SC情報処理安全確保支援士試験午後Ⅱ

平成26年度春期情報処理安全確保支援士午後Ⅱ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

今や，クレジットカードは広く消費者に普及しており，様々な場面の決済に利用されている。そのため，企業が業務でクレジットカード情報を取り扱う機会は多い。一方で，クレジットカード情報は機密性が高く，極めてリスクの高い情報資産である。企業におけるクレジットカード情報へのセキュリティ対策では，リスクの低減だけでなく，リスクの回避も考慮すべきである。本問では，クレジットカード業界のセキュリティ基準として認知されているPCI DSSを題材に，リスク分析，データの暗号化，ワイヤレスアクセスポイントの管理などについての知識と能力を問う。

解き方のヒントを見る

問01：危ない情報は“守る”だけじゃなく“持たない”選択も大事だよ

VIPファイルにPAN（カード番号のような重要情報）をそのまま記録している時点で、かなりリスクが高い状態だよ。たとえるなら、家の鍵を金庫に入れる前に、そもそも玄関先に置きっぱなしにしているようなもの。だから、電話受付で会員を特定するときはPANではなく別の会員コードを使う、というように“危ない情報を使わない仕組み”へ切り替えるのが優先だよ。そのうえで、索引に使える暗号化には制約があることや、自動復号できる仕組みには弱点があることを理解して、適切な暗号化方式を選ぼう。さらに、勝手に設置された無線APを見つける対策も必要だよ。

この問題で問われていること

この問題では、リスクを小さくする対策だけでなく、危ない使い方自体をやめる“リスク回避”を選べるかがポイントだよ。

PCI DSS Risk Avoidance and Control

PCI DSS oriented design should avoid storing PAN where possible、 choose encryption with awareness of indexing and auto-decryption issues、 and detect rogue wireless access points

avoid recording PAN\nunderstand encryption tradeoffs\ndetect rogue APs

確認ポイント

PAN を持たない設計を優先する。
暗号化方式の制約を理解する。
無断 AP を検知する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000001dzu-att/2014h26h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000001dzu-att/2014h26h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000001dzu-att/2014h26h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成26年度春期情報処理安全確保支援士試験午後Ⅱ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成26年度春期 情報処理安全確保支援士 午後Ⅱ 問1

問題