問題（出典：2022年12月公開サンプル問題セット問20）

A社は栄養補助食品を扱う従業員500 名の企業である。
A社のサーバ及びファイアウォール（以下，FW という）を含む情報システムの運用は情報システム部が担当している。
ある日，内部監査部の監査があり，FW の運用状況について情報システム部のB部長が図1のとおり説明したところ，表1に示す指摘を受けた。

B部長は表1の指摘に対する改善策を検討することにした。

【設問】
表1中の指摘1について，FWルールの誤った変更を防ぐための改善策はどれか。
解答群のうち，最も適切なものを選べ。

【解答群】
ア Endpoint Detection and Response（EDR）をコンソールに導入し，監視を強化する。
イ FWでの運用担当者のログインにはパスワード認証の代わりに多要素認証を導入する。
ウ FWのアクセス制御機能を使って，運用担当者をコンソールからログインできる者，リモートからログインできる者に分ける。
エ FWの運用担当者を1人に限定する。
オ 運用担当者の一部を操作ログの確認だけをする者とし，それらの者には操作ログの確認権限だけを付与する。
カ 運用担当者を，FWルールの編集を行う者，操作ログを確認し，操作承認をする者に分け，それぞれに必要最小限の権限を付与する。
キ 作業を行う運用担当者を，曜日ごとに割り当てる。

ファイアウォール

意味「ファイアウォール（firewall＝防火壁）」は、外部から自社ネットワークに入ってくるデータと、自社ネットワークから外部に出ていくデータの宛先と差出人を確認し、許可されているデータだけを通過させるシステムです。この問題では、A社のファイアウォールの運用状況に、セキュリティ上の問題があることがテーマになっています。

ファイアウォールのルール

意味「ファイアウォールのルール」とは、外部と自社ネットワークの間で、データの通過を許可するか禁止するかを取り決めたものです。この問題では、ファイアウォールの運用において、ルールの編集、操作ログの確認、ルールの確認および操作の認証、という業務があります。

ファイアウォールのアクセス制御機能

意味「ファイアウォールのアクセス制御機能」は、ファイアウォールが、ルールに従ってデータの通過を許可および禁止する機能です。

操作ログ

意味「操作ログ（log＝記録）」とは、システムを利用した記録のことです。多くの場合に、いつ、だれが、どのような操作をしたたが記録されます。この問題では、ファイアウォールのルールの編集などが、操作ログとして記録されます。

ネットワークを経由せずコンソールでログイン

意味「ネットワークを経由せずコンソールでログイン」とは、コンピュータに直接接続されているキーボードとディスプレイを使ってログインすることです。「コンソール（console＝操作卓）」とは、コンピュータを操作する装置（キーボードとディスプレイ）のことです。この問題では、ファイウォールの運用において、利用者IDごとにコンソールとリモートのどちらでログインできるかが設定でき、どちらログインしても、同一の機能を利用できます。

ネットワークを経由してリモートからログイン

意味「ネットワークを経由してリモートからログイン」とは、コンピュータに直接接続されているコンソールではなく、ネットワーク経由でログインすることです。この問題における注目点は、【操作ログ】で説明したことと同様です。

Endpoint Detection and Response（EDR）

意味「Endpoint Detection and Response（末端の検知と対応）」は、エンドポイント（ネットワークの末端に位置するサーバやPCなど）において、セキュリティの問題を検知して対応することです。この問題では、ファイアウォールの操作ログを使って検知と対応を行うことがEDRに該当します。

多要素認証

意味「多要素認証」は、パスワードだけでなく、生体認証やICカードなど、2つ以上の要素を使って本人の認証を行うことです。この問題では、ファイアウォールのログインにパスワードを使うとだけあるので、多要素認証は使われていません。

問題（出典：2022年12月公開サンプル問題セット問19）

A社は従業員200名の通信販売業者である。一般消費者向けに生活雑貨，ギフト商品などの販売を手掛けている。取扱商品の一つである商品Zは，Z販売課が担当している。

〔Z販売課の業務〕
現在，Z販売課の要員は，商品Zについての受注管理業務及び問合せ対応業務を行っている。商品Zについての受注管理業務の手順を図1に示す。

〔Jシステムの操作権限〕
　Z販売課では，Jシステムについて，次の利用方針を定めている。
　［方針1］ ある利用者が入力した情報は，別の利用者が承認する。
　［方針2］ 販売責任者は，Z販売課の全業務の情報を閲覧できる。

