平成29年度 春期｜情報セキュリティマネジメント試験
この回には 50問あります。
この回で多くの問題に出た用語は情報セキュリティマネジメントシステム（4問）・ISMS（3問）・インシデント（3問）・システム監査（3問）・ディジタル署名（3問）です。
この回の出題の内わけ
この回は 19分野にわたって出ています。いちばん多いのはインシデント管理・組織/機関・基準・セキュリティ評価（7問）です。
- インシデント管理・組織/機関・基準・セキュリティ評価7問
- ISMS・諸規程・情報セキュリティ継続4問
- システム戦略・システム企画4問
- システム監査・内部統制4問
- 暗号技術4問
- 知的財産・労働/取引法規・技術者倫理・標準化4問
- サイバー攻撃手法とマルウェア3問
- 情報資産管理とリスクアセスメント・リスク対応3問
- 技術的セキュリティ対策とセキュリティ製品3問
- 認証技術・利用者認証・生体認証・PKI3問
- サービスマネジメント2問
- 情報セキュリティ基礎概念と脅威・脆弱性2問
- システム構成要素1問
- セキュリティ実装技術1問
- セキュリティ関連法規・個人情報保護1問
- データベース1問
- ネットワーク1問
- プロジェクトマネジメント1問
- 人的セキュリティ対策・教育・内部不正防止1問
この回で出た問題
- 問1JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，ISMSに関するリーダーシップ及びコミットメントをトップマネジメントが実証する上で行う事項として挙げられているものはどれか。
- 問2経済産業省とIPAが策定した“サイバーセキュリティ経営ガイドライン（Ver 1.1）”が，自社のセキュリティ対策に加えて，実施状況を確認すべきとしている対策はどれか。
- 問3組織的なインシデント対応体制の構築を支援する目的でJPCERT/CCが作成したものはどれか。
- 問4ディザスタリカバリを計画する際の検討項目の一つであるRPO（Recovery Point Objective）はどれか。
- 問5JIS Q 31000:2010（リスクマネジメント－原則及び指針）において，リスクマネジメントを効果的なものにするために，組織が順守することが望ましいこととして挙げられている原則はどれか。
- 問6JIS Q 31000:2010（リスクマネジメント－原則及び指針）において，リスクマネジメントは，“リスクについて組織を指揮統制するための調整された活動”と定義されている。そのプロセスを構成する活動の実行順序として，適切なものはどれか。
- 問7JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。
- 問8A社は，情報システムの運用をB社に委託している。当該情報システムで発生した情報セキュリティインシデントについての対応のうち，適切なものはどれか。
- 問9暗号の危殆化に該当するものはどれか。
- 問10情報セキュリティにおけるタイムスタンプサービスの説明はどれか。
- 問11JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，組織の管理下で働く人々が認識をもたなければならないとされているのは，“ISMSの有効性に対する自らの貢献”及び“ISMS要求事項に適合しないことの意味”と，もう一つはどれか。
- 問12情報セキュリティ管理を行う上での情報の収集源の一つとしてJVNが挙げられる。JVNが主として提供する情報はどれか。
- 問13NIDS（ネットワーク型IDS）を導入する目的はどれか。
- 問14内部不正による重要なデータの漏えいの可能性を早期に発見するために有効な対策はどれか。
- 問15ディジタルフォレンジックスの説明として，適切なものはどれか。
- 問16サーバへのログイン時に用いるパスワードを不正に取得しようとする攻撃とその対策の組合せのうち，適切なものはどれか。
- 問171台のファイアウォールによって，外部セグメント，DMZ，内部セグメントの三つのセグメントに分割されたネットワークがある。このネットワークにおいて，Webサーバと，重要なデータをもつデータベースサーバから成るシステムを使って，利用者向けのサービスをインターネットに公開する場合，インターネットからの不正アクセスから重要なデータを保護するためのサーバの設置方法のうち，最も適切なものはどれか。ここで，ファイアウォールでは，外部セグメントとDMZとの間及びDMZと内部セグメントとの間の通信は特定のプロトコルだけを許可し，外部セグメントと内部セグメントとの間の直接の通信は許可しないものとする。
- 問182要素認証に該当する組みはどれか。
- 問19二者間で商取引のメッセージを送受信するときに，送信者のディジタル証明書を使用して行えることはどれか。
- 問20ディジタル署名などに用いるハッシュ関数の特徴はどれか。
- 問21ソーシャルエンジニアリングに該当するものはどれか。
- 問22ディジタル署名に用いる鍵の組みのうち，適切なものはどれか。
- 問23ディレクトリトラバーサル攻撃に該当するものはどれか。
- 問24JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における真正性及び信頼性に対する定義a～dの組みのうち，適切なものはどれか。
- 問25何らかの理由で有効期間中に失効したディジタル証明書の一覧を示すデータはどれか。
- 問26クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され，技術面及び運用面の要件を定めたものはどれか。
- 問27不正が発生する際には“不正のトライアングル”の3要素全てが存在すると考えられている。“不正のトライアングル”の構成要素の説明として，適切なものはどれか。
- 問28OSI基本参照モデルのネットワーク層で動作し，“認証ヘッダ（AH）”と“暗号ペイロード（ESP）”の二つのプロトコルを含むものはどれか。
- 問29WAF（Web Application Firewall）におけるブラックリスト又はホワイトリストの説明のうち，適切なものはどれか。
- 問30Webサーバの検査におけるポートスキャナの利用目的はどれか。
- 問31電子署名法に関する記述のうち，適切なものはどれか。
- 問32インターネットショッピングで商品を購入するとき，売買契約が成立するのはどの時点か。
- 問33不正競争防止法で保護されるものはどれか。
- 問34著作権法による保護の対象となるものはどれか。
- 問35時間外労働に関する記述のうち，労働基準法に照らして適切なものはどれか。
- 問36特権ID（システムの設定，データの操作，それらの権限の設定が可能なID）の不正使用を発見するコントロールとして，最も有効なものはどれか。
- 問37システムテストの監査におけるチェックポイントのうち，最も適切なものはどれか。
- 問38システム監査人が，監査報告書の原案について被監査部門と意見交換を行う目的として，最も適切なものはどれか。
- 問39システム障害管理の監査で判明した状況のうち，監査人が監査報告書で報告すべき指摘事項はどれか。
- 問40システムの利用部門の利用者と情報システム部門の運用者が合同で，システムの運用テストを実施する。利用者が優先して確認すべき事項はどれか。
- 問41ITサービスマネジメントにおける運用レベル合意書（OLA）の説明はどれか。
- 問42ITサービスマネジメントにおける問題管理プロセスの目的はどれか。
- 問43図のアローダイアグラムで表されるプロジェクトは，完了までに最短で何日を要するか。
- 問44ホットスタンバイ方式を採用したシステム構成の特徴はどれか。
- 問45ビッグデータの活用例として，大量のデータから統計学的手法などを用いて新たな知識（傾向やパターン）を見つけ出すプロセスはどれか。
- 問46PCからWebサーバにHTTPでアクセスしようとしたところ，HTTPレスポンスのステータスコードが404，説明文字列が“Not Found”のエラーとなった。このエラーの説明として，適切なものはどれか。
- 問47情報戦略の立案時に，必ず整合性を取るべきものはどれか。
- 問48システム企画段階において業務プロセスを抜本的に再設計する際の留意点はどれか。
- 問49受注管理システムにおける要件のうち，非機能要件に該当するものはどれか。
- 問50企業活動におけるBCPを説明したものはどれか。
正解と解説は、答え合わせのあとに出ます。