毎回1つのテーマにしぼって、多くの受験者がつまづきやすいポイントと攻略法を解説します。

今回のテーマは再帰呼び出しです。

再帰呼び出しの仕組み

再帰呼び出し（recursive call）は、関数の処理の中で同じ関数を呼び出すことで繰り返しを実現するプログラミング技法です。
プログラミングでは、while文やfor文などの構文を使って繰り返しを実現しますが、それとは別に、再帰呼び出しという技法もあるのです。

再帰呼び出しで繰り返しを実現できるのは、不思議なことではありません。関数を呼び出すと、関数の先頭から処理が行われます。
したがって、関数の処理の中で同じ関数を呼び出せば、関数の先頭に戻って処理が繰り返されるのです。

再帰呼び出しの仕組みを説明する定番の例として、引数nの階乗を求めるfact関数があります（factは、factorial＝「階乗」という意味です）。
階乗とは、ある数から1までのすべての整数を掛けた値です。
たとえば、5の階乗は、5×4×3×2×1＝120です。
リスト1に、擬似言語で記述したfact関数の例を示します。
ここで注目してほしいのは、n × fact(n － 1)の部分です。fact関数の中で、fact関数を呼び出しています。これが、再帰呼び出しです。

○整数型：fact(整数型：n)
  if (n ＝ 0)
     return 1
  else
     return n × fact(n － 1)
  endif

fact関数の処理内容は、if文を使った分岐になっています。
数学の約束で、0の階乗は1なので、n ＝ 0という条件が成り立てば、return 1で1を返しています。
そうでない場合は、return n × fact(n － 1)という処理を行っています。
これは、たとえば5の階乗は「5×(4の階乗)」で求められるので、nの階乗は「n×(n－1の階乗)」で求められる、という考えをプログラムで表したものです。

再帰呼び出しの処理の流れ

再帰呼び出しに関する問題を攻略するには、再帰呼び出しの仕組みを理解しておくのはもちろんですが、再帰呼び出しの処理の流れをトレースできるようにしておく必要もあります。そういう問題も出るからです。
先ほどリスト1に示したfact関数を引数5で呼び出したときの処理の流れをトレースしてみましょう。以下の（1）～（12）になります。

fact(5)→fact(4)→fact(3)→fact(2)→fact(1)→fact(0)という順に関数が呼び出されます。
この時点では、まだどの関数も戻り値を返していません。
fact(0)が1という戻り値を返すと、そこからfact(1)が1を返す→fact(2)が2を返す→fact(3)が6を返す→fact(4)が24を返す→fact(5)が120を返す、という順に戻り値が返されます。これが、再帰呼び出しの処理の流れです。

再帰呼び出しに関する問題（1）

再帰呼び出しに関する問題を見てみましょう。
短い問題が多いので、一気に4問を紹介します。

1問目は、階乗を求める関数の穴埋め問題（出典：H28春問07）です。

関数F(n)の機能は、先ほどリスト1で示した関数fact(n)と同様なので、すぐにわかるでしょう。
n ＞ 0のときは、n × F(n － 1)という再帰呼び出しを行います。
したがって、選択肢ウが正解です。

再帰呼び出しに関する問題（2）

2問目は、階乗を求める関数の乗算回数の問題（出典：H24秋問07）です。

問題2（出典：H24秋問07）

n ! の値を，次の関数F(n)によって計算する。乗算の回数を表す式はどれか。

　ア　 n – 1　　　　イ 　n　　　　ウ 　n²　　　　エ　 n !

この問題の関数F(n)の機能も、先ほどリスト1で示した関数fact(n)と同様です。
乗算の回数は、たとえば5の階乗なら5×4×3×2×1の4回なので、nの階乗ならn － 1回だと思うかもしれませんが、正解は選択肢イのn回です。
なぜなら、1の階乗を求めるときに、1×(0の階乗)という再帰呼び出しが行われるからです。
5の階乗を5×4×3×2×1×1という5回の乗算で求めることになるので、nの階乗ならn回の乗算になります。

再帰呼び出しに関する問題（3）

3問目は、掛け算ではなく足し算を使った関数の問題（出典：R01秋問11）です。

関数f(n)の処理内容は、もしもn ≦ 1なら1を返し、そうでないなら再帰呼び出しでn ＋ f(n － 1)を返す、というものです。
f(5)の処理の流れをトレースすると、以下の（1）～（10）になります。f(5)は15を返すので、選択肢ウが正解です。

再帰呼び出しに関する問題（4）

4問目は、掛け算ではなくmod演算を使った関数の問題（出典：H28秋問07）です。

問題4（出典：H28秋問07）

整数 x, y (x > y ≧ 0) に対して，次のように定義された関数 F(x, y) がある。
F(231, 15) の値は幾らか。ここで，x mod y は x を y で割った余りである。

ア 2　　 イ 3 　　 ウ 5　　 エ 7

関数F(x, y)の処理内容は、もしもy ＝ 0ならxを返し、y ＞ 0ならF(y, x mod y)を再帰呼び出しする、というものです。
F(231, 15)の処理の流れをトレースすると、以下の（1）～（5）になります。F(231, 15)は3を返すので、選択肢イが正解です。

今回は、「再帰呼び出し」のポイントと攻略法を解説しました。
このテーマが苦手だった受験者の参考になれば幸いです。

それでは、またお会いしましょう！

The post 再帰呼び出し｜つまづきやすいポイントと攻略法 徹底解説！ first appeared on 基本情報技術者試験 受験ナビ｜科目A・科目B対策から過去問解説まで 250本以上の記事を掲載.

今回受験された人は振り返りの題材として、今後受験される人は対策の資料として、参考にしていただければ幸いです。

問題の内容

表1は、今回の科目A免除試験の内容です。
問題の番号、分野、テーマ、難易度、および過去問題の再利用かどうかを示しています。

表1　今回の科目A免除試験の内容

過去問題の再利用が減った

今回の試験は、これまでに実施された科目A免除試験と大きく異なります。
過去問題の再利用が減り、難易度がアップしたのです。

まず、過去問題の再利用を見てみましょう。
表2は、今回を含めた直近3回の試験で再利用された過去問題の試験区分と問題数です。

表2　今回を含めた直近3回の試験で再利用された過去問題の試験区分と問題数

これまでに実施された科目A免除試験は、すべての問題が過去問題の再利用でした。
それに対して、今回の試験は、過去問題の再利用がわずか21問だけ（半数以下）です。
過去問題の再利用でないものは、まったく新しい問題の可能性もありますが、公開されていない問題（実際の試験に使われているが公開されていない問題）かもしれません。

問題の難易度が上がった

次に、問題の難易度を見てみましょう。

易が12問、中が37問、難が11問でした。
易が90%できて、中が50%できて、難が25%できる（四択問題なので最低でも25%できます）とすれば、正解数の期待値は、12×0.9 ＋ 37×0.5 ＋ 11×0.25 ＝ 32.1問です。
合格基準は、60問中36問以上の正解なので、がんばって勉強していない限り、残念な結果になってしまった受験者が多かったでしょう。
表3は、今回を含めた直近3回の試験の正解数の期待値です。今回の問題は、直近の試験と比べて、とても難しかったといえます。

