セキュリティ-令和4年-a

スポンサーリンク

令和4年 問55

情報セキュリティにおけるPCI DSSの説明として、適切なものはどれか。

ア クレジットカード情報を取り扱う事業者に求められるセキュリティ基準
イ コンピュータなどに内蔵されるセキュリティ関連の処理を行う半導体チップ
ウ コンピュータやネットワークのセキュリティ事故に対応する組織
エ サーバやネットワークの通信を監視し、不正なアクセスを検知して攻撃を防ぐシステム
 

正解の理由

PCI DSS(Payment Card Industry Data Security Standard)は、クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され、技術面及び運用面の要件を定めたものです。
(情報セキュリティマネジメント 令和元年秋午前 問27より)

 「クレジットカード情報を取り扱う事業者に求められるセキュリティ基準」とあるので、PCI DSSの説明です。

よって、正解は  です。

不正解の理由

 「セキュリティ関連の処理を行う半導体チップ」とあるので、TPMの説明です。

TPM ( Trusted Platform Module:セキュリティチップ)は、IoT機器やPCに保管されているデータを暗号化するためのセキュリティチップです。

暗号化に利用する鍵などの情報をチップの内部に記憶しており、外部から内部の情報の取出しが困難な構造をしています。
(ITパスポート 令和元年 問73より)

 「コンピュータやネットワークのセキュリティ事故に対応する組織」とあるので、CSIRT(シーサート)の説明です。

CSIRT(Computer Security Incident Response Team)は、企業内・組織内や政府機関に設置され、情報セキュリティインシデントに関する報告を受け取り、調査し、対応活動を行う組織の総称です。
(情報セキュリティマネジメント 平成28年春午前 問1より)

 「不正なアクセスを検知して攻撃を防ぐシステム」とあうので、SIEM(シームの説明です。

SIEM(Security Information and Event Management)は、複数のサーバやネットワーク機器のログを収集分析し、不審なアクセスを検知します。
(応用情報 平成29年秋午前 問38より)

また、様々な機器から集められたログを総合的に分析し、管理者による分析と対応を支援します。
(基本情報 令和元年秋午前 問43より)

  前の問題  問題一覧  次の問題 
問54 令和4年 問56

令和4年 問56

ランサムウェアによる損害を受けてしまった場合を想定して、その損害を軽減するための対策例として、適切なものはどれか。

ア PC内の重要なファイルは、PCから取外し可能な外部記憶装置に定期的にバックアップしておく。
イ Webサービスごとに、使用するIDやパスワードを異なるものにしておく。
ウ マルウェア対策ソフトを用いてPC内の全ファイルの検査をしておく。
エ 無線LANを使用するときには、WPA2を用いて通信内容を暗号化しておく。
 

正解の理由

ランサムウェアは、PC内のファイルを暗号化して使用不能にし、復号するためのキーと引換えに金品を要求するソフトウェアです。
(ITパスポート 平成31年春 問94より)

ランサムウェアの説明(テクノロジ系セキュリティ61.情報セキュリティ)

 PCが被害にあっても、「外部記憶装置に定期的にバックアップ」したデータを利用して、他のPCで業務を続けられるので被害を軽減できます。

よって、正解は  です。

不正解の理由

 「使用するIDやパスワードを異なるものにしておく。」は、ランサムウェアの感染を防ぐのに効果があります。

 「マルウェア対策ソフトを用いてPC内の全ファイルの検査をしておく。」は、ランサムウェアの感染を防ぐのに効果があります。

 「WPA2を用いて通信内容を暗号化しておく。」は、無線LANの盗聴を防ぐのに効果があります。

WPA2は、無線LANにおいて、端末とアクセスポイント間で伝送されているデータの盗聴を防止するために利用される暗号化方式です。
(ITパスポート 平成27年春 問74より)

認証や暗号化を強化したWPA3もあります。

  前の問題  問題一覧  次の問題 
問55 令和4年 問57

令和4年 問58

ISMSの計画、運用、パフォーマンス評価及び改善において、パフォーマンス評価で実施するものはどれか。

ア 運用の計画及び管理
イ 内部監査
ウ 不適合の是正処置
エ リスクの決定
 

正解の理由

ISMS(Information Security Management System)は、情報の機密性や完全性、可用性を維持し、情報漏えいなどのインシデント発生を低減させるためのしくみです。

注)インシデントは、システムやサービスに何らかの問題が発生し、ユーザーが本来できることが出来ない状況を指します。

パフォーマンス評価は、目標や計画に対して、実行した結果と、計画をどこまで達成できたか確認することです。

 内部監査は、企業内部の人間(内部監査人)によって行われる、定期的な運用確認のことです。内部監査は確認なのでパフォーマンス評価で実施するものです。

よって、正解は  です。

不正解の理由

 運用の計画及び管理は、確認でないので、パフォーマンス評価で実施するものでありません。

 不適合の是正処置は、良くない部分を直して目標や計画を満たすことができる状態に近づけることです。確認でないので、パフォーマンス評価で実施するものでありません。

 リスクの決定は、組織に存在するリスクを洗い出すことです。確認でないので、パフォーマンス評価で実施するものではありません。

  前の問題  問題一覧  次の問題 
問57 令和4年 問59

令和4年 問60

公開鍵暗号方式で使用する鍵に関する次の記述中のa、bに入れる字句の適切な組合せはどれか。

それぞれ公開鍵と秘密鍵をもつA社とB社で情報を送受信するとき、他者に通信を傍受されても内容を知られないように、情報を暗号化して送信することにした。A社からB社に情報を送信する場合、A社は( a )を使って暗号化した情報をB社に送信する。B社はA杜から受信した情報を( b )で復号して情報を取り出す。

