ISMS3

100問 • 11ヶ月前

吉岡壮磨

通報

問題一覧

モバイルアプリケーションやウェブアプリケーションで広く使用される認証レイヤー。複数のサービスに対してシングルサインオンを実現できる。

OpenID Connect

ネットワーク内のリソースに関する情報を管理し、提供するためのサービス。これにより、組織内のリソースの管理とアクセスが効率化される。

ディレクトリサービス

S/MIMEを利用して署名付きメールを送信するにはどうすればいい？

自身の公開鍵証明書の発行を受けておく必要がある

デジタル証明書の失効状態を即座に確認できるプロトコル

OCSP

厳格な認証プロセスを通じて、ウェブサイトの運営者の身元を確認し、ユーザーに対して高い信頼性を提供するツール

EV SSL証明書

経済協力開発機構が策定した、個人情報保護に関する国際的な指針

OECDプライバシーガイドライン

ユーザーが投稿したコンテンツに関して、プロバイダの責任を明確にすることを目的とした法

プロバイダ責任制限法

インターネット接続や関連サービスを提供する企業や組織

プロバイダ

スパムメールの防止を目的とした法

特定電子メール法

　著作者の死後、著作権の保護期間は( )年間である。

不正競争防止法で禁止されている行為として誤っているもの

コピープロテクト外し

無線LANのアクセスポイントに正当なユーザーのMACアドレス(端末固有の情報)を登録することで何ができる？

正当なユーザー以外のアクセスを拒否する

準委任契約は依頼者の利益を考慮しつつ、誠実に業務を遂行する義務はあるが、( )はない。

結果の保証

特定商取引法では、事前説明義務、( )制度、広告の規制(不当な表示等を禁止)が規定されている。

クーリングオフ

誰もがデジタル技術を利用できる社会の実現、環境の配慮を含む持続可能な社会の形成を促進することを基本理念とした法律

デジタル社会形成基本法

電子文書の法的効力を明確にし、ビジネスや行政におけるデジタル化を促進することを目的とした法律

e-文書法

財務諸表や業務プロセスの正確性、信頼性を保証することが主な目的である監査。定められた基準や規則に基づいて、客観的な証拠を収集し、評価する。

保証型監査

組織の業務改善や効率化を目的とし、助言や提案を行うことが主な目的である監査。業務プロセスや内部統制の分析を行い、改善点を見つけて助言を提供する。

助言型監査

システム監査の目的として不適切なものを選べ。

データの利活用を促進し、企業や行政が効率的にデータを活用できる人材を育成する

監査計画の策定では、目的の明確化(監査の目的や範囲を明確にする)や( )の確保(人員、時間、予算の計画)、スケジュールの作成を行う。

リソース

監査手順において、事前調査後のプロセスとして適切なもの。

監査手続きの実施

監査手続きでは具体的に、システムのログ、設定、ドキュメントなどの証拠を収集したり、システムのユーザーや管理者に( )する。

インタビュー

監査手順として、評価と分析後に行うプロセス。

監査報告書の作成

「システム管理基準」の例として適当なもの

ITIL

システム管理基準の目的は、システムの安定性、可用性、パフォーマンスを維持し、( )な運用を実現することである

効率的

システム監査基準の目的は、システムが適切に機能しているか、( )が管理されているか、法令や規制に準拠しているかを確認することである

リスク

ITガバナンスと管理のフレームワークであり、情報技術を効率的に管理し、ビジネスの目標を達成するための指針

COBIT

ITサービスの提供と管理を効率的かつ効果的に行うためのフレームワーク。顧客満足度の向上、サービスの品質向上、リスク管理を目的としている。

ITSMS

ユーザーが自分のサーバーをデータセンターに設置し、電源、冷却、ネットワーク接続などのインフラを提供するサービス

ハウジングサービス

サービスマネジメント構築手法の一環として、他の組織や業界のベストプラクティスを比較、分析し、自組織のパフォーマンスを向上させるための手法

ベンチマーキング

ソースコードが入手することができないソフトウェアの動作を知りたい場合、どうすればいいか？

逆アセンブルする(実行ファイルをアセンブリ言語に逆変換する)

