令和3年度春期 情報処理安全確保支援士 午前Ⅰ 問13

午前I 問13：経営者向けのサイバーセキュリティ指針を見分けよう

この問題は、サイバーセキュリティを「情報システム部門だけの話」ではなく、「会社の経営そのものに関わる大事な課題」として考えるための考え方を問うものだよ。たとえば、火事への備えを現場任せにせず、社長や役員が避難計画・設備投資・責任分担まで考えるのと同じで、サイバー攻撃への備えも経営層が方針を決めて取り組む必要があるんだ。

この問題で問われていること

ポイントは、経営層向けにサイバーセキュリティの原則や実践項目をまとめたものを選べるかどうかだよ。ISMSは情報セキュリティを管理する仕組み、COBITはITガバナンスの枠組み、法律は守るべきルールなので、それぞれ役割が違う。『経営者がサイバーセキュリティを経営課題としてどう扱うか』に注目して見分けよう。

Cybersecurity Management Guidelines

3 principles + 10 important items for executives

for management\nprinciples and action items

確認ポイント

• ISMS 要求事項そのものではありません。
• 法令でもない。
• 経営者向けガイドラインを選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。あるハッシュ値だけを見て、それを作った元のメッセージを見つけるのがとても難しい、という性質が原像計算困難性だよ。たとえるなら、レシート番号だけ渡されて「この番号になる買い物内容を当てて」と言われても、ほぼ無理だよね、というイメージだよ。

選択肢イ

これは不正解だよ。可変長のメッセージから固定長のハッシュ値を作れる、というのはハッシュ関数の基本機能の説明だね。たとえるなら、どんな大きさの荷物でも同じサイズの受付番号札を渡す、という話であって、その番号札から元の荷物を探しにくいという「原像計算困難性」の説明ではないよ。

選択肢ウ

これは不正解だよ。ハッシュの処理を外からの不正な観測や改変から守る、という話は、装置や処理そのものを守るセキュリティ対策のイメージだね。原像計算困難性は、ハッシュ値という結果から元の入力を逆算しにくい性質のことなので、泥棒が窓口をのぞけないようにする話とは別だよ。

選択肢エ

これは不正解だよ。ハッシュ値が同じになる別々の二つのメッセージを見つけにくい、というのは「衝突発見困難性」の説明だよ。たとえるなら、同じ受付番号札をもらってしまう別々の荷物ペアを探す話で、番号札から元の荷物を探す原像計算困難性とは見るポイントが違うよ。