平成１６年度 セキュアド 問２１−４０ 解答編




このページは

セキュアド

（情報セキュリティアドミニストレータ試験）

の解答と解説のページです。

問題だけで勉強したい方は目次へ戻ってください

問２１ 暗号化方式に関する記述のうち、適切なものはどれか。
ア ＡＥＳは公開かぎ暗号方式、ＲＳＡは共通かぎ暗号方式の一種である。
イ 共通かぎ暗号方式では、暗号化かぎと復号かぎが同一である。
ウ 公開かぎ暗号方式を通信内容の秘匿に使用する場合は、暗号化かぎを秘密にして、復号かぎを公開する。
エ ディジタル署名は、公開かぎ暗号方式を使用せず、共通かぎ暗号方式を使用する。
解答 イ
解説 ２つの暗号方式を以下にまとめます。

共通かぎ暗号方式：暗号鍵と復号鍵が同じで、比較的高速に暗号化できます。また、対象数が多くなると鍵の数が膨大になるというデメリットがあります。
公開かぎ暗号方式：暗号鍵を公開し、復号鍵を受信者が秘密にします。共通かぎに比べて時間がかかりますが、対象者が増えても復号鍵は１個のままというメリットがあります。

ＡＥＳはＤＥＳの後継にあたる代表的な共通かぎ暗号方式の規格で、ＲＳＡは巨大数の因数分解を利用したもので公開かぎ暗号方式の代表的な規格です。
問２２ 公開かぎ暗号を利用した証明書の作成、管理、格納、配布、破棄に必要な方式、システム、プロトコル及びポリシの集合によって実現されるものはどれか。
ア ＩＰｓｅｃ
イ ＰＫＩ
ウ ゼロ知識証明
エ ハイブリッド暗号
解答 イ
解説 ＰＫＩ(Public Key Infrastrucute)は公開鍵基盤または、公開鍵暗号基盤と訳されるもので、公開かぎ暗号に関するインフラを指す用語です。

ＩＰｓｅｃ（Security Architecture for Internet Protocol）は、ＩＰパケットを暗号化するプロトコルです。。パケット単位で暗号化を行うもので、ＶＰＮなどに利用されます。
ゼロ知識証明（zero knowledge proof：ＺＫＩＰ）は暗号理論の考え方で、自分がもっている秘密情報を直接を教えることなく最小限の情報で相手に伝える事です。
ハイブリット暗号は複数の暗号技術を組み合わせて行う暗号方式で、共通かぎと公開かぎを組み合わせたものを指すことが多いです。
問２３ インターネット上で、安全なクレジット決済の取引処理を提供するために定められたプロトコルはどれか。
ア ＣＩＩ
イ ＲＡＳ
ウ ＳＥＴ
エ ＳＳＬ
解答 ウ
解説 ＳＥＴ（Secure Eletronic Transaction）はインターネット上で安全な決算を行うためのセキュリティプロトコルです。ＳＳＬもセキュリティプロトコルですが、これは、ＨＴＴＰやＦＴＰなどに代表される通信を暗号化するプロトコルです。他の２つはセキュリティにはあまり関係ない用語で、選択肢アは産業情報推進センターのことで、ＲＡＳはリモートアクセスの仕様のことです。
問２４ ＪＰＣＥＲＴ／ＣＣ（ＪＰＣＥＲＴコーディネーションセンター）では、インシデントを六つのタイプに分類している。

Ｓｃａｎ：プローブ、スキャン、そのほかの不審なアクセス
Ａｂｕｓｅ：サーバプログラムの機能を悪用した不正中継
Ｆｏｒｇｅｄ：送信ヘッダを詐称した電子メールの配送
Ｉｎｔｒｕｓｉｏｎ：システムへの侵入
ＤｏＳ：サービス運用妨害につながる攻撃
Ｏｔｈｅｒ：その他

