重要度：A
問11：デジタルフォレンジックスの説明として、最も適切なものはどれか。
- A：電磁的記録を証拠として保全し、改変がないことを示せる形で収集・分析すること
- B：システムの脆弱性に対して実際に攻撃を行い、侵入できるかどうかを検証すること
- C：業務データを暗号化し、権限のない者には内容が読めない状態にしておくこと
- D：収集したログを長期に保存できるよう、圧縮して外部の媒体へ移しておくこと
【第11問：正解と解説】
正解：A
・A
正しい。原因究明や法的手続に耐える形で証拠を扱う技術と手続である。
・B
これはペネトレーションテストの説明である。
・C
これはデータの機密性を守る暗号化の説明である。
・D
これはログの保管作業であり、証拠性の確保までは含まない。
重要度：A
問12：E社で不正アクセスの疑いが生じ、対象サーバの調査を行うことになった。証拠保全の観点から避けるべき行為はどれか。
- A：対象サーバのディスクを複製し、その複製に対して調査を行う。
- B：対象サーバの原本を直接操作し、ファイルを開きながら痕跡を探す。
- C：取得した複製のハッシュ値を記録し、同一性を確認できるようにする。
- D：誰がいつ証拠を取り扱ったかを記録し、保管の経緯を追えるようにする。
【第12問：正解と解説】
正解：B
・A
複製に対する調査は、原本の完全性を保つ正しい手順である。
・B
正しい（避けるべき行為）。原本を直接操作すると、タイムスタンプなどのメタデータが変化するおそれがあり、証拠性に影響する。可能な限り原本への変更を避け、揮発性情報の取得など必要な操作を行う場合は、その手順、実施者、時刻及び内容を記録する。詳細な調査は原則として複製に対して行う。
・C
ハッシュ値の記録は、改変がないことを示すための必要な手順である。
・D
取扱いの経緯を残すことは、証拠の信頼性を支える手順である。
重要度：B
問13：証拠として取得したデータについて、取得した時点と提出する時点のハッシュ値を比較する目的はどれか。
- A：データの容量が取得時から変化していないことを確認する。
- B：データが第三者に読めない形で暗号化されていることを確認する。
- C：データが取得時から改変されていないことを確認する。
- D：データを作成した人物が本人であることを確認する。
【第13問：正解と解説】
正解：C
・A
容量が同じでも内容が変わることはあり、確認の目的にならない。
・B
ハッシュ値は暗号化の有無を示すものではない。
・C
正しい。暗号学的ハッシュ値の一致は、取得時と比較時のデータの同一性・完全性を裏付ける材料になる。証拠性の確保には、取得手順や取扱いの記録も併せて必要である。
・D
ハッシュ値だけでは、データの作成者本人を確認できない。作成者又は署名者との結び付きを確認するには、デジタル署名や電子証明書などの仕組みが必要となる。
重要度：B
問14：F社が事業継続計画の見直しに当たってBIAを実施する。BIAで明らかにする内容として、最も適切なものはどれか。
- A：IT機器ごとの復旧の順序と、業務への影響を評価せずに定めた作業の計画
- B：システムの停止直後の影響だけを評価し、時間の経過による変化を除いた結果
- C：先に定めた復旧時間の目標と、その目標の実現可能性だけを確かめた結果
- D：各業務が停止した場合の影響と、優先して復旧すべき業務、許容できる停止時間
【第14問：正解と解説】
正解：D
・A
機器の順序だけでは、どの業務が重要かという判断の根拠を示せない。BIAは業務への影響から出発する。
・B
業務停止による影響は、時間の経過に伴って増大又は変化する場合があるため、停止直後だけでなく、時間軸に沿って評価する必要がある。
・C
復旧目標は影響分析の結果から導くものであり、先に目標を置く方法では根拠を欠く。
・D
正しい。BIAの結果からRTO・RPO・RLOなどの復旧目標を設定する。
重要度：B
問15：G社では、基幹システムのバックアップを毎日午前2時に1回だけ取得している。障害でデータが失われ、直近のバックアップまで戻して復旧する場合、失われるデータは最大でどれだけの範囲になるか。
- A：最大24時間分
- B：最大2時間分
- C：最大12時間分
- D：復旧作業に要した時間の分
【第15問：正解と解説】
正解：A
・A
正しい。取得間隔が24時間なので、直前に取得してから障害までの最大24時間分が失われる。
・B
午前2時は取得の時刻であって、失われる範囲を表すものではない。
・C
1日2回取得している場合の値であり、本問の運用とは異なる。
・D
復旧に要する時間はRTOに関する考え方であり、データの損失範囲ではない。
コメント