ビジネスインパクト分析では、障害や災害によるシステム停止に備えて、許容可能な最大停止時間や目標復旧時間などを設定する

○

フォローザ・サンとは世界中に分散したサービスデスクが連携し、( )時間体制でサポートを提供する

ローカルサービスデスクでは、特定の地域や国に拠点を持ち、その地域のユーザに対応する。同じタイムゾーン内で運営されるため、( )による問題が発生しない。

時差

プレースホルダとは何？

利用者入力部分に特殊文字を割り当てたSQL文の雛形を用意し、特殊文字部分には実行時にエスケープ処理された値を割り当てる仕組み

コンピューターウイルスは、IPAの定義によると、自己伝染機能、( )機能、発病機能を持つものとされる。

潜伏

トロイの木馬は原則として本体に( )機能はない。

自己伝染

Webブラウザと( )間の通信を暗号化するためのプロトコルはSSL/TLSである。

Webサーバー

IaaSは仮想化されたコンピューターリソースをインターネット経由で提供するサービスモデルであり、ユーザーはサーバ、ストレージ、( )などのインフラを利用できる。

ネットワーク

PaaSは、アプリケーションの開発、テスト、デプロイを行うためのプラットフォームを提供するサービスモデルである。ユーザーは( )管理が不要

インフラ

SaaSは、ソフトウェアをインターネットを通じて提供するサービスモデルである。ソフトウェアのインストールやアップデート、メンテナンスは( )が行う。

サービスプロバイダ

複数のデバイスの中から最も近い1つのデバイスにデータを送信するためのアドレス

エニキャストアドレス

インターネット上でコンテンツ配信を最適化するための分散型ネットワーク

CDN

CDN(Content Delivery Network)の特徴として、ユーザーに近いサーバー( )からデータを配信するため、読み込み速度が向上する

エッジサーバー

IDaaSとは、クラウドベースのアイデンティティ管理サービスを指す。( )を提供し、ユーザーが複数のアプリケーションに対して一度のログインでアクセスできるようにする

シングルサインオン

システム化構想の立案は、組織の業務プロセスを効率化し、情報システムを導入するための基本的な( )を策定することを目的としている。

計画

PERT(Program Evaluation and Review Technique)図の特徴は？

プロジェクトの日程計画を作成するのに適している

TCP/IPモデルの第3層

トランスポート層

システム要件のうち、非機能要件には可用性、性能•( )、運用•保守性、移行性、セキュリティ、システム環境•エコロジーの６つのカテゴリがある。

拡張性

IPsec はネットワーク通信を保護するための一連のプロトコルである。AH(Authentication Header)は( )の認証と整合性を提供する。

データ

IPsecで使用されるプロトコルのうち、ESP(Encapsulating Security Payload)では、データの( )を提供している。

機密性

IPsecで使用されるプロトコルのうち、IKE(Internet Key Exchange)では、( )鍵を生成し配布する。

共通

ファイアウォールやアクセス制御リストなどでよく見られる概念。不正アクセスからネットワークを保護することができる。

ANY接続拒否

ARPは( )の情報からMACアドレスを調べるためのプロトコルである。

IPアドレス

不正なメールのやり取りで取引先になりすまして偽の電子メールを送り、金銭を騙し取るメール詐欺

BEC

オープンソフトウェアのライセンスの一つ。無保証であることが明記されており、ソースコードやバイナリを配布する際には、元の著作権表示とライセンスの文言を保持する必要がある。

BSDライセンス

ソフトウェアの開発者や著作権者が自身の作品に対してどのように他者が利用できるかを明示している

ライセンス

Camellia はNTTと三菱電機が開発した128ヒットのブロックサイズを持つ( )鍵暗号。

共通

ソフトウェア開発のコストや工数を見積もるための強力なツール

COCOMO

EALとは製品やシステムのセキュリティレベルを客観的に( )するための指標

評価

デジタル証明書は、SSL/TLSプロトコルにおいて通信データの暗号化のための( )や通信相手の認証に利用されている

鍵交換

SSLのバージョンロールバック攻撃とは、攻撃者が意図的に通信で利用するプロトコルのバージョンを( )させ、古いバージョンに残る脆弱性を利用して行われる攻撃

低下

対象ホストに対してポートスキャンを行なった。対象ポートにSYN(接続要求)パケットを送信した時に( )パケットを受信したら対象ポートは閉じていると判定する

RST/ACK

対象ポートにUDPパケットを送信したら、応答がなかったため、ポートは( )であることがわかる

開

HDDパスワードでは、( )を入れ替えてもパスワードが解除されることがない。

PL法は、製造物の安全性上の欠陥により人の生命、身体、財産に被害が生じた場合に、消費者が( )に対して損害賠償を請求できる。

製造業者

契約不適合責任と同等の意味を持つ用語

疵担保責任

マネジメントレビューとは、トップマネジメントによって定期的に行われるISMSの評論•再検討のことである。マネジメントレビューにおいて考慮すべき事項のうち当てはまらないものを選べ。