次の三つのインシデントとタイプの組合せのうち、適切なものはどれか。
インシデント１：ワームの攻撃が試みられた形跡があるが、侵入されていない。
インシデント２：ネットワークの輻湊による被害を受けた。
インシデント３：ＤｏＳ用の踏み台プログラムがシステムに設置されていた。
画像（問24ans）を表示できません
解答 ウ
解説 まず、インシデントとは脅威のことで、障害や損害を引き起こすような攻撃のことを指します。また、輻輳とは。トラフィックが増大しサービスが提供しにくい状態などを指します。
インデント１はワームの攻撃失敗ということなので、下調べはしたが、実際の攻撃には失敗したということなのでIntrusionは未遂に終わり、Scanまでにとどまったということです。次に、輻輳攻撃は典型的なDosといえます。また複数からのDos攻撃をDDosといいます。Dos用の踏み台をしかけられたということは、システムに侵入されたということです。この場合踏み台のほかにもバックドアなどにも気を配る必要があります。
問２５ マクロウイルスの感染に関する記述のうち、適切なものはどれか。
ア 感染したプログラムを実行すると、マクロウイルスが主記憶にロードされ、その間に実行したほかのプログラムのプログラムファイルに感染する。
イ 感染したフロッピーディスクからシステムを起動すると、マクロウイルスが主記憶にロードされ、ほかのフロッピーディスクのブートセクタに感染する。
ウ 感染した文章ファイルを開くと、テンプレートやスプレッドシートにマクロウイルスが感染して、その後、別に開いたり新規作成したりした文章ファイルに感染する。
エ マクロがウイルスに感染しているかどうかは容易に判断できるので、文章ファイルを開く時点で感染を防止することができる。
解答 ウ
解説 マクロウィルスとは、ＷｏｒｄやＥｘｃｅｌに代表されるプログラムで使用する小さなプログラム（マクロ）を利用したウィルスのことで、感染したファイルを開いた後に別のファイルを開いたり、作成・編集することで感染が拡大します。どんなウィルスでもそうですが、容易に感染を判断できるということはありません。
問２６ ネットワーク監視型侵入検知ツール（ＮＩＤＳ）の導入目的はどれか。
ア 管理下のサイトへの不正侵入の試みを記録し、管理者に通知する。
イ 攻撃が防御できないときの損害の大きさを判定する。
ウ サイト上のファイルやシステム上の資源への不正アクセスであるかどうかを判定する。
エ 時間をおいた攻撃の関連性とトラフィックを解析する。
解答 ア
解説 ＩＤＳ（Intrusion Detection System：侵入検知システム）には２つのタイプがあり、特定のホスト上で監視をするホスト型とネットワーク上をすべてを監視するネットワーク型があります。この目的は不正侵入の検出です。

選択肢アがネットワークＩＤＳ。選択肢ウがホストＩＤＳとなります。
問２７ 情報システムへの脅威とセキュリティ対策の組合せのうち、適切なものはどれか。
画像（問27ans）を表示できません
解答 エ
解説 正解以外の脅威の対策についてまとめます。

