令和元年度 秋期｜情報セキュリティマネジメント試験
この回には 49問あります。
この回で多くの問題に出た用語はIPアドレス（4問）・DNS（3問）・TCP（3問）・システム監査（3問）・秘密鍵（3問）です。
この回の出題の内わけ
この回は 20分野にわたって出ています。いちばん多いのはサイバー攻撃手法とマルウェア（7問）です。
- サイバー攻撃手法とマルウェア7問
- 暗号技術7問
- システム監査・内部統制4問
- 技術的セキュリティ対策とセキュリティ製品4問
- 知的財産・労働/取引法規・技術者倫理・標準化4問
- インシデント管理・組織/機関・基準・セキュリティ評価3問
- セキュリティ実装技術3問
- ISMS・諸規程・情報セキュリティ継続2問
- サービスマネジメント2問
- システム戦略・システム企画2問
- プロジェクトマネジメント2問
- システム構成要素1問
- セキュリティ関連法規・個人情報保護1問
- データベース1問
- ネットワーク1問
- 人的セキュリティ対策・教育・内部不正防止1問
- 企業活動・会計財務1問
- 情報セキュリティ基礎概念と脅威・脆弱性1問
- 情報資産管理とリスクアセスメント・リスク対応1問
- 認証技術・利用者認証・生体認証・PKI1問
この回で出た問題
- 問1BEC（Business E-mail Compromise）に該当するものはどれか。
- 問2参加組織及びそのグループ企業において検知されたサイバー攻撃などの情報を，IPAが情報ハブになって集約し，参加組織間で共有する取組はどれか。
- 問3JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，リスクを受容するプロセスに求められるものはどれか。
- 問4退職する従業員による不正を防ぐための対策のうち，IPA“組織における内部不正防止ガイドライン（第4版）”に照らして，適切なものはどれか。
- 問5JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）において，不適合が発生した場合にその原因を除去し，再発を防止するためのものとして定義されているものはどれか。
- 問6ネットワークカメラなどのIoT機器ではTCP 23番ポートへの攻撃が多い理由はどれか。
- 問7SPF（Sender Policy Framework）の仕組みはどれか。
- 問8A社では現在，インターネット上のWebサイトを内部ネットワークのPC上のWebブラウザから参照している。新たなシステムを導入し，DMZ上に用意したVDI（Virtual Desktop Infrastructure）サーバにPCからログインし，インターネット上のWebサイトをVDIサーバ上の仮想デスクトップのWebブラウザから参照するように変更する。この変更によって期待できるセキュリティ上の効果はどれか。
- 問9JIS Q 27002:2014には記載されていないが，JIS Q 27017:2016において記載されている管理策はどれか。
- 問10シャドーITに該当するものはどれか。
- 問11ステガノグラフィはどれか。
- 問12セキュアハッシュ関数SHA-256を用いてファイルA及びファイルBのハッシュ値を算出すると，どちらも全く同じ次に示すハッシュ値n（16進数で示すと64桁）となった。この結果から考えられることとして，適切なものはどれか。
- 問13インターネットバンキングでのMITB攻撃による不正送金について，対策として用いられるトランザクション署名の説明はどれか。
- 問14WAFにおけるフォールスポジティブに該当するものはどれか。
- 問15ボットネットにおいてC&Cサーバが担う役割はどれか。
- 問16攻撃者が用意したサーバXのIPアドレスが，A社WebサーバのFQDNに対応するIPアドレスとして，B社DNSキャッシュサーバに記憶された。これによって，意図せずサーバXに誘導されてしまう利用者はどれか。ここで，A社，B社の各従業員は自社のDNSキャッシュサーバを利用して名前解決を行う。
- 問17PCとサーバとの間でIPsecによる暗号化通信を行う。通信データの暗号化アルゴリズムとしてAESを使うとき，用いるべき鍵はどれか。
- 問18WPA3はどれか。
- 問19リバースブルートフォース攻撃に該当するものはどれか。