情報セキュリティ目的

広義のCSIRT中、セキュリティベンダーやSOCなどの、CSIRT機能の一部を顧客から有償で請け負う事業者を( )という。

インシデントレスポンスプロバイダ

リスクファイナンスでは、リスクが顕在化した場合に備えて、損失の補填や対応の資金確保策を講じることをいう。リスクコントロールでは、潜在的なリスクに対して、リスクを( )したり低減したりする対策を講じることをいう。

回避

[JIS Q 27000:2014]アカウンタビリティ及び権限を持つ人または主体

リスク所有者

情報セキュリティ目的とは、組織へのISMSの適用によって達成しようとする結果である。これを、どのように達成するかについて計画するときに決定すべき事項に当てはまらないもの。

適用する管理策

MACの目的は通信コードにおける改ざんの検知である。生成には公開鍵暗号方式ではなく、共通鍵暗号方式や( )が用いられる。

ハッシュ関数

出向契約とは元の会社との雇用関係および身分を存続させたまま、長期間にわたり出向先企業の管理および指揮命令化で勤務する契約である。○か×か？

○

CSIRTマテリアルは、組織的なインシデント対応体制である「( )」の構築を支援する目的で作成されたガイドラインである。JPCERT/CCが作成。

組織内CSIRT

適用宣言書に記載する事項 •必要な管理策およびそれらの管理策を含めた理由 •それらの管理策を実施しているか否か •( )に規定する管理策を除外した理由

附属書A

SMBv1とは、Server Message Block (SMB) のバージョン1のことで、CIFS (Common Internet File System) とも呼ばれている。これは、Windowsネットワーク上で( )やプリンタを共有するためのプロトコルの一種である。

ファイル

セキュアブートにより、OS起動ファイルやドライバの( )を検証する。

デジタル署名

フィルタリングルールを設定する際の方針のうち、ブラックリストは問題のある通信( )を定義したものであり、該当する通信を遮断する。

データパターン

SPFは、送信元IPアドレスを認証し、送信元ドメインが詐称されていないかを判断する。一方、DKIMは、メールに(a)を付与し、メール本文が改ざんされていないか、および(b)が正当かを検証する。[(b)]

送信元ドメイン

HMACとは、(a)と秘密鍵を組み合わせてメッセージ認証を行う仕組みであり、データの整合性と(b)の認証が確認できる。[(b)]

送信元

J-CRATは、「( )特別相談窓口」にて、APTに関わる相談や情報提供を受け付けている。

標的型サイバー攻撃

個人情報保護法第38条では、匿名加工情報取扱事業者の義務として、( )を識別するために加工の方法に関する情報を取得したり、匿名加工情報を他の情報と照合してはならないと定められている。

本人

WAFでは、パケットのIPアドレスやポート番号だけではなくペイロード部をチェックする。

○

攻撃者の身元特定を困難にする目的で、金銭の受け渡しにBitcoin が用いられたり、インターネット上の公開プロキシサーバを多段経由させ、ノード毎に暗号化を積み重ねることによって匿名性を高める仕組みとして( )がある。

