SMITサービスマネージャ試験午後Ⅰ

令和3年度春期 ITサービスマネージャ午後Ⅰ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問2 情報セキュリティの管理に関する次の記述を読んで，設問1，2に答えよ。 B社は，精密機械の製造・販売を行っている。精密機械の生産は，関東工場及び九州工場で，毎週日曜日 22:00 から作業を開始し，その週の金曜日 22:00 まで連続で行われている。B社生産部では，工場の生産活動に関わる計画及び管理を行っている。〔B社のシステム概要〕 B社情報システム部では，生産部の生産活動を支援する生産システム，社員からのメール送受信機能を担うメールシステム及びIT機器の構成情報を管理する構成管理システムを運用している。関東工場及び九州工場のPCは，それぞれの工場に勤務する生産部及び情報システム部の部員が使用する。B社のシステム構成を図1に，B社のシステム概要を表1に示す。図1 B社のシステム構成表1 B社のシステム概要〔情報セキュリティ対策の概要〕情報システム部のセキュリティ管理課は，情報セキュリティ管理を担当している。セキュリティ管理課は，情報セキュリティ運用支援サービスを提供している会社（以下，C社という）と情報セキュリティサービスを契約している。C社がB社に提供しているサービスの内容は，次のとおりである。・マルウェア対策ソフトウェア（以下，対策ソフトという）をB社に提供しており，B社の全てのサーバ及び全てのPCにはC社の対策ソフトが導入されている。・OSベンダと連携して，OSの脆弱性に関する情報を収集し，B社に適切な助言を行う。・情報セキュリティインシデント対策の対応方針や手順の策定を支援する。情報システム部の担当者は，平日 6:00 に，OSベンダから最新のOSパッチが公開されているかどうかを確認する。サーバのOSパッチが公開されている場合は，図2に示す手順に従って，PCのOSパッチが公開されている場合は，図3に示す手順に従って，それぞれOSパッチを適用する。図2 サーバのOSパッチの適用手順図3 PCのOSパッチの適用手順また，C社から最新のマルウェア定義が提供されている場合は，最新のマルウェア定義が提供される都度，次の対応を行う。・業務LANに接続されている機器については，マルウェア定義が自動的に配信され，マルウェア定義が更新される。・保守LANに接続されている機器については，情報システム部の部員が，OSパッチの入手と同じ方法を使ってマルウェア定義を入手し，マルウェア定義を手動で更新する。〔情報セキュリティインシデントの発生〕 2020年9月15日（火）10:00 に，生産システムの利用者からセキュリティ管理課に情報セキュリティインシデント（以下，今回インシデントという）の発生連絡があった。今回インシデントの対応状況を表2に示す。表2 今回インシデントの対応状況表2 今回インシデントの対応状況（続き）〔問題点と対策〕 D氏は，今回インシデントの対応を振り返り，C社の技術者の支援も得て，情報セキュリティに関する現状の問題点と対策案を表3のとおり整理した。表3 現状の問題点と対策案（抜粋）図4 不審メール対応訓練設問1 〔情報セキュリティインシデントの発生〕について，(1)，(2)に答えよ。 (1) 表2中の下線（ア）について，今回インシデントの対応として，副サーバ群を使って生産システムを稼働できる理由を40字以内で答えよ。ただし，最新のOSパッチが副サーバ群に適用されていることは除く。 (2) 表2の【a】及び【b】には，通常の災害時立上げ計画の手順にはない作業で，今回インシデントの対応として，バックアップサーバに必要な作業が入る。 (a) 【a】には，マルウェア対策の作業が入る。作業内容を40字以内で述べよ。 (b) 【b】には，バックアップサーバを利用できるようにするための作業が入る。作業内容を20字以内で述べよ。設問2 〔問題点と対策〕について，(1)～(3)に答えよ。 (1) 表3中の下線（イ）について，現状を把握する方法を30字以内で述べよ。 (2) 表3の【c】に入れる適切な字句を15字以内で答えよ。 (3) 表3の【d】には，バックアップサーバのデータが利用できなくなる事態を想定した対策が入る。対策の内容を50字以内で述べよ。

図1 B社のシステム構成。関東工場の生産サーバ（正）、DBサーバ（正）、構成管理サーバ、メールサーバ、PCが業務LANとFWを介してインターネットに接続される。IP-VPNで九州工場とつながり、九州工場には保守LAN上の副サーバ群・PCと、LAN切替スイッチ、業務LAN上のバックアップサーバ・PC、FWがある。