表3　今回を含めた直近3回の試験の正解数の期待値

※60問中36問以上の正解で合格です。

今後の試験を受ける人へのアドバイス

最後に、今後の科目A免除試験を受ける人にアドバイスをさせていただきます。
過去問題の再利用が減って、難易度が上がったのですから、これまで以上にきちんと勉強する必要があります。
過去問題を数多く練習しておくという学習方法だけではなく、初めて見る問題が出ても対応できるように、しっかりと用語や問題の解き方を理解しておく必要があります。
それぞれの分野に出題されるテーマを、深く理解することを目指してください。
特にテクノロジ系に難しい問題が多いので、重点的に学習してください。

実際の試験のときに、初めて見る難しそうな問題に遭遇したときは、わからないと決めつけずに、自分の持つ知識を総動員して考えてください。
そうすれば、正解を選べる場合があるからです。
今回の試験の正解数の期待値は32.1問です。合格基準の36問まで、あと4問です。
今回の試験の問題の中から、自分の持つ知識を総動員して正解を選ぶ例をいくつか示しますので、参考にしてください。

もしも、「バーチャルサラウンド」を知らなかったら、自分の持つ知識を総動員して、言葉の意味から判断してください。
バーチャルは「仮想的」という意味で、サラウンドはサラウンドスピーカーという言葉が「聞き手を囲むように配置された複数のスピーカー」という意味です。
サラウンドスピーカーをバーチャルに提供するのですから、選択肢イの「前方に配置されたスピーカーだけで、音が後方から聴こえるように感じさせる技術」がよさそうです。
基本情報技術者試験には、ヒッカケ問題がないので、その選択肢を素直に選んでください。
実際の正解も、選択肢イです。

もしも、「グラフ型のデータベース」を知らなかったら、自分の持つ知識を総動員して、消去法で不適切な選択肢を消してください。
選択肢アのJSONやXMLが汎用的なデータ交換形式であることを知っていれば、それらはグラフ型とは言えなそうなので、不適切だと判断できます。
関係データベースが表形式であることを知っていれば、選択肢イは関係データベースの説明なので、不適切だと判断できます。
これで、正解を選択肢ウと選択肢エに絞り込めました。
グラフ型のデータベースとして、どちらが適切でしょう。
「キーに対するデータ」よりも、「データとデータの関係性」の方がグラフにふさわしい感じがするので、選択肢エがよさそうです。
実際の正解も、選択肢エです。

自分の持つ知識を総動員すれば「SELECT * FROM R」が表Rから無条件ですべての列を得るという意味で、「SELECT * FROM S」が表Sから無条件ですべての列を得るという意味であることはわかるでしょう。
もしも、「UNION」の意味を知らないなら、それを日本語に直訳した「連合」や「結合」という意味から「2つのSELECT命令の結果を1つの表にするのだろう」と判断してください。
結合するのですから、表Rと表Sの列数が一致してないと、エラーになるのではないかと考えて、選択肢エがよさそうです。
実際の正解も、選択肢エです。

自分の持つ知識を総動員すれば、「④トランザクションの一時停止」と「②トランザクションの再開」があるので、これらの間に他の処理を行うのだろうと判断できるでしょう。
「①のチェックポイントレコードをログに書き出す」と「③バッファの内容をデータベースに書き出す」のどちらが先かは、チェックポイント時点の時点の処理なのだから、チェックポイントのログ（記録）を書き出すことが後だろう、と考えて、選択肢エの ④→③→①→②の順序がよさそうです。
実際の正解も、選択肢エです。

以上、試験対策講座の講師として、誠に勝手ながら、試験問題の講評をさせていただきました。

今回の試験に合格した人は、ここで気を緩めずに、本試験に向けて科目Bの学習を始めてください。
残念な結果になってしまった人は、ここで気を落すことなく、本試験に向けて科目Aと科目Bの両方を学習してください。
どちらも場合も、コツコツと学習を続けていれば、必ず良い結果が得られるはずです。

皆様のご健闘をお祈り申し上げます！

The post 基本情報技術者試験 科目A免除試験の講評 ～ 2026年6月14日実施 first appeared on 基本情報技術者試験 受験ナビ｜科目A・科目B対策から過去問解説まで 250本以上の記事を掲載.

今回のテーマはモジュール結合度です。

モジュール結合度とは？

大規模なプログラムは、いくつかの部分に分けて作り、それぞれの部分を「モジュール（module＝構成要素）」と呼びます。
大規模なプログラムは、いくつかのモジュールから構成され、個々のモジュールが連携して動作し、その際にデータを受け渡すことがあります。

モジュールとモジュールの結び付きの強さを「モジュール結合度」と呼びます。
モジュール結合度は、弱いほど良いとされます。
なぜなら、モジュール結合度が強いと、バグの修正や仕様の変更などでプログラムをメンテナンスするときに、1つのモジュールに変更を加えると、それと連携する他のモジュールにも多くの変更が必要になり、コストが上がってしまうからです。
モジュール結合度は、表1に示した分類があり、表の上にあるほど弱くなります。
「引数」とは、モジュールを使うときに受け渡すデータです。「大域変数（グローバル変数）」とは、すべてのモジュールから共通して利用できるデータです。
大域変数に対して、モジュールの処理の中だけで使われるデータを「局所変数（ローカル変数）」と呼びます。
引数も、局所変数です。「制御用の引数」とは、モジュールの処理内容を変える引数です。

モジュール結合度の攻略法

後で示す問題を見ればわかりますが、試験には「データ結合」や「スタンプ結合」などの分類名ではなく、どうすればモジュール結合度が弱くなるかが出題されます。

分類名を知るよりも、モジュール結合度を弱くする方法を知る方が、重要だからです。
したがって、モジュール結合度に関する問題の攻略法は、モジュール結合度を弱くする方法をしっかりと理解することです。

もう一度、表1に示したモジュール結合度の分類を見てみましょう。分類名ではなく、結び付き方に注目してください。
6つの分類は、大きく分けて「引数で結び付く」「大域変数で結び付く」「データで結び付くのではなくモジュールの内部を部分的に利用する」の3つに分けられます。
これらの中で、「データで結び付くのではなくモジュールの内部を部分的に利用する」は、プログラムをモジュールに分けた意味がないような結び付きであり、一般的にはあり得ないことなので最もモジュール結合度が強い、と覚えてください。

「引数で結び付く」と「大域変数で結び付く」は、「引数で結び付く」の方が「大域変数で結び付く」よりモジュール結合度が弱くなります。これは、当然のことです。「引数で結び付く」は、モジュールとそれを使うモジュールの間だけの結び付きです。「大域変数で結び付く」は、すべてのモジュールが大域変数を使えるので、すべてのモジュールが結び付く可能性があります。

そして、これも当然のことですが、「引数で結び付く」と「大域変数で結び付く」のどちらの場合も、単純なデータで結び付いた方が、複雑なデータで結び付くより、モジュール結合度が弱くなります。

