・試験制度解説編 願書受付・合格発表の日程は予定です ( 平成 19 年 10 月現在 ) 。 2 ー 2 試験制度の運用時期 電話 03-5978-7600 FAX 03-5978-7610 文京グリーンコートセンターオフィス 15 階 本部〒 113-8663 東京都文京区本駒込 2-28-8 実施します。 「独立行政法人情報処理推進機構情報処理技術者試験センター」が試験を 2 ー 1 試験を実施する機関 2. 受験ガイド 試験実施時期 試験区 システム監査技術者試験 受験願書 分 受付 テクニカルエンジニア ( データベース ) 試験 テクニカルエンジニア ( システム管理 ) 試験 1 月中旬 テクニカルエンジニア から ( 工ンべデッドシステム ) 試験 4 月 第 3 日曜日 - - 約 1 か月間 ( 予定 ) 合格発表 ( 官報公示 ) 6 月下旬 ( 予定 ) 試験実施の 期 秋 10 月 第 3 日曜日 期 テクニカルエンジニアセキュリティ ) ソフトウェア開発技術者試験 初級システムアドミニストレータ試験 基本情報技術者試験 システムアナリスト試験 プロジェクトマネージャ試験 アプリケーションエンジニア試験 テクニカルエンジニア ( ネットワーク ) 試験 情報セキュリティアドミニストレータ試験 図表 1 - 3 試験制度の運用時期 基本情報技術者試験 初級システムアドミニストレータ試験 ソフトウェア開発技術者試験 上級システムアドミニストレータ試験 12 月下旬 7 月中旬 ( 予定 ) から - 約 1 か月間 ( 予定 ) 約 1 か月後 ( 予定 ) 試験実施の 約 1 か月後 ( 予定 )

( 5 ) 合格発表方法 合格者の受験番号は次のようにして発表されます。 ・試験センターのホームページに掲載 ・試験センター各支部で閲覧可 ・官報に公示 また , 合格発表日は事前に試験センタ ( 6 ) 合格証書の交付 ーのホームページに掲載されます。 経済産業大臣から情報処理技術者試験合格証書 ()4 サイズ ) が交付されます。 ( 7 ) 受験手数料 受験手数料は , 一律 5 , 100 円 ( 消費税込み ) です。 情報処理技術者試験センター http://www.jitec.jp/ ようにしましよう。 願書の内容や , 試験センターのホームページを注意深く確認する ※詳細事項が変更になることが考えられます。 ( 株 ) アイテック http://www.itec.co.jp/ アイテックのホームページでもこ案内いたします。 ※試験制度に関する変更および追加事項があった場合は ,

9-3 タスク 情報セキュリティの見直しの支援 ・企業の情報セキュリティの見直しに関する次の作業を技術的に支援 していること ( I) セキュリティホール情報やセキュリティ勧告およびパッチ情報の 最新情報を得る ( 2 ) 利用者に対してアンケートやヒアリングにより , 情報セキュリティ ポリシの実施上の問題点の収集および整理 ( 3 ) 違反者の多い基準の収集および整理 ( 4 ) 新技術の開発により , 影響を受ける情報セキュリティポリシの箇所 を識別および整理 ( 5 ) 新たなリスクの収集および整理 ( 6 ) 識別された新たな問題点やリスクなどに対処するために , 情報セキ ュリティポリシの変更が必要であるかどうかの分析 達成指標 533 独立行政法人情報処理推進機構情報処理技術者試験センター , 2005.11.30 ( 出典 ) 情報処理技術者スキル標準テクニカルエンジニア ( 情報セキュリティ ) ,

