重要度：A
問1：通販サイトで、サーバ障害によって注文画面が数時間利用できなくなった。直接損なわれた情報セキュリティの性質として、最も適切なものはどれか。
- A：真正性
- B：完全性
- C：可用性
- D：否認防止
【第1問：正解と解説】
正解：C
・A
真正性は、利用者や情報が主張どおりのものであることを確認できる性質であり、本事例の中心ではない。
・B
完全性は、情報や処理が正確かつ完全な状態に保たれる性質であり、画面を利用できないことを直接表すものではない。
・C
正しい。可用性は、認可された利用者が必要なときに情報やシステムを利用できる性質である。サーバ障害で注文画面を利用できない状態は、可用性が損なわれている。
・D
否認防止は、取引や送信の事実を後から否定されにくくする性質であり、本事例の中心ではない。
重要度：B
問2：担当者が作成した売上集計表の数値が、承認後に権限のない利用者によって書き換えられていた。この事象で直接問題となる性質はどれか。
- A：完全性
- B：可用性
- C：責任追跡性
- D：信頼性
【第2問：正解と解説】
正解：A
・A
正しい。完全性は、情報が正確かつ完全な状態に保たれ、権限のない変更や誤った変更が行われていないことを確保する性質である。
・B
可用性は、必要なときに情報やシステムを利用できる性質である。書換えの問題を直接表すものではない。
・C
責任追跡性は、誰がどの操作を行ったのかを追跡できる性質である。調査では重要だが、書き換えによって直接損なわれた性質は完全性である。
・D
信頼性は、システムや処理が意図したとおりの結果を一貫して出す性質である。権限のない変更を直接表す用語ではない。
重要度：B
問3：複数の作業員が同じ管理者IDを共用していたため、不適切な設定変更を行った人物を操作ログから特定できなかった。最も直接的に不足している性質はどれか。
- A：可用性
- B：責任追跡性
- C：機密性
- D：真正性
【第3問：正解と解説】
正解：B
・A
可用性は、必要なときにシステムを利用できる性質であり、操作者を特定できない問題を表さない。
・B
正しい。責任追跡性は、操作や事象を特定の主体へ結び付けて追跡できる性質である。共通IDの利用は、誰が操作したかの特定を困難にする。
・C
機密性は、認可されていない者による情報へのアクセスを防ぐ性質である。本事例の中心は操作者の識別である。
・D
真正性は、主体や情報が主張どおりであることを確認できる性質である。共通IDによって個人の操作を追跡できない点は、責任追跡性の問題である。
重要度：A
問4：営業担当者が顧客情報入りのノートPCを鍵の掛からない車内へ置いたまま離れ、PCが盗まれた。脅威と脆弱性の組合せとして、最も適切なものはどれか。
- A：脅威は顧客情報そのものであり、脆弱性はノートPCという機器そのものである
- B：脅威は盗難、脆弱性はPCを容易に持ち去れる状態で放置したことである
- C：脅威はPCを放置したことであり、脆弱性は盗難である
- D：脅威は鍵の掛からない車であり、脆弱性は顧客情報である
【第4問：正解と解説】
正解：B
・A
顧客情報とPCは保護すべき情報資産であり、脅威でも脆弱性でもない。
・B
正しい。盗難は情報資産へ損害を与える脅威であり、鍵の掛からない車内へPCを放置したことは、脅威に悪用される物理的・運用上の弱点である。
・C
説明が逆である。盗難という事象が脅威であり、放置は突かれた弱点に当たる。
・D
鍵の掛からない車内という状態は脆弱性であり、顧客情報は守るべき情報資産である。脅威と脆弱性の対応が逆である。
重要度：B
問5：多層防御の考え方に最も合致する対策はどれか。
- A：社外からの接続を禁止し、内部ネットワークでは認証やログ監視を行わない
- B：社内の端末へ共通の管理者パスワードを設定し、運用を単純化する
- C：メール対策、端末防御、ログ監視を重ね、破られた層を他の層で補う
- D：最も性能が高いマルウェア対策ソフトを1つ導入し、他の対策は縮小する
【第5問：正解と解説】
正解：C
・A
一つの境界だけに依存し、内部の認証や監視を省略する構成は、多層防御に合致しない。
・B
共通の管理者パスワードは、漏えい時の影響を広げ、責任追跡性も低下させる。
・C
正しい。多層防御は、異なる位置や目的の複数の管理策を組み合わせ、一つの対策が機能しなくても他の対策で被害を防止・検知・限定する考え方である。
・D
単一製品だけに依存する構成は、その製品が回避又は停止された場合に他の防御手段がなく、多層防御とはいえない。
コメント