SC情報処理安全確保支援士試験午後Ⅰ

令和2年度10月情報処理安全確保支援士午後Ⅰ 問3

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

情報システムのセキュリティ対策が適切に行われているかどうかを確認する手段として，専門業者による脆ぜい弱性診断サービスを受ける企業が増加してきている。診断を受ける企業において，診断効果を高めるためには，診断要件や目標を診断計画として定義することが必要である。本問では，ECサイトへの脆弱性診断を題材に，診断を受ける企業での診断計画の策定能力を問う。

解き方のヒントを見る

問03：脆弱性診断を安全に通すための準備を考えよう

脆弱性診断の効果を高めるには、診断 PC からの通信を N-IPS やホスト型 IPS が止めてしまわないように、診断 PC の IP アドレスをホワイトリストへ登録しておくことが大事だよ。たとえるなら、検査員が建物に入れるように受付で「この人は通してOK」と伝えておくイメージだね。ただし何でも通すのではなく、どの通信を許可するかを明確にしよう。さらに、診断専用の利用者 ID を本番用 ID と分けたり、本番 DB サーバや DB 管理 PC へのアクセス条件を整理したり、診断時間を 0 時から 8 時のような業務影響が少ない時間帯に寄せたりして、診断の精度と本番への影響の少なさを両立させる計画が必要だよ。

この問題で問われていること

診断を受ける側として、IPS などで何を止めずに許可するのか、診断用 ID や対象サーバへのアクセス条件をどう分けるのか、そして本番業務への影響をどこまで管理して診断計画に落とし込むのかが問われているよ。

Designing a Vulnerability Assessment Plan

a useful vulnerability-assessment plan explicitly states which security controls will whitelist the diagnosis PC、 what IDs are used、 and when the test is allowed to run

whitelist diagnosis PC\nseparate diagnosis account\nadjust maintenance window\ndefine which servers and admin paths are allowed

確認ポイント

診断側ではなく受診側の計画を考える。
ホワイトリスト対象を明確にする。
業務影響を時間帯で抑える。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和2年度10月情報処理安全確保支援士試験午後Ⅰ 問3（公式資料：問題冊子（PDF）／解答例／採点講評）

令和2年度10月 情報処理安全確保支援士 午後Ⅰ 問3

問題