1 -4 スキル標準 ( 1 ) スキル標準とは 「情報処理技術者スキル標準」は , 「情報処理技術者試験新制度の概要」およ び「情報処理技術者試験出題範囲」において示される対象者像に , 必要な知識・ 技術・能力や達成指標を , 現場実務に照らして , より具体的に表現したものです。 テクニカルエンジニア ( 情報セキュリティ ) に対しては , 次の二つのスキル標 準が適用されます。 ・ IT 共通知識体系 ・テクニカルエンジニア ( 情報セキュリティ ) IT 共通知識体系は , 情報処理技術者試験におけるすべての区分 ( 対象者 ) に共 通に問われる知識を構造的に示しています。 ( 2 ) スキル標準に示された主要業務 テクニカルエンジニア ( 情報セキュリティ ) の役割と業務は , スキル標準の主 要業務で示されています。この主要業務とは , 情報システム開発において , テク ニカルエンジニア ( 情報セキュリティ ) にとっての基本的な業務領域である , 企 画 , 設計 , 開発 , 運用という , 情報システム開発フェーズに関する情報セキュリ ティ面からの支援作業を手順的に示した内容を指すものです。スキル標準では , この業務領域を「情報セキュリティエンジニアリングプロセス」と呼んでおり , 次の 9 種類のアクティビテイから成り立ちます。 ・情報システムの脆弱性・脅威分析 ・セキュリティ要件定義 ・セキュリティ機能の設計 ・セキュリティ機能の実装とテスト ・セキュリティ機能の本番移行 ・情報セキュリティ面からのレビュー ・情報システム運用時のセキュリティ管理の支援 ・開発プロジェクトの管理 ・情報セキュリティマネジメントの支援 各アクティビティは , タスクというさらに詳細な業務に分解されます。例えば , 「セキュリティ要件定義」というアクティビティでは , セキュリティ要件定義の ための情報収集・分析 , セキュリティアーキテクチャの設計 , セキュリティ要件

情報収集 2.8 【学習目標】 セキュリティ情報およびぜい弱性情報の収集に関して , 情報セキュリティ製品 知識について理解する。 ロセキュリティ情報およびせい弱性情報の収集 ( ロ CERT/CC ロ JPCERT/CC ロ IPA ロ JVN) ロ情報セキュリティ製品知識 問 1-79 △

1 . 情報処理技術者試験と試験制度概要 1 ー 1 情報処理技術者試験 情報処理技術者試験は , 「情報処理の促進に関する法律」に基づく国家試験で す。「独立行政法人情報処理推進機構情報処理技術者試験センター」 ( 以下 , 試 験センター ) によって実施されています。 情報処理技術者試験の目的は次のとおりです。 ・情報処理技術者に目標を示し , 刺激を与えることによって , その技術の向上に資す ること。 ・情報処理技術者として備えるべき能力についての水準を示すことにより , 学校教育 , 職業教育 , 企業内教育等における教育の水準の確保に資すること。 ・情報技術を利用する企業 , 官庁などが情報処理技術者の採用を行う際に役立つよう 客観的な評価の尺度を提供し , これを通じて情報処理技術者の社会的地位の確立を 図ること。 1 ー 2 試験区分 情報処理技術者試験には , 図表 1-1 のように 14 試験区分があります。 情報システム利用側 情報システム開発・運用側 独立 テクニカルエンジニア試験 ア情 ア上 ド報 ド級 ス ェ 情 シ - 不 フ - シ ' ツ ム ト タ へ セ フー 監 ステ スユ 丁 キ へ ム トリ 査 トム ツ 技 レテ レ ス 理 ド ク 術 シ ア 者 タ タ 験 験 験 ム アプリケーション エンジニア試験 プロジェクト マネージャ試験 システムアナリスト試験 = ロ ソフトウェア開発技術者試験 基本情報技術者試験 図表 1 - 1 情報処理技術者試験の試験区分 初級システムアド ニストレータ試験

