3-2 午後の対策 午後間題の出題範囲を , もう一度確認しておきます。出題範囲の項目としては , ①情報セキュリティシステムの企画・設計・構築に関すること ②情報セキュリティの運用・管理に関すること ③情報セキュリティ技術・関連法規に関すること ④開発の管理に関すること の 4 項目にまとめられています。この 4 項目に内容から分かることは , 情報シス テム開発において , セキュリティ機能の企画 , 設計・構築・運用・保守に関する 実務や技術などのすべての項目が出題対象になっていることです。 午後問題は , 出題内容が一つの技術に絞ったものよりも , 複合的な観点から出 題されます。したがって , セキュリティ機能の企画 , 設計・構築 , 運用・保守 , 管理・評価などといった作業の流れよりも , 暗号・認証技術 , 侵入検知システム , ファイアウォール , VPN などのセキュリティ応用システムや , ログ管理 , ウイル ス対策などの技術対応中心で試験対策を考えるのが効果的といえます。それぞれ の技術ごとに , 企画 , 設計・構築のほか , 運用管理技術など , 相互に関連した総 合問題に対応できる技術力を養っていくことが必要です。 平成 19 年度の試験を見てみると , タイムスタンプや監査ログの電子保存など 新しい技術・市場動向を反映した問題が出題されています。ただし , 新技術だけ を追いかけても , システム開発におけるセキュリティ全般に関する基礎技術をま ず固めておかないことには , 応用が利きません。つまり , どのような問題が出題 されても , それに対応できるように , 基本技術をしつかりとマスターしておくこ とが必要です。次の内容については , 基本事項を十分に学習し , 弱点を残さない と IP-VPN, など ービス妨害攻撃 , ウイルス対策 , スバムメール対策 , インターネット VPN 暗号化技術 , 認証技術 , ネットワーク検疫技術 , ファイアウォール , サ セキュリティ関連技術 役割など DNS サーバ , プロキシサーバ , メールサーバ , Web サーバなどの機能・ 変換に関するさまざまな間題 , IP ルーティングに関する詳細な技術知識 ) IP 通信の全体的な仕組み ()P アドレス , ドメイン名の関係 , アドレス LAN ・インターネット関連技術 ようにしてください。 ② ①

付 録 8 ー 2 8 ー 3 8-4 タスク タスク タスク 達成指標 達成指標 達成指標 ・開発終了時に廃棄すべき情報と , 維持管理すべき情報を識別している ・開発終了時に不要となって記録媒体 , ハードウェア , ソフトウェアを 適切に処分していること セキュリティ違反への対処 ・セキュリティ侵犯時の方針 ( 処置の優先度決定方針など ) が決定され ていること ・被害拡大防止策などの対応策が緊急対応マニュアルとして作成され ていること ・緊急時対応体制が決まっていること ・事故からの復旧対策が明確になっていること ・分析のための証拠収集を開始するタイミングが検討されていること ・セキュリティホールの情報収集を常に行っていること ・既知のセキュリティホールへの対処を行っていること ・セキュリティの侵犯が発見されたら , 関係機関に適宜報告されること ・セキュリティ手順が確立され , 手順に準拠しない場合のペナルティが 設定されていること セキュリティバッチの適用作業 ・公開されるぜい弱性情報 , アップデート情報をもれなく収集しているこ と ・ソフトウェア , ハードウェアベンダの保守プログラムに加人している ・セキュリテイバッチの安全性を確認する環境を維持していること ・セキュリテイバッチの適用手順を明確にしていること ・セキュリテイバッチ適用時の不測の事態に備えて , バックアップ体制 を整えていること システム文書管理 ・システム文書は必要に応じて更新を行うこと ・文書の変更部分により影響を受ける関係者によるレビューを行い , 承 認を受けること ・それぞれの文書には , 文書管理責任者を複数人決めておき , 二人以上 の許可が無い限り更新が行えないようにしていること ・文書に対する閲覧 , 編集 , 複製 , 移動 , 廃棄などの諸手順ごとにアク セス可能な人員を制限し , 手順ごとに操作の履歴を維持すること ・紙文書を廃棄し , 電子ファイルのみの維持を考慮すること ・文書を適切にバックアップしていること ・紙ファイルであれ電子ファイルであれ , 第三者に文書を不正にアクセス されないよう , クリアデスク , クリアスクリーンの遵守を徹底すること 531

