DevSecOpsは開発と運用のみを統合し、セキュリティは別チームで後工程として実施する。

CVSS v3 について，基本評価基準，現状評価基準，環境評価基準のうち，現状評価基準の特徴はどれか。

チャレンジレスポンス認証方式に該当するものはどれか。

IPS（侵入防止システム）はIDSの検知機能に加えて不正通信を自動的に遮断する機能を持つ。

A 社は，スマートフォン用ヘルスケア関連アプリケーションソフトウェア（以下，A アプリという）の開発，販売を行う会社である。A アプリは，ヘルスケアデータ収集機能によって，利用者の体重や歩数のデータを収集するとともに，アンケート機能によって，勤務先の業種，年収などのデータを収集している。 営業部は，保険会社であるB 社と共同のビジネスを検討している。その中で，A アプリで収集したデータ及び今後収集するデータから匿名加工情報を作成した上で，その匿名加工情報をB 社に第三者提供することを検討している。B 社では，提供を受けた匿名加工情報を分析して，B 社の保険商品のマーケティングに活用しようとしている。分析の対象は，年代，性別，年収区分，住んでいる地域区分及び勤務先の業種と体重及び歩数との関係である。ここで，地域区分とは，北海道，東北，南関東などの区分のことをいう。 加工対象となる“個人情報データベース等”（以下，加工対象情報という）は，表1 の顧客属性データと表2 のヘルスケアデータの2 種類からなり，利用者番号によって関連付けられている。 営業部の情報セキュリティリーダーであるC 課長は，加工対象情報に含まれる各情報の項目について，適用する匿名加工情報の作成に係る手法（以下，匿名加工情報の作成に係る手法を匿名加工手法という）を表3 にまとめた。 C 課長は，加工対象情報である表1 及び表2 に示す各データに対して，表3 の匿名加工手法を必要に応じて適用し匿名加工情報を作成する案を用意した。その案を法務部のD 課長に報告したところ，D 課長からは，想定するマーケティング用途にも有効であり，匿名加工手法の適用も適切であるとの回答を得た。 設問 解答群に示した3 項目それぞれについて，C 課長が適用した匿名加工手法はどれか。表3 の手法のうち，適用したものの組合せを，解答群の中から選べ。なお，各項目に対して複数の匿名加工手法を適用しても構わないし，一つも適用せずに“加工なし”としても構わない。

ボットネットの説明として正しいものはどれか。

シングルサインオン（SSO）は1回の認証で複数のシステム・サービスを利用できる仕組みである。

TOTP（Time-based One-Time Password）は時刻情報を基に一定時間ごとに変化するワンタイムパスワード方式である。

DoS攻撃は多数の感染端末から分散して大量トラフィックを送る攻撃である。

バッファオーバーフロー攻撃の説明として適切なものはどれか。

マイナンバー法は個人番号（マイナンバー）の取得・利用・提供・保管に関する規律を定めた法律である。

ハッシュ関数の特徴として正しいものはどれか。

CSRF（クロスサイトリクエストフォージェリ）への有効な対策はどれか。

ISO/IEC 27002はISMSの管理策（コントロール）の実装ガイダンスを示した国際規格である。

迷惑メール対策のSPF（Sender Policy Framework）の仕組みはどれか。

『知識情報』に該当する認証要素はどれか。

TLSは現在TLS 1.0が標準として推奨されている最新バージョンである。

HMACは、ハッシュ関数だけで計算し鍵を用いないため、データを受け取った誰もが同じ値を計算して検証できる。

JIS Q 27001の7.3（認識）で、組織の管理下で働く人々が認識をもたなければならない事項として定められていないものはどれか。

UDPはコネクションレス型のプロトコルで、信頼性は保証しないが低オーバヘッドで高速通信が可能である。

要配慮個人情報には人種・信条・社会的身分・病歴・犯罪歴・身体障害等が含まれる。

OAuth 2.0の説明として適切なものはどれか。

SaaS（Software as a Service）の代表例はどれか。

デジタル署名は秘密鍵で署名を生成し公開鍵で検証することで、署名者の真正性とメッセージの完全性を担保する。

トロイの木馬は自己複製しながら他端末へ感染拡大する特徴を持つ。

パブリッククラウドは複数組織が共有し、プライベートクラウドは特定組織専用、ハイブリッドはそれらを組み合わせる形態である。

バックアップの3-2-1ルールが意味する内容として正しいものはどれか。

残留リスクとはリスク対応を実施した後に残るリスクのことである。

情報の取扱基準の中で，社外秘情報の持出しを禁じ，周知した上で，従業員に情報を不正に持ち出された場合に，“社外秘情報とは知らなかった”という言い訳をさせないことが目的の一つになっている対策はどれか。