Jシステムでは，業務上必要な操作権限を利用者に与える機能が実装されている。
この度，商品Zの受注管理業務が受注増によって増えていることから，B社に一部を委託することにした（以下，商品Zの受注管理業務の入力作業を行うB社従業員を商品ZのB社販売担当者といい，商品ZのB社販売担当者の入力結果を閲覧して，不備があればA社に口頭で差戻しを依頼するB社従業員を商品ZのB社販売責任者という）。

委託に当たって，Z販売課は情報システム部にJシステムに関する次の要求事項を伝えた。

　［要求1］ B社が入力した場合は，A社が承認する。
　［要求2］ A社の販売担当者が入力した場合は，現状どおりにA社の販売責任者が承認する。

上記を踏まえ，情報システム部は今後の各利用者に付与される操作権限を表1にまとめ，Z販売課の情報セキュリティリーダーであるCさんに確認をしてもらった。

【設問】

操作権限

意味「操作権限」は、システムにどのような操作を行えるかということです。この問題では、受注管理システムの利用者ごとに、閲覧、入力、承認の権限が付与されます。

入力

意味「入力」は、システムに情報を登録することです。この問題では、A社の販売担当者、およびA社から委託を受けたB社の販売担当者が入力を行います。

承認

意味「承認」は、システムの操作内容に問題がないかどうかを確認することです。この問題では、入力の内容に問題がないかどうかを、A社の販売責任者が承認します。

閲覧

意味「閲覧」は、システムに登録されている情報を見ることです。この問題では、B社の販売担当者が入力した情報を、B社の販売責任者が閲覧して、不備があればA社に口頭で報告します。

問題（出典：2022年12月公開サンプル問題セット問18）

A社はIT開発を行っている従業員1,000名の企業である。総務部50名，営業部50名で，ほかは開発部に所属している。
開発部員の9割は客先に常駐している。現在，A社におけるPCの利用状況は図1のとおりである。

A社では，客先常駐開発部員が業務システムを使うためだけにA社オフィスに出社するのは非効率的であると考え，客先常駐開発部員に対して個人所有PCの業務利用（BYOD）とVPN接続の許可を検討することにした。

【設問】
客先常駐開発部員に，個人所有PCからのVPN接続を許可した場合に，増加する又は新たに生じると考えられるリスクを二つ挙げた組合せは，次のうちどれか。解答群のうち，最も適切なものを選べ。
(一) VPN接続が増加し，可用性が損なわれるリスク
(二) 客先常駐開発部員がA社PCを紛失するリスク
(三) 客先常駐開発部員がフィッシングメールの URL をクリックして個人所有 PCがマルウェアに感染するリスク
(四) 総務部員が個人所有PCをVPN接続するリスク
(五) マルウェアに感染した個人所有PCが社内ネットワークにVPN接続され，マルウェアが社内ネットワークに拡散するリスク

【解答群】

ア (一)，(二)　　　イ (一)，(三)　　　ウ (一)，(四)
エ (一)，(五)　　　オ (二)，(三)　　　カ (二)，(四)
キ (二)，(五)　　　ク (三)，(四)　　　ケ (三)，(五)
コ (四)，(五)

VPN

意味「VPN（Virtual Private Network）」は、パブリックなネットワークであるインターネット上で、暗号化と認証の技術を使うことで、仮想的にプライベートなネットワークを実現することです。利用者は、インターネット上のVPNサーバにVPN接続します。この問題では、個人所有PCからVPN接続を許可した場合に、増加もしくは新たに生じるリスクを答えることがテーマになっています。これは、個人所有PCから会社のネットワークに接続するということであり、いくつかのリスクが考えられます。

BYOD

意味「BYOD（Bring Your Own Device）」は、個人所有のPCや端末などの機器を、業務で使用することです。この問題では、個人所有PCからVPN接続をすること（会社のネットワークを使うこと）がBYODです。

可用性

意味JIS（日本産業規格）では、情報セキュリティという用語を「情報の機密性、完全性、可用性を維持すること」と定義しています。この問題では、設問の中に「可用性」という言葉があります。可用性とは、情報を使い続けられること、つまり、システムが停止しないことです。