午前第 2 部情報システムのセキュリティ要件定義解答・解説載覿 スク対応計画の策定に含まれる内容なので , 順番としては最後になる。したがっ て , リスク分析の順序は選択肢 ( 工 ) の順番が適切である。 問 2 一 6 ウ 一般的なリスク分析のフローを下図に示す。 資産価値の評価 問 2 ー 7 ア リスクの評価 脅威の評価 資産の洗出し 分析範囲の決定 771221 K 既存対策の脆弱性評価 ( H17 (#-FE 聞 69K ) 正確には , リスクとは予想結果と実際の結果の相違のことであり , 必ずしも組 織が損害を被るものだけとは限らない。しかし , 一般にリスク分析というと , 組 織が損害を被るような原因を洗い出すことを指す。リスク分析を行う目的は , 組 織に対する損害をなるべく少なく抑えることであるので , すべてのリスクに対し て対策を実施することが適切とは限らない。例えば , その対策に損害額以上の費 用がかかるような場合には , 対策をせずにその損害を被ったほうが , 組織として は損害額が少ない。このため , リスク分析では , リスクの種類だけでなく , その 発生確率や損失額などを合わせて分析し , その対策の費用対効果を考慮して実施 の優先順位付けを行う。したがって , ( ア ) が適切である。 イ : リスク分析は , 対策の実施が目的ではなく , リスクの発生を防ぐことが目的 である。環境などの変化によって対策を見直し , 柔軟に実施する。 ウ : 同じような状況では同じようなリスクが付き物なので , 過去の経験は大いに 参考にすべきである。 393

Y 君 : 検討した結果 , 確実に実装でき , またユーザに負担を与えないということ で , 1 番目の対策を行うことにします。 X 主任 : よく分かった。私もこの方式でよいと思う。ただしこの対策では , 正規 のセッション ID が漏えいしてしまうと , そのセッション ID を HIDDEN パラメタに埋め込まれることでチェックをすり抜けられる可能性がある。 ( 2 ) 亠に入る適切な字句を答えよ。 ( 1 ) 表 1 中の一に入る適切な字句を 15 字以内で答えよ。 設問 1 強制プラウジングについて答えよ。 かずセキュリティ要件を固めていってほしい。 X 主任 : これら以外の部分についても Z 氏がいるので大丈夫だと思うが , 気を抜 Y 君 : はい , 分かりました。 ⑤セッション ID が漏えいしないための対策も忘れないように 答えよ。 ているが , その対策として考えられる方法を二つそれぞれ 20 字以内で ( 2 ) x 主任は下線部⑤でセッション ID が漏えいしないための対策を求め 対策になるのはなぜか。 40 字以内で具体的に述べよ。 ( 1 ) 下線部④で , 注文を完了する際に再度パスワードを入力させることが 設問 3 クロスサイトリクエストフォージェリに関して答えよ。 人る数字を表 2 の行数から選んで答えよ。 ( 3 ) 下線部③の Y 君のとった対応について , 亠と亠に 由は何か。 50 字以内で具体的に述べよ。 ( 2 ) 下線部②で , X 主任が置換された文字列が不明確になると指摘した理 ( 1 ) 文中は一般に何と呼ばれる処理か。 10 字以内で答えよ。 設問 2 クロスサイトスクリプティングに関して答えよ。 ( 3 ) 下線部①が強制プラウジングの対策になるのはなぜか。 30 字以内で答 ] 78