表1 B社のシステム概要。生産システム、メールシステム、構成管理システムの概要表。生産サーバの処理時間帯、週次・定期バッチによるバックアップ、LAN切替スイッチで切り離された副サーバ群、構成情報にOSパッチ適用状況やマルウェア定義の版が含まれることを記載。

図2 サーバのOSパッチの適用手順。サーバのOSパッチ適用手順。当日6:00～7:00に副サーバ群へ適用、7:30～10:00に保守LAN上で稼働確認、10:00～10:30にバックアップサーバへ適用、土曜日9:00～10:00に業務LAN上の生産サーバ（正）とDBサーバ（正）へ適用する。注記付き。

図3 PCのOSパッチの適用手順。PCのOSパッチ適用手順。当日7:00～7:30に保守LAN上のPCへ適用、11:00～12:00に稼働確認、13:00～15:00に業務LAN上の稼働中PCへインストールイメージを配付する。適用はPC再起動時に行われ、金曜22:00のシャットダウン後に適用される旨の注記がある。

表2 今回インシデントの対応状況。9月15日10:00～13:30の経緯と対応。PCのファイル暗号化の通報、全サーバ・PCの業務LANからの切離し、不審メールの開封判明、C社からのランサムウェアの報告、生産サーバ（正）での再開が18:00に間に合わないことと副サーバ群での稼働案の検討。

表2 今回インシデントの対応状況（続き）。14:00に作成した復旧計画。副サーバ群の起動（下線ア）、空欄a・b、保守LANの業務LANへの接続、DB復元、オンライン処理の開始、PCの復旧手順を記載。15:00に了解を得て、16:00に作業開始、18:00に完了。災害時立上げ計画の注記付き。

表3 現状の問題点と対策案（抜粋）。項番1～4の問題点と対策案。不審メール添付ファイルの開封への教育・訓練、開封率の現状把握（下線イ）、OSパッチ未適用PCの把握に使うもの（空欄c）、バックアップサーバ感染時にデータが使えなくなることへの対策（空欄d）。

図4 不審メール対応訓練。不審メール対応訓練の内容。訓練内容と時期を事前に全社員へ通知し、関連会社を装ってファイル添付の訓練メールを送る。業務LANに集計サーバを置き、添付ファイルを開封した社員のメールアドレス情報を自動送信する仕組みを構築する。

解き方のヒントを見る

判断の前提となる条件を確かめる

生産システムの情報セキュリティについて考える際は、判断の前提となる条件に注目しましょう。知っている用語から結論を急がず、与えられた条件を、自分が補った想定と分けて整理すると、検討の土台を確かめられます。

この問題で問われていること

この問題では、考えた内容と与えられた条件とのつながりに注目してください。普段の経験や用語の印象から前提を補っていないかを振り返り、判断の根拠として使っている条件がどれなのかを確かめながら検討しましょう。

視点

与えられた情報と、自分の知識や経験から補った想定を区別して整理しましょう。考えた内容の根拠をたどり、判断の前提に自分の想定が紛れ込んでいないかを点検することが、検討の土台になります。

確認ポイント

与えられた条件と自分の想定を区別できているか
用語の印象から前提を付け足していないか
考えた内容がどの条件に基づくかを説明できるか

正解と解説を見る

解説

本問では、ランサムウェア感染時の安全な復旧と、その後の管理改善を考える。副サーバ群の隔離状態、バックアップサーバの感染確認と再接続、訓練の開封率、構成情報によるパッチ管理、バックアップデータの保護が要点となる。

問題の全体像

B社では、不審メールの添付ファイルを開いたPCがランサムウェアに感染し、感染拡大を防ぐために業務LAN上のサーバとPCを切り離した。その結果、生産システムが停止し、当日18:00までの再稼働が必要になった。通常の正サーバを使う復旧では期限に間に合わないため、保守LAN上の副サーバ群とバックアップデータを使う計画を立てている。出題趣旨では、この事例を通じて、情報セキュリティインシデントへの対応と訓練計画の立案に関する管理能力を問うとしている。ネットワーク構成と対応の時系列を読み、安全に復旧できる条件を説明し、訓練・構成管理・バックアップ保護へ改善をつなげる問題です。

設問1(1)

