情報セキュリティマネジメント試験 2023年度（令和5年度） 公開問題

情報セキュリティ管理基準（平成28 年）に関する記述のうち，適切なものはどれか。

入室時と退室時にID カードを用いて認証を行い，入退室を管理する。このとき，入室時の認証に用いられなかったID カードでの退室を許可しない，又は退室時の認証に用いられなかったID カードでの再入室を許可しないコントロールを行う仕組みはどれか。

デジタルフォレンジックスの説明はどれか。

暗号方式に関する記述のうち，適切なものはどれか。

セキュアハッシュ関数SHA-256 を用いてファイルA 及びファイルB のハッシュ値を算出すると，どちらも全く同じ次に示すハッシュ値n（16 進数で示すと64 桁）となった。この結果から考えられることとして，適切なものはどれか。 ハッシュ値n：86620f2f 152524d7 dbed4bcb b8119bb6 d493f734 0b4e7661 88565353 9e6d2074

迷惑メール対策のSPF（Sender Policy Framework）の仕組みはどれか。

Web アプリケーションにおけるセキュリティ上の脅威とその対策に関する記述のうち，適切なものはどれか。

電子署名法に関する記述のうち，適切なものはどれか。

情報システムのインシデント管理に対する監査で判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。

HTTP のcookie に関する記述のうち，適切なものはどれか。

BPM の説明はどれか。

品質管理において，結果と原因との関連を整理して，魚の骨のような図にまとめたものはどれか。

A 社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A 社では，図1 の“情報セキュリティリスクアセスメント手順”に従い，年一度，情報セキュリティリスクアセスメントを行っている。 ・情報資産の機密性，完全性，可用性の評価値は，それぞれ0〜2 の3 段階とする。 ・情報資産の機密性，完全性，可用性の評価値の最大値を，その情報資産の重要度とする。 ・脅威及び脆弱性の評価値は，それぞれ0〜2 の3 段階とする。 ・情報資産ごとに，様々な脅威に対するリスク値を算出し，その最大値を当該情報資産のリスク値として情報資産管理台帳に記載する。ここで，情報資産の脅威ごとのリスク値は，次の式によって算出する。 　リスク値＝情報資産の重要度×脅威の評価値×脆弱性の評価値 ・情報資産のリスク値のしきい値を5 とする。 ・情報資産ごとのリスク値がしきい値以下であれば受容可能なリスクとする。 ・情報資産ごとのリスク値がしきい値を超えた場合は，保有以外のリスク対応を行う 図1 情報セキュリティリスクアセスメント手順 A 社の情報セキュリティリーダーであるB さんは，年次の情報セキュリティリスクアセスメントを行い，結果を情報資産管理台帳に表1 のとおり記載した。 設問 表1 中の各情報資産のうち，保有以外のリスク対応を行うべきものはどれか。該当するものだけを全て挙げた組合せを，解答群の中から選べ。

A 社は旅行商品を販売しており，業務の中で顧客情報を取り扱っている。A 社が保有する顧客情報は，A 社のファイルサーバ1 台に保存されている。ファイルサーバは，顧客情報を含むフォルダにある全てのデータを磁気テープに毎週土曜日にバックアップするよう設定されている。バックアップは2 世代分が保存され，ファイルサーバの隣にあるキャビネットに保管されている。 A 社では年に一度，情報セキュリティに関するリスクの見直しを実施している。情報セキュリティリーダーであるE 主任は，A 社のデータ保管に関するリスクを見直して図1 にまとめた。 1. （省略） 2. （省略） 3. （省略） 4. バックアップ対象とするフォルダの設定ミスによって，データが復旧できなくなる。 図1 A 社のデータ保管に関するリスク（抜粋） E 主任は，図1 の4 のリスクを低減するための対策を検討し，効果が期待できるものを選んだ。 設問 次の対策のうち，効果が期待できるものを二つ挙げた組合せを，解答群の中から選べ。 (一) 週1 回バックアップを取得する代わりに，毎日1 回バックアップを取得して7 世代分保存する。 (二) バックアップ後に，磁気テープ中のファイルのリストと，ファイルサーバのバックアップ対象ファイルのリストとを比較し，合致しているかを確認する。 (三) バックアップ対象とするフォルダの設定を，必ず2 名で行うようにする。 (四) バックアップ用の媒体を磁気テープから外付けハードディスクに変更する。 (五) バックアップを二組み取得し，うち一組みを遠隔地に保管する。

