情報セキュリティマネジメント過去問 2023年（SG）

1. 情報セキュリティ管理基準（平成 28 年）に関する記述のうち，適切なものはどれか。

2. 入室時と退室時に ID カードを用いて認証を行い，入退室を管理する。このとき，入室時の認証に用いられなかった ID カードでの退室を許可しない，又は退室時の認証に用いられなかった ID カードでの再入室を許可しないコントロールを行う仕組みはどれか。

3. デジタルフォレンジックスの説明はどれか。

4. 暗号方式に関する記述のうち，適切なものはどれか。

5. セキュアハッシュ関数 SHA-256 を用いてファイル A 及びファイル B のハッシュ値を算出すると，どちらも全く同じ次に示すハッシュ値 n（16 進数で示すと 64 桁）となった。この結果から考えられることとして，適切なものはどれか。
ハッシュ値 n：86620f2f 152524d7 dbed4bcb b8119bb6 d493f734 0b4e7661 88565353 9e6d2074

6. 迷惑メール対策の SPF（Sender Policy Framework）の仕組みはどれか。

7. Web アプリケーションにおけるセキュリティ上の脅威とその対策に関する記述のうち，適切なものはどれか。

8. 電子署名法に関する記述のうち，適切なものはどれか。

9. 情報システムのインシデント管理に対する監査で判明した状況のうち，監査人が，指摘事項として監査報告書に記載すべきものはどれか。

10. HTTP の cookie に関する記述のうち，適切なものはどれか。

11. BPM の説明はどれか。

12. 品質管理において，結果と原因との関連を整理して，魚の骨のような図にまとめたものはどれか。

13. A 社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A 社では，図 1 の“情報セキュリティリスクアセスメント手順”に従い，年一度，情報セキュリティリスクアセスメントを行っている。

A 社の情報セキュリティリーダーである B さんは，年次の情報セキュリティリスク
アセスメントを行い，結果を情報資産管理台帳に表 1 のとおり記載した。

設問 表 1 中の各情報資産のうち，保有以外のリスク対応を行うべきものはどれか。該当するものだけを全て挙げた組合せを，解答群の中から選べ。
解答群

ア (一)，(二) イ (一)，(二)，(三)
ウ (一)，(二)，(四) エ (一)，(三)
オ (一)，(三)，(四) カ (一)，(四)
キ (二)，(三) ク (二)，(三)，(四)
ケ (二)，(四) コ (三)，(四)

14. A 社は旅行商品を販売しており，業務の中で顧客情報を取り扱っている。A 社が保有する顧客情報は，A 社のファイルサーバ 1 台に保存されている。ファイルサーバは，顧客情報を含むフォルダにある全てのデータを磁気テープに毎週土曜日にバックアップするよう設定されている。バックアップは 2 世代分が保存され，ファイルサーバの隣にあるキャビネットに保管されている。A 社では年に一度，情報セキュリティに関するリスクの見直しを実施している。情報セキュリティリーダーである E 主任は，A 社のデータ保管に関するリスクを見直して図 1 にまとめた。

E 主任は，図 1 の 4 のリスクを低減するための対策を検討し，効果が期待できるものを選んだ。
設問 次の対策のうち，効果が期待できるものを二つ挙げた組合せを，解答群の中から選べ。
(一) 週 1 回バックアップを取得する代わりに，毎日 1 回バックアップを取得して
7 世代分保存する。
(二) バックアップ後に，磁気テープ中のファイルのリストと，ファイルサーバの
バックアップ対象ファイルのリストとを比較し，合致しているかを確認する。
(三) バックアップ対象とするフォルダの設定を，必ず 2 名で行うようにする。
(四) バックアップ用の媒体を磁気テープから外付けハードディスクに変更する。
(五) バックアップを二組み取得し，うち一組みを遠隔地に保管する。

15. 消費者向けの化粧品販売を行う A 社では，電子メール（以下，メールという）の送受信にクラウドサービスプロバイダ B 社が提供するメールサービス（以下，B サービスという）を利用している。A 社が利用する B サービスのアカウントは，A 社の情報システム部が管理している。
〔B サービスでの認証〕
B サービスでの認証は，利用者 ID とパスワードに加え，あらかじめ登録しておいたスマートフォンの認証アプリを利用した 2 要素認証である。入力された利用者 IDとパスワードが正しかったときは，スマートフォンに承認のリクエストが来る。リクエストを 1 分以内に承認した場合は，B サービスにログインできる。
〔社外のネットワークからの利用〕
社外のネットワークから社内システム又はファイルサーバを利用する場合，従業員は貸与された PC から社内ネットワークに VPN 接続する。
〔PC でのマルウェア対策〕
従業員に貸与された PC には，マルウェア対策ソフトが導入されており，マルウェア定義ファイルを毎日 16 時に更新するように設定されている。マルウェア対策ソフトは，毎日 17 時に，各 PC のマルウェア定義ファイルが更新されたかどうかをチェックし，更新されていない場合は情報システム部のセキュリティ担当者に更新されていないことをメールで知らせる。
〔メールに関する報告〕
ある日の 15 時頃，販売促進部の情報セキュリティリーダーである C 課長は，在宅で勤務していた部下の D さんから，メールに関する報告を受けた。報告を図 1 に示す。

C 課長は，すぐに PC を会社に持参し，オフラインでマルウェア対策ソフトの定義ファイルを最新版に更新した後，フルスキャンを実施するよう，D さんに指示をした。スキャンを実行した結果，D さんの PC からマルウェアが検出された。このマルウェアは，マルウェア対策ソフトのベンダーが 9 時に公開した最新の定義ファイルで検出可能であることが判明した。
A 社では，今回のマルウェア感染による情報セキュリティインシデントの問題点を整理し，再発を防止するための対策を講じることにした。

設問 A 社が講じることにした対策はどれか。解答群のうち，最も適切なものを選べ。