表1の副サーバ群の接続状態と、表2の13:00の報告に着目する。副サーバ群は土曜日の日中以外、業務LANから切り離されている。一方、今回のランサムウェアは、感染した機器からLANに接続された他の機器へ感染を広げる。今回の感染が始まった月曜日には副サーバ群が業務LANに接続されていないため、感染拡大の経路から隔離されていたと判断できる。公式解答例では、業務LANに接続しておらず、ランサムウェアに感染していないことを理由としている。40字以内では「業務LANから切り離されており、ランサムウェアに感染していないから。」とまとめられる。最新のOSパッチ適用は設問で除外されている。採点講評では、通常の災害対策の説明に寄せず、今回のセキュリティインシデントに着目することが求められている。

設問1(2)(a)

作業対象はバックアップサーバです。表2では、副サーバ群とバックアップサーバに最新のOSパッチが導入済みだと確認している。しかし、バックアップサーバは感染拡大の可能性があった業務LANに接続されていたため、パッチ適用済みという事実だけでは感染していないことまで確認できない。復旧用データを利用する前に、今回のランサムウェアに対応する最新のマルウェア定義で感染の有無を確認する必要がある。その定義が16:00に提供されるため、復旧作業も16:00から開始する。公式解答例に沿う40字以内の表現は「マルウェアに感染していないことを最新のマルウェア定義で確認する。」となる。採点講評では、別のサーバを対象にした解答が多かったとされており、バックアップサーバへの作業として答えることが重要です。

設問1(2)(b)

表2の10:30では、業務LANに接続されていた全サーバと全PCを切り離している。バックアップサーバもこの対象なので、感染していないことを確認した後、復旧に使うための再接続が必要になる。続く手順④では保守LANを業務LANに接続し、⑤と⑥ではバックアップサーバからDBサーバ（副）へデータを復元する。この通信を可能にするため、空欄bではバックアップサーバを業務LANへ接続する。公式解答例は「業務LANに接続する。」で、20字以内に収まる。保守LANの切替えは手順④に既に記載されているため、ここではバックアップサーバ自身の接続を答える。

設問2(1)

表3の項番2は、不審メールの添付ファイルを誤って開く社員がどのくらいの割合でいるか把握できていない、という問題です。図4では、訓練メールの添付ファイルを開くと、開封した社員のメールアドレスが集計サーバへ自動送信される。この情報から開封した社員数を把握し、訓練メールを送った社員数に対する割合を計算すれば、現状を数値で把握できる。公式解答例に沿う30字以内の表現は「集計サーバへの送信情報から開封率を計算する。」となる。単に訓練を実施する、開封者を確認するという説明にとどめず、設問が求める割合を開封率として算出することまで示す。

設問2(2)

表1の構成管理システムの説明に着目する。全サーバと全PCの構成情報を登録しており、その情報にはOSパッチの適用状況も含まれている。したがって、最新のOSパッチが適用されていないPCを把握するには、この構成情報を参照すればよい。公式解答例は「構成管理システムの構成情報」で、15字以内に収まる。図3ではパッチのインストールイメージを配付しても、実際の適用はPCの再起動時に行われる。このため、配付したという事実だけで適用済みと判断せず、構成情報で適用状況を把握することが重要です。

設問2(3)

表3の項番4は、バックアップサーバ自身が感染すると、そのサーバに保存したバックアップデータまで利用できなくなるという問題です。対策では、バックアップサーバが被害を受けても使える復旧用データを残す必要がある。公式解答例では、外部記憶媒体にバックアップを複写し、業務LANからアクセスできない場所に保管する方法を挙げている。50字以内では「バックアップを外部記憶媒体に複写し、業務LANからアクセスできない場所に保管する。」と表現できる。公式解答例には、週次バッチ処理と定期バッチ処理でバックアップをライトワンス光ディスクに複写する方法も示されている。採点講評では、マルウェアが動作するサーバやPCからデータを隔離する必要性への理解が不足していたとされている。バックアップを作成するだけでなく、そのデータを感染時の被害から守る点を押さえる。

学習のポイント

対象機器と作業順序を正確に読み取り、感染予防・感染確認・データ保護の役割を区別して学ぶ。

出典：独立行政法人情報処理推進機構（IPA）令和3年度春期 ITサービスマネージャ試験午後Ⅰ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

令和3年度春期 ITサービスマネージャ 午後Ⅰ 問2

問題