情報処理安全確保支援士 過去問解説【令和２年 午後２】

午後１に続き、午後２の解答も作成いたしました。

題材として「テレワーク環境」についての出題があり、まさに近年の情勢を踏まえた出題といえます。

各企業で導入が進んでおりますが、セキュリティ面での対応策が不十分であったりすると企業経営に影響を与えるようなトラブルにもなりかねません。

情報処理安全確保支援士を目指すうえでは、意識しておくべき内容ですね。

ご質問・ご意見ございましたら、コメントまで。

情報処理安全確保支援士 令和２年午後２　問１　百貨店におけるＷｅｂサイトの統合

設問１　表２中のa,bに入れる適切な字句を答えよ。

解答

a	LDAP-P、LDAP-Q、LDAP-R
b	LDAP

解説

P.4に記載の通り、サイトＰのアカウントへサイトＱのアカウントを紐付けるために、Ｗｅｂ－ＰからＬＤＡＰ－P,ＬＤＡＰ－Ｑ,ＬＤＡＰ－Rに対して認証を行う。

設問２　[個人情報の取扱い]について、旧Ａ社と旧Ｂ社の合併によるＣ社への事業継承に伴って取得した個人情報の取扱いに関し、個人情報保護法に定められている禁止事項は何か。７０字以内で述べよ。

解答

本人に通知・公表した利用目的の範囲外で利用することは禁止されており、利用目的が変わる場合は新たに明確な操作での承諾が必要

解説

個人情報保護法に関する出題です。

「事業の承継後も、譲渡される前の利用目的の範囲内で利用しなければならない」ことは明記されているため、今回のケースのように『クロス分析などの手法を用いて購買傾向を分析する』など、利用目的の範囲から逸脱した利用方法をする場合は改めて明確な操作での承諾（オプトイン）が必要です。

事業譲渡の場合は、「利用目的の範囲内」であれば再度許諾を取る必要はありません。

個人情報保護法については、一読しておくことをお勧めいたします。

令和２年 改正個人情報保護法について

設問３

（１）本文中のc,d,f,gに入れる適切な字句を、解答群の中から選び、記号で答えよ。

解答

c	ウ
d	ア
f	ケ
g	イ

解説

ユーザ情報はまず図４の101行目で呼び出されたAccountLinkに格納されます。利用者ＩＤは「childID」に格納されています。

誤った利用者ＩＤを入力した状態でも、このまま図４の処理が進み103行目からのfor文に入ります。この中で呼び出されるのが105行目の「checkChild()」になります。

checkChildは図３の18行目から記述がありますが、このcheckChild()の中でExceptionが発生すると図４の110行目でchatchされ、一定時間待ちます。その後、再度for文の処理が走りますが、このfor文は3回しかループしないことになっていますので、4回目のExceptionではループを抜けてしまいます。

さらに、図４の113行目のchildChekedの値ですが、これは図３の19行目でも使っており、ここでtrueに上書きされてしまっています。

そのため、上記条件では誤った利用者ＩＤを入力しても紐付けが完了してしまいます。

（２）本文中のe,hに入れる適切な字句を図３又はず図４中の行番号を、解答群の中から選び、記号で答えよ。

解答

e	ウ
h	キ

解説

e:Exceptionをcatchするには、try構文の中で例外が発生する必要がある。選択肢の中でtry構文の中の行番号はウのみ

h:コメントアウトに記載のある通り、紐付けを実行するのは117行目

（３）本文中のiに入れる適切な処理内容を50字以内で具体的に述べよ。

解答

32行目で例外を返す前に、childChekedの値をfalseに更新する。

解説

例外を投げる前に、「認証失敗」ステータスに更新することで意図しない処理抜けを防ぐ。

例外の代わりにエラーコードを返すことでも対応はできるが、せっかくの「一定時間待って再度処理する」というリトライ処理が意味を成さなくなるので恐らくＮＧ

設問４

（１）本文中のjに入れる適切な内容を40字以内で述べよ。

解答

本人以外のメールアドレスにパスワードが送信できてしまう

解説

インシデントの報告にある通り。総当たりで会員番号と誕生日を突破すれば、任意のメールアドレスにメール送信ができ、パスワードが取得できてしまう。

（２）本文中のkに入れる適切な内容を40字以内で述べよ

解答

パスワードリセットURLは登録済みメールアドレスにのみ送付する

解説

任意のメールアドレスに送信できてしまうことが課題である。場合によってはユーザビリティが下がるかもしれないが、セキュリティを保つためには必要な機能

（３）本文中の下線１について、さらに大きな被害とは何か。具体的な被害を二つ挙げ、それぞれ30字以内で述べよ。

登録済みのクレジットカードを利用したサイトＱでの商品購入

サイトＰでのポイント交換

設問５

（１）利用者の操作によって、図７のとおりに画面が遷移した場合、（い）（う）の画面は、図６の（１）～（４）のどの時点で表示されるか。それぞれ（１）～（４）の記号で答えよ。