地震と火災に対しては、遠隔地にバックアップを取っておくことが有効です。
物理的な盗難と破壊に対しては、部屋に入るための入出管理等が有効です。
伝送中のデータへの不正アクセスに対しては、暗号化が有効です。ＣＲＣとは、巡回冗長検査のことで誤り検出方法の１つです。
問２８ ネットワークの非武装セグメント（ＤＭＺ）の構築や運用に関する記述のうち、適切なものはどれか。
ア ＤＭＺのサーバの運用監視を内部ネットワークから行うことは、セキュリティ上好ましくないので、操作員がサーバのコンソールから監視できるようにする。
イ データ保持用のサーバを、ＤＭＺのＷｅｂサーバから切り離して内部ネットワークに設置することによって、重要データがＤＭＺに置かれることを避ける。
ウ 不正侵入をリアルタイムに検出するソフトウェアは、ＤＭＺではなく、重要なサーバが設置されている内部ネットワークで稼働させる。
エ メールサーバをＤＭＺに設置することによって、電子メールの不正中継を阻止できる。
解答 イ
解説 ＤＭＺとは、内部のＬＡＮと外部のインターネットを直接つなぐのは危険なため、その中間に配置され、基本的に外部からのアクセスは不可・内部からは許可されるネットワークゾーンのことです。また、重要なデータを内部ネットワークに配置することで、万が一ＤＭＺがクラッキングされたとしても重要なデータを守ることができます。
問２９ ＳＳＬに関する記述のうち、適切なものはどれか。
ア ＳＳＬで使用する個人認証用のディジタル証明書は、ＩＣカードやＵＳＢデバイスに格納できるので、格納場所を特定のパソコンに限定する必要はない。
イ ＳＳＬは特定ユーザ間の通信のために開発されたプロトコルであり、事前の利用者登録が不可欠である。
ウ ディジタル証明書にはＩＰアドレスが組み込まれているので、ＳＳＬを利用するＷｅｂサーバのＩＰアドレスを変更する場合は、ディジタル証明書を再度取得する必要がある。
エ 日本国内では、ＳＳＬで使用する共通かぎの長さは、１２８ビット未満に制限されている。
解答 ア
解説 ＳＳＬ（Secure Socket Layer）はディジタル証明書はＣＡ（認証局）により発行されたデータなので、持ち歩くことは可能です。ＳＳＬのようなプロトコルに登録制度はありません。また、ディジタル証明書には様々な情報を基に発行をするものですが、ＩＰアドレスが組み込まれたいるということはありません。また、現在では１２８ビット以上でも取り扱えます。
問３０ “情報セキュリティ監査制度：情報セキュリティ管理基準”において、情報セキュリティ基本方針の目的として記述されている内容はどれか。
ア 情報セキュリティのための経営陣の指針及び支持を規定するため
イ 人為的ミス、盗難、不正行為、又は設備誤用によるリスクを軽減するため
ウ 組織内の情報セキュリティを管理するため
エ 組織の資産を適切に保護し、管理するため
解答 ア
解説 いずれもセキュリティ監査にとっては重要なことですが、管理基準の基本方針とは、経営陣の指針や支持を規定することを目的としています。他の選択肢はその実現を行うためにとる対策といえます。
問３１ インテグリティを脅かす攻撃はどれか。
ア Ｗｅｂページの改ざん
イ システム停止をねらうＤｏＳ攻撃
ウ システム内に保管されているデータの不正取得
エ 通信内容の盗聴
解答 ア
解説 インテグリティ(integrity)：保全性とはＲＡＳＩＳの一つで一貫性を保つ性質のことです。つまり、データが改ざんされることは、これを保つことができないので、選択肢アが正解となります。システム停止は可用性を低下させる可能性があります。データの流出と盗聴は安全性を脅かす可能性があります。
問３２ コンピュータ犯罪の手口に関する記述のうち、適切なものはどれか。
ア サラミ法とは、不正行為が表面化しない程度に、多数の資産から少しずつ詐取する方法である。
イ スキャベンジング（ごみ箱あさり）とは、回線の一部に秘密にアクセスして他人のパスワードやＩＤを盗み出してデータを盗用する方法である。
ウ トロイの木馬とは、プログラム実行後のコンピュータ内部又はその周囲に残っている情報をひそかに探索して、必要情報を入手する方法である。
エ なりすましとは、ネットワークを介して送受信されている音声やデータを不正に傍受することである。
解答 ア
解説 正解以外の手口の内容をまとめます。

