平成21年度 秋期 情報セキュリティスペシャリスト試験 午後I 過去問・解説

大問1　電子メールからの情報漏えいとその対策（携帯電話の利用）（配点50点）

問1 電子メールからの情報漏えいとその対策に関する次の記述を読んで，設問1〜5に答えよ。 A社は，業務用機械の製造と販売を行う従業員数800名の会社である。営業部門には全国10都市の支店を含めて100名の部員がいる。営業活動においては，顧客への訪問回数を増やすことによる受注拡大や，顧客からの質問への迅速な対応による顧客満足度向上の取組みに重点を置いている…

設問

• 図1中の a ， b に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線①について，どの規定の遵守が不十分であったと考えられるか。図1から三つ選び，"5.9(1)"のように箇条と項番で答えよ。
• 本文中の下線①に記載されている価格表以外に漏えいした可能性が高い顧客の情報を，7字以内で答えよ…
• 本文中の下線②の対策を実現するために情報システム部門が利用する，携帯電話サービスによって提供される管理上の機能を，30字以内で具体的に二つ挙げて述べよ。
• Y社の提案では，登録された従業員だけがメールを閲覧できるようにするために図2中のLDAPサーバに従業員ごとに追加登録する内容を，20字以内で述べよ。
• Y社の提案では，表中の下線③の特徴があるにもかかわらず，図1中の5.9のある規定の遵守が不十分な場合には，第三者にメールを閲覧される可能性がある。その箇条と項番を答えよ…
• Z社の提案で，図2中の（α）と（β）で示したFV間で特定のアプリケーションに絞ってIPsecを適用することとしたとき，どのサーバ間の通信で，どのプロトコルを対象にすればよいか。なお，αとβは表中の用語を用いて答えよ。
• 携帯電話端末へのメールの保存による情報漏えいを防ぐために，図1中の5.13(2)に追記したい。追記する内容を，45字以内で具体的に述べよ。

大問2　Javaアプレットを用いたシステムのセキュリティ（配点50点）

問2 Javaアプレットに関する次の記述を読んで，設問1〜4に答えよ。 B社は，従業員数100名の電子部品の卸業者で，メーカから商品を仕入れ，小売業者へ販売している。B社では，2年前にリリースされたC社のソフトウェアパッケージに独自機能をもつモジュール（以下，カスタムモジュールという）を追加した在庫管理システム（以下，Xシステムという）を，3か月前に導入した。その運用と保守はC社に委託している…

設問

• 本文中の a ， b ， d ， e に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 図2中の c に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 当該脆弱性のないXシステムにおいて，仮に署名がない入力チェックアプレットを実行する場合，図2中の下線（ア）〜（ウ）の中で実行される文をすべて選び，記号で答えよ…
• クライアントPCのJREをバージョンアップしない場合，どのようなときに，本文中の下線②で示す可能性が高まるか。B社のクライアントPCの利用状況を考慮し，45字以内で述べよ。
• 本文中の下線③で示す代替方式として，HTMLフォームによってファイルを選択する機能と，アップロード後にサーバへファイルを保存する機能を追加したとする。このとき，Xシステムのサーバ側で，更にどのような機能を追加すれば代替方式となるか…
• 本文中の下線①にある，JREのバージョンアップに伴う確認作業とは何か。Xシステムでの作業対象を図1中の用語を用いて示し，確認作業の内容を55字以内で述べよ。
• 本文中の下線④に関して，Xシステムのサーバ側のJREをバージョンアップしなくても問題ないと判断するためには何を確認すべきか。60字以内で述べよ。

大問3　多目的ICカードによる入退室管理・ログイン認証（配点50点）

問3 ICカード認証に関する次の記述を読んで，設問1〜5に答えよ。 D社は，従業者数3,000名の旅行業者である。従業者の半数は従業員で，残りは派遣従業員や嘱託従業員である。D社は東京本社にあり，支店や営業所が国内外70か所に点在する。また，顧客情報を扱っていることから万全のセキュリティ対策も欠かせない。 このため，D社は，全国3か所のデータセンタと，東西2か所に集約して相互にバックアップする…

設問

• 図2中の ア に入れる要件を25字以内で述べよ。
• 本文中の イ に入れる性質を10字以内で答えよ。
• 本文中の a ， b に入れる適切な字句を，それぞれ2字で答えよ。
• 図3中の②，③，⑤，⑥の処理でそれぞれ使用する鍵を番号で答えよ。
• 図3中の c に入れる処理の内容を，10字以内で答えよ。
• ICカード内の格納情報のうち，利用者PINを入力したときだけ読み出せるようにすべき情報と，書き込めるようにすべき情報を，それぞれ一つずつ，表の項番で答えよ。
• ICカード内の格納情報のうち，管理者PINを入力したときだけ書き込めるようにすべき情報は何か。表の項番を五つ選んで答えよ。
• 失効ICカードリストに登録するICカード内の格納情報は，何が最も適切か。表の項番を一つ選んで答えよ。また，その理由を20字以内で述べよ。
• ICカードの不正使用を防止するために，ICカード忘れに対する運用管理に追加すべき措置を35字以内で述べよ。
• PINを入力しないことで生じる認証プリントシステムの残留リスクを，50字以内で述べよ。
• (1)の残留リスクを低減するために，プリントサーバにおいてとるべき措置を30字以内で述べよ。

