重要度：A
問1：A社では、CVSS基本値9.8の脆弱性が社内限定の検証サーバに、基本値8.8の脆弱性がインターネット公開中の受注サーバに存在する。後者については悪用事例も確認されている。対応の優先順位を決める方法として、最も適切なものはどれか。
- A：CVSS基本値が高い検証サーバだけを先に対応し、他の条件は考慮しない。
- B：CVSSに加えて、資産の重要度、公開範囲、悪用状況を評価して優先順位を決める
- C：二つの脆弱性は別々の製品のものなので、どちらも対応の対象にしない
- D：CVSS基本値が10.0でない脆弱性は、悪用されることがないので後回しにする。
【第1問：正解と解説】
正解：B
・A
CVSS基本値だけでは、組織における実際の影響や攻撃可能性を十分に表せない。
・B
正しい。技術的深刻度に加え、業務影響、外部公開、実際の悪用、対策可能性などを組み合わせて優先順位を決める。
・C
製品が異なっても、脆弱性による業務リスクは個別に評価する必要がある。
・D
基本値が10.0未満でも悪用される可能性があり、実際の悪用情報を無視してはならない。
重要度：A
問2：外部事業者へ本番Webシステムのペネトレーションテストを依頼する。事前準備として、最も適切なものはどれか。
- A：攻撃を現実に近づけるため、運用部門や責任者への事前の連絡は行わない。
- B：対象範囲は事業者の裁量に任せることとし、契約書には範囲を定めない
- C：書面で許可を得て、対象範囲、実施時間、禁止行為、緊急連絡先を定める
- D：テスト中に障害が発生した場合は、終了後の報告書にまとめて記載してもらう。
【第2問：正解と解説】
正解：C
・A
無連絡のテストは業務影響や法的問題を生じる可能性があり、責任者の承認と関係部門との調整が必要である。
・B
対象範囲を定めないと、意図しないシステムや第三者へ影響を及ぼすおそれがある。
・C
正しい。権限、範囲、時間、停止条件、連絡方法などを事前に明確化し、安全に実施できるようにする。取得した認証情報やログ、個人情報等の保管・報告・返却・消去の方法も事前に合意する。
・D
障害や異常は直ちに連絡し、あらかじめ定めた停止条件に従って中断を判断する必要がある。
重要度：B
問3：自社が開発したICカード製品について、製品全体のセキュリティ機能が国際基準に基づいて適切に実装されていることを、第三者の評価・認証によって示したい。利用する制度として最も適切なものはどれか。
- A：ISO/IEC 15408に基づくJISECの評価・認証を受ける
- B：SECURITY ACTIONの一つ星又は二つ星を自社の判断で宣言する
- C：プライバシーマークの付与審査を受け、認証を取得する
- D：ISMS適合性評価制度の認証審査を受け、登録を受ける
【第3問：正解と解説】
正解：A
・A
正しい。IT製品のセキュリティ機能の評価基準がISO/IEC 15408（CC）であり、JISECはそれに基づく国内の評価・認証制度である。暗号モジュール単体の試験・認証にはJCMVPがある。
・B
SECURITY ACTIONは中小企業の取組みの自己宣言であり、製品の第三者評価ではない。
・C
プライバシーマークは個人情報保護の体制の認証であり、製品のセキュリティ機能の評価ではない。
・D
ISMS認証は組織のマネジメントシステムの認証であり、個別製品の評価ではない。
重要度：B
問4：停止できない旧型の製造システムに重大な脆弱性が見つかったが、製造元から修正プログラムが提供されていない。現時点の対応として、最も適切なものはどれか。
- A：修正プログラムの提供を待つこととし、それまでの間の暫定的な対策は検討しない
- B：製造システムを直ちに停止し、修正プログラムの提供まで生産を止める。
- C：監視を強化すれば十分なので、通信元の限定や不要機能の停止は行わない。
- D：通信元の限定と不要機能の停止、監視強化を行い、更新・更改計画を進める
【第4問：正解と解説】
正解：D
・A
提供時期が不明な修正を待つだけでは、攻撃の機会を放置することになる。暫定対策でリスクを下げる。
・B
停止できない業務要件がある場合は、停止以外の方法でリスクを低減する必要がある。
・C
監視は検知の手段であり、攻撃経路を狭める対策と組み合わせて初めて効果的になる。
・D
正しい。代替策でリスクを低減しながら、恒久対策と残留リスクの管理を進める。
重要度：B
問5：インターネット公開サーバで悪用中の脆弱性が公表され、修正プログラムも提供された。パッチ適用方法として、最も適切なものはどれか。
- A：通常の年次保守の時期まで待ち、その間の監視も行わない
- B：影響を確認し、復旧手段を準備して検証した上で優先的に適用する
- C：本番サーバへ適用した後で、対象製品かどうかを調べる。
- D：利用者への影響が大きいので、脆弱性情報を非公開にして対応は見送る。
【第5問：正解と解説】
正解：B
・A
悪用が確認されている外部公開サーバを長期間放置することは危険である。
・B
正しい。緊急性に応じて検証を迅速化しつつ、対象確認、復旧準備、適用、動作確認、再診断を行う。
・C
対象確認を後回しにすると、不要な変更や障害を招くおそれがある。
・D
利用者数の多さは、リスクを放置する理由にはならない。
コメント