SC情報処理安全確保支援士試験午後Ⅱ

令和2年度10月情報処理安全確保支援士午後Ⅱ 問5

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問2　クラウドサービスを活用したテレワーク環境設問5　本文中の下線⑦について、該当する対策を本文中の用語を用いて35字以内で述べよ。参照箇所（問題冊子21ページ）：仮にDaaS-Vのフィッシングサイトで、利用者の入力が詐取されたとしても、その情報を悪用した不正アクセスは⑦検討済みの他の対策で防止できる。下線⑦の対象は「検討済みの他の対策」。

解き方のヒントを見る

問05：人だけじゃなく端末もチェックするゼロトラスト

IDaaS や多要素認証で「この人は本人っぽいね」と確認するだけでは不十分だよ。たとえば、入館証を持った人でも、会社が許可していない知らないパソコンを持ち込んでいたら危ないよね。そこで DaaS-V では、クライアント証明書を使って「この端末は正規のデバイスか」も確認する。利用者認証と端末認証を分けて考えることで、盗まれたIDやパスワードだけで侵入されるリスクを減らせるんだ。

この問題で問われていること

ゼロトラストの「常に認証する」は、利用者だけでなく端末にも向けられる、という点を理解しよう。誰が使っているかと、どの端末から使っているかの両方を確認するのがポイントだよ。

Separating User Authentication from Device Authentication

remote-work security improves when DaaS access requires not only user authentication but also device authentication through client certificates

user auth alone is insufficient\nverify the device too\nclient certificate can prove device\napply even in DaaS usage

確認ポイント

利用者認証と端末認証を分ける。
クライアント証明書の対象を押さえる。
DaaS でも端末確認が必要だと考える。

正解と解説を見る

解説

問題冊子18～19ページの要件3への対応では、DaaS-Vでクライアント証明書によるデバイス認証を行い、貸与するノートPCからだけログインできるようにする。これが21ページの下線⑦に該当する対策です。本文中の用語を用いて35字以内で示す。2要素認証の併記は必須条件にしない。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和2年度10月情報処理安全確保支援士試験午後Ⅱ 問5（公式資料：問題冊子（PDF）／解答例／採点講評）

令和2年度10月 情報処理安全確保支援士 午後Ⅱ 問5

問題