情報セキュリティマネジメント試験 2019年度の過去問
2019年度 春期 39問
- 問1マネジメントレビューでは前回処置・監査結果・不適合の状況を必ず考慮する
- 問2コーディネーションセンターはCSIRT同士をつなぐ調整役
- 問3CRYPTRECは電子政府推奨暗号の安全性を評価・監視する
- 問4サポートユーティリティは電気・空調など設備を支える供給インフラ
- 問7リスクの運用管理に責任と権限をもつ主体がリスク所有者
- 問8情報セキュリティ目的の計画では資源と評価方法まで決める
- 問9クラウド上のデータも含め情報資産は漏れなく台帳に記入する
- 問10DNSキャッシュポイズニングは偽応答でキャッシュを汚染する攻撃
- 問11SPFはDNSの情報で送信元ドメインのなりすましを検知する
- 問123で読み書き可・実行不可なら値4のビットが実行に対応する
- 問13アンチパスバックは入室記録のないカードでの退室を認めない
- 問14カードセキュリティコードは承認後は誰も保存してはならない
- 問15IPSは不正通信を検知して遮断まで行う侵入防止装置
- 問16パスワードリスト攻撃は流出した認証情報の使い回しを突く
- 問17IPマスカレードはアドレスとポートを変換し内部アドレスを隠す
- 問1980番はWeb用に開いているため指令サーバとの通信に悪用される
- 問20無断接続対策はWPA2-PSKと長い事前共有鍵が最も有効
- 問21CAPTCHAは応答から人間の操作かどうかを判定する仕組み
- 問22抜き取り対策はストレージ側に効くHDDパスワードや暗号化
- 問23S/MIMEの署名で分かるのは作成者と改ざんの有無だけ
- 問24XML署名は部分署名や多重署名など柔軟な署名に対応できる
- 問25アカウントには業務に必要な最小限の権限だけを与える
- 問29SSH公開鍵認証はサーバが公開鍵で検証しクライアントが秘密鍵で署名
- 問31書面で直接取得する個人情報は事前に書面で明示し同意を得る
- 問32統一基準は機密性・完全性・可用性の観点で情報を格付する
- 問33広告宣伝メールは事前同意を得るオプトインが原則
- 問34個人番号は税・社会保障等の法定事務以外に使ってはならない
- 問36出向では出向先が指揮命令し、派遣では雇用は派遣元に残る
- 問38セキュリティ機能の試験は開発期間中に計画的に実施する
- 問39指摘事項は証拠に基づき事実確認を経て監査人が判断する
- 問40保証型監査は結果の開示で利害関係者の信頼確保に役立つ
- 問41インシデントはサービスの中断や品質低下を招く事象そのもの
- 問42入力段階でのエラー検出が手戻りを減らし効率がよい
- 問43プロジェクトは有期で独自の成果を生む活動を指す
- 問44クライアントサーバは要求側と提供側で役割を分けた分散処理
- 問45排他制御は同時アクセスによる処理結果の矛盾を防ぐ
- 問46メール送信はSMTP、受信はPOP3またはIMAP4
- 問48必要な年間利益は投資額を回収期間で割って求める
- 問49ベンダ選定は提案を受ける前に評価基準と手順を定めておく
2019年度 秋期 38問
- 問1BECは取引先等になりすました偽メールで送金させる金銭詐欺
- 問2J-CSIPはIPAを情報ハブとする組織間の攻撃情報共有の枠組み
- 問3残留リスクの受容はリスク所有者が承認する必要がある
- 問4退職間際の情報持出しは監視強化で抑止する
- 問5是正処置は原因を除去して再発を防ぐ、修正は不適合を直すだけ
- 問623番はTelnet。初期パスワード放置のIoT機器が狙われる
- 問7SPFはDNS公開のIPアドレスで送信元ドメインの詐称を検出する
- 問8VDIによるインターネット分離は内部PCへのマルウェア到達を防ぐ
- 問9JIS Q 27017はクラウド固有の管理策を追加した規格
- 問11ステガノグラフィは情報の存在自体を隠して埋め込む技術
- 問12ハッシュ値が一致すれば内容は同一、出力長は入力長によらず一定
- 問13トランザクション署名は取引内容を別デバイスで確認しMITBを防ぐ
- 問14フォールスポジティブは正常な通信を攻撃と誤検知すること
- 問15C&Cサーバはボット化した端末に攻撃を指示する中枢
- 問17AESは共通鍵暗号。IPsecのデータ暗号化には共有した共通鍵を使う
- 問19リバースブルートフォースはパスワード固定でIDを総当たりする
- 問20ディジタル署名は秘密鍵で作成し公開鍵で検証する
- 問23MACはブロック暗号でも生成でき改ざんを検知する
- 問25ランダムサブドメイン攻撃は権威DNSサーバを過負荷にする
- 問26ハイブリッド暗号方式が守るのは本文の機密性
- 問29ハニーポットは囮で攻撃手法を観測する仕組み
- 問31媒体経由のマルウェアによるデータ消去は刑法で処罰される
- 問32公益通報者保護法は罰則規定を持たない保護法
- 問34取決めがなければ著作権は創作した受託者に帰属する
- 問35労働者派遣は派遣先が直接指揮命令する形態
- 問36就業規則の一般規定を個別合意で具体化するのは適切
- 問37コントロールトータルの照合が正確性と網羅性を担保する
- 問38職務分掌による相互牽制は統制活動の代表例
- 問39ウォークスルー法はデータの流れと統制を追跡する技法
- 問41インシデントは計画外の中断や品質低下などの事象
- 問42エラープルーフ化は仕組みで誤りを起こしにくくすること
- 問43リスクは進行につれ減り、変更コストは終盤ほど大きい
- 問45応答時間は要求完了から応答が返り始めるまでの時間
- 問46デッドロックはDBMSがロールバックで解消する
- 問47DNSは名前からIPアドレスを求める名前解決の仕組み
- 問48RPAはPC上の定型操作をソフトで自動化する技術
- 問49RFPでは要求事項に重要度を設定して示す
- 問50テキストマイニングは文章から単語の傾向を分析する手法