「制御用の引数で結び付く」とモジュール結合度が強くなるのは、計算するための引数よりも、処理内容を変える引数の方が、引数の形式や内容を変更したときにモジュールに与える影響が大きいからです。

擬似言語で示したモジュール結合度の例

基本情報技術者試験の科目Bで採用されている擬似言語を使って、「引数で結び付く」「大域変数で結び付く」「制御用の引数で結び付く」の例を示しましょう。
擬似言語では、関数、手続き、オブジェクトをモジュールとすることができます。ここでは、関数をモジュールとしています。

リスト1のfunc1関数は、引数aとbの値を加算します。
func1関数と結び付くのは、引数を指定してfunc1関数を呼び出したモジュールだけです。したがって、大域変数で結び付くよりモジュール結合度が弱くなります。

リスト2のfunc2関数は、大域変数data1とdata2の値を加算します。
すべてのモジュールが大域変数を使えるので、すべてのモジュールがfunc2関数と結び付く可能性があります。したがって、引数で結び付くよりモジュール結合度が強くなります。

リスト3のfunc3関数は、引数aとbの値を、引数opの値に応じて、加算、減算、乗算、除算します。引数opによって処理内容が変わるので、これは制御用引数です。もしも、引数opに剰余やべき乗を指定できるように変更するなら、それに合わせてfunc3関数の内容に多くの変更が必要になります。したがって、計算するための引数で結び付くよりモジュール結合度が強くなります。

モジュール結合度に関する問題の攻略法（1）

モジュール結合度に関する問題を見てみましょう。
以下は、どうすればモジュール結合度が弱くなるか、という問題（出典：R01秋問46）です。

表1の分類にはありませんでしたが、1つのモジュールに多くの機能があると、多くのモジュールと結び付くことになるので、選択肢アはモジュール結合度が強くなります。
選択肢イは、データ項目（計算するためのデータ）を引数で渡す。
選択肢ウは、データ項目をグローバルな領域（大域変数のことです）で渡す。
選択肢エは、モジュールの論理を制御するための引数を渡すです。

これらの中で、モジュール結合度が最も弱くなるのは、データ項目を引数で渡すなので、選択肢イが正解です。

モジュール結合度に関する問題の攻略法（2）

モジュール結合度に関する問題を、もう1つ見てみましょう。
以下も、どうすればモジュール結合度が弱くなるか、という問題（出典：H28春問47）です。

選択肢アの共通域に定義したデータとは、大域変数のことです。
選択肢イは、制御用の引数を渡しています。
選択肢ウは、計算するためのデータを引数で渡しています。
選択肢エのデータを外部宣言して共有するというのは、大域変数のことです。

これらの中で、モジュール結合度が最も低くなるのは、計算するためのデータを引数で渡すなので、選択肢ウが正解です。

今回は、「モジュール結合度」のポイントと攻略法を解説しました。
このテーマが苦手だった受験者の参考になれば幸いです。

それでは、またお会いしましょう！

The post モジュール結合度｜つまづきやすいポイントと攻略法 徹底解説！ first appeared on 基本情報技術者試験 受験ナビ｜科目A・科目B対策から過去問解説まで 250本以上の記事を掲載.

今回のテーマはRAIDです。

RAIDとは？

RAID（レイド）は、Redundant Arrays of Inexpensive（またはIndependent） Disksの略であり、直訳すると「安価な（または独立した）ディスクの冗長な配列」という意味です。
1988年に、米国のデイビッド・パターソン氏の論文で、かつて高価だった磁気ディスク装置（以下では、単にディスクと呼びます）が安価になったので、1つのコンピュータシステムで複数台のディスクを使って信頼性を向上させよう、ということで、RAID1からRAID5という5種類の仕組みが提唱されました。
この論文にはありませんが、複数台のディスクを使ってアクセス速度を向上させる仕組みもあり、これもRAIDに含めて、RAID0と呼びます。

RAIDには、RAID0からRAID5の6種類があることになりますが、これらの中でよく使われるのは、RAID0、RAID1、RAID5の3種類（および、それらの組合せ）であり、試験にも3種類が出題されています。
したがって、RAIDに関する問題の攻略法は、これら3種類の名称と仕組みを対応付けて、しっかりと覚えることです。

とはいえ、RAID0、RAID1、RAID5という番号だけでは、仕組みと対応付けるのが困難でしょう。そこで、それぞれに仕組みを意味する別名があることを知ってください。
RAID0は「ストライピング」、RAID1は「ミラーリング」、RAID5は「分散パリティ」です。
これらの別名から仕組みを理解したら、自分流に理由付けをして、仕組みと番号と対応付けて覚えてください。
理由付けの例は、それぞれのRAIDを説明するときに示します。

RAID0（ストライピング）の仕組み

RAID0は、データをブロックに分割して、複数のディスクに分散して格納します。
それぞれのディスクは、独立して同時に動作できるので、データを1台のディスクに格納するより、アクセス時間を向上できます。
RAID0を実現するには、最低でも2台のディスクが必要です。

この仕組みをストライピングと呼ぶのは、データを複数台のディスクに書き込むと、縞模様（stripe）のようになるからです。
図1は、データをA、B、C、D、E、Fという6つのブロックに分けてストライピングした例です。

【図1】RAID0（ストライピング）の例

RAIDの本来の目的は、信頼性の向上です。
それに対して、ストライピングは、アクセス速度の向上を目的としています。
「ストライピングは、他のRAIDとは目的が違うので0という特殊な番号なのだ」と理由付けして覚えてください。

RAID1（ミラーリング）の仕組み

RAID1は、複数のディスクに同じデータを格納します。
どちらか一方のディスクが故障しても、もう一方のディスクにデータがあるので、信頼性を向上できます。
RAID1を実現するには、最低でも2台のディスクが必要です。

この仕組みをミラーリングと呼ぶのは、鏡（mirror）に映したように、複数のディスクに同じデータがあるからです。
図2は、A、B、Cというブロックからなるデータをミラーリングした例です。

【図2】RAID1（ミラーリング）の例

ミラーリングは、最もシンプルなRAIDだといえるでしょう。
「ミラーリングは、最もシンプルだから1という先頭の番号なのだ」と理由付けして覚えてください。

RAID5（分散パリティ）の仕組み

RAID5を実現するには、最低でも3台のディスクが必要です。
3台のディスクを使う場合は、データを2台のディスクに分散して格納し、それらのパリティ（データを訂正するための符号）をもう1台のディスクに格納します。
3台のディスクに格納されたデータとパリティは、いずれか1台のディスクが故障しても、残りの2台のディスクで復元できるので、信頼性を向上できます。

この仕組みを分散パリティと呼ぶのは、パリティ専用に1台のディスクを使うのではなく、それぞれのディスクにパリティを分散させるからです。
図3は、A1とA2に分散されたデータとパリティAp、B1とB2に分散されたデータとパリティBp、およびC1とC2に分散されたデータとパリティCpによる分散パリティの例です。
Ap、Bp、Cpというパリティが3台のディスクに分散されていることに注目してください。

