サンプル問題（新制度）｜情報セキュリティマネジメント試験
この回には 62問あります。うち 14問は科目B（長文事例）で、この回の科目Bだけ解くこともできます。
この回で多くの問題に出た用語はDNS（4問）・なりすまし（4問）・キャッシュ（3問）・プロジェクト（3問）・マルウェア対策ソフト（3問）です。
この回の出題の内わけ
この回は 20分野にわたって出ています。いちばん多いのはサイバー攻撃手法とマルウェア（10問）です。
- サイバー攻撃手法とマルウェア10問
- インシデント管理・組織/機関・基準・セキュリティ評価8問
- システム監査・内部統制4問
- セキュリティ実装技術4問
- 情報資産管理とリスクアセスメント・リスク対応4問
- 技術的セキュリティ対策とセキュリティ製品4問
- 暗号技術4問
- セキュリティ関連法規・個人情報保護3問
- 企業活動・会計財務3問
- 認証技術・利用者認証・生体認証・PKI3問
- ISMS・諸規程・情報セキュリティ継続2問
- サービスマネジメント2問
- プロジェクトマネジメント2問
- 人的セキュリティ対策・教育・内部不正防止2問
- 物理的セキュリティ対策2問
- システム戦略・システム企画1問
- システム構成要素1問
- データベース1問
- ネットワーク1問
- 知的財産・労働/取引法規・技術者倫理・標準化1問
この回で出た問題
- 問1JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，リスクを受容するプロセスに求められるものはどれか。
- 問2退職する従業員による不正を防ぐための対策のうち，IPA“組織における内部不正防止ガイドライン（第5版）”に照らして，適切なものはどれか。
- 問3JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）において，不適合が発生した場合にその原因を除去し，再発を防止するためのものとして定義されているものはどれか。
- 問4JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）の“サポートユーティリティ”に関する例示に基づいて，サポートユーティリティと判断されるものはどれか。
- 問5JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）における“リスクレベル”の定義はどれか。
- 問6サイバーセキュリティ基本法に基づき，内閣にサイバーセキュリティ戦略本部が設置されたのと同時に，内閣官房に設置された組織はどれか。
- 問7CRYPTRECの役割として，適切なものはどれか。
- 問8緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為は，どれに分類されるか。
- 問9A社では現在，インターネット上のWebサイトを内部ネットワークのPC上のWebブラウザから参照している。新たなシステムを導入し，DMZ上に用意したVDI（Virtual Desktop Infrastructure）サーバにPCからログインし，インターネット上のWebサイトをVDIサーバ上の仮想デスクトップのWebブラウザから参照するように変更する。この変更によって期待できるセキュリティ上の効果はどれか。
- 問10デジタルフォレンジックスでハッシュ値を利用する目的として，適切なものはどれか。
- 問11利用者PCの内蔵ストレージが暗号化されていないとき，攻撃者が利用者PCから内蔵ストレージを抜き取り，攻撃者が用意したPCに接続して内蔵ストレージ内の情報を盗む攻撃の対策に該当するものはどれか。
- 問12ルートキットの特徴はどれか。
- 問13BEC（Business E-mail Compromise）に該当するものはどれか。
- 問14ボットネットにおけるC&Cサーバの役割として，適切なものはどれか。
- 問15PCへの侵入に成功したマルウェアがインターネット上の指令サーバと通信を行う場合に，宛先ポートとして使用されるTCPポート番号80に関する記述のうち，適切なものはどれか。
- 問16特定のサービスやシステムから流出した認証情報を攻撃者が用いて，認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれか。
- 問17攻撃者が用意したサーバXのIPアドレスが，A社WebサーバのFQDNに対応するIPアドレスとして，B社DNSキャッシュサーバに記憶された。これによって，意図せずサーバXに誘導されてしまう利用者はどれか。ここで，A社，B社の各従業員は自社のDNSキャッシュサーバを利用して名前解決を行う。
- 問18攻撃者が，多数のオープンリゾルバに対して，“あるドメイン”の実在しないランダムなサブドメインを多数問い合わせる攻撃（ランダムサブドメイン攻撃）を仕掛け，多数のオープンリゾルバが応答した。このときに発生する事象はどれか。
- 問19SEOポイズニングの説明はどれか。
- 問20データベースで管理されるデータの暗号化に用いることができ，かつ，暗号化と復号とで同じ鍵を使用する暗号方式はどれか。
- 問21OpenPGPやS/MIMEにおいて用いられるハイブリッド暗号方式の特徴はどれか。
- 問22デジタル署名に用いる鍵の組みのうち，適切なものはどれか。
- 問23メッセージが改ざんされていないかどうかを確認するために，そのメッセージから，ブロック暗号を用いて生成することができるものはどれか。
