SC情報処理安全確保支援士試験午後Ⅱ

平成30年度春期情報処理安全確保支援士午後Ⅱ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

セキュリティインシデントを未然に防ぐには，新しい攻撃方法の出現や，システムの変更，業務の変更など様々な環境の変化に合わせて，企業・組織がリスクを見直し，必要となる対応をしていくことが重要である。本問では，一般社団法人におけるセキュリティ対策の評価を題材に，脆ぜい弱性検査で検出された脆弱性や，リスクアセスメントによって新たに分かった情報漏えいリスクなどについて，評価し，対策を立案する能力を問う。

解き方のヒントを見る

問01：技術チェックだけでなく、運用ごとの守り方まで考えよう

この問題では、サーバの応答に差が出ない脆弱性や、URLのフラグメント識別子を使った動きの確認など、技術的な検査結果を正しく読む力が大事だよ。でも、それだけでは終わらないんだ。たとえば、家の鍵を直すだけでなく、「誰が鍵を持っているか」「出入りの記録は残っているか」「荷物をどこから持ち出せるか」まで見直すイメージだね。踏み台サーバの操作記録、共通管理者アカウントの使い回し、CCIの持出し経路、DRMサーバへ接続できるIPアドレスの制限など、実際の業務運用に合わせてリスク対策を組み立てよう。

この問題で問われていること

単発で脆弱性を直して終わりにするのではなく、組織全体の運用を見渡して「どこから攻撃や情報漏えいが起きそうか」「どう管理すれば防げるか」を考えられるかが問われているよ。

Risk Review Beyond Vulnerability Scanning

security evaluation must connect technical findings from vulnerability tests with operational controls such as jump-server recording、 privileged-account restriction、 and IP-based access control

analyze technical findings\nrecord jump-server operations\ncontrol privileged DB access\nrestrict access by global IP

確認ポイント

技術対策と運用統制を合わせて考える。
踏み台操作記録の意味を押さえる。
新しい漏えいリスクを再評価する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fabr-att/2018h30h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fabr-att/2018h30h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fabr-att/2018h30h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成30年度春期情報処理安全確保支援士試験午後Ⅱ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成30年度春期 情報処理安全確保支援士 午後Ⅱ 問1

問題