フィッシングメール

意味「フィッシングメール」は、フィッシングサイト（本物ソックリに作られた偽のWebサイト）に誘導するためのメールです。です。この問題では、設問の中に「フィッシングメール」という言葉があります。

マルウェア

意味「マルウェア」は、malicious（悪意のある）とsoftware（ソフトウェア）を組合せた造語です。コンピュータウイルスやワームなど、悪さをするプログラムの総称です。この問題では、設問の中に「マルウェア」という言葉があります。

問題（出典：2022年12月公開サンプル問題セット問17）

製造業のA社では，ECサイト（以下，A社のECサイトをAサイトという）を使用し，個人向けの製品販売を行っている。
Aサイトは，A社の製品やサービスが検索可能で，ログイン機能を有しており，あらかじめAサイトに利用登録した個人（以下，会員という）の氏名やメールアドレスといった情報（以下，会員情報という）を管理している。Aサイトは，B社のPaaSで稼働しており，PaaS上のDBMSとアプリケーションサーバを利用している。

A社は，Aサイトの開発，運用をC社に委託している。A社とC社との間の委託契約では，Web アプリケーションプログラムの脆弱性対策は，C社が実施するとしている。

最近，A社の同業他社が運営しているWebサイトで脆弱性が悪用され，個人情報が漏えいするという事件が発生した。そこでA社は，セキュリティ診断サービスを行っているD社に，Aサイトの脆弱性診断を依頼した。脆弱性診断の結果，対策が必要なセキュリティ上の脆弱性が複数指摘された。図1にD社からの指摘事項を示す。

【設問】
図1中の各項番それぞれに対処する組織の適切な組合せを，解答群の中から選べ。

【解答群】

ECサイト

意味「EC（Electric Commerce＝電子商取引）サイト」は、自社の製品やサービスをインターネット上で販売するためのWebサイトです。この問題では、ECサイトであることは、設問には関係ありません。

脆弱性

意味「脆弱性」は、プログラムに欠陥や不具合があることが原因で、外部からの攻撃を防げないことです。「セキュリティホール（セキュリティ上の欠陥）」とも呼ばれます。この問題では、OS、DBMS、Aサイトに脆弱性があります。

OS

意味「OS（Operating System）」は、コンピュータを操作するための基本機能を提供するソフトウェアです。OSの上で動作するソフトウェアをアプリケーションと呼びます。この問題では、OSがPaaSとして提供されています。したがって、OSの脆弱性は、PaaSを提供している組織が対処するべきです。PaaSという用語の意味は、後で説明します。

DBMS

意味「DBMS（Data Base Management System）」は、データベースの機能を提供するソフトウェアです。DBMSは、OSでもなく、アプリケーションでもなく、それらの間に存在するものなので、「ミドルウェア」と呼ばれます。この問題では、DBMSがPaaSとして提供されています。したがって、DBMSの脆弱性は、PaaSを提供している組織が対処するべきです。

アプリケーションサーバ

意味「アプリケーションサーバ」は、アプリケーションを実行する機能を持ったサーバです。DBMSと同様に、アプリケーションサーバもミドルウェアです。この問題では、アプリケーションサーバがPaaSとして提供されています。したがって、アプリケーションサーバの脆弱性は、PaaSを提供している組織が対処するべきです。

PaaS

意味「PaaS（Platform as a Service）」は、アプリケーションを実行するための土台となるハードウェア、OS、ミドルウェア（DBMSやアプリケーションサーバなど）を、ネットワーク上のサービスとして提供します（アプリケーションは提供しません）。この問題では、B社のPaaSを使って、A社のECサイト（Webアプリケーション）を稼働させています。したがって、PaaSに関する脆弱性は、PaaSを提供しているB社が対処するべきです。

クロスサイトスクリプティング

意味「クロスサイトスクリプティング」は、悪意のあるWebサイトを経由して、脆弱性のあるWebサイトに接続し、そこで悪意のあるスクリプト（HTMLやプログラム）を実行する攻撃です。この問題では、Aサイト（アプリ）にクロスサイトスクリプティングの脆弱性があります。