大問4　ノートPC・USBメモリからの情報漏えい対策（配点50点）

問4 ノートPCの情報漏えい対策に関する次の記述を読んで，設問1〜5に答えよ。 E社は，事業戦略策定などに関するコンサルティングを業務としている中堅のコンサルティング会社である。オフィスのフリーアドレス化及び出先での業務推進のため，E社に所属する200名のコンサルタント（以下，従業員という）にはノートPC（以下，NPCという）が配布されている。従業員は，社内や顧客オフィスでNPCを用いて業務を行う…

設問

• 本文中の a 〜 c に入れる適切な字句を，表1中の(ア)〜(コ)から選び，記号で答えよ。
• 〔管理状況の把握〕においてH氏がコメント(b)の指摘をした理由を，40字以内で述べよ。
• 〔管理状況の把握〕におけるH氏のコメント(c)にあったスリープ状態でのNPCの持ち運びについて。紛失や盗難時の情報漏えい対策として暗号化が意味を成さなくなることがあるのは，どのような場合か。35字以内で述べよ。
• (1)の場合に暗号化が意味を成さなくなる理由を40字以内で述べよ。
• E社従業員のUSBメモリの利用形態から考えて，表3中の e に入れるべき，USBメモリによるデータ交換への対応が優れていると考えられる製品をP〜Rから選び，記号で答えよ。また，表3中の f に入れるべき理由を，40字以内で述べよ。
• 懸念事項(ク)に関する製品比較について，図2中のP社製品が優れているとした理由を，30字以内で述べよ。
• 図2中でQ社製品が優れているとした場合，マスタ鍵を保護するパスワードの強度に関する懸念を踏まえて50字以内で述べよ。
• E社従業員のNPCの利用形態から考えて，表3中の d に入れるべき，懸念事項(ク)への対応が優れていると考えられる製品をP〜Rから選び，記号で答えよ。

この回の出題傾向と学習ポイント

平成21年度秋期の午後Iは、携帯電話へのメール転送による情報漏えい、Javaアプレットのセキュリティ、多目的ICカード認証、ノートPC・USBメモリの暗号化対策という4問構成の選択制です。会社貸与の携帯電話やJavaアプレットなど当時ならではの題材が並びますが、規程と運用実態の乖離を突く出題姿勢は現在と共通しており、読解の練習台として有効な回です。

問1　電子メールからの情報漏えいとその対策（携帯電話の利用）

会社貸与の携帯電話にメールを転送していた従業員が端末を紛失し、価格表が漏えいした事故が題材です。遵守が不十分だった規定を対策基準の箇条・項番で特定させる設問が特徴で、携帯電話サービスが提供する管理上の機能、LDAPサーバへの登録内容、IPsecの適用対象、規定への追記内容なども記述します。規程文書と事故の対応関係を丁寧にたどる読解型の大問です。

問2　Javaアプレットを用いたシステムのセキュリティ

在庫管理システムのファイルアップロード機能を担うJavaアプレットが題材です。署名の有無による実行権限の違い、デフォルトのポリシファイルで実行される文の特定、JREをバージョンアップしない場合にリスクが高まる状況、HTMLフォームによる代替方式でサーバ側に追加すべき機能などを問います。当時のクライアントサイドJavaの実行モデルを前提に、権限の制約を読み取る設問が中心です。

問3　多目的ICカードによる入退室管理・ログイン認証

旅行業者が従業者証を非接触ICカードに切り替え、入退室管理・自動ログイン・認証プリントを実現する方式設計の問題です。ICカードとPC間の相互認証シーケンスで使用する鍵の特定、利用者PIN・管理者PINで読み書きを許可すべき格納情報の選択、失効ICカードリストに登録する情報とその理由など、短答形式が中心です。ICカードの認証方式とPINによるアクセス制御の考え方を整理しておきましょう。

問4　ノートPC・USBメモリからの情報漏えい対策

コンサルティング会社で相次いだノートPC・USBメモリ紛失への抜本対策として、暗号化製品を比較選定する問題です。ファイル単位の暗号化の手間を嫌って平文のまま保存される実態や、スリープ状態での持ち運びで暗号化が意味を成さなくなる場合など、運用実態に根差した設問が並びます。製品比較では利用形態への適合を理由付きで選ばせるため、鍵管理方式の違いの理解が問われます。

この回は「規程はあるのに守られない」「暗号化しているのに漏れる」という運用の穴を突く設問が中心です。対策技術の名前だけでなく、どの運用条件で効果が崩れるかまで意識して演習しましょう。