午後 I 第 3 部情報セキュリティ技術・関連法規解答・解説 べース VLAN) 」と呼ばれる機能を持ち , かっ , IEEE802. IX 機能を持たない機器 をある特定の VLAN に所属させる「ゲスト VLAN 」と呼ばれる機能を持っスイツ チを利用する必要がある。そして , ゲスト VLAN を IP 電話用の VLAN に設定して おけば , IEEE802. IX 機能を持たない IP 電話はゲスト VLAN である IP 電話用 VLAN に接続され , IEEE802. IX 機能を持っ PC は IEEE802. IX の認証を行い , 認 この場合も , 設間 証 VLAN 機能によって特定の VLAN に接続される。ちなみに , 3 の ( 4 ) と同じように , IP 電話用の MAC アドレスを登録して , IP 電話以外の IEEE802. IX 認証非対応機器が接続できないようにすることが重要である。 [ 設問 4 ] 昨今では , w ⅲ ny などのファイル共有ソフトを狙ったウイルス / ワームによる情報 漏えいの事件が多発し , 問題となっている。検疫ネットワークでは , PC にインスト ールされたウイルス対策ソフトのチェックを行うことで , 間接的にこのようなウイル ス / ワームに感染していないことをチェックしているが , 最新のウイルス / ワームに 対して完璧にチェックできるかというとそうでもない。このため , 検疫ネットワーク の中には , Winny などのプログラムがインストールされていないことをチェックした り , 情報漏えい対策の専用ソフトが起動されていることをチェックする機能を持った d : OS ものが多い。 問 3 ー 6 【解答】 [ 設問 1 ] [ 設問 2 ] [ 設問 3 ] [ 設問 4 ] Web システムのセキュリティ e : SSL ( または , TLS) a : ファイウォール b : データベース 765041K c : バリア ① ② しきい値を設定し , 一定以上の通信量には応答しない。 SYN クッキーによって , セッションの正当性を確認する。 利点 : メール送信ポートをプロックするので SPAM 送信カ坏可能となる 欠点 : それまで利用していた正規の利用者もメール送信が不可能となる キーワードの選び方によっては , 問題ないサイトであってもプロックさ れることがある。 【解説】 インターネットに企業ネットワークを接続する場合の留意点を , 総合的に考える基 本的な問題である。特に web サーバを設置する場合 , web サーバは不特定多数から のアクセスを受けることになるため , 社内ネットワークと切り離しておくことが重要 である。ファイアウォール ( 以下 FW という ) の導入は今や当たり前のようになって いるが , それだけではなく Web サーバ自体のセキュリティ対策についても , しつかり 477

用者に周知徹底しておくことが必要になります。 S 君 : 分かりました。そのように対応しましよう。次に SSL-VPN 装置の運用時 におけるセキュリティ対策については , どのように対応すべきでしよう T 氏 : まず , SSL-VPN 装置側の対策が重要になります。具体的には , セキュリ ティホールの管理とログの管理になります。専用装置だからといって , ク ライアントパソコンのようにセキュリティホールがないと考えてはいけ ません。セキュリティ情報をよくチェックし , 必要であれば , すぐに SSL- VPN 装置を停止させてファームウェアのアップデートをする必要があり こを破られることは , FW を破られることと同じであるというよ ます。 うに考えてください。また , ログの管理はセキュリティ管理の基本ともい える重要なものです。今回 , ご提案する装置は , ユーザのアクセスログを はじめ , 認証に失敗した際のログや , 許可されていない情報資源へのアク セスなどを含め , 通常の使用方法では発生しないログを残すことができま す。また , SSL-VPN 装置の設定変更などのために管理者アカウントでア クセスしたログもすべて残すことができます。 S 君 : SSL-VPN 装置のセキュリティ対策については十分に注意する必要がある ことは分かりました。次に , クライアントのセキュリティ対策はどうでし ようか。 T 氏 : ューザ教育 , 盗聴 , 盗難 , ウイルス対策などに気をつける必要があります。 S 君 : 盗聴といっても , インターネット内は SSL-VPN で暗号化されるため , そ の心配はないと思いますが。 T 氏 : インターネット内の盗聴は基本的に防止できます。しかし , 今回はホット スポットからの利用もご検討ですよね。すると , SSL-VPN の特徴である クライアント側に特別な仕組みがいらないということに注意してくださ い。無線 LAN については , WEP のぜい弱性などが指摘されていますが , それ以前にホットスポットがあるインターネットカフェなど , ( e ) 不特定多 数の人間が利用する共用端末の利用は絶対にしないというユーザ教育を 徹底する必要があります。 s 君 : 社員教育の中で十分に説明することにします。本日の検討結果に基づき , SSL-VPN 装置を導入する方向で , 社内の調整を図っていきたいと思いま す。その結果については , 別途 , ご連絡を差し上げますが , せつかくの機 302