【図3】RAID5（分散パリティ）の例

分散パリティは、ミラーリング（RAID1）と比べて、かなり複雑です。
「分散パリティは、複雑なので5という大きな番号なのだ」と理由付けして覚えてください。

RAIDに関する問題（1）

RAIDに関する問題を見てみましょう。
以下は、RAIDの仕組みと番号を対応付ける問題（出典：R01秋問15）です。

ミラーリングは、RAID1の仕組みを意味する別名です。
したがって、選択肢アが正解です。選択肢には、RAID2、RAID3、RAID4もありますが、これらが試験問題のテーマになったことはないので、気にする必要はありません。
とにかく、「RAID0はストライピング」「RAID1はミラーリング」「RAID5は分散パリティ」の3つを、しっかりと覚えてください。

RAIDに関する問題（2）

RAIDに関する問題を、もう1つ見てみましょう。
以下は、先ほどの問題とは逆に、RAIDの番号と仕組みを対応付ける問題（出典：H29秋問12）です。

RAID5の仕組みを意味する別名は、分散パリティです。
したがって、「複数のディスクに分散してパリティを書き込む」と記述している選択肢ウが正解です。

念のため、他の選択肢も見ておきましょう。
選択肢エは、ミラーリングとあるので、RAID1です。
選択肢アとイは、ストライピングのRAID0ではないので、他の番号のRAIDでしょう。
ただし、RAID0、RAID1、RAID5以外のRAIDが問題のテーマになったことはないので、気にする必要はありません。

今回は、「RAID」のポイントと攻略法を解説しました。このテーマが苦手だった受験者の参考になれば幸いです。

それでは、またお会いしましょう！

The post RAID｜つまづきやすいポイントと攻略法 徹底解説！ first appeared on 基本情報技術者試験 受験ナビ｜科目A・科目B対策から過去問解説まで 250本以上の記事を掲載.

今回のテーマは暗号化です。

暗号化の2つの方式

暗号化される前の文書を「平文」と呼び、暗号化された文書を「暗号文」と呼びます。
平文を暗号文にすることを「暗号化」と呼び、暗号文を平文にすることを「復号」と呼びます。
「復号化」と呼ばないのは、暗号化は化けますが、復号は元に戻るのであって化けないからです。
暗号化の計算で使われる数値を「暗号鍵」と呼び、復号の計算で使われる数値を「復号鍵」と呼びます。
暗号化の方式には、「共通鍵暗号方式」と「公開鍵暗号方式」があります。

共通鍵暗号方式は、暗号化と復号で同じ値の鍵を使います。
たとえば、古代ローマのシーザーが好んで使っていたといわれる「シーザー暗号」では、平文を構成する文字を3文字ずらして暗号化し、暗号文を構成する文字を逆方向に3文字ずらして復号します。
これは、3を共通鍵とした共有鍵暗号方式です。
シーザー暗号をコンピュータで実現するには、図1に示したように、平文の文字コードに3を足すという計算で暗号化して、暗号文の文字コードから3を引くという計算で復号します。

【図1】共通鍵暗号方式の例（シーザー暗号）

公開鍵暗号方式は、暗号化と復号で異なる値の鍵を使います。
たとえば、「RSA暗号（RSAは、3人の考案者の名前の頭文字を並べたもの）」では、図2に示した計算で暗号化と復号を行います。
Modは、割り算の余りを求める演算を意味します。
ここでは、3と55が暗号鍵であり、7と55が復号鍵です（これらは、あらかじめ決められたルールに従った値であり、実用的な暗号化では、もっと桁数の大きな鍵を使います）。
除数は、同じですが、べき乗する値が異なることに注目してください。

【図2】公開鍵暗号方式の例（RSA暗号）

公開鍵暗号方式では、暗号化の鍵を「公開鍵」として、復号の鍵を「秘密鍵」とします。
受信者が公開鍵と秘密鍵を作成し、送信者にネットワークで公開鍵を知らせます。
ネットワークで知らせることは、公開したのも同然なので、公開鍵と呼ぶのです。
秘密鍵は、送信者しか知らない秘密にするので、秘密鍵と呼ぶのです。
送信者は、平文を公開鍵で暗号化して、暗号文をネットワークで送ります。
受信者は、受信した暗号文を秘密鍵で復号します。
もしも、ネットワークで暗号文が誰かに盗まれても、それを復号する秘密鍵は受信者しか知らないので、復号されることはありません。

異なる値の鍵で暗号化と復号ができる仕組み

公開鍵暗号方式では、異なる値の鍵で暗号化と復号ができますが、これを不思議に思うでしょう。
数というものは、3を足して変化させたなら3を引けば元に戻り、3を掛けて変化させたなら3で割れば元に戻る、というように、同じ値で逆の演算をすれば元に戻るものだからです。
先ほど例を示した公開鍵暗号方式の計算では、3乗して55で割った余りで変化させて、7乗して55で割った余りで元に戻しています。
どうして、このようなことが実現できるのでしょうか。

この仕組みを理解するために、表計算ソフトを使って、図3に示した表を作成しました。
表の左端で上から下に並んだ数字は、平文の文字に割り当てられた文字コードだとします。
表の上端で左から右に並んだ数字は、それらを何乗するかを示しています。
そして、それらが交わったセルには、文字コードをべき乗して55で割った値を示しています。
たとえば、左端の4と上端の5が交わったセルには、4の5乗を55で割った余りの34を示しています。

【図3】異なる値の鍵で暗号化と復号ができる仕組みを理解するための表

1乗しても値は変化しませんが、2乗以降では異なる値に変化しています。
そして、ここが大注目なのですが、21乗では元の値に戻っています。
21＝3×7なので、3乗してから7乗することで21乗にすることもできます。
3乗すると異なる値に変化するので、暗号化ができます。それを7乗すると元の値に戻るので、復号ができます。
これが、異なる値の鍵で暗号化と復号ができる仕組みです。

仕組みがわかると、公開鍵と復号鍵の性質もわかります。
21乗を3乗と7乗に分けるのですから、公開鍵と復号鍵には「ペアで作るものである」という性質があります。
21＝3×7は、21＝7×3と表すこともできるので、公開鍵と秘密鍵には「それぞれを逆に使える」という性質もあります。
これは、公開鍵の3で暗号化すれば秘密鍵の7で復号でき、逆に秘密鍵の7で暗号化すれば公開鍵の3で復号できるということです。
鍵を逆に使えるという性質は、すぐ後で説明するディジタル署名で応用されています。

公開鍵暗号方式を応用したディジタル署名

公開鍵暗号方式を応用して「ディジタル署名」を実現できます。
文書にディジタル署名を添付すると、送信者に「なりすまし」がないことと、文書に「改ざん」がないことを検証できます。
図4にディジタル署名の作成と検証の手順を示します。

暗号化に関する問題の攻略法（1）

暗号化に関する問題を見てみましょう。
以下は、暗号方式の特徴に関するする問題（出典：H30秋問38）です。

この問題の攻略法は、共通鍵暗号方式と公開鍵暗号方式の長所と短所を理解することです。
暗号化に2つの方式があるのですから、それぞれに他方と比べて長所と短所があります。