問題（出典：令和5年度公開問題問6）

A社は，放送会社や運輸会社向けに広告制作ビジネスを展開している。
A社は，人事業務の効率化を図るべく，人事業務の委託を検討することにした。
A社が委託する業務（以下，B業務という）を図1に示す。

委託先候補のC社は，B業務について，次のようにA社に提案した。
　・B業務だけに従事する専任の従業員を割り当てる。
　・B業務では，図2の複合機のスキャン機能を使用する。

A社は，C社と業務委託契約を締結する前に，秘密保持契約を締結した。
その後，C社に質問表を送付し，回答を受けて，業務委託での情報セキュリティリスクの評価を実施した。
その結果，図3の発見があった。

そこで，A社では，初期設定の状態のままではA社にとって情報セキュリティリスクがあり，初期設定から変更するという対策が必要であると評価した。

　
【設問】
対策が必要であるとA社が評価した情報セキュリティリスクはどれか。
解答群のうち，最も適切なものを選べ。

　
【解答群】

　ア　：　B業務に従事する従業員が，攻撃者からの電子メールを複合機からのものと信じて本文中にあるURLをクリックし，フィッシングサイトに誘導される。その結果，A社の採用予定者の個人情報が漏えいする。

　イ　：　B業務に従事する従業員が，複合機から送信される電子メールをスパムメールと誤認し，電子メールを削除する。その結果，再スキャンが必要となり，B業務が遅延する。

　ウ　：　攻撃者が，複合機から送信される電子メールを盗聴し，添付ファイルを暗号化して身代金を要求する。その結果，A社が復号鍵を受け取るために多額の身代金を支払うことになる。

　エ　：　攻撃者が，複合機から送信される電子メールを盗聴し，本文に記載されているURLを使ってBサーバにアクセスする。その結果，A社の採用予定者の個人情報が漏えいする。

ファイルサーバ

意味「ファイルサーバ」は、ファイルの保存を行えるサーバです。この問題では、複合機でスキャンして作成されたPDFファイルを、メールに添付して利用者に送りますが、ファイルのサイズが大きい場合は、それをファイサーバに保存し、保存先のURLを利用者にメールで知らせます。

複合機

意味「複合機」は、コピー、スキャナ、FAXなど、1台で複数の機能を持った事務機です。この問題の複合機には、スキャンして作成されたPDFファイルをファイルサーバに保存する機能や、PDFファイルをメールに添付して送る機能があります。

URL

意味「URL（Uniform Resource Locator）」は、ネットワーク上にあるデータの場所を示す統一的な書式の文字列です。代表的なURLには、「www.seplus.jp/index.html」のようにWebサイトのHTMLファイルの場所を示すものがあります。この問題では、ファイルサーバに保存されたPDFファイルのURLが、利用者にメールで知らされます。そのURLをクリックすれば、ファイルサーバのダウンロードページに移動して、PDFファイルを入手できるのでしょう。

フィッシングサイト

意味「フィッシング」は、「魚釣り」を意味するfishingと、「洗練された」を意味するsophisticatedを組合せた造語だといわれています（他の説もあります）。偽のメールで、本物ソックリの偽のWebページ（これが「フィッシングサイト」です）に誘導して、そのWebページを操作した利用者の情報を盗みます。この問題では、ファイルサーバの偽のダウンロードページに誘導して、利用者にIDとパスワードを入力させて、それらを盗むのでしょう。

スパムメール

意味「スパムメール」とは、勝手に送られてくる迷惑メールのことです。英国のテレビのコメディ番組で「スパム」という言葉を何度も連呼して相手を困らせる、という場面があったことが由来だといわれています。この問題では、複合機の利用者に偽のメールが送られてきますが、その目的は、フィッシングサイトに誘導して情報を盗むことであり、何度もメールを送って迷惑をかけることはないので、スパムメールとはいえないでしょう。

復号鍵

意味平文を暗号文にすることを「暗号化」と呼び、暗号文を平文に戻すことを「復号」と呼びます。暗号化と復号の演算で使われる数値を「鍵」と呼びます。暗号化で使われる鍵を「暗号鍵」と呼び、復号で使われる鍵を「復号鍵」と呼びます。この問題の選択肢では、重要なデータを勝手に暗号化して、復号鍵を得るための身代金を要求する、という攻撃手法が示されています。ただし、それに関する記述は、問題の本文にはありません。