- 問24リスクベース認証に該当するものはどれか。
- 問25Webサイトで利用されるCAPTCHAに該当するものはどれか。
- 問26HTTP over TLS（HTTPS）を用いて実現できるものはどれか。
- 問27SPF（Sender Policy Framework）を利用する目的はどれか。
- 問28電子メールをドメインAの送信者がドメインBの宛先に送信するとき，送信者をドメインAのメールサーバで認証するためのものはどれか。
- 問29マルウェアの動的解析に該当するものはどれか。
- 問30Webサーバの検査におけるポートスキャナの利用目的はどれか。
- 問31個人情報保護委員会“特定個人情報の適正な取扱いに関するガイドライン（事業者編）令和4年3月一部改正”及びその“Q&A”によれば，事業者によるファイル作成が禁止されている場合はどれか。なお，“Q&A”とは“「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」及び「（別冊）金融業務における特定個人情報の適正な取扱いに関するガイドライン」に関するQ&A令和4年4月1日更新”のことである。
- 問32企業が業務で使用しているコンピュータに，記憶媒体を介してマルウェアを侵入させ，そのコンピュータのデータを消去した者を処罰の対象とする法律はどれか。
- 問33企業が，“特定電子メールの送信の適正化等に関する法律”に定められた特定電子メールに該当する広告宣伝メールを送信する場合に関する記述のうち，適切なものはどれか。
- 問34A社は，B社と著作物の権利に関する特段の取決めをせず，A社の要求仕様に基づいて，販売管理システムのプログラム作成をB社に委託した。この場合のプログラム著作権の原始的帰属に関する記述のうち，適切なものはどれか。
- 問35システムテストの監査におけるチェックポイントのうち，最も適切なものはどれか。
- 問36アクセス制御を監査するシステム監査人の行為のうち，適切なものはどれか。
- 問37我が国の証券取引所に上場している企業において，内部統制の整備及び運用に最終的な責任を負っている者は誰か。
- 問38ヒューマンエラーに起因する障害を発生しにくくする方法に，エラープルーフ化がある。運用作業におけるエラープルーフ化の例として，最も適切なものはどれか。
- 問39あるデータセンタでは，受発注管理システムの運用サービスを提供している。次の受発注管理システムの運用中の事象において，インシデントに該当するものはどれか。〔受発注管理システムの運用中の事象〕夜間バッチ処理において，注文トランザクションデータから注文書を出力するプログラムが異常終了した。異常終了を検知した運用担当者から連絡を受けた保守担当者は，緊急出社してサービスを回復し，後日，異常終了の原因となったプログラムの誤りを修正した。
- 問40ソフトウェア開発プロジェクトにおいてWBSを作成する目的として，適切なものはどれか。
- 問41プロジェクトの日程計画を作成するのに適した技法はどれか。
- 問42一方のコンピュータが正常に機能しているときには，他方のコンピュータが待機状態にあるシステムはどれか。
- 問43データベースの監査ログを取得する目的として，適切なものはどれか。
- 問44社内ネットワークのPCから，中継装置を経由してインターネット上のWebサーバにアクセスする。中継装置は宛先のWebサーバのドメイン名からDNSを利用してグローバルIPアドレスを求め，そのグローバルIPアドレス宛てにアクセス要求の転送を行う機能を有する。この中継装置として，適切なものはどれか。
- 問45BPOの説明はどれか。
- 問46製造業の企業が社会的責任を果たす活動の一環として，雇用創出や生産設備の環境対策に投資することによって，便益を享受するステークホルダは，株主，役員，従業員に加えて，どれか。
- 問47表から，期末在庫品を先入先出法で評価した場合の期末の在庫評価額は何千円か。
- 問48製造原価明細書から損益計算書を作成したとき，売上総利益は何千円か。
- 科目B 問49A社は，放送会社や運輸会社向けに広告制作ビジネスを展開している。A社は，人事業務の効率化を図るべく，人事業務の委託を検討することにした。A社が委託する業務（以下，B業務という）を図1に示す。
- 科目B 問50A社は，分析・計測機器などの販売及び機器を利用した試料の分析受託業務を行う分析機器メーカーである。A社では，図1の“情報セキュリティリスクアセスメント手順”に従い，年一度，情報セキュリティリスクアセスメントの結果をまとめている。
- 科目B 問51A社は，金属加工を行っている従業員50名の企業である。同業他社がサイバー攻撃を受けたというニュースが増え，A社の社長は情報セキュリティに対する取組が必要であると考え，新たに情報セキュリティリーダーをおくことにした。社長は，どのような取組が良いかを検討するよう，情報セキュリティリーダーに任命されたB主任に指示した。B主任は，調査の結果，IPAが実施しているSECURITY ACTIONへの取組を社長に提案した。SECURITY ACTIONとは，中小企業自らが，情報セキュリティ対策に取り組むことを自己宣言する制度であるとの説明を受けた社長は，SECURITY ACTIONの一つ星を宣言するために情報セキュリティ5か条に取り組むことを決め，B主任に，情報セキュリティ5か条への自社での取組状況を評価するように指示した。B主任の評価結果は表1のとおりであった。