スキャべジングはごみ箱や、机の上に無造作に置かれた書類を無断で持ち出したり、コピーをしたりする不正行為をいいます。
トロイの木馬とは、増殖能力こそないもののほぼウィルスに相当するプログラムで、ユーザの意図しない行動を引き起こします。
なりすましとは、他人のユーザＩＤやパスワードなどを使って、他のユーザになりすましてシステムやサービスを利用する行為を指します。
問３３ リスクファイナンスを説明したものはどれか。
ア 損失の発生率を低下させることによって保険料を節約し、損失防止を図る。
イ 保険に加入するなど資金面での対策を講じ、リスク移転を図る。
ウ リスクの原因を除去して保険を掛けずに済ませ、リスク回避を図る。
エ リスクを扱いやすい単位に分割するか集約することによって、保険料を節約し、リスクの分離又は結合を図る。
解答 イ
解説 まず、リスク処理はリスクコントロール（リスクが現実化しないようにしたり、損害を最小限にすること）とリスクファイナンス（資金対策）に分けられます。リスクファイナンスの代表例は保険に入ることです。代表的な例を以下に示します。
リスク移転 = リスクが発生しても影響がでないようにする
リスク回避 = リスクが起きる脅威の排除すること
リスク軽減 = リスクが起きたときに、損害を減らすこと
リスク保有 = リスクが起きたときに、お金で何とかすること（災害準備金を積み立てておくなど）
問３４ ＪＩＳ Ｑ ９００１（ＩＳＯ９００１：２０００）を適用して、ソフトウェアの品質マネジメントシステムを構築する。その方針を示した次の文章中のａ〜ｄに当てはまる組合せはどれか。

トップマネジメントは、[ a ]に基づいた製品の品質保証に加えて顧客の満足度の向上を目指し、[ b ]を組織全体のパフォーマンスと効率との継続的な改善の手引として[ c ] を確立・実行・維持し、プロセスの改善を推進する。また、[ c ]に基づいてコスト、納期、安全、環境などの経営要素の維持向上と併せて[ d ]を推進する。
画像（問34ans）を表示できません
解答 ア
解説 ４つの用語についてまとめます。