経済産業省が取りまとめた“DX レポート2”では，組織がDX 実現に至る段階をデジタイゼーション，デジタライゼーション，デジタルトランスフォーメーションに分けている。製造業のデジタル化事例において，デジタルトランスフォーメーションの段階に達しているものはどれか。

コンテナ仮想化は各コンテナが独自のOSカーネルを持つことで強い分離を実現する。

PaaS（Platform as a Service）の説明として正しいものはどれか。

OSコマンド・インジェクションは、Webアプリケーションの入力に紛れ込ませたOSコマンドを、利用者のブラウザ上で実行させる攻撃である。

プライバシーマーク制度の認証基準はJIS Q 27001である。

A 社は，従業員300 名の部品メーカーである。A 社ではこれまで，業務に必要なファイルを他社との間で受け渡す場合には電子メール（以下，メールという）を利用してきた。最近になって，取引先のB 社から，ファイルの受渡しについては，C サービスというクラウドストレージサービスを利用して欲しいとの要請を受けた。図1 は，C サービスを利用した場合のファイル受渡しの流れである。 1 ファイルの送信者は，受信者に渡したいファイルをC サービス上にアップロードする。アップロードされたファイルは，C サービス上では暗号化されて保存される。 2 ファイルの送信者は，受信者をメールアドレスで指定して，ファイルのアクセス権を付与する。アクセス権の付与や取消しはいつでも行える。 3 受信者にアクセス権が付与されると，ファイルのダウンロード用URL が生成され，指定されたメールアドレスにメールで通知される。なお，URL には推測困難な文字列が含まれている。 4 受信者が，メールに記載されたURL にアクセスして自身のメールアドレスを入力すると，復号されたファイルがダウンロードされる。 5 ファイルがダウンロードされると，送信者の利用者ID，アップロード日時，ファイル名，ファイルのダウンロード用URL，ダウンロードの際のアクセス元IP アドレス，4 で入力したメールアドレス及びダウンロード日時がログに記録される。 6 送信者は，自身のアップロードしたファイルについて，ダウンロードのログを確認できる。 注記 C サービスとの通信にはHTTPS（HTTP over TLS）が用いられている。 図1 ファイル受渡しの流れ そこでA 社では，C サービスを利用した場合のリスクを評価するために，検討会を開催した。検討会において，情報セキュリティリーダーのD 主任は，次のとおり説明した。 C サービスを利用することによって，情報漏えいのリスクを低減でき，さらに情報漏えいの有無も確認できる。具体的には，ファイルの送信者は，誤ったメールアドレスを指定してメールを送信してしまった場合に，誤りに気付いた時点で，すぐに ［a1］ を行うことができる。次に，ファイルが ［a2］ されていないことがログによって確認できれば，［a3］ していないと判断することができる。 設問 本文中の ［a1］ 〜 ［a3］ に入れる次の字句の組合せはどれか。a に関する解答群のうち，最も適切なものを選べ。 (一) アクセス権の取消し (二) アップロード (三) 情報漏えい (四) ダウンロード (五) メールで通知 (六) メールに記載されたURL に受信者はまだアクセス

コンピュータウイルスは他のプログラムに寄生して自己複製する機能を持つマルウェアである。

要配慮個人情報に該当しないものはどれか。

システムの信頼性指標としてRASIS がある。そのうちのA は可用性を表し，システムのサービス時間など，ある一定期間でのシステムの機能を維持する度合いを表している。このA を向上させるものはどれか。

