情報セキュリティマネジメント試験 2016年度の過去問
2016年度 春期 49問
- 問1CSIRTはインシデントの受付・調査・対応を担う専門チーム
- 問2クリアデスクは机上に書類や媒体を放置せず施錠保管する対策
- 問3独立した立場でコントロールを検証し保証・助言するのが情報セキュリティ監査
- 問4紛失時の漏えい対策はリモートからのデータ消去が有効
- 問5残留リスクの受容にはリスク所有者の承認が必要
- 問6情報セキュリティ方針は従業員や外部関係者へ周知する文書
- 問7内部不正対策では情報の持出し経路をフィルタで制限する
- 問8特権的アクセス権はシステム設定や更新を行える管理者権限
- 問9不正は機会・動機・正当化の3要素がそろうと発生する
- 問10アクセスログは定期的に確認してこそ不正の早期発見に効く
- 問11BYODは私物端末の業務利用で管理外ゆえのリスクが増える
- 問12IDSは不審な挙動を検知して管理者へ通知する監視システム
- 問13WAFはHTTPの中身を検査してWebアプリへの攻撃を遮断する
- 問14マルウェア対策の基本はOSとアプリの修正パッチ適用
- 問15管理者の不正防止には第三者による監視で相互牽制を効かせる
- 問16ハッシュ値の一致で証拠の原本と複製の同一性を証明する
- 問17廃棄前はディスク全領域を複数回上書きしてデータを消去する
- 問182要素認証は知識・所持・生体のうち異なる2種類を組み合わせる
- 問19APTは特定組織を標的に長期間気付かれず執拗に続ける攻撃
- 問20HDD抜取りによる読出しはHDDパスワードで防ぐ
- 問21XSSは応答に埋め込まれた不正スクリプトが閲覧者側で実行される
- 問22クリックジャッキングは透明化した標的ページを重ねて誤操作させる
- 問23署名検証でわかるのは改ざんの有無と署名者の正当性だけ
- 問24認証局は公開鍵の持ち主を保証する証明書を発行する
- 問25ドライブバイダウンロードは閲覧しただけで不正プログラムを送り込む
- 問26パスワードリスト攻撃は他サイト流出の認証情報の使い回しを突く
- 問27バックドアは認証を回避して再侵入するための裏口
- 問28AESは共通鍵暗号なので双方で共有した共通鍵を使う
- 問29ポートスキャンは侵入前に狙えるサービスを探す事前調査
- 問30公開鍵で暗号化した情報は対の秘密鍵の持ち主だけが復号できる
- 問31データ内容の原則は目的に沿った正確・完全・最新の維持を求める
- 問32個人を識別できる生存者の情報はすべて個人情報に当たる
- 問33データ改ざんで業務を妨げるのが電子計算機損壊等業務妨害
- 問34特定電子メール法は同意なき広告メールの送信を規制する
- 問35営業秘密は秘密管理性・有用性・非公知性の3要件で保護される
- 問36請負では雇用主が自ら指揮命令する。契約先の指示は偽装請負
- 問37スプレッドシートのロジック変更は承認と履歴管理が要る
- 問38守秘義務は雇用終了後も存続させる定めが必要
- 問39情報セキュリティ監査は情報資産全般が対象。紙の部署も必要
- 問40SLAはサービス内容と目標を定めた提供者と顧客の合意文書
- 問41RTOは復旧までに許容される時間、RPOはどこまで遡るかの時点
- 問42内訳と合計の推移を同時に示すなら積上げ棒グラフ
- 問43レスポンスタイムは入力終了から結果が出始めるまでの時間
- 問44データウェアハウスは意思決定支援のためにデータを統合蓄積する
- 問45ルータはネットワーク層でIPアドレスを見て経路を選び中継する
- 問46プロキシサーバは代理アクセスとキャッシュで高速化と統制を担う
- 問47SaaSは必要な機能を必要なときにネット経由で使う提供形態
- 問48調達はRFI→RFP→供給者選定→契約締結の順に進む
- 問49BCPは許容できる損失を超えるリスクから優先的に対処する
2016年度 秋期 46問
- 問2保険加入は損失負担を他者と分けるリスク共有
- 問3JPCERT/CCは中立の立場でインシデント対応を調整する
- 問4JVNは脆弱性対策情報を公開する国内ポータルサイト
- 問5可用性を高めるのは冗長化など止まらない工夫
- 問6ベースラインアプローチは基準と現状のギャップ分析
- 問7現存IDと在籍者名簿の突合せで削除漏れが見える
- 問8リスク評価は分析結果を基準と比べ受容可否を決める
- 問9残留リスクは対策後も残り、受容には承認が要る
- 問10教育対象は雇用形態を問わず情報を扱う全員
- 問11特権者の単独作業を避け、相互牽制を働かせる
- 問12C&Cサーバはボットへ指令を出す攻撃者側の司令塔
- 問13MDMはモバイル端末の設定と利用を一元管理する
- 問14rootkitはバックドア設置と侵入痕跡の隠蔽を行う
- 問15SIEMはログを集約・相関分析して脅威を検知する
- 問16SPFはDNSで送信サーバを公開し送信元詐称を検知
- 問17経路の一部しか暗号化されないならファイル自体を暗号化
- 問19時刻同期はNTP(UDP 123)だけを許可する
- 問20CAPTCHAは人間とプログラムを判別し自動入力を防ぐ
- 問22XSSは他人のブラウザで悪意のスクリプトを実行させる
- 問23サイバーセキュリティ戦略の基本原則に開放性が含まれる
- 問24スクリプトキディは公開ツールをなぞって攻撃する者
- 問25人の心理を突いて聞き出すのがソーシャルエンジニアリング
- 問26パスワードリスト攻撃は流出した認証情報の使い回しを突く
- 問27ランサムウェアはファイルを人質に金銭を要求する
- 問28送信者の正当性は認証局が裏付けた電子署名で確認する
- 問29認証局は証明書の発行と失効リストの公開を担う
- 問30コモンクライテリアはISO/IEC 15408
- 問31権利侵害を知らないプロバイダの放置は責任が制限される
- 問32機械に虚偽情報を与えて利益を得るのが電子計算機使用詐欺
- 問33個人番号は法定事務に限定、委託は監督付きで可
- 問34広告メールは事前同意を得るオプトインが原則
- 問35不正アクセス目的でIDを取得した時点で処罰対象になる
- 問36準委任は完成義務でなく善管注意義務を負う契約
- 問37内部監査は前回結果を考慮して監査計画を立てる
- 問38証拠を改変せず収集・保全する技法がフォレンジックス
- 問39BCPは最新の情報に保たれて初めて有事に機能する
- 問40監査基準は行為規範、管理基準は判断の尺度
- 問41移行テストは切替え手順の確実性と問題点を確認する
- 問42インシデントはサービスの計画外中断そのものを指す
- 問43前日まで戻すには日次の差分バックアップが必要
- 問44ステークホルダには外部や不利益を被る者も含まれる
- 問45Webクライアント化で端末側の配布・更新作業が減る
- 問46E-R図は実体と関連でデータ構造を表す概念モデル
- 問47DHCPはブロードキャストで探すためサーバ指定が不要
- 問48BPOは非中核の業務プロセスを外部へ一括委託すること
- 問49企画プロセスは経営ニーズと業務課題を明確にする