共通鍵暗号方式には、鍵をネットワークで送れないという短所がありますが、計算が単純なので処理が速いという長所があります。
公開鍵暗号方式には、暗号化の鍵をネットワークで送れるという長所がありますが、計算が複雑なので処理が遅いという短所があります。

事前に公開鍵をネットワークで送れるのは、共通鍵暗号方式ではなく、公開鍵暗号方式なので、選択肢アは不適切です。
通信相手が1人の場合、共通鍵暗号式に必要な鍵は1つ（共通鍵）であり、公開鍵暗号方式に必要な鍵は2つ（公開鍵と秘密鍵）なので、選択肢イは不適切です。
共通鍵暗号方式は、公開鍵暗号方式より計算が単純であり処理が速いので、選択肢ウは適切です。
鍵のペアを作成するのは、共通鍵暗号方式ではなく公開鍵暗号方式なので、選択肢エは不適切です。

したがって、選択肢ウが正解です。

暗号化に関する問題の攻略法（2）

暗号化に関する問題を、もう1つ見てみましょう。
以下は、公開鍵暗号方式を応用したディジタル署名の鍵の使い方に関する問題（出典：R01秋問38）です。

この問題の攻略法は、公開鍵暗号方式における公開鍵と秘密鍵を誰が作り、どのように使うかを、丸暗記ではなく、きちんと理解することです。

暗号化では、文書の受信者が公開鍵と秘密鍵のペアを作りますが、ディジタル署名では、文書の送信者が公開鍵と秘密鍵のペアを作ります。
なぜなら、送信者しか知らない秘密鍵で暗号化したからこそ送信者の公開鍵で復号できる、ということで、送信者本人である（なりすましがない）ことを検証するからです。
ここを、きちんと理解してください。
この問題では、検証を行う鍵を「検証鍵」と呼んでいます。

検証鍵は、送信者の公開鍵なので、選択肢ウが正解です。

今回は、「暗号化」のポイントと攻略法を解説しました。
このテーマが苦手だった受験者の参考になれば幸いです。

それでは、またお会いしましょう！

The post 暗号化｜つまづきやすいポイントと攻略法 徹底解説！ first appeared on 基本情報技術者試験 受験ナビ｜科目A・科目B対策から過去問解説まで 250本以上の記事を掲載.

今回のテーマはIPアドレスです。

IPアドレスの仕組み

「IPアドレス」は、IP（Internet Protocol）を使った通信、つまりインターネットで、コンピュータやルータなどの通信機器に割り当てられる識別番号です。
IPアドレスには、従来から使われている「IPv4（version 4）アドレス」と、新たに使えるようになった「IPv6（version 6）アドレス」があります。
試験には、IPv4アドレスに関する問題がよく出るので、これ以降ではIPv4アドレスだけを取り上げ、単にIPアドレスと呼びます。

IPアドレスは、全体で32ビットの2進数なのですが、32個も0と1を並べたのではわかりにくいので、32ビットを8ビットずつ4つの部分に分け、それぞれの部分を10進数にして、ドット（.）でつなぐ、という表記で示します。

【例】
01101110111010001100010011101001というIPアドレス
→8ビットずつ01101110、11101000、11000100、11101001という4つの部分に分け、それぞれを10進数の110、232、196、233にして、ドットでつないだ110.232.196.233という表記で示します。

インターネットは、ネットワークとネットワークの間をつなぐものです。
ここで、ネットワークとは、企業内、オフィス内、家庭内などのLAN（Local Area Network）を意味します。
IPアドレスは、上位桁がネットワークを識別する「ネットワークアドレス」になっていて、下位桁がホスト（コンピュータやルータなどの通信機器）を識別する「ホストアドレス」になっています。
同じネットワーク内にあるホストのIPアドレスは、上位桁が同じで、下位桁が異なります。IPアドレスの上位桁と下位桁の区切りを示す方法は、すぐ後で説明します。

サブネットマスクの役割

IPアドレスの上位桁と下位桁の区切りを示す方法として「サブネットマスク」があります。

サブネットとは、LAN全体もしくは、LANの中をいくつかのネットワークに区切ったものを意味します。
サブネットマスクも、32ビットの2進数であり、IPアドレスと同様に、255.255.255.0のように表記します。
サブネットマスクを2進数で示すと、11111111111111111111111100000000のように1の並びの後に0が並んだものになり、1が並んだ部分が上位桁（ネットワークアドレス）であり、0が並んだ部分が下位桁（ホストアドレス）であることを示します。

11111111111111111111111100000000は、上位24ビットがネットワークアドレスであり、下位8ビットがホストアドレスであることを示します。

たとえば、IPアドレスが110.232.196.233で、サブネットマスクが255.255.255.0なら、110.232.196までがネットワークアドレスで、残りの233がホストアドレスということになります。
ただし、慣例として、ネットワークアドレスは、110.232.196.0のように、ホストアドレスの部分を0にして示します。

IPアドレスの上位桁と下位桁の区切りを示す別の方法として「CIDR（Classless Inter Domain Routing、サイダー）表記」もあります。
これは、110.232.196.0/24のように、IPアドレスの末尾に「/上位桁数」を付加するという表記です。
110.232.196.0/24は、上位24ビットがネットワークアドレスであることを示します。
IPアドレスは、全体で32ビットなので、残りの32 ー 24 ＝ 8ビットがホストアドレスです。

ホストに割り当てられないアドレス

IPアドレスの下位桁は、ホストを識別するホストアドレスなのですが、2進数で示したときに、すべてが0になるアドレスと、すべてが1になるアドレスは、用途が決められているので、ホストに割り当てられません。

たとえば、ホストアドレスが8ビットなら、すべてが0の00000000（10進数で0）というアドレスと、すべてが1の11111111（10進数で255）というアドレスは、ホストに割り当てられません。

すべてが0のホストアドレスは、ネットワークアドレスを示すために使います。これは、先ほど「慣例として」と説明したことです。
すべてが1のホストアドレスは、「ブロードキャストアドレス」を示すために使います。「ブロードキャスト（broadcast、一斉同報）」とは、同じネットワーク内にあるすべてのホストに同じデータを送ることです。ネットワークでは、ブロードキャストを行う場面がよくあるのです。

たとえば、IPアドレスが110.232.196.233で、サブネットマスクが255.255.255.0なら、110.232.196.0がネットワークアドレスを示し、110.232.196.255がブロードキャストアドレスを示します。
8ビットで表せるアドレスは、全部で256通りありますが、それらの中でホストに割り当てられるのは、ネットワークアドレスとブロードキャストアドレスを除いた、256ー2＝254通りです。

IPアドレスに関する問題の攻略法（1）

IPアドレスに関する問題を見てみましょう。
以下は、2つのIPアドレスが同一のサブネットかどうかを判断する問題（出典：H28秋問33）です。

この問題を攻略するには、IPアドレスの仕組みを知っていることはもちろんですが、10進数を2進数に変換する方法を知っていなければなりません。「10進数を2で割って余りを求めることを、商が0になるまで繰り返すと、変換後の2進数が下位桁から得られる」という方法がよく知られていますが、時間がかかるので面倒でしょう。
IPアドレスのドットで区切られた個々の10進数は、2進数に変換すると8ビットになります。8ビット程度なら「8ビットの2進数の桁の重みを、変換前の10進数と同じ値になるまで上位桁から順に足していき、足した桁を1にして、足さなかった桁を0にすれば、変換後の2進数が得られる」という方法の方が、時間がかからないでしょう。8ビットの2進数の桁の重みは、「128 64 32 16 8 4 2 1」です。

