平成21年度 春期 情報セキュリティスペシャリスト試験 午後II 過去問・解説

大問1　公開鍵証明書を必要とするシステムの構築（商用CAと自営CA・PKI）（配点50点）

問1 公開鍵基盤の構築に関する次の記述を読んで，設問1〜6に答えよ。 A社は，持株会社（以下，グループ本部という）を中心とした企業グループの中の一社であり，従業員数1,200名の中堅機械製造会社である。業務は，製造機械向けの製造機械の製造，製造部門以外に，人事総務部，商品管理部，営業部，配送課，情報システム部がある。商品管理部は，在庫管理が主な業務であり，受注状況によって，商品の製造指示を行っている…

設問

• 本文中の a ～ c 及び f に入れる適切な字句を，8字以内で答えよ。
• 本文中の下線①について，どのような問題が起こるかを，45字以内で述べよ。また，その対策を，50字以内で述べよ。
• Tシステムにおいて，テレワーク対象者は，他人が社内ネットワークに不正にアクセスしないようにするために，自分のテレワークPCに関して，運用する上でどのような点に注意する必要があるか…
• 本文中の下線②について，秘密鍵の推測が成功したとして，どのようにすれば改ざんやなりすましができるか。その方法を70字以内で述べよ。
• 本文中の下線③について，どのような被害が考えられるか。50字以内で述べよ。
• 本文中の d ， e に入れる適切な記号を，図1中の(ア)～(サ)から選んで答えよ。
• 本文中の下線④について，鍵ペアの取扱い上で注意すべき事項を，30字以内で述べよ。
• 本文中の下線⑤について，グループ販社の発注担当者が，証明書の使用制限に反して，第三者に対し，A社の自営CAで生成された秘密鍵を用いて署名したメールを送付した場合，メール受信者では，どのような問題が発生するか。また，その理由は何か…

大問2　適切なセキュリティ技術の選択と組織に適合したセキュリティ対策（PCI DSSを参考にしたISMSの継続的改善）（配点50点）

問2 インターネット販売を行う企業の情報セキュリティ管理に関する次の記述を読んで，設問1〜5に答えよ。 P社は従業員数500名の衣料小売業者であり，店頭販売やカタログ販売を行っている。これに加え，5年前からは社内に業務システム（以下，販売システムという）を構築し，一般消費者に対してクレジットカード決済を利用したインターネット販売を行っている…

設問

• 本文中の a に入れる適切な字句を，15字以内で答えよ。
• 本文中の下線①について，Webアプリケーションの開発委託に対してセキュリティ要件を明確にしなかった場合，受入れ検査時に脆弱性の存在が判明したときにどのような問題が発生するか。60字以内で述べよ。
• 本文中の b ， c に入れる適切な字句を，それぞれ5字以内で答えよ。ただし， b は漢字とし， c は英字の略称とする。
• 本文中の下線②について，自動更新と定期スキャンが確実に実施されているかをどのように確認するべきか。30字以内で述べよ。
• 本文中の下線③について，検査対象と同一のネットワークセグメントからポートスキャンツールを利用して検査を行う場合，不要なサービスがあるかどうかをどのような基準で判断するか。30字以内で述べよ。
• 本文中の下線④について，現状のままバックアップ媒体をサーバ室に保管しないとした場合のリスクを，50字以内で述べよ。
• 本文中の下線⑤について，Fさん自身がPテストを実施することは望ましくない。その理由を，30字以内で述べよ。
• 本文中の下線⑥について，シグネチャを作成することが難しい理由を，50字以内で述べよ。
• 本文中の下線⑦について，Webアプリケーションの見直しをせずにWAFを導入することによって生じるセキュリティ上の問題点を，60字以内で述べよ。
• 本文中の d に入れる適切な語句を解答群の中から選び，記号で答えよ。
• 表3中の e に入れる代替管理策を，40字以内で述べよ。
• PCI DSSを参考として技術面で新たな対策を追加していったP社が，ISMSの活動として次回の審査に向けて実施すべき作業を，50字以内で述べよ。

この回の出題傾向と学習ポイント

平成21年度春期の午後IIは、テレワークと受注業務のためのPKI構築（商用CAと自営CA）と、PCI DSSを参考にしたISMSの継続的改善の2問構成の選択制です。問1は証明書と鍵の管理を軸にした技術設計、問2はISMS維持審査の観察事項対応を軸にしたマネジメント問題で、認証局の運用からペネトレーションテスト・WAFまで幅広い題材を扱います。

問1　公開鍵証明書を必要とするシステムの構築（商用CAと自営CA・PKI）

機械製造会社がテレワーク環境と受注システムを構築するに当たり、公開鍵証明書の発行体制を検討する問題です。VPNで社内に接続されないテレワークPCで起こる問題と対策、秘密鍵の漏えい防止に関する運用上の注意点、秘密鍵の推測が成功した場合の改ざん・なりすましの方法、自営CAの証明書を使用制限に反して使った場合に受信者側で起こる問題などを記述します。PKIの信頼関係を運用に落として考えさせる大問です。

問2　適切なセキュリティ技術の選択と組織に適合したセキュリティ対策（PCI DSSを参考にしたISMSの継続的改善）

ISMS認証の維持審査で指摘された四つの観察事項への対応を、PCI DSSを参考に進める問題です。開発委託時にセキュリティ要件を明確にしない場合の問題、ポートスキャンで不要なサービスを判断する基準、バックアップ媒体の保管に関するリスク、担当者自身がペネトレーションテストを実施すべきでない理由、WAF導入だけで済ませる場合の問題点、代替管理策など、管理と技術の橋渡しを問う記述が続きます。

問1は「誰が誰を信頼するか」、問2は「基準をどう自社に適用するか」という軸で本文が展開します。演習後は、解答が本文中のどの制約条件に対応していたかを振り返ると、午後IIで求められる視点が身に付きます。