平成21年度 秋期 情報セキュリティスペシャリスト試験 午後II 過去問・解説

大問1　認証・認可基盤構築の実施計画（経営統合に伴うシステム連携）（配点50点）

問1 認証・認可基盤構築の実施計画に関する次の記述を読んで，設問1〜4に答えよ。 X社は，従業員数10,000名の大手小売業である。X社は，各事業組織の独立性が高く，それぞれが必要な業務システムを開発し，情報システム部は主に基盤の提供，業務システムの開発ガイドラインの提供及び業務システムの運用管理を行っている…

設問

• ID連携技術について，本文中及び図5中の a ， b に入れる適切な字句を，それぞれ10字以内で答えよ。また，図5中の c には，ブラウザによる動作を示す適切な字句を8字以内で答えよ。
• X社情報システム群の問題について，本文中の下線①について，LDAP規格に準拠しているディレクトリを容易に統合できない理由を，40字以内で述べよ。
• 本文中の下線②の現状がもたらすセキュリティ上の問題を，40字以内で述べよ。
• X社情報システム群の主要業務システムにおけるアクセス権付与状況の調査と改善策の検討について，図3を参照して，顧客管理業務について営業部員に付与されるロールに許可すべき業務対象及び業務操作を，40字以内で述べよ。
• 本文中の下線③の問題を解決するためには，発注起案書処理機能を二つに分離すべきである。内部統制上の観点から40字以内で述べよ。また，どのように分離すべきか…
• 営業管理システムの営業部長用ロール定義案として案4が選ばれた理由を二つ，それぞれ45字以内で述べよ。
• 本文中の下線④について，追加される管理項目を10字以内で答えよ。また，運用見直しの内容について，50字以内で具体的に述べよ。
• 本文中の下線⑤について，営業管理システムを例にとり，システム改修の内容を二つ挙げ，それぞれ40字以内で述べよ。

大問2　取り扱う情報の機密性に応じた適切なセキュリティ対策（社内LANの見直し）（配点50点）

問2 社内LANの見直しに関する次の記述を読んで，設問1〜5に答えよ。 A社は，従業員数1,000名の電子部品メーカである。都心に本社，郊外に工場があり，全国の主要都市に拠点オフィス（以下，本社，工場，拠点オフィスを事業所という）をもつ。本社には，営業部，総務部及びシステム部が設置されている。営業部に所属する従業者（従業員，派遣従業員及びアルバイト）が常駐している。工場には，総務部，システム部，設計部及び製造部がある…

設問

• 表3中の a ， b に入れる適切な字句を，それぞれ15字以内で答えよ。
• 本文中の下線①について，DoS攻撃を想定した場合，FWxに置き換えることによって，どのような効果が期待できるか。35字以内で述べよ。
• C君は，新ネットワークの構成上で，情報共有サーバを図3のどこに接続すると考えられるか。最も適切な箇所を p 〜 r の中から選び，記号で答えよ。また，選択した箇所以外には接続すべきでない理由を，70字以内で述べよ。
• 極秘情報に該当するデータが，情報共有サーバに残存することを防止するために，設計部ではどのような対策を実施すべきか。保存前対策と保存後対策を一つずつ，それぞれ40字以内で述べよ。
• 本文中の下線①について，サーバエリアから製造装置へのネットワークケーブルを電線管によって保護するのは，どのようなリスクの低減を意図したものか。ネットワークケーブルが破談すること以外のリスクを，25字以内で述べよ。
• 本文中の下線②について，工場LANと製造LANを比較した結果，SPCを工場LANに接続すると判断した理由を，90字以内で述べよ。
• PEAP方式について，認証情報を盗聴のリスクから保護するために使用されている暗号プロトコルを答えよ。
• 本文中の下線②について，PEAP方式とEAP-TLS方式を比較した結果，PEAP方式を採用すると判断した根拠を，50字以内で述べよ。
• 本文中の下線③について，定期点検を実施する前提として必要と考えられる日常のNPC運用方法を，35字以内で述べよ。

この回の出題傾向と学習ポイント

平成21年度秋期の午後IIは、経営統合を控えた大手小売業の認証・認可基盤構築と、電子部品メーカの社内LAN見直しの2問構成の選択制です。問1はID連携やロールに基づくアクセス権の設計、問2はセキュリティ区画とネットワーク統合・無線LAN認証と、いずれも全社規模のセキュリティ基盤を設計させる大型問題で、図表の読み込み量が多い回です。

問1　認証・認可基盤構築の実施計画（経営統合に伴うシステム連携）

経営統合を見据えた認証・認可基盤の実施計画策定が題材です。ID連携技術の穴埋め、LDAP規格に準拠していてもディレクトリを容易に統合できない理由、利用者情報の維持管理の現状がもたらす問題のほか、発注起案書処理機能を内部統制上の観点から分離し、ユースケースを図示させる設問まであります。ロール定義案が選ばれた理由も問われ、アクセス制御設計と職務分離の考え方を手を動かして確認できる大問です。

問2　取り扱う情報の機密性に応じた適切なセキュリティ対策（社内LANの見直し）

受注・生産系と設計系に分かれたネットワークの統合と、極秘・機密といった情報区分に応じたセキュリティ区画の見直しが題材です。情報共有サーバの接続位置の選択と理由、極秘情報の残存を防ぐ保存前・保存後の対策、電線管による保護が意図するリスク低減のほか、無線LAN認証でPEAP方式を採用した根拠を問う設問もあります。理由説明が70〜90字と長めで、条件を漏れなく盛り込む構成力が必要です。

どちらの問も、本文に散りばめられた組織・区画・システムの条件を集めて理由を組み立てる形式です。演習では、構成図に本文の条件を書き込みながら解くと、長い字数の記述でも根拠の抜けを防げます。