実際にやってみましょう。

まず、255.255.255.240というサブネットマスクを2進数に変換します。
↓
255は、128＋64＋32＋16＋8＋4＋2＋1＝255なので、すべての桁が1の11111111です。
サブネットマスクで255はよく出てくるので、「255は11111111だ」と覚えておくとよいでしょう。
↓
240は、128＋64＋32＋16＝240になるので、「128 64 32 16」の桁を1にして、「8 4 2 1」の桁を0にした11110000です。
↓
以上のことから、255.255.255.240というサブネットマスクを2進数に変換すると11111111111111111111111111110000になるので、上位28ビットがネットワークアドレスで下位4ビットがホストアドレスだとわかります。

この問題では、選択肢に示された2つのIPアドレスが同一サブネットに所属するものを答えます。
同一サブネットに所属するなら、ネットワークアドレスが同じなので、上位28ビットが同じであるものを答えます。
どの選択に示されたIPアドレスも192.168.1まで（上位24ビットまで）が同じなので、残りの部分の上位4ビットが同じものを答えればよいのです。
10進数を2進数に変換して上位4ビットを比べてみましょう。

選択肢アの14と17は、14が8＋4＋2＝14なので00001110であり、17が16＋1＝17なので00010001であり、両者の上位4ビットが異なります。
選択肢イの17と29は、17が16＋1＝17なので00010001であり、29が16＋8＋4＋1＝29なので00011101であり、両者の上位4ビットが同じです。したがって、選択肢イが正解です。

念のため、他の選択肢も確認しておきましょう。

選択肢ウの29と33は、29が16＋8＋4＋1＝29なので00011101であり、33が32＋1＝33なので00100001であり、両者の上位4ビットが異なります。
選択肢エの33と49は、33が32＋1＝33なので00100001であり、49が32＋16＋1＝49なので00110001であり、両者の上位4ビットが異なります。

IPアドレスに関する問題の攻略法（2）

IPアドレスに関する問題を、もう1つ見てみましょう。
以下は、接続可能なホストの数を求める問題（出典：H31春問32）です。

この問題を攻略するには、ここでもIPアドレスの仕組みを知っていることはもちろんですが、2進数のビット数に応じて何通りのパターンを表現できるかを判断できなければなりません。

1ビットで表せるのは「0」「1」の2通りです。
2ビットで表せるのは「00」「01」「10」「11」の4通りです。
3ビットで表せるのは「000」「001」「010」「011」「100」「101」「110」「111」の8通りです。
このように、2進数で表せるパターンは、1ビット増えると2倍になります。

問題に示されたCIDR表記は、192.168.0.0/23なので、32ビットのIPアドレスの上位23ビットがネットワークアドレスであり、残りの32－23＝9ビットがホストアドレスです。
9ビットで表せるのは、2×2×2×2×2×2×2×2×2＝512通りです。

これらの中で、すべてが0の000000000（ネットワークアドレスを示す）と、すべてが1の111111111（ブロードキャストアドレスを示す）の2通りはホストに割り当てられないので、それらを引いた512－2＝510通りが使えます。

したがって、選択肢エが正解です。

今回は、「IPアドレス」のポイントと攻略法を解説しました。
このテーマが苦手だった受験者の参考になれば幸いです。

それでは、またお会いしましょう！

The post IPアドレス｜つまづきやすいポイントと攻略法 徹底解説！ first appeared on 基本情報技術者試験 受験ナビ｜科目A・科目B対策から過去問解説まで 250本以上の記事を掲載.

毎回1問ずつ、科目Bの情報セキュリティの問題を取り上げて、問題の中にある用語の意味と、問題の解き方を説明します。
用語の意味がわかれば、科目Bの情報セキュリティの問題は、それほど難しくないということを知ってください。

問題

今回の問題は、ファイアウォールの誤った変更を防ぐための改善策がテーマです。

以下に問題を示しますので、本文、設問、選択肢に、ざっと目を通してください。
後で用語の意味を説明してから、再度問題を見ていただきますので、今はざっとでOKです。

問題（出典：2022年12月公開サンプル問題セット問20）

A社は栄養補助食品を扱う従業員500 名の企業である。
A社のサーバ及びファイアウォール（以下，FW という）を含む情報システムの運用は情報システム部が担当している。
ある日，内部監査部の監査があり，FW の運用状況について情報システム部のB部長が図1のとおり説明したところ，表1に示す指摘を受けた。

B部長は表1の指摘に対する改善策を検討することにした。

【設問】
表1中の指摘1について，FWルールの誤った変更を防ぐための改善策はどれか。
解答群のうち，最も適切なものを選べ。

【解答群】
ア Endpoint Detection and Response（EDR）をコンソールに導入し，監視を強化する。
イ FWでの運用担当者のログインにはパスワード認証の代わりに多要素認証を導入する。
ウ FWのアクセス制御機能を使って，運用担当者をコンソールからログインできる者，リモートからログインできる者に分ける。
エ FWの運用担当者を1人に限定する。
オ 運用担当者の一部を操作ログの確認だけをする者とし，それらの者には操作ログの確認権限だけを付与する。
カ 運用担当者を，FWルールの編集を行う者，操作ログを確認し，操作承認をする者に分け，それぞれに必要最小限の権限を付与する。
キ 作業を行う運用担当者を，曜日ごとに割り当てる。

問題の中にある用語の意味

以下に、今回の問題の中にある重要な用語の意味を示します。
ここでは、用語の一般的な意味だけでなく、その用語から問題を読み取るポイントも示しています。
用語の意味がわかったら、もう一度問題を読み直してください。きっとスラスラと理解できるはずです。

問題の解き方

内部監査部からの指摘は「FWの運用の作業の中で、職務が適切に分離されていない」です（FWはファイアウォールの略称）。
設問では「FWルールの誤った変更を防ぐための改善策」として最も適切なものを選択肢から選びます。

問題の図1に示された「FWの運用状況」の中で、職務が適切に分離されていないことが原因で、FWルールの誤った変更が生じることに関する記述は、「FWの機能には、FWルールの編集、操作ログの確認、及び操作承認の三つがある」および「現在は、6名の運用担当者とも全権限を付与されており、運用担当者はFWのルールの編集後、編集を行った運用担当者が操作に誤りがないことを確認し、操作承認をしている」です。

6名の運用担当者全員が、FWルールの編集、操作ログの確認、操作承認の全権限を持つので、同じ運用担当者が、自分で編集したFWルールを確認して承認するということもできてしまい、誤った変更が生じる可能性があります。

選択肢の中で、この問題の対策となるのは、選択肢カの「運用担当者を、FWルールの編集を行う者、操作ログを確認し、操作承認をする者に分け、それぞれに必要最小限の権限を付与する」です。

したがって、正解は、選択肢カです。

【正解】
選択肢カ

もしも、今回の問題を見て「自分には用語の知識が不足している」と感じたなら、科目Bの問題だけでなく、科目A（および旧制度の午前試験）の問題も練習することをお勧めします。
科目Aの問題の多くは、用語の意味をテーマにしているので、知識の補充ができるからです。

情報セキュリティの分野だけでなく、それに関連するネットワークやシステム構成要素の分野の問題も練習してください。

この連載は、今回で最終回です。
これまで記事をお読みいただきました皆様に、この場をお借りして、厚く御礼申し上げます。

それでは、またどこかでお会いしましょう！

The post ファイアウォールの誤った変更を防ぐための改善策｜科目B情報セキュリティを解くための重要用語 first appeared on 基本情報技術者試験 受験ナビ｜科目A・科目B対策から過去問解説まで 250本以上の記事を掲載.