Y 君は , ( 表 3 ) 。 情報 表 2 の結果から公開情報と顧客情報のぜい弱性を次のように評価した 表 3 ぜい弱性の評価値 評価側面 公開情報 顧客情報 機密性 低国 低国 完全性 高圄 中 [ 2 ] 可用性 低国 低国 ( 1 ) 機密性 ざん検出の対策は講じられていないが , イントラネットがファイアウォール じられていないので , ぜい弱性を。高圄 " とした。顧客情報については , 改 公開情報については , インターネット経由の攻撃や改ざん検出の対策が講 ( 2 ) 完全性 性を " 低 [ 1 ] " とした。 ていないが , ファイアウォールや SSL などの対策を講じているので , ぜい弱 い弱性を " 低 [ 1 ] " とした。顧客情報については , 顧客 DB の暗号化が行われ 公開情報については , 元々機密性がなく , ぜい弱性を無視できるので , ぜ で保護されているので , ぜい弱性を " 中 [ 2 ] " とした。 〔 X 社への影響の評価値の計算〕 保管が実施されているので , ぜい弱性を。低 [ 1 ] " 公開情報と顧客情報ともに , バックアップデータの 2 世代管理やテープの ( 3 ) 可用性 とした。 のものとなったときの X 社への影響を " 情報の重要性の評価値 " x " ぜい弱性の Y 君は , 公開情報と顧客情報の重要性とぜい弱性の評価結果から , 脅威が現実 評価値 " で算定した ( 表 4 ) 。 表 4 X 社への影響の評価値 評価側面機密性 評価内容 情報 206 顧客情報 公開情報 A 1 3 B 1 1 C 3 1 A 3 3 完全性 B 2 3 C 6 9 A 2 2 可用性 B 1 1 C 2 2 A : 重要性の評価値 , B : ぜい弱性の評価値 , c : x 社への影響の評価値

リスク分析に関する次の記述を読んで , 設問 1 ~ 4 に答えよ。 X 社は , 教育事業を営む企業で , セミナの企画内容を x 社が運用する web に 掲載している。 Web に掲載される申込状況は , 週 1 , 2 回更新される。 セミナの受講希望者は , Web にアクセスし , 必要事項を入力して確認ボタンを 押す。その結果 , 人力内容が再表示され , セミナの受講希望者が内容を確認した 後に送信ボタンを押すことで , 申込情報が x 社に送信され , 顧客データベース ( 以 下 , 顧客 DB という ) に記録される。セミナの受講希望者と x 社間のこれらの通 信は , SSL によって行われる。 最近 , Web に掲載しているセミナの案内が書き換えられるという事件があった。 社長は , Web のセキュリティ対策が十分であるかどうかについてリスク分析を行 い , 必要な対策を提案するように情報システム部の部長に指示した。これを受け て , 情報システム部の Y 君がリスク分析と対策の提案を担当することになった。 Y 君は , セミナの案内や終了したセミナの概要などの web に掲載される公開情 報 ( 以下 , 公開情報という ) と web から受け付けるセミナの申込情報を含む顧客 情報 ( 以下 , 顧客情報という ) について , リスク分析を行った。 〔リスク分析の方法〕 Y 君は , 脅威が現実のものとなったときの x 社への影響の大きさを。、情報の重 要性の評価値 " と " ぜい弱性の評価値 " の二つの独立した要因で評価する方法を 採用した。 〔情報の重要性の評価〕 Y 君は , 情報の重要性を情報セキュリティの 3 要素である機密性 , 完全性及び 可用性が損なわれた場合の企業への影響面からとらえ , 公開情報と顧客情報それ ぞれについて , 次のように評価した。 ( 1 ) 公開情報に機密性はないが , 顧客情報には高い機密性が要求される。 ②公開情報 , 顧客情報ともに改ざんされると事業への影響が大きいので , 完 全性が要求される。 ( 3 ) 可用性については , 公開情報 , 顧客情報とも , 少々のサービス中断は許容 される。機密性 , 完全性及び可用性ごとに , 事業への影響度を 3 段階 ( 高 [ 3 ] , 中 [ 2 ] , 低 [ (]) で評価した ( 表 1 ) 。 ( H16 春 -AU 午後 I 問 2 ) 204

