情報セキュリティマネジメント試験 2017年度の過去問
2017年度 春期 46問
- 問1トップは方針を定め人々を指揮し、ISMSを本業に統合する
- 問2自社だけでなく委託先・取引先まで含めた対策確認が必要
- 問3CSIRT構築の手引きはJPCERT/CCのCSIRTマテリアル
- 問4RPOは戻せるデータの時点、RTOは復旧までの時間
- 問5リスクマネジメントは組織に合わせ、動的で業務と一体
- 問6特定・分析・評価がリスクアセスメント、その後に対応
- 問7リスクレベル=影響の大きさ×起こりやすさの組合せ
- 問8委託しても責任は委託元、手順と連絡経路を事前に定める
- 問9危殆化は技術進歩で既存暗号の強度が相対的に落ちること
- 問11全員が認識すべきは方針・自らの貢献・不適合の意味
- 問12JVNは脆弱性情報と対策情報を公開する国内ポータル
- 問13NIDSは通信を監視して侵入の兆候を検知・通知する
- 問14内部不正の早期発見にはアクセスログの定期的な点検
- 問15フォレンジックスは証拠性を保った保全・収集・分析
- 問16盗聴には暗号化、総当たりには試行回数制限で対応する
- 問17公開サーバはDMZ、重要データは内部セグメントに置く
- 問182要素認証は知識・所持・生体から異なる種類を組み合わせる
- 問19証明書と署名で確認できるのは送信者の真正性と完全性
- 問20ハッシュは固定長・一方向・衝突困難という性質をもつ
- 問21ソーシャルエンジニアリングは技術でなく人の隙を突く手口
- 問22署名は秘密鍵で作成し、公開鍵で検証する
- 問24真正性は主張どおりか、信頼性は結果が一貫しているか
- 問25CRLは有効期間中に失効した証明書の一覧
- 問26PCI DSSはカード会員データ保護のための具体的要件
- 問27不正は動機・機会・正当化の三つがそろうと起こる
- 問28IPsecはネットワーク層でAHとESPを使い通信を保護する
- 問29WAFは通信パターンの黒白リストで攻撃を遮断する
- 問31要件を満たす電子署名には押印と同等の推定効がある
- 問32電子商取引の契約成立は承諾通知が到達した時点
- 問33営業秘密は秘密管理性・有用性・非公知性の三要件が必要
- 問35法定時間外労働には36協定の締結と届出が必須
- 問36発見的統制の要は貸出記録と実利用ログの突合
- 問37システムテストは異常系まで網羅されているかを確認する
- 問38報告書原案の意見交換は事実誤認の確認が目的
- 問39連絡・報告ルートは障害の影響度に応じて分けるべき
- 問40利用者は業務手順どおりに動くかを最優先で確認する
- 問41OLAは社内の内部グループとの間で結ぶサービス合意
- 問42問題管理は根本原因を潰して再発を防ぐプロセス
- 問43最短完了日数はクリティカルパスの長さで決まる
- 問44ホットスタンバイは待機系を常時動かし自動で即切替え
- 問45データマイニングは大量データから傾向や規則を発掘する
- 問46404はサーバには届いたが該当資源が無いという応答
- 問47情報戦略は中長期の経営計画と整合させて立案する
- 問48抜本的な再設計はあるべき姿から発想し現行を前提にしない
- 問49非機能要件は性能・可用性など品質面の要求を定める
- 問50BCPは有事に重要業務を継続するための事前の行動計画
2017年度 秋期 43問
- 問1経営者はセキュリティ人材の処遇と予算の確保を指示する
- 問2本文の要求事項は必須、附属書Aの管理策は理由があれば除外可
- 問3コーディネーションセンターはCSIRT間の連携と調整を担う
- 問4CRYPTRECは電子政府推奨暗号の安全性を評価・監視する
- 問5リスク特定ではリスク源・事象・原因と結果を洗い出す
- 問6リスクファイナンシングは保険など損失の資金手当てを行う対応
- 問7リスク評価は分析結果をリスク基準と比較して受容可否を決める
- 問8リスク所有者はリスク管理の説明責任と権限をもつ主体
- 問9リスクは脅威と脆弱性がそろって初めて顕在化する
- 問10是正処置は不適合の原因を除去し再発を防ぐ処置
- 問11否認防止は行為の事実と主体を後から否定させない特性
- 問12サポートユーティリティは電力や空調などの支援設備を指す
- 問13DLPは機密情報を判別して持出し操作を警告・遮断する
- 問14SIEMは各種機器のログを統合分析して兆候を洗い出す
- 問15アンチパスバックは入退室記録の整合を求め不正通行を拒否する
- 問17ステガノグラフィは情報の存在自体を気付かせずに埋め込む技術
- 問18パスワードはハッシュ値で保存し入力値のハッシュと比較する
- 問19無線LANの部外者接続は事前共有鍵の都度変更で防ぐ
- 問24署名は送信者の秘密鍵で作り、本人確認と改ざん検知に使う
- 問25アカウントには業務に必要な最小限の権限だけを与える
- 問26ルート認証局は自己署名の信頼の起点で運用規程を公開する
- 問27ワームは単独で自己増殖し自ら感染を広げるマルウェア
- 問28秘匿目的の暗号化には受信者の公開鍵を使う
- 問29HTTPSは通信の暗号化と証明書によるサーバ認証を実現する
- 問30ファジングは異常なデータを送り挙動から脆弱性を見つける
- 問31個人情報は生存する個人を識別できる情報が対象
- 問32広告宣伝メールは事前同意を得るオプトインが原則
- 問33プログラム言語・規約・解法は著作権の保護対象外
- 問34類似ドメイン名の不正取得は不正競争防止法で規制される
- 問35インストール数条件のライセンスは総設置台数で判断する
- 問36派遣先は事前特定や性別指定を行えず、苦情処理の責任も負う
- 問37入力誤りの発見には入力データと原票の照合が有効
- 問38システム間の受渡しは金額と件数の合計照合で網羅性を確保する
- 問39システム監査はコントロールを評価しITガバナンスに寄与する
- 問41Actは点検結果を受けて継続的改善の処置を実施する段階
- 問42稼働率は提供時間から停止時間を引いて提供時間で割る
- 問43逓減課金は使用量が増えるほど単価が下がり傾きが緩む
- 問44ガントチャートは作業期間の予定と実績を横棒で示す図表
- 問45MTBFは平均故障間隔、MTTRは平均修復時間
- 問46ビッグデータ時代は大量データからのパターン発見が中心
- 問47NATはプライベートIPとグローバルIPを相互変換する
- 問48KGIが最終目標、CSFが成功要因、KPIが達成度を測る指標
- 問49企画プロセスではシステム化構想と計画を立案する