SC情報処理安全確保支援士試験午後Ⅱ

令和2年度10月情報処理安全確保支援士午後Ⅱ 問6

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問2　設問6 【参照本文：問題冊子18～19ページから抜粋】要件3への対応として、DaaS-Vの利用時は、IDaaS-Yによる2要素認証に加えて、クライアント証明書によるデバイス認証をDaaS-Vで行うことにした。社内にプライベート認証局を構築し、当該認証局の証明書によるクライアント証明書の検証が行われるようにDaaS-Vを設定することにした。クライアント証明書はMDM-Wを利用して、ノートPCのTPM（Trusted Platform Module）に格納することにした。【参照本文：問題冊子22ページから抜粋】要望Xを実現すると、ノートPCに対する盗難・紛失時の情報漏えい対策が必要になる。次は、この件についてのGさんとF次長の会話である。 Gさん：ノートPCの盗難・紛失時の情報漏えい対策としては、OSに搭載されたディスク暗号化機能を使えばよいのではないでしょうか。 F次長：そうだな。しかし、紛失したノートPCを第三者に取得されたときに、［g］されてディスクが復号されてしまうおそれがある。ディスク暗号化機能だけでは不十分だろう。 Gさん：追加の対策はあるのでしょうか。 F次長：PINコードを利用したログイン方式を強制した場合を考えてみよう。PINコードを利用したログイン方式は、TPMを利用する。正しいPINコードが入力された場合、ディスクが復号される。今回、⑧PINコードは、6桁の数字とし、システム管理者が事前にランダムなものを設定することにしよう。 Gさん：6桁の数字だと総当たり攻撃で破られそうですが、大丈夫なのでしょうか。 F次長：誤った入力が5回連続で行われると管理者が回復用のパスワードを入力しない限りログインできなくなるように設定し、回復用のパスワードには推測困難な十分に長いランダムな文字列を設定する方法もある。 Gさん：なるほど。 F次長は、検討の結果、要望Xには原則として対応しないが、希望者には個別に申請してもらい、⑨申請が許可された利用者のノートPCについては、E社のネットワークとのインターネットVPNでの接続を可能とする方針にした。【設問：問題冊子24ページ】設問6　〔業務文書のノートPCへのダウンロード〕について、(1)～(3)に答えよ。 (1) 本文中の［g］に入れる適切な字句を、20字以内で述べよ。 (2) 本文中の下線⑧について、利用者に設定させるとどのような問題が起きると考えられるか。起きると考えられる問題を25字以内で具体的に述べよ。 (3) 本文中の下線⑨について、DaaS-Vへのアクセスと同等のセキュリティを実現するためには、FWのVPN機能にどのような仕組みが必要か。必要な仕組みを30字以内で具体的に述べよ。 ⑧・⑨は、参照本文中のそれぞれ同じ記号に続く文の下線を示す。字数制限は各回答に個別に適用する。

解き方のヒントを見る

問06：ログインの門番とデータ持ち出し対策を分けて考えよう

人が操作する以上、情報の持ち出しを100%止めるのはむずかしいよ。だから、IDaaSは「ログインの門番」、MDMは「端末の管理係」、DaaSは「作業場所をクラウド側に閉じ込める仕組み」と考えて、それぞれ何を防げて、何が残るリスクなのかを見積もるのがポイントだよ。

この問題で問われていること

この問題では、認証を強くする話と、情報を外に持ち出しにくくする話を混ぜずに整理しよう。たとえば、鍵を厳重にするのが認証強化、書類を会社の外に持ち出しにくくするのが持出し抑止、というイメージだよ。両方の論点に対して、IDaaS・MDM・DaaSのどれが効くのかを見極めよう。

Telework Defense in Depth

telework security must combine client-certificate device authentication、 OTP abuse prevention、 resistance to weak PIN choices、 and acknowledgment of screenshot or camera-based leakage paths

device authentication\nOTP abuse prevention\ncontrol weak PIN risk\nconsider screenshot leakage

確認ポイント

PIN の弱さを見落とさない。
端末認証と利用者認証を分けて考える。
画面経由の持出しも前提にする。

正解と解説を見る

解説

設問6(1)は、パスワードを推測してログインされ、ディスクが復号される危険を問う。攻撃の実施だけでなく、ログイン成立まで示すと空欄前後につながる。(2)は、利用者が推測しやすいPINコードを設定する問題を具体的に述べる。(3)は、貸与端末にアクセスを限定するため、FWのVPN機能でもクライアント証明書によるデバイス認証を行う仕組みを示します。DaaS-Vでは、この認証をIDaaS-Yによる2要素認証に加えて実施している。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和2年度10月情報処理安全確保支援士試験午後Ⅱ 問6（公式資料：問題冊子（PDF）／解答例／採点講評）

令和2年度10月 情報処理安全確保支援士 午後Ⅱ 問6

問題