Tor

JANコードのコード体系には、13桁の標準タイプと8桁の短縮タイプがある。

○

【PL法】製造物の欠陥原因が部品メーカーの製造した部品であった場合、完成品メーカーの設計通りに製造した部品であっても、部品メーカーに損害賠償責任がある

ローカルループバックアドレスとは自分自身のコンピュータを指す特別なIPアドレスである。

○

【認証方式】チャレンジレスポンス方式の特徴は？

通信経路上に固定パスワードを流さないようにすることで盗聴によるパスワードの漏洩を防ぐ

ASCIIコードは、2進数7桁で128種類に英数字や記号、改行やタブなどの制御文字を割り当てた文字コードである

○

下請代金支払遅延等防止法で禁止されている行為

親事業者があらかじめ下請代金を決定しないで発注し、納品後に価格を交渉•決定する

【労働者派遣法】派遣元事業者が講ずべき措置として、どんなことが挙げられる？

雇用終了後に派遣先に雇用されることを制限してはならないこと

【労働者派遣法】派遣元事業者は、派遣労働者が派遣就業に必要な技能や知識を習得できるように教育訓練を行う機会を確保する必要がある

○

JIS Q 9001:2000品質マネジメントシステムの要求事項の規定として、どんなことが挙げられる？

内部監査において、品質マネジメントシステムの規格要求事項に適合するかを監査すること

Shift_JISの説明として適切なもの

Unicodeは文字の1バイト目で漢字かどうかがわかり、漢字とASCII符号を混在可能としている

ソフトウェア管理ガイドラインってなに？

ソフトウェアの違法複製などを防止するために、実施すべき事項を取りまとめたもの

【PL法】A社がC社から購入したソフトウェアを組み込み機器に実装し自社製品として、小売店D社で販売した場合、PL法での責任の所在はどこになる？

A社

【通信傍受法】犯罪が予見できる場合は、電気通信事業者の判断によって傍受することができる。

SEOポイズニングとは？

悪意のあるページが検索結果の上位に表示されること

100

【DNSSEC】DNSキャッシュサーバがDNSコンテンツサーバに対してドメインの問い合わせを行った際に、DNSコンテンツサーバはドメイン応答に何を付加してDNSキャッシュサーバに送信する？

デジタル署名

電験2種　水力

電験2種　水力

電験2種　送電

電験2種　送電

電気2種　配電

電気2種　配電

ISMS

ISMS

ISMS2

ISMS2

英単語

英単語

電験2種　変電

電験2種　変電

FP3級　相続関連

FP3級　相続関連

FP3級　ライフプランニング

FP3級　ライフプランニング

FP3級　金融資産運用

FP3級　金融資産運用

FP3級　タックスプランニング

FP3級　タックスプランニング

FP3級　タックスプランニング　おまけ

FP3級　タックスプランニング　おまけ

FP3級　不動産

FP3級　不動産

問題一覧

モバイルアプリケーションやウェブアプリケーションで広く使用される認証レイヤー。複数のサービスに対してシングルサインオンを実現できる。

OpenID Connect

ネットワーク内のリソースに関する情報を管理し、提供するためのサービス。これにより、組織内のリソースの管理とアクセスが効率化される。

ディレクトリサービス

S/MIMEを利用して署名付きメールを送信するにはどうすればいい？

自身の公開鍵証明書の発行を受けておく必要がある

デジタル証明書の失効状態を即座に確認できるプロトコル

OCSP

厳格な認証プロセスを通じて、ウェブサイトの運営者の身元を確認し、ユーザーに対して高い信頼性を提供するツール

EV SSL証明書

経済協力開発機構が策定した、個人情報保護に関する国際的な指針

OECDプライバシーガイドライン

ユーザーが投稿したコンテンツに関して、プロバイダの責任を明確にすることを目的とした法

プロバイダ責任制限法

インターネット接続や関連サービスを提供する企業や組織

プロバイダ

スパムメールの防止を目的とした法

特定電子メール法

　著作者の死後、著作権の保護期間は( )年間である。

不正競争防止法で禁止されている行為として誤っているもの

コピープロテクト外し

無線LANのアクセスポイントに正当なユーザーのMACアドレス(端末固有の情報)を登録することで何ができる？

正当なユーザー以外のアクセスを拒否する

準委任契約は依頼者の利益を考慮しつつ、誠実に業務を遂行する義務はあるが、( )はない。

結果の保証

特定商取引法では、事前説明義務、( )制度、広告の規制(不当な表示等を禁止)が規定されている。

クーリングオフ

誰もがデジタル技術を利用できる社会の実現、環境の配慮を含む持続可能な社会の形成を促進することを基本理念とした法律

デジタル社会形成基本法

電子文書の法的効力を明確にし、ビジネスや行政におけるデジタル化を促進することを目的とした法律

e-文書法

保証型監査

助言型監査

システム監査の目的として不適切なものを選べ。

データの利活用を促進し、企業や行政が効率的にデータを活用できる人材を育成する

監査計画の策定では、目的の明確化(監査の目的や範囲を明確にする)や( )の確保(人員、時間、予算の計画)、スケジュールの作成を行う。

リソース

監査手順において、事前調査後のプロセスとして適切なもの。

監査手続きの実施

監査手続きでは具体的に、システムのログ、設定、ドキュメントなどの証拠を収集したり、システムのユーザーや管理者に( )する。

インタビュー

監査手順として、評価と分析後に行うプロセス。

監査報告書の作成

「システム管理基準」の例として適当なもの

ITIL

システム管理基準の目的は、システムの安定性、可用性、パフォーマンスを維持し、( )な運用を実現することである

効率的

システム監査基準の目的は、システムが適切に機能しているか、( )が管理されているか、法令や規制に準拠しているかを確認することである

リスク

ITガバナンスと管理のフレームワークであり、情報技術を効率的に管理し、ビジネスの目標を達成するための指針

COBIT

ITサービスの提供と管理を効率的かつ効果的に行うためのフレームワーク。顧客満足度の向上、サービスの品質向上、リスク管理を目的としている。

ITSMS

ユーザーが自分のサーバーをデータセンターに設置し、電源、冷却、ネットワーク接続などのインフラを提供するサービス

ハウジングサービス

ベンチマーキング

ソースコードが入手することができないソフトウェアの動作を知りたい場合、どうすればいいか？

逆アセンブルする(実行ファイルをアセンブリ言語に逆変換する)

