能はどれか。解答群の中から二つ選び，記号で答えよ。
• 本文中の d に入れる適切な情報セキュリティに関係した評価基準を解答群の中から選び，記号で答えよ。
• 本文中の下線①において，どのような情報漏えいのリスクが高くなる可能性があるとL課長は指摘したか。40字以内で述べよ。
• 上記(1)で述べた情報漏えいのリスクが高くなる可能性について，それに対する対策を30字以内で述べよ。
• 本文中の下線②において，読めなかったデータは表中のどれか。そのデータの保存形式を，表中の(a)〜(c)からすべて選び，記号で答えよ。
• 本文中の下線②において，一部のデータが読めなかった理由を60字以内で述べよ。
• 本文中の下線③において，どのように暗号化方式の手順を修正したか。60字以内で述べよ。

大問3　企業間での個人情報等の安全な送受信（暗号化）（配点50点）

問3 転職サイトにおける個人情報保護に関する次の記述を読んで，設問1，2に答えよ。 P社は，従業員数30名の人材紹介会社である。コンサルタントによる人材紹介だけでなく，転職サイトも立ち上げている。この転職サイトには，求職者，求人企業が多数，登録している。求職者は，転職サイトの個人プロフィール登録画面で，氏名，生年月日，住所，電話番号，職歴などの個人プロフィールを登録する。求職者の転職サイトの利用は無料である…

設問

• 本文中の a ， b に入れる適切な字句を，a については10字以内で，b については5字以内で答えよ。
• 本文中の下線①のように述べている理由を30字以内で述べよ。
• PGPでは，通常，証明書のフィンガプリントを確認するが，正しいフィンガプリントの入手方法として安全と考えられるものを一つ挙げて，30字以内で述べよ。
• 本文中の下線②を実現する対策の内容を50字以内で具体的に述べよ。
• 本文中の下線③について，初期パスワードの通知書を求人企業の登記事項証明書に記載された所在地としたP社の意図は何か。40字以内で述べよ。
• 本文中の下線④について，問題を解決するためには初期パスワードをどのように生成すればよいか。30字以内で述べよ。
• 本文中の下線⑤について，総当たり攻撃以外に，どのような手口で第三者にパスワードを再設定されてしまうか。40字以内で述べよ。
• 本文中の下線⑥について，Z主任の考えた見直し案はどのようなものであったと考えられるか。40字以内で述べよ。

大問4　ウイルス対策ソフトで検知できないウイルスへの対応（配点50点）

問4 ウイルスの駆除及び感染防止に関する次の記述を読んで，設問1〜4に答えよ。 K社は，従業員数1,000名の事務機器販売会社である。K社には，人事総務部，営業部，商品管理部，情報システム部がある。K社のネットワークは図1に示すとおり，DMZと社内ネットワークで構成されている。社内ネットワークは，内部サーバネットワークと部ごとの部門ネットワークに分割されている…

設問

• 図3中の特徴2について，感染PC上のファイルを攻撃者のサーバにアップロードするようなプログラムのファイルがダウンロードされた場合，どのような被害が発生する可能性があるか。30字以内で具体的に述べよ。
• 感染PCの特定方法について，図4中の a 〜 e に入れる適切な字句を答えよ。aについてはプロトコル名を5字以内で，b，cについてはそれぞれ10字以内で，dについては5字以内で，eについては20字以内で答えよ。
• 本文中の下線①について，駆除に成功したPCに対して，感染防止策をとらなかった場合に，どのようなことが起こり得るか。15字以内で述べよ。
• 図5の感染防止策について。感染防止策1を実行するに当たって，下線②のように接続する必要がある。特別な接続方法を50字以内で具体的に述べよ。
• 図5の感染防止策について。感染防止策2として，f に入れる適切な字句を，30字以内で述べよ。

この回の出題傾向と学習ポイント

平成22年度春期の午後Iは、Javaサーブレットで起こるレースコンディション、データの暗号化とバックアップの両立、企業間での個人情報の安全な送受信、ウイルス対策ソフトで検知できないウイルスへの対応という4問構成の選択制です。プログラムのバグ特定から鍵管理・バックアップ運用、メール暗号化、インシデント対応まで幅広く、技術の「使いどころ」を問う実務的な回です。

問1　勤務時間管理システムの開発とレースコンディション

警備業者の勤務時間管理システムを題材に、他人の勤務時間集計表がダウンロードされてしまうバグの原因をJavaのソースコードから特定します。原因を変数名を用いて60字で説明し、バグの名称、修正内容、バグの有無を確認するテスト方法、さらに別の脆弱性を突いてダウンロードする方法まで記述します。サーブレットの動作モデル（複数リクエストの同時処理）を理解しているかが決定的な差になります。

問2　データの暗号化とバックアップ（暗号化機能導入時の機密保護）

営業所の火災によるデータ消失を受け、バックアップ方式と機密保護のための暗号化方式を同時に設計する問題です。TPMで実行できる機能や評価基準の選択、情報漏えいリスクが高くなる可能性の指摘とその対策、バックアップから一部のデータが読めなかった理由と暗号化手順の修正を40〜60字で記述します。暗号化とバックアップを組み合わせたときの落とし穴を考えさせる大問です。

問3　企業間での個人情報等の安全な送受信（暗号化）

転職サイトを運営する人材紹介会社が、求職者の個人情報を求人企業へメールで送る際の暗号化を検討します。字句穴埋めに加え、PGPのフィンガプリントの安全な入手方法、初期パスワードの通知先を登記事項証明書記載の所在地にした意図、初期パスワードの生成方法、パスワード再設定を悪用する手口などを30〜50字で記述します。メール暗号化とパスワード運用の基本が得点源です。

問4　ウイルス対策ソフトで検知できないウイルスへの対応

事務機器販売会社で、既存の駆除手順では対処できない新種ウイルスへの対応手順を作る問題です。感染PCの特定方法の穴埋めでは、プロトコル名やサーバ名など図中のネットワーク構成を踏まえた解答が求められます。駆除に成功したPCに感染防止策をとらなかった場合に起こり得ること、感染防止策実行時の特別な接続方法なども記述します。インシデント対応の手順を具体的に書く練習になります。

この回は「手順のどこに穴があるか」を突く設問が多いのが特徴です。演習では、本文の手順や表を図に描き起こし、各ステップで何が起こり得るかを自問しながら読むと、記述の切り口が見えてきます。