1 . 出題範囲とスキル標準の概要 1 - 1 テクニカルエンジニア ( 情報セキュリティ ) の対象者像 テクニカルエンジニア ( 情報セキュリティ ) の対象者像は , 試験センターの「情 報処理技術者試験出題範囲」の中で図表 2-1 のように規定されています。試験 では , この表で示されている " 期待する技術水準 " に達しているかどうかという 観点で , 評価が行われることになります。 対象者像情報システム基盤 ( 業務システム共有のシステム資源 ) の構築・運用におい 役割と 業務 て中心的役割を果たすとともに , 個別の情報システム開発プロジェクトにお いて , 固有技術の専門家として開発・導人を支援する者。具体的には , 情報 セキュリティを固有技術とする。 セキュリティ機能が求められる情報システムの企画・設計・開発・運用にお いて , セキュリティ機能の企画・設計・開発を推進又は支援する業務 , 若し くはセキュアな開発プロジェクト環境を整備する業務に従事し , 次の役割を 果たす。 ①情報システムのぜい弱性・脅威を分析・評価し , これらを適切に回避・防 止するセキュリティ機能の企画・設計・開発を推進又は支援する。 ②情報システム又はセキュリティ機能の開発までのプロジェクトにおいて , 情報システムに対して与えられる脅威を分析し , 適切に回避可能なプロジ ェクト管理を支援する。 ③セキュリティ侵犯への対処やセキュリテイバッチの適用作業など情報シ ステム運用時のセキュリティ管理作業を技術的な側面から支援する。 期待する情報システムでは , 多くのコンポーネントにおいてセキュリティ機能が求 技術水準められる。情報セキュリティ技術の専門家として , 他の専門家と協力しなが ら情報セキュリティ技術を適用して , セキュアな情報システムを開発・運用 するため , 次の幅広い知識・経験・実践能力が要求される。 ①情報セキュリティ対策のうち , 技術的な対策について基本的な技術と複数 の特定の領域における応用技術をもち , これらの技術を対象システムに適 用するとともに , その効果を評価できる。 ②情報セキュリティ対策のうち , 運用的な対策について基本的な知識と適用 場面に関する技術をもっとともに , 情報セキュリティマネジメントの基本 的な考え方を理解し , これを適用するケースについて具体的な知識をも ち , 評価できる。 ③情報技術のうち , ネットワーク , データベース , システム開発環境につい て基本的な知識をもち , 情報システムの機密性 , 責任追跡性などを確保す るために必要な暗号 , フィルタリング , ロギングなどの要素技術を理解し ている。 ④情報システム開発における工程管理について基本的な知識と具体的な適 用事例の知識をもつ。 図表 2 - 1 テクニカルエンジニア ( 情報セキュリティ ) の対象者像

午前 口業務継続計画の策定と評価 ロ業務継続計画の訓練 プライバシ保護 〇 【学習目慓】 第 1 部情報セキュリティ知識 プライバシ保護に関して , 個人情報保護関連法 , OECD プライバシ原則 , プラ イバシポリシについて理解する。 口個人情報保護関連法の知識 ロ OECD プライ / ヾシ原則 ロプライハシポリシ 情報セキュリティに関する制度・基準 【学習目標】 〇 △ ロ情報セキュリティ教育ロ情報倫理ロセキュリティ文化 ロ役割と責任ロ雇用契約・委託契約における配慮事項 項 , 情報セキュリティ教育 , 情報倫理 , セキュリティ文化について理解する。 人的セキュリティに関して , 役割と責任 , 雇用契約・委託契約における配慮事 【学習目標】 人的セキュリティ 問 1-76 ~ 間 1-78 ロコンピュータ不正アクセス対策基準 ロコンピュータウイルス対策基準 ロシステム監査基準 ロ ISMS 適合性評価制度 ロプライハシーマーク制度 ロ情報セキュリティ監査制度 ータウイルス対策基準 , コンピュータ不正アクセス対策基準を理解する。 プライバシーマーク制度 , ISMS 適合性評価制度 , システム監査基準 , コンピュ 情報セキュリティに関する制度・基準に関して , 情報セキュリティ監査制度 ,