- 問20ディジタル署名に用いる鍵の組みのうち，適切なものはどれか。
- 問21情報セキュリティにおいてバックドアに該当するものはどれか。
- 問22マルウェアの動的解析に該当するものはどれか。
- 問23メッセージが改ざんされていないかどうかを確認するために，そのメッセージから，ブロック暗号を用いて生成することができるものはどれか。
- 問24リスクベース認証に該当するものはどれか。
- 問25攻撃者が，多数のオープンリゾルバに対して，“あるドメイン”の実在しないランダムなサブドメインを多数問い合わせる攻撃（ランダムサブドメイン攻撃）を仕掛け，多数のオープンリゾルバが応答した。このときに発生する事象はどれか。
- 問26手順に示す電子メールの送受信によって得られるセキュリティ上の効果はどれか。
- 問27クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され，技術面及び運用面の要件を定めたものはどれか。
- 問28電子メールをドメインAの送信者がドメインBの宛先に送信するとき，送信者をドメインAのメールサーバで認証するためのものはどれか。
- 問29ハニーポットの説明はどれか。
- 問30Webサーバの検査におけるポートスキャナの利用目的はどれか。
- 問31企業において業務で使用されているコンピュータに，記憶媒体を介してマルウェアを侵入させ，そのコンピュータのデータを消去した者がいたとき，その者を処罰の対象とする法律はどれか。
- 問33シュリンクラップ契約において，ソフトウェアの使用許諾契約が成立するのはどの時点か。
- 問34A社は，B社と著作物の権利に関する特段の取決めをせず，A社の要求仕様に基づいて，販売管理システムのプログラム作成をB社に委託した。この場合のプログラム著作権の原始的帰属に関する記述のうち，適切なものはどれか。
- 問35A社は，A社で使うソフトウェアの開発作業をB社に実施させる契約を，B社と締結した。締結した契約が労働者派遣であるものはどれか。
- 問36常時10名以上の従業員を有するソフトウェア開発会社が，社内の情報セキュリティ管理を強化するために，秘密情報を扱う担当従業員の扱いを見直すこととした。労働法に照らし，適切な行為はどれか。
- 問37入出金管理システムから出力された入金データファイルを，売掛金管理システムが読み込んでマスタファイルを更新する。入出金管理システムから売掛金管理システムに受け渡されたデータの正確性及び網羅性を確保するコントロールはどれか。
- 問38金融庁“財務報告に係る内部統制の評価及び監査の基準（平成23年）”に基づいて，内部統制の基本的要素を，統制環境，リスクの評価と対応，統制活動，情報と伝達，モニタリング，ITへの対応の六つに分類したときに，統制活動に該当するものはどれか。
- 問39データの生成から入力，処理，出力，活用までのプロセス，及び組み込まれているコントロールを，システム監査人が書面上で又は実際に追跡する技法はどれか。
- 問40アクセス制御を監査するシステム監査人の行為のうち，適切なものはどれか。
- 問41ITサービスマネジメントにおいて，“サービスに対する計画外の中断”，“サービスの品質の低下”，又は“顧客へのサービスにまだ影響していない事象”を何というか。
- 問42ヒューマンエラーに起因する障害を発生しにくくする方法に，エラープルーフ化がある。運用作業におけるエラープルーフ化の例として，最も適切なものはどれか。
- 問43プロジェクトライフサイクルの一般的な特性はどれか。
- 問44あるプロジェクトの日程計画をアローダイアグラムで示す。クリティカルパスはどれか。
- 問45Webシステムの性能指標のうち，応答時間の説明はどれか。
- 問46データベースのトランザクションに関する記述のうち，適切なものはどれか。
- 問47PCが，Webサーバ，メールサーバ，他のPCなどと通信を始める際に，通信相手のIPアドレスを問い合わせる仕組みはどれか。
- 問48RPAを活用することによって業務の改善を図ったものはどれか。
- 問49情報システムを取得するための提案依頼書（RFP）の作成と提案依頼に当たって，取得者であるユーザ企業側の対応のうち，適切なものはどれか。
- 問50アンケートの自由記述欄に記入された文章における単語の出現頻度などを分析する手法はどれか。
正解と解説は、答え合わせのあとに出ます。