毎回1問ずつ、科目Bの情報セキュリティの問題を取り上げて、問題の中にある用語の意味と、問題の解き方を説明します。
用語の意味がわかれば、科目Bの情報セキュリティの問題は、それほど難しくないということを知ってください。

問題

今回の問題は、受注管理システムの操作権限がテーマです。

以下に問題を示しますので、本文、設問、選択肢に、ざっと目を通してください。
後で用語の意味を説明してから、再度問題を見ていただきますので、今はざっとでOKです。

問題（出典：2022年12月公開サンプル問題セット問19）

A社は従業員200名の通信販売業者である。一般消費者向けに生活雑貨，ギフト商品などの販売を手掛けている。取扱商品の一つである商品Zは，Z販売課が担当している。

〔Z販売課の業務〕
現在，Z販売課の要員は，商品Zについての受注管理業務及び問合せ対応業務を行っている。商品Zについての受注管理業務の手順を図1に示す。

〔Jシステムの操作権限〕
　Z販売課では，Jシステムについて，次の利用方針を定めている。
　［方針1］ ある利用者が入力した情報は，別の利用者が承認する。
　［方針2］ 販売責任者は，Z販売課の全業務の情報を閲覧できる。

Jシステムでは，業務上必要な操作権限を利用者に与える機能が実装されている。
この度，商品Zの受注管理業務が受注増によって増えていることから，B社に一部を委託することにした（以下，商品Zの受注管理業務の入力作業を行うB社従業員を商品ZのB社販売担当者といい，商品ZのB社販売担当者の入力結果を閲覧して，不備があればA社に口頭で差戻しを依頼するB社従業員を商品ZのB社販売責任者という）。

委託に当たって，Z販売課は情報システム部にJシステムに関する次の要求事項を伝えた。

　［要求1］ B社が入力した場合は，A社が承認する。
　［要求2］ A社の販売担当者が入力した場合は，現状どおりにA社の販売責任者が承認する。

上記を踏まえ，情報システム部は今後の各利用者に付与される操作権限を表1にまとめ，Z販売課の情報セキュリティリーダーであるCさんに確認をしてもらった。

【設問】

問題の中にある用語の意味

以下に、今回の問題の中にある重要な用語の意味を示します。
どれも、IT関連の特殊な用語ではなく、一般用語といえるものですが、この問題における意味を理解してください。
そして、用語の意味がわかったら、もう一度問題を読み直してください。きっとスラスラと内容を読み取れるはずです。

問題の解き方

空欄a1の選択肢には「Z販売課の販売責任者」「商品ZのB社販売責任者」「商品ZのB社販売担当者」があります。
空欄a1には、Jシステムの閲覧の権限が付与されていますが、入力と承認の権限が付与されていません。
「Z販売課の販売責任者」には、承認の権限を付与する必要があるので（「商品ZのB社販売責任者」には承認の権限はありません）、空欄a1は「商品ZのB社販売責任者」または「商品ZのB社販売担当者」です。

これで、正解を選択肢ウ、エ、オに絞り込めます。

空欄a2の選択肢ウは「Z販売課の販売責任者」、選択肢エは「商品ZのB社販売担当者」、選択肢オは「商品ZのB社販売責任者」です。
空欄a2には、Jシステムの閲覧と入力の権限が付与されていますが、承認の権限が付与されません。

「Z販売課の販売責任者」には、承認の権限を付与する必要があるので、空欄bは選択肢ウの「Z販売課の販売責任者」ではありません。
選択肢エの「商品ZのB社販売担当者」には、閲覧と入力の権限が必要です。
選択肢オの「Z販売課の販売責任者」には、閲覧の権限だけが必要です。

したがって、空欄a2は選択肢エの「商品ZのB社販売担当者」であり、選択肢エが正解です。

【正解】
選択肢エ

もしも、今回の問題を見て「自分には用語の知識が不足している」と感じたなら、科目Bの問題だけでなく、科目A（および旧制度の午前試験）の問題も練習することをお勧めします。
科目Aの問題の多くは、用語の意味をテーマにしているので、知識の補充ができるからです。

情報セキュリティの分野だけでなく、それに関連するネットワークやシステム構成要素の分野の問題も練習してください。

それでは、またお会いしましょう！

The post 受注管理システムの操作権限｜科目B情報セキュリティを解くための重要用語 first appeared on 基本情報技術者試験 受験ナビ｜科目A・科目B対策から過去問解説まで 250本以上の記事を掲載.

毎回1問ずつ、科目Bの情報セキュリティの問題を取り上げて、問題の中にある用語の意味と、問題の解き方を説明します。
用語の意味がわかれば、科目Bの情報セキュリティの問題は、それほど難しくない、ということを知ってください。

問題

今回の問題は、ECサイトの脆弱性に対処する組織がテーマです。

以下に問題を示しますので、本文、設問、選択肢に、ざっと目を通してください。
後で用語の意味を説明してから、再度問題を見ていただきますので、今はざっとでOKです。

問題（出典：2022年12月公開サンプル問題セット問17）

製造業のA社では，ECサイト（以下，A社のECサイトをAサイトという）を使用し，個人向けの製品販売を行っている。
Aサイトは，A社の製品やサービスが検索可能で，ログイン機能を有しており，あらかじめAサイトに利用登録した個人（以下，会員という）の氏名やメールアドレスといった情報（以下，会員情報という）を管理している。Aサイトは，B社のPaaSで稼働しており，PaaS上のDBMSとアプリケーションサーバを利用している。

A社は，Aサイトの開発，運用をC社に委託している。A社とC社との間の委託契約では，Web アプリケーションプログラムの脆弱性対策は，C社が実施するとしている。

最近，A社の同業他社が運営しているWebサイトで脆弱性が悪用され，個人情報が漏えいするという事件が発生した。そこでA社は，セキュリティ診断サービスを行っているD社に，Aサイトの脆弱性診断を依頼した。脆弱性診断の結果，対策が必要なセキュリティ上の脆弱性が複数指摘された。図1にD社からの指摘事項を示す。