キーロガーはキーボード入力を記録して攻撃者に送信するマルウェアの一種である。

ソルトはパスワードをハッシュ化する際に付加するランダムな値で、レインボーテーブル攻撃への対策となる。

MDMはサーバの集中管理を行う仕組みである。

レインボーテーブル攻撃は、平文のパスワード文字列を順番に比較する攻撃である。

残留リスクとはリスク対応を実施する前の最大値のリスクを指す。

機密性（Confidentiality）とは認可された者だけが情報にアクセスできる性質である。

OAuthは第三者アプリにユーザのID・パスワードそのものを渡してアクセスを許可する認証方式である。

フィッシング攻撃への対策として最も適切なのはどれか。

消費者向けの化粧品販売を行うA 社では，電子メール（以下，メールという）の送受信にクラウドサービスプロバイダB 社が提供するメールサービス（以下，B サービスという）を利用している。A 社が利用するB サービスのアカウントは，A 社の情報システム部が管理している。 〔B サービスでの認証〕 B サービスでの認証は，利用者ID とパスワードに加え，あらかじめ登録しておいたスマートフォンの認証アプリを利用した2 要素認証である。入力された利用者ID とパスワードが正しかったときは，スマートフォンに承認のリクエストが来る。リクエストを1 分以内に承認した場合は，B サービスにログインできる。 〔社外のネットワークからの利用〕 社外のネットワークから社内システム又はファイルサーバを利用する場合，従業員は貸与されたPC から社内ネットワークにVPN 接続する。 〔PC でのマルウェア対策〕 従業員に貸与されたPC には，マルウェア対策ソフトが導入されており，マルウェア定義ファイルを毎日16 時に更新するように設定されている。マルウェア対策ソフトは，毎日17 時に，各PC のマルウェア定義ファイルが更新されたかどうかをチェックし，更新されていない場合は情報システム部のセキュリティ担当者に更新されていないことをメールで知らせる。 〔メールに関する報告〕 ある日の15 時頃，販売促進部の情報セキュリティリーダーであるC 課長は，在宅で勤務していた部下のD さんから，メールに関する報告を受けた。報告を図1 に示す。 ・販売促進キャンペーンを委託しているE 社のF さんから9 時30 分にメールが届いた。 ・F さんとは直接会ったことがある。この数か月頻繁にやり取りもしていた。 ・そのメールは，これまでのメールに返信する形で作成されており，メールの本文には販売キャンペーンの内容やF さんがよく利用する挨拶文が記載されていた。 ・急ぎの対応を求める旨が記載されていたので，メールに添付されていたファイルを開いた。 ・メールの添付ファイルを開いた際，特に見慣れないエラーなどは発生せず，ファイルの内容も閲覧できた。 ・ファイルの内容を確認した後，返信した。 ・11 時頃，D さんのスマートフォンに，承認のリクエストが来たが，B サービスにログインしようとしたタイミングではなかったので，リクエストを承認しなかった。 ・12 時までと急いでいた割にその後の返信がなく不審に思ったので，14 時50 分にF さんに電話で確認したところ，今日はメールを送っていないと言われた。 ・現在までのところ，PC の処理速度が遅くなったり，見慣れないウィンドウが表示されたりするなどの不具合や不審な事象は発生していない。 ・現在，PC は，インターネットには接続しているが，社内ネットワークへのVPN 接続は切断している。 ・D さんはすぐに会社に向かうことは可能で，D さんの自宅から会社までは1 時間掛かる。 図1 D さんからの報告 C 課長は，すぐにPC を会社に持参し，オフラインでマルウェア対策ソフトの定義ファイルを最新版に更新した後，フルスキャンを実施するよう，D さんに指示をした。スキャンを実行した結果，D さんのPC からマルウェアが検出された。このマルウェアは，マルウェア対策ソフトのベンダーが9 時に公開した最新の定義ファイルで検出可能であることが判明した。 A 社では，今回のマルウェア感染による情報セキュリティインシデントの問題点を整理し，再発を防止するための対策を講じることにした。 設問 A 社が講じることにした対策はどれか。解答群のうち，最も適切なものを選べ。

A 社のWeb サーバは，サーバ証明書を使ってTLS 通信を行っている。PC からA 社のWeb サーバへのTLS を用いたアクセスにおいて，当該PC がサーバ証明書を入手した後に，認証局の公開鍵を利用して行う動作はどれか。

JIS Q 15001は個人情報保護マネジメントシステム（PMS）の要求事項を定めたJIS規格で、プライバシーマーク制度の基準となる。

公開鍵暗号方式は暗号化と復号に異なる鍵（公開鍵と秘密鍵）を使用する暗号方式である。

差分バックアップは前回バックアップ（種類問わず）以降の変更分のみを取得する方式である。

可用性（Availability）とは認可された者が必要時に情報・システムにアクセスできる性質である。

UDPの特徴として正しいものはどれか。

刑法の電子計算機損壊等業務妨害に該当する行為はどれか。

ACID特性のうち『A』が意味するものはどれか。

ハイブリッド暗号方式は共通鍵暗号と公開鍵暗号を組み合わせ、両者の長所を活かす方式である。

プライバシーマーク制度の認証基準となるJIS規格はどれか。

真正性（Authenticity）とは主体（利用者・データ）が主張する者・もので確かにあることを確認できる性質である。

個人情報保護法が保護の対象としている個人情報に関する記述のうち，適切なものはどれか。

DNSはドメイン名とIPアドレスを相互に変換する仕組みである。