ＪＩＳＱ９００１：品質マネジメントの始めの部分に当たる部分で、『要求事項』に関することが記述されています。
ＪＩＳＱ９００４：品質マネジメントの『品質マネジメントシステムに関するパフォーマンス改善指針』に関することが記述されています。
ＱＭＳ：品質マネジメントシステムや品質管理監督システムと訳され、物品の製造やサービスの提供の品質を管理監督するシステムのことです。
ＴＱＭ：総合的品質管理と訳され、組織全体として統一した品質管理目標への取り組みを経営戦略へ適用したもののこと。
問３５ ＪＩＳ Ｘ ５０７０（ＩＳＯ １５４０８；情報技術セキュリティ評価基準）に関する記述のうち、適切なものはどれか。
ア 開発と並行して評価はできず、評価対象となる製品の開発が完了してから、評価を開始する。
イ 情報資産に損害を与える危険性として、機密性、完全性を損なうだけではなく、可用性を損なう脅威も対象としている。
ウ 評価対象となる製品は、要件定義、概要設計、詳細設計を行った後にプログラム開発を行う、ウォータフォール型開発方式に従わなければならない。
エ 保証維持の基準は含まれないが、セキュリティ要求や環境の変化などに伴って行われる評価済み製品の再評価の手順を対象範囲としている。
解答 イ
解説 評価は完了する前から並行して行う分には問題ありません。また、開発モデルもウォータフォール型のみならず、スパイラルモデルや、プロトタイプモデルでも構いません。さらに、保障維持は対象に含まれ、再評価は対象外となっています。
問３６ ＩＳＭＳのＰＤＣＡサイクルモデルにおいて、ＤＯフェーズで実施される事項はどれか。
ア 重要な不都合部分の是正
イ セキュリティ教育
ウ セキュリティポリシの策定
エ 内部監査
解答 イ
解説 ＰＤＣＡサイクルとはＰｌａｎ（計画）⇒Ｄｏ（実行）⇒Ｃｈｅｃｋ（確認）⇒Ａｃｔ（改善）の４つのサイクルを指します。これに従い、４つを分類すると、セキュリティポリシの策定（Ｐ）⇒セキュリティ教育（Ｄ）⇒内部監査（Ｃ）⇒重要な不都合部分の是正（Ａ）となります。
問３７ マトリックス組織の特徴を説明したものはどれか。
ア 権限の委譲、分権による新しいセクショナリズムが発生し、部門利益の部分極大化を追及したり、長期的成果よりも短期的成果を優先したりする傾向がある。
イ 全社の製品やサービスよりも自己の職務に関心をもつようになり、過度の権限の集中が起こり、意思決定が遅延する傾向がある。
ウ 組織上、業務上で同じような部門や職能が重複して設けられるという無駄が生じ、二重投資、三重投資が行われる傾向がある。
エ 組織のメンバは、二つの異なる組織に属することになり、複数の報告関係が公式に存在するので、責任を負うべき管理者があいまいになる傾向がある。
解答 エ
解説 マトリックスは行列と訳されるように、縦と横のように複数の部門に同時に所属するというものです。複数の部門に参加できる反面命令一元化の法則がくずれるというデメリットがあります。
問３８ 企業経営における、ステークホルダ重視の目的はどれか。
ア 企業存続の危機につながりかねない、経営者や社員の不正行為を防ぐ。
イ 競合他社に対する差別化の源泉となる経営資源を保有し、強化する。
ウ 経営者の権力行使をけん制し、適切な意思決定を行える仕組みを作る。
エ 顧客、株主、地域、社員といった利害関係者の満足度を向上させ、企業の継続した発展を図る。
解答 エ
解説 ステークホルダとは利害関係者と訳されます。つまり、利害（主に利益）関係の強い関係者の満足度を上げることで、企業に利益をもたらしてもらうという考え方です。
問３９ システム分析時の業務プロセスモデルの適切な定義方法はどれか。
ア 実在する組織や現実の業務にとらわれることなく、必要な業務プロセスを定義する。
イ 実在する組織を前提として、その企業にとって必要な業務プロセスを定義する。
ウ できるだけ具体的な組織名や使用するシステム名称を用いて業務プロセスを定義する。
エ ビジネスの職能的構造を重視して、必要な業務プロセスを定義する。
解答 ア
解説 業務プロセスモデルは、モデルなので、実際の業務にとらわれる必要はありません（かけ離れすぎるのも問題があります）。実際の具体的な名称よりも抽象化された概念をとして定義していきます。
問４０ ＥＤＩを説明したものはどれか。
ア ＯＳＩ基本参照モデルに基づく電子メールサービスの国際規格であり、メッセージの作成・転送・処理に関する総合的なサービスである。これによって、異機種間の相互接続が可能となる。
イ 通信回線を介して、商取引のためのデータをコンピュータ（端末を含む）間で交換することである。その際、当事者間で必要となる各種の取決めには、標準的な規約を用いる。
ウ ネットワーク内で伝送されるデータを構築したり、データのフォーマットを変換したりするサービスなど、付加価値を加えた通信サービスである。
エ 発注情報をデータエントリ端末から入力することによって、本部又は仕入先に送信し、発注を行うシステムである。これによって、発注業務の省力化、物流・在庫管理の効率化を図ることができる。
解答 イ
解説 ＥＤＩ(Electronic Data Interchange)は企業間商取引のことで、ネットワーク上で取引をする際の取り決めをすることでうｓ。取決めには情報伝達規約、情報表現規約、情報運用規約、情報基本規約の４つの取決めがあります。

選択肢アはＭＨＳ（Message Handling System：メッセージ通信処理システム）の説明です。
選択肢ウはＶＡＮ（Value Added Network：付加価値通信網）の説明です。
選択肢エはＥＯＳ（Electoronic Ordering System：電子発注システム）の説明です。