ア a A社の公開鍵  b A社の公開鍵
イ a A社の公開鍵  b B社の秘密鍵
ウ a B社の公開鍵  b A社の公開鍵
エ a B社の公開鍵  b B社の秘密鍵
 

公開鍵暗号方式は、 データの送信側は受信者の公開鍵で暗号化し、受信側は自身の秘密鍵で復号する暗号方式です。
(ITパスポート 平成21年秋 問74より)

公開鍵暗号方式(テクノロジ系セキュリティ63.情報セキュリティ対策・情報セキュリティ実装技術)

受信者(B社)の公開鍵で暗号化するので、a は「B社の公開鍵」です。

受信者(B社)は送信者(A杜)から受信した情報を、受信者(B社)の秘密鍵で復号するので、「B社の秘密鍵」です。

よって、問題の文章は

それぞれ公開鍵と秘密鍵をもつA社とB社で情報を送受信するとき、他者に通信を傍受されても内容を知られないように、情報を暗号化して送信することにした。A社からB社に情報を送信する場合、A社は( a B社の公開鍵 )を使って暗号化した情報をB社に送信する。B社はA杜から受信した情報を( b B社の秘密鍵 )で復号して情報を取り出す。

となり、正解は  です。

  前の問題  問題一覧  次の問題 
問59 令和4年 問61

令和4年 問64

a~dのうち、ファイアウォールの設置によって実現できる事項として、適切なものだけを全て挙げたものはどれか。

a 外部に公開するWebサーバやメールサーバを設置するためのDMZの構築

b 外部のネットワークから組織内部のネットワークへの不正アクセスの防止

c サーバルームの入り口に設置することによるアクセスを承認された人だけの入室

d 不特定多数のクライアントからの大量の要求を複数のサーバに動的に振り分けることによるサーバ負荷の分散

ア a、b
イ a、b、d
ウ b、c
エ c、d
 

正解の理由

ファイアウォールは、ネットワークにおいて、外部からの不正アクセスを防ぐために内部ネットワークと外部ネットワークの間に置かれるしくみです。
(ITパスポート 平成22年春 問68より)

DMZは、企業内ネットワークからも、外部ネットワークからも論理的に隔離されたネットワーク領域であり、そこに設置されたサーバが外部から不正アクセスを受けたとしても、企業内ネットワークには被害が及ばないようにするためのものです。
(ITパスポート 平成25年秋 問79より)

DMZの説明(テクノロジ系セキュリティ63.情報セキュリティ対策・情報セキュリティ実装技術)

a 「DMZの構築」は、ファイアウォールの設置によって実現します。

b 「外部のネットワークから組織内部のネットワークへの不正アクセスの防止」は、ファイアウォールの機能です。

c  「アクセスを承認された人だけの入室」は、物理的なアクセス制御です。ファイアウォールは、ネットワークの論理的なしくみで、物理的なものでありません。

d  「サーバ負荷の分散」は、ファイアウォールの機能でありません。

よって、ab だけがファイアウォールの設置によって実現できるので、正解は  です。

  前の問題  問題一覧  次の問題 
問63 令和4年 問65

令和4年 問69

サイバーキルチェーンの説明として、適切なものはどれか。

ア 情報システムへの攻撃段階を、偵察、攻撃、目的の実行などの複数のフェーズに分けてモデル化したもの
イ ハブやスイッチなどの複数のネットワーク機器を数珠つなぎに接続していく接続方式
ウ ブロックと呼ばれる幾つかの取引記録をまとめた単位を、一つ前のブロックの内容を示すハッシュ値を設定して、鎖のようにつなぐ分散管理台帳技術
エ 本文中に他者への転送を促す文言が記述された迷惑な電子メールが、不特定多数を対象に、ネットワーク上で次々と転送されること
 

正解の理由

サイバーキルチェーンは、サイバー攻撃の段階を説明した代表的なモデルの一つです。

サイバー攻撃を7段階に区分して、攻撃者の考え方や行動を理解することを目的としています。

サイバーキルチェーンのいずれかの段階でチェーンを断ち切ることができれば、被害の発生を防ぐことができます。
(情報セキュリティマネジメント 平成31年春午後 問1より)

サイバーキルチェーンの説明( テクノロジ系セキュリティ61.情報セキュリティ)

 「情報システムへの攻撃段階を””モデル化したもの」とあるので、サイバーキルチェーンの説明です。

よって、正解は  です。

不正解の理由

 「複数のネットワーク機器を数珠(じゅず)つなぎに接続していく接続方式」は、デイジーチェーン接続です。

 「分散管理台帳技術」とあるので、ブロックチェーンです。

ブロックチェーンは、複数の取引記録をまとめたデータを順次作成するときに、そのデータに直前のデータのハッシュ値を埋め込むことによって、データを相互に関連付け、取引記録を矛盾なく改ざんすることを困難にすることで、データの信頼性を高める技術です。
(ITパスポート 令和元年 問59より)

 「電子メールが、不特定多数を対象に、ネットワーク上で次々と転送されること」は、チェーンメールです。

チェーンメールは、電子メールを受け取った人が次々に知人に電子メールを転送することによって、ねずみ算式に広まっていく電子メールです。

次の特徴があります。

ネットワークやサーバに、無駄な負荷をかける。

②本文中に、「できるだけ多くの人に広めてください」など、多数への転送を煽(あお)る文言が記されている。

  前の問題  問題一覧  次の問題 
問68 令和4年 問70

コメント

タイトルとURLをコピーしました