解答

（い）	（２）
（う）	（４）

解説

（２）利用者の操作によって、図７の通りに画面が遷移した場合、（あ）（い）（う）の各画面では、どのサーバから送られたHTMLを表示するか。それぞれ解答用紙の"SP","IdP"のいずれかを〇印で囲んで示せ

解答

（あ）	SP
（い）	IdP
（う）	SP

解説

(あ）はサイトＱなのでSPからのHTMLが表示される。サイトSのＩＤでのログイン時はIdPでのHTMLが表示されることとなる。

（３）利用者の操作によって、図８の（え）（お）（か）（き）（く）（け）の順に画面が遷移した場合、（え）（か）（き）（く）の各画面では、どのサーバから送られたHTMLを表示するか。それぞれ解答用紙の"SP","IdP"のいずれか〇印を囲んで示せ。

（え）	SP
（か）	IdP
（き）	IdP
（く）	SP

情報処理安全確保支援士 令和２年午後２　問２　クラウドサービスを活用したテレワーク環境

設問１

（１）本文中の下線１について、ＱＲコードに含まれる、ＯＴＰアプリがＯＴＰの生成に使用する情報を、解答群の中から選び、記号で答えよ。

解答

イ

解説

時間の情報をＯＴＰ生成時に利用しているが、タイムスタンプでは１秒ごとにパスコードが変わってしまう。他に利用している情報はイのシェアードシークレット（共通鍵）

（２）本文中の下線２について、Ｅ社のネットワークからのアクセスだけに制限しなかった場合、ＯＴＰについてどのような問題が起きると考えられるか。起きると考えられる問題を３０字以内で述べよ。

解答

ＱＲコードが搾取され、ＯＴＰが不正に生成される

解説

外部からのパスワードリスト攻撃などによって、初期設定用ＱＲコードが搾取されると、そのＱＲコードを利用してＯＴＰが生成されてしまう。

そのため、初期設定用のＱＲコード生成は社内ネットワーク内などセキュアな環境でのみ許可をする必要がある。

（３）図２及び図３中のa～fに入れる適切な通信メッセージ又は処理を、解答群の中から選び、ア～カの記号で答えよ。

解答

a	ウ
b	エ
c	イ
d	ア
e	カ
f	オ

設問２ 本文中の下線３について、ノートＰＣを介して持ち出す方法を３０字以内で具体的に述べよ。

解答

スマートフォンなどで画面を撮影し、情報を持ち出す

解説

「ＶＤの閲覧、キーボード及びマウスによる操作、マイク及びスピーカーによる会話」しかできない状態で情報を持ち出す必要がある。可能性があるのは「ＶＤの閲覧」のみ。方法は様々あると思われる。

設問３

（１）本文中の下線４について、マルウェアが社内情報を取得する方法を３５字以内で具体的に述べよ。

解答

画面イメージをキャプチャし、外部へ送信する

解説

（２）本文中の下線５について、Ｔ環境内のアクセスも必要最小限にする場合、許可するアクセス先を解答群の中から全て選び、記号で答えよ。

解答

ア、ウ、エ

解説

「ノートＰＣから」のアクセスは最小限にする。ノートＰＣはIDaaS-Yで認証しDaaS-Vに接続してからＶＤ経由で各サービスを利用する。そのため各サービスへの接続は許可しない。

また、クライアント証明書などの取得にはMDM-Wを利用する。

設問４ 本文中の下線６について、どのような方法か。３５字以内で述べよ。

解答

セキュリティ対策について、第三者による監査報告書を確認する

設問５ 本文中の下線７について、該当する対策を本文中の用語を用いて３５字以内で述べよ。

解答

２要素認証に加え、クライアント証明書によるデバイス認証

解説

DaaS-Vのフィッシングサイトで搾取される情報は「利用者ＩＤ」　利用者ＩＤでＴ環境に接続する際のセキュリティ対策は「スマホアプリによる二要素認証」と「クライアント証明書によるデバイス認証」

設問６

（１）本文中のgに入れる適切な字句を、２０字以内で述べよ。

解答

パスワードを推測しログインする

解説

ディスクが暗号化されていても、ＯＳの認証を突破されればディスク上のデータは復号して閲覧することができるため

（２）本文中の下線８について、利用者に設定させるとどのような問題が起きると考えられるか。起きると考えられる問題を２５字以内で具体的に述べよ。

解答

容易に推測可能な文字列が登録される

解説

認証情報の登録をユーザに委ねる際のリスクとして、上位に挙げられるのがこちら

（３）本文中の下線９について、DaaS-Vへのアクセスと同等のセキュリティを実現するためには、FWのVPN機能にどのような仕組みが必要か。必要な仕組みを３０字以内で具体的に述べよ。

解答

クライアント証明書によるデバイス認証を構築する

情報処理安全確保支援士　過去問解説その他記事