【設問】
図1中の各項番それぞれに対処する組織の適切な組合せを，解答群の中から選べ。

【解答群】

問題の中にある用語の意味

以下に、今回の問題中にある重要な用語の意味を示します。

ここでは、用語の一般的な意味だけでなく、その用語から問題を読み取るポイントも示しています。
用語の意味がわかったら、もう一度問題を読み直してください。きっとスラスラと理解できるはずです。

各社の役割を整理すると、以下になります。・・・用語の説明の「この問題では」に記述

A社・・・Aサイト（ECサイト）を使って個人向けの商品販売をします。
B社・・・PaaSを提供します。Aサイトは、PaaS上のDBMSとアプリケーションサーバを利用します。
ここで、注意してほしいのは、PaaSは、ハードウェア、OS、ミドルウェア（DBMSとアプリケーションサーバ）を提供しますが、アプリケーションは提供しないことです。
C社・・・Aサイトの開発と運営を委託され、Webアプリケーションの脆弱性対策は、C社が実施する契約になっています。
D社・・・Aサイトの脆弱性診断をします。

問題の解き方

この手の問題を解くときには、常識的に考える、ということが重要です。
常識的に考えて、問題の項番1、2、3に示された脆弱性に対処する組織は、それらを提供している組織、または、それぞれの対処を実施することを契約している組織でしょう。

項番1のOSの既知の脆弱性に対処するのは、OSがPaaSとして提供されるので、PaaSを提供しているB社です。

項番2のクロスサイトスクリプティングの脆弱性に対処するのは、クロスサイトスクリプティングがWebアプリケーション（ここではAサイト）に対する攻撃なので、委託契約でWebアプリケーションの脆弱性対策を実施することになっているC社です。

項番3のDBMSの既知の脆弱性に対処するのは、DBMSがPaaSとして提供されているので、PaaSを提供しているB社です。

以上のことから、選択肢カが正解です。

【正解】
選択肢カ

もしも、今回の問題を見て「自分には用語の知識が不足している」と感じたなら、科目Bの問題だけでなく、科目A（および旧制度の午前試験）の問題も練習することをお勧めします。
科目Aの問題の多くは、用語の意味をテーマにしているので、知識の補充ができるからです。

情報セキュリティの分野だけでなく、それに関連するネットワークやシステム構成要素の分野の問題も練習してください。

それでは、またお会いしましょう！

The post ECサイトの脆弱性に対処する組織｜科目B情報セキュリティを解くための重要用語 first appeared on 基本情報技術者試験 受験ナビ｜科目A・科目B対策から過去問解説まで 250本以上の記事を掲載.

毎回1問ずつ、科目Bの情報セキュリティの問題を取り上げて、問題の中にある用語の意味と、問題の解き方を説明します。
用語の意味がわかれば、科目Bの情報セキュリティの問題は、それほど難しくない、ということを知ってください。

問題

今回の問題は、委託業務での情報セキュリティリスクがテーマです。

以下に問題を示しますので、本文、設問、選択肢に、ざっと目を通してください。
後で用語の意味を説明してから、再度問題を見ていただきますので、今はざっとでOKです。

問題（出典：令和5年度公開問題問6）

A社は，放送会社や運輸会社向けに広告制作ビジネスを展開している。
A社は，人事業務の効率化を図るべく，人事業務の委託を検討することにした。
A社が委託する業務（以下，B業務という）を図1に示す。

委託先候補のC社は，B業務について，次のようにA社に提案した。
　・B業務だけに従事する専任の従業員を割り当てる。
　・B業務では，図2の複合機のスキャン機能を使用する。

A社は，C社と業務委託契約を締結する前に，秘密保持契約を締結した。
その後，C社に質問表を送付し，回答を受けて，業務委託での情報セキュリティリスクの評価を実施した。
その結果，図3の発見があった。

そこで，A社では，初期設定の状態のままではA社にとって情報セキュリティリスクがあり，初期設定から変更するという対策が必要であると評価した。

　
【設問】
対策が必要であるとA社が評価した情報セキュリティリスクはどれか。
解答群のうち，最も適切なものを選べ。

　
【解答群】

　ア　：　B業務に従事する従業員が，攻撃者からの電子メールを複合機からのものと信じて本文中にあるURLをクリックし，フィッシングサイトに誘導される。その結果，A社の採用予定者の個人情報が漏えいする。

　イ　：　B業務に従事する従業員が，複合機から送信される電子メールをスパムメールと誤認し，電子メールを削除する。その結果，再スキャンが必要となり，B業務が遅延する。

　ウ　：　攻撃者が，複合機から送信される電子メールを盗聴し，添付ファイルを暗号化して身代金を要求する。その結果，A社が復号鍵を受け取るために多額の身代金を支払うことになる。

　エ　：　攻撃者が，複合機から送信される電子メールを盗聴し，本文に記載されているURLを使ってBサーバにアクセスする。その結果，A社の採用予定者の個人情報が漏えいする。

問題の中にある用語の意味

以下に、今回の問題中にある重要な用語の意味を示します。

ここでは、用語の一般的な意味だけでなく、その用語から問題を読み取るポイントも示しています。
用語の意味がわかったら、もう一度問題を読み直してください。きっとスラスラと理解できるはずです。

問題の解き方

A社では、初期設定の状態のままでは情報セキュリティリスクがあり、初期設定を変更する対策が必要であると評価しています。

この問題では、選択肢に示された文書の中から、対策が必要であるとA社が評価した情報セキュリティリスクとして最も適切なものを選びます。
用語の意味がわかって、問題の内容を理解できたら、それぞれの選択肢が適切か不適切かを判断できるでしょう。

図3に示された発見事項を見ると、誰がスキャンを実行しても、電子メールの差出人アドレス、件名、本文、および添付ファイル名が初期設定のままであり、さらに、初期設定の情報がベンダーのWebサイトで公開されているので誰でも閲覧できる、とあります。

このことから、初期設定の状態のままでは、攻撃者が複合機になりすまして電子メールを利用者に送り、そこにあるURLをクリックさせて悪意のあるWebサイトに誘導するリスクがあります。

したがって、「攻撃者からの電子メールを複合機からのものと信じて本文中にあるURLをクリックし、フィッシングサイトに誘導される」という選択肢アは適切です。

攻撃者が送るメールは、スパムメールを目的としたものではないので、選択肢イは不適切です。
添付ファイルを暗号化して身代金を要求するという記述はないので、選択肢ウは不適切です。
攻撃者が複合機から送信されるメールを盗聴するという記述はないので、選択肢エは不適切です。

【正解】
選択肢ア

もしも、今回の問題を見て「自分には用語の知識が不足している」と感じたなら、科目Bの問題だけでなく、科目A（および旧制度の午前試験）の問題も練習することをお勧めします。
科目Aの問題の多くは、用語の意味をテーマにしているので、知識の補充ができるからです。

情報セキュリティの分野だけでなく、それに関連するネットワークやシステム構成要素の分野の問題も練習してください。

それでは、またお会いしましょう！

The post 委託業務での情報セキュリティリスク｜科目B情報セキュリティを解くための重要用語 first appeared on 基本情報技術者試験 受験ナビ｜科目A・科目B対策から過去問解説まで 250本以上の記事を掲載.