・午後 I はじめの二つを挙げたが , 後の二つも別解として成り立っと思わ 第 2 部情報セキュリティの運用・管理解答・解説 解答例としては , れる。 [ 設間 4 ] 表 4 によって , 「 X 社への影響の評価値」が決定されているが , こでまず検討し なければならないことは , この評価の元になっている「重要性の評価値」と「ぜい弱 性の評価値」に関する Y 君の評価が適切かどうかという点である。この評価が適切で なければ , 当然対策の要否の判断も適切ではなくなる。 さらに考慮しなければならないのは , 表 4 で取り上げた評価内容が本当にあらゆる リスク可能性を網羅しているかどうかという点である。これまで気付いているリスク 項目に関しては一応の対応を考えているが , まだ見落としている残余リスクがあるか もしれない。したがって , こで点数が低くなっている機密性などの影響度について も , 他社の事例などを参考として対策を上積みするなどの処置を必要とするかもしれ ない。これらの点から , 残余リスクの内容についてさらに分析し , 必要な処置を考慮 することも必要となろう。 次に , 「 X 社への影響の評価値」が一定点数以上であれば必ず対策をとることになる かという問題がある。もし , 対策に莫大な費用がかかり , その対策による影響度の軽 減効果よりもその金額が大きいようであれば , 対策をとらずにリスクを受容するとい う選択もあり得る。したがって , 講じる対策によって軽減されるリスクとその対策の 費用対効果を検討する必要がある。 また考慮しなければならないのが , 「 x 社への影響の評価値」が何点であれば , 対策 が必要かどうかの決定である。この点についても , 問題文に書かれているように Y 君 は「単純に 6 点未満を対策不要としていた」ので , これの検討を個人でなく会社とし て行う必要がある。しかし , 設問には「表 4 の評価値だけで判断することは誤りであ る」となっているので , 対策を行うべき点数についての検討は , ( 表 4 の評価値だけ での判断に含まれるので ) 解答として適切ではないと考えられる。 問 2 ー 2 【解答】 [ 設問 1 ] [ 設問 2 ] [ 設間 3 ] 安全な EC サイトの構築 ( 1 ) SSL ( 2 ) SSL は通信路を暗号化するものであり , 不正な入力を防止するもの ではないから。 ①特殊文字を無効な文字に置き換える。 ②人力値の長さや文字の種類を限定する。 ( 1 ) 次の内の二つが解答されていればよい。 765083K 453 ・ JavaScript はすべてのプラウザで有効であるとは限らないため

( 6 ) ネットワーク , 情報システムに対する侵入検知システムまたは侵人 検知サービスの導人検討 ( 7 ) 監視データに対するセキュリティ侵犯追跡調査の実施 , 侵犯の識別 ( 8 ) 発生したセキュリティ侵犯がもれなく発見されていることの検証 ( 9 ) セキュリティ侵犯の発生状況の関連部署への報告 7-3 タスクセキュリティ強度の確認の支援 ・セキュリティ管理者の行う次の作業を技術的に支援していること ( 1 ) セキュリティホール情報やセキュリティ勧告およびパッチ情報の 最新情報の収集 ( 2 ) 自動化ツールまたは手作業によるぜい弱性テストの実施 達成指標 ( 3 ) 実際に攻撃を行う侵入テストの定期的実施 ( 侵人テストの内容は , セキュリティに関する最新情報が反映されていること ) ( 4 ) セキュリティホールが見つかった場合の一時的な対策の立案 7-4 タスクセキュリティ侵犯への対応の支援 ・セキュリティ管理者の行う次の作業を技術的に支援していること ( 1 ) セキュリティ侵犯時の方針決定 ( 処置の優先度決定方針など ) ( 2 ) 被害拡大防止策などの対応策としての緊急対応マニュアルの作成 ( 3 ) セキュリティホールの情報収集 ( 4 ) 既知のセキュリティホールに対する対策 ( 5 ) セキュリティの侵犯発見時の , 関係機関への報告 7-5 タスクセキュリティの評価の支援 ・セキュリティ管理者の行う次の作業を技術的に支援していること ( 1 ) 最新の脅威 , ぜい弱性および侵犯に関する情報の収集 ( 2 ) 情報セキュリティポリシの遵守状況の評価 ( 3 ) 新しく発見されたぜい弱性に対する今後の継続的な対策の検討 8. 開発プロジェクトの管理 8-1 タスク開発ライフサイクル管理 ・開発プロセスの各段階において , 機密性 , 完全性 , 可用性が失われた際 の影響度 , 影響範囲を識別し , 重要度に応じて分類を行っていること ・開発における情報セキュリティポリシからの要求事項を識別してい ること ・開発対象システムに対するセキュリティ対策に必要なコスト試算を おこなっていること ・開発においてセキュリティを維持するために必要な , 構成管理 , 緊急 達成指標 時対応 , 教育 , リスクアセスメントなどの計画が策定されていること ・セキュリティ維持のための詳細管理策が策定されていること ・計画および詳細管理策について文書化されていること ・定期的にセキュリティの評価を行っていること ・評価のフィードバックを行いセキュリティの改善を継続していること ・開発中は継続してセキュリティ侵犯を監視していること 二一口 = 一 1 達成指標 達成指標 530

