SC情報処理安全確保支援士試験午前Ⅰ

令和3年度春期情報処理安全確保支援士午前Ⅰ 問15

問題文と選択肢を読んで答えを考えてから、下の「正解と解説を見る」で確認しましょう。

問題

JPCERTコーディネーションセンターの説明はどれか。

ア
産業標準化法に基づいて経済産業省に設置されている審議会であり、産業標準化全般に関する調査・審議を行っている。
イ
電子政府推奨暗号の安全性を評価・監視し、暗号技術の適切な実装法・運用法を調査・検討するプロジェクトであり、総務省及び経済産業省が共同で運営する暗号技術検討会などで構成される。
ウ
特定の政府機関や企業から独立した組織であり、国内のコンピュータセキュリティインシデントに関する報告の受付、対応の支援、発生状況の把握、手口の分析、再発防止策の検討や助言行っている。
エ
内閣官房に設置され、我が国をサイバー攻撃から防衛するための司令塔機能を担う組織である。

解き方のヒントを見る

セッション乗っ取りを防ぐ基本は、サーバ側でそのセッションIDを無効にして、もう使えない状態にすることだよ。たとえるなら、盗まれた入館パスを受付システム側で失効させて、誰が持ってきても入れないようにするイメージだね。

ポイントは、ブラウザのキャッシュを消すとか、保存場所を変えるといった“利用者側の片付け”ではなく、サーバ側でセッションIDそのものを再利用不可にする対策を選べるかどうかだよ。

invalidate session ID on the server when user logs out

logout -> server invalidates session

正解と解説を見る

イ

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

これは不正解だよ。これはJISなどの産業標準を話し合う「日本産業標準調査会」の説明なんだ。たとえるなら、防犯トラブルの相談窓口ではなく、町内のルールブック作りをする会議室、という感じだね。JPCERT/CCの説明ではないよ。

これは不正解だよ。これはCRYPTRECの説明で、暗号が安全かどうかを評価するプロジェクトなんだ。たとえるなら、家の合鍵や鍵の仕組みがちゃんと安全かを調べる専門チームだね。サイバー事故の報告受付や対応支援をするJPCERT/CCの説明ではないよ。

これが正解だよ。JPCERT/CCは、国内で起きたコンピュータの事故やサイバー攻撃の報告を受けて、対応の助言や情報共有をする組織なんだ。たとえるなら、泥棒に入られた家から連絡を受けて、手口を調べたり、次に狙われない対策を教えたりする相談窓口だよ。

これは不正解だよ。これはNISC、つまり国のサイバーセキュリティ政策の司令塔に近い組織の説明だよ。たとえるなら、火事の現場相談を受ける窓口ではなく、国全体の消防作戦を考える本部みたいなものだね。JPCERT/CCとは役割が違うよ。

出典：独立行政法人情報処理推進機構（IPA）令和3年度春期情報処理安全確保支援士試験午前Ⅰ 問15（公式資料：問題冊子（PDF）／解答例）