消費者向けの化粧品販売を行うA 社では，電子メール（以下，メールという）の送受信にクラウドサービスプロバイダB 社が提供するメールサービス（以下，B サービスという）を利用している。A 社が利用するB サービスのアカウントは，A 社の情報システム部が管理している。 〔B サービスでの認証〕 B サービスでの認証は，利用者ID とパスワードに加え，あらかじめ登録しておいたスマートフォンの認証アプリを利用した2 要素認証である。入力された利用者ID とパスワードが正しかったときは，スマートフォンに承認のリクエストが来る。リクエストを1 分以内に承認した場合は，B サービスにログインできる。 〔社外のネットワークからの利用〕 社外のネットワークから社内システム又はファイルサーバを利用する場合，従業員は貸与されたPC から社内ネットワークにVPN 接続する。 〔PC でのマルウェア対策〕 従業員に貸与されたPC には，マルウェア対策ソフトが導入されており，マルウェア定義ファイルを毎日16 時に更新するように設定されている。マルウェア対策ソフトは，毎日17 時に，各PC のマルウェア定義ファイルが更新されたかどうかをチェックし，更新されていない場合は情報システム部のセキュリティ担当者に更新されていないことをメールで知らせる。 〔メールに関する報告〕 ある日の15 時頃，販売促進部の情報セキュリティリーダーであるC 課長は，在宅で勤務していた部下のD さんから，メールに関する報告を受けた。報告を図1 に示す。 ・販売促進キャンペーンを委託しているE 社のF さんから9 時30 分にメールが届いた。 ・F さんとは直接会ったことがある。この数か月頻繁にやり取りもしていた。 ・そのメールは，これまでのメールに返信する形で作成されており，メールの本文には販売キャンペーンの内容やF さんがよく利用する挨拶文が記載されていた。 ・急ぎの対応を求める旨が記載されていたので，メールに添付されていたファイルを開いた。 ・メールの添付ファイルを開いた際，特に見慣れないエラーなどは発生せず，ファイルの内容も閲覧できた。 ・ファイルの内容を確認した後，返信した。 ・11 時頃，D さんのスマートフォンに，承認のリクエストが来たが，B サービスにログインしようとしたタイミングではなかったので，リクエストを承認しなかった。 ・12 時までと急いでいた割にその後の返信がなく不審に思ったので，14 時50 分にF さんに電話で確認したところ，今日はメールを送っていないと言われた。 ・現在までのところ，PC の処理速度が遅くなったり，見慣れないウィンドウが表示されたりするなどの不具合や不審な事象は発生していない。 ・現在，PC は，インターネットには接続しているが，社内ネットワークへのVPN 接続は切断している。 ・D さんはすぐに会社に向かうことは可能で，D さんの自宅から会社までは1 時間掛かる。 図1 D さんからの報告 C 課長は，すぐにPC を会社に持参し，オフラインでマルウェア対策ソフトの定義ファイルを最新版に更新した後，フルスキャンを実施するよう，D さんに指示をした。スキャンを実行した結果，D さんのPC からマルウェアが検出された。このマルウェアは，マルウェア対策ソフトのベンダーが9 時に公開した最新の定義ファイルで検出可能であることが判明した。 A 社では，今回のマルウェア感染による情報セキュリティインシデントの問題点を整理し，再発を防止するための対策を講じることにした。 設問 A 社が講じることにした対策はどれか。解答群のうち，最も適切なものを選べ。