ビジネスインパクト分析では、障害や災害によるシステム停止に備えて、許容可能な最大停止時間や目標復旧時間などを設定する

○

フォローザ・サンとは世界中に分散したサービスデスクが連携し、( )時間体制でサポートを提供する

時差

プレースホルダとは何？

利用者入力部分に特殊文字を割り当てたSQL文の雛形を用意し、特殊文字部分には実行時にエスケープ処理された値を割り当てる仕組み

コンピューターウイルスは、IPAの定義によると、自己伝染機能、( )機能、発病機能を持つものとされる。

潜伏

トロイの木馬は原則として本体に( )機能はない。

自己伝染

Webブラウザと( )間の通信を暗号化するためのプロトコルはSSL/TLSである。

Webサーバー

ネットワーク

PaaSは、アプリケーションの開発、テスト、デプロイを行うためのプラットフォームを提供するサービスモデルである。ユーザーは( )管理が不要

インフラ

サービスプロバイダ

複数のデバイスの中から最も近い1つのデバイスにデータを送信するためのアドレス

エニキャストアドレス

インターネット上でコンテンツ配信を最適化するための分散型ネットワーク

CDN

CDN(Content Delivery Network)の特徴として、ユーザーに近いサーバー( )からデータを配信するため、読み込み速度が向上する

エッジサーバー

シングルサインオン

システム化構想の立案は、組織の業務プロセスを効率化し、情報システムを導入するための基本的な( )を策定することを目的としている。

計画

PERT(Program Evaluation and Review Technique)図の特徴は？

プロジェクトの日程計画を作成するのに適している

TCP/IPモデルの第3層

トランスポート層

拡張性

IPsec はネットワーク通信を保護するための一連のプロトコルである。AH(Authentication Header)は( )の認証と整合性を提供する。

データ

IPsecで使用されるプロトコルのうち、ESP(Encapsulating Security Payload)では、データの( )を提供している。

機密性

IPsecで使用されるプロトコルのうち、IKE(Internet Key Exchange)では、( )鍵を生成し配布する。

共通

ファイアウォールやアクセス制御リストなどでよく見られる概念。不正アクセスからネットワークを保護することができる。

ANY接続拒否

ARPは( )の情報からMACアドレスを調べるためのプロトコルである。

IPアドレス

不正なメールのやり取りで取引先になりすまして偽の電子メールを送り、金銭を騙し取るメール詐欺

BEC

BSDライセンス

ソフトウェアの開発者や著作権者が自身の作品に対してどのように他者が利用できるかを明示している

ライセンス

Camellia はNTTと三菱電機が開発した128ヒットのブロックサイズを持つ( )鍵暗号。

共通

ソフトウェア開発のコストや工数を見積もるための強力なツール

COCOMO

EALとは製品やシステムのセキュリティレベルを客観的に( )するための指標

評価

デジタル証明書は、SSL/TLSプロトコルにおいて通信データの暗号化のための( )や通信相手の認証に利用されている

鍵交換

低下

RST/ACK

対象ポートにUDPパケットを送信したら、応答がなかったため、ポートは( )であることがわかる

開

HDDパスワードでは、( )を入れ替えてもパスワードが解除されることがない。

PL法は、製造物の安全性上の欠陥により人の生命、身体、財産に被害が生じた場合に、消費者が( )に対して損害賠償を請求できる。

製造業者

契約不適合責任と同等の意味を持つ用語

疵担保責任

情報セキュリティ目的

広義のCSIRT中、セキュリティベンダーやSOCなどの、CSIRT機能の一部を顧客から有償で請け負う事業者を( )という。

インシデントレスポンスプロバイダ

回避

[JIS Q 27000:2014]アカウンタビリティ及び権限を持つ人または主体

リスク所有者

適用する管理策

MACの目的は通信コードにおける改ざんの検知である。生成には公開鍵暗号方式ではなく、共通鍵暗号方式や( )が用いられる。