だけ ) である。 イ : リスクの平均予想損失額には , 損害予防のために投入されるコストは含まれ ない。 ェ : リスクを金額で測定するリスク評価額は , 通常 , 損害が現実になった場合の 1 回当たりの平均予想損失額と発生確率の積で表される。 問 2 ー 4 工 ( H17 秋・ SS 問 32K ) リスクとは「組織の活動の遂行を阻害する事象の発生の可能性とその結果」で ある。リスク分析では , セキュリティ障害の発生可能性や情報資産への影響を評 価する。すなわち , 損失の大きさと発生頻度はリスク分析で得られる結果である。 よって ( 工 ) が正しい。 ア : ぜい弱性の発見は , セキュリティレビュー ( セキュリティの見直し ) プロセ スの目的である。 イ : セキュリティコントロールの組み込みは , セキュリティ対策の実施プロセス で行う。 ウ : セキュリティ仕様は , セキュリティ対策の計画策定で得られる結果である。 問 2 ー 5 工 リスクマネジメントは , ( 1 ) リスクの識別 ( 2 ) リスクの分析 ( H17 秋 -AN/PM/AE 問 36K ) 一般に以下の手順で行われる。 ( 3 ) リスク対応計画の策定 ( 4 ) リスクの監視・コントロール この問題は , この中のリスク分析を対象としている。リスク分析は , 「 ISMS ユ ーザーズガイド・リスクマネジメント編」では , 次の手順となっている。 ( 1 ) ' 事業上の損害の評価 ( 2 ) ' 脅威およびぜい弱性の評価 ( 3 ) ' リスクの算出 ( 4 ) ' リスク評価 「 ( 1 ) ' 事業上の損害の評価」では , 識別したリスクの内容を評価するので , 問題 文の「⑤分析対象の理解と分析計画」の分析対象の理解に対応する部分がある。 「 ( 2 ) ' 脅威およびぜい弱性の評価」は , 問題文の「④ぜい弱性の発見と識別」に ほぼ対応する。 「 ( 3 ) ' リスクの算出」は , 損失額の大きさと発生確率を計算するので , 間題文の 「③事故様態の関連分析と損失額予想」にほぼ対応する。 「 ( 4 ) ' リスク評価」は「①損失の分類と影響度の評価」にほぼ対応する。 問題文の「②対策の検討・評価と優先順位の決定」は , 本来リスク分析でなくリ

( 3 ) ウイルスメールの 80 % が ". pif" . bat ” . cmd' . SCr . C01 れ . exe ". vbs" などの拡張子を持っファイルを添付ファイルとしており , 新種のウ イルスもこれに該当している。 これらの結果によって , N 係長はウイルス対策においての添付フ ァイルの削除は効果がある半面 , 迷惑メール対策については , ②メールの流量制 限だけでは限定的な効果しかないと判断し , ほかの対策を含め S 氏と検討するこ N 係長 : 現在の対策だけでは効果が限定的と考えられます。ほかにどのような対 0 S 氏 策を行えばよいでしようか。 : メールの特徴を分析して , 迷惑メールかどうかを判定するコンテンツフ イルタリングを行うことが有効であると思います。 N 係長 : どのようにメールの特徴を分析するのですか。 s 氏 : 分析には大きく分けて三つの方法があります。ーっは亠と呼 ばれ , 本文中の語句を解析して業務に不必要な語句が記述されたメールを フィルタリングする方法です。ただし , 御社のようにさまざまな業種を取 引先としている場合には , フィルタを行う語句の選択が難しい場合もあり ます。二つ目はと呼ばれ , 過去の迷惑メールデータベースと 比較して特徴が一致すればフィルタリングします。受信したメールのヘッ ダやサプジェクト , 本文の一部を抽出し , ハッシュ化したものを過去の迷 惑メールと比較して判定を行います。世界中から集めたセンタのリポジト リと比較する技術も , すでに確立されており , 言語に依存しないという特 徴を持っています。三つ目は , 単語の出現頻度と過去のメールの判定結果 から迷惑メールかどうかを判断する学習型のべイジアンフィルタです。べ イジアンフィルタはサポート言語が限られている場合がありますが , 対応 製品が多く pc 側でも対策を行えます。特に , 御社の場合 , 現状は日本語 と英語で迷惑メール対策に必要な言語はカバーしていますので , べイジア ンフィルタだけでも十分な効果があると考えています。 N 係長 : 分かりました。では , べイジアンフィルタはどのようにして迷惑メール の判定を行うのでしようか。 2 1 4