- 科目B 問52A社は，複数の子会社を持つ食品メーカーであり，在宅勤務に適用するPCセキュリティ規程（以下，A社PC規程という）を定めている。A社は，20XX年4月1日に同業のB社を買収して子会社にした。B社は，在宅勤務できる日数の上限を週2日とした在宅勤務制度を導入しており，全ての従業員が利用している。B社は，A社PC規程と同様の規程を作成して順守することにした。B社は，自社の規程の作成に当たり，表1のとおりA社PC規程への対応状況の評価結果を取りまとめた。
- 科目B 問54A社は旅行商品を販売しており，業務の中で顧客情報を取り扱っている。A社が保有する顧客情報は，A社のファイルサーバ1台に保存されている。ファイルサーバは，顧客情報を含むフォルダにある全てのファイルを磁気テープに毎週土曜日にバックアップするよう設定されている。バックアップは2世代分が保存され，ファイルサーバの隣にあるキャビネットに保管されている。A社では年に一度，情報セキュリティに関するリスクの見直しを実施している。情報セキュリティリーダーであるE主任は，A社のデータ保管に関するリスクを見直して図1にまとめた。
- 科目B 問55A社は，SaaS形式の給与計算サービス（以下，Aサービスという）を法人向けに提供する，従業員100名のIT会社である。A社は，自社でもAサービスを利用している。A社の従業員は，WebブラウザでAサービスのログイン画面にアクセスし，Aサービスのアカウント（以下，Aアカウントという）の利用者ID及びパスワードを入力する。ログインに成功すると，自分の給与及び賞与の確認，パスワードの変更などができる。利用者IDは，個人ごとに付与した不規則な8桁の番号である。ログイン時にパスワードを連続して5回間違えるとAアカウントはロックされる。ロックを解除するためには，Aサービスの解除画面で申請する。A社は，半年に1回，標的型攻撃メールへの対応訓練（以下，H訓練という）を実施しており，表1に示す20XX年下期のH訓練計画案が経営会議に提出された。
- 科目B 問56A社は学習塾を経営している会社であり，全国に50の校舎を展開している。A社には，教務部，情報システム部，監査部などがある。学習塾に通う又は通っていた生徒（以下，塾生という）の個人データは，学習塾向けの管理システム（以下，塾生管理システムという）に格納している。塾生管理システムのシステム管理は情報システム部が行っている。塾生の個人データ管理業務と塾生管理システムの概要を図1に示す。
- 科目B 問57A社は従業員600名の投資コンサルティング会社である。東京の本社には，情報システム部，監査部などの管理部門があり，関西にB支店がある。B支店の従業員は10名である。B支店では，情報システム部が運用管理しているファイルサーバを使用しており，顧客情報を含むファイルを一時的に保存する場合がある。その場合，ファイルのアクセス権は，当該ファイルを保存した従業員が最小権限の原則に基づいて設定する。今年，B支店では，従業員にヒアリングを行い，ファイルのアクセス権がそのとおりに設定されていることを確認した。
- 科目B 問58国内外に複数の子会社をもつA社では，インターネットに公開するWebサイトについて，A社グループの脆弱性診断基準（以下，A社グループ基準という）を設けている。A社の子会社であるB社は，会員向けに製品を販売するWebサイト（以下，B社サイトという）を運営している。B社サイトは，会員だけがB社の製品やサービスを検索できる。会員の氏名，メールアドレスなどの会員情報も管理している。B社では，11月に情報セキュリティ活動の一環として，A社グループ基準を基に自己点検を実施し，その結果を表1のとおりまとめた。
- 科目B 問59A社は従業員200名の通信販売業者である。一般消費者向けに生活雑貨，ギフト商品などの販売を手掛けている。取扱商品の一つである商品Zは，Z販売課が担当している。
- 科目B 問60A社は輸入食材を扱う商社である。ある日，経理課のB課長は，A社の海外子会社であるC社のDさんから不審な点がある電子メール（以下，メールという）を受信した。B課長は，A社の情報システム部に調査を依頼した。A社の情報システム部がC社の情報システム部と協力して調査した結果を図1に示す。
- 科目B 問1A社は，スマートフォン用のアプリケーションソフトウェアを開発・販売する従業員100名のIT会社である。A社には，営業部，開発部，情報システム部などがある。情報システム部には，従業員からの情報セキュリティに関わる問合せに対応する者（以下，問合せ対応者という）が所属している。
- 科目B 問2国内外に複数の子会社をもつA社では，インターネットに公開するWebサイトについて，A社グループの脆弱性診断基準（以下，A社グループ基準という）を設けている。A社の子会社であるB社は，会員向けに製品を販売するWebサイト（以下，B社サイトという）を運営している。会員が2回目以降の配達先の入力を省略できるように，今年の8月，B社サイトにログイン機能を追加した。B社サイトは，会員の氏名，住所，電話番号，メールアドレスなどの会員情報も管理することになった。
- 科目B 問3消費者向けの化粧品販売を行うA社では，電子メール（以下，メールという）の送受信にクラウドサービスプロバイダB社が提供するメールサービス（以下，Bサービスという）を利用している。A社が利用するBサービスのアカウントは，A社の情報システム部が管理している。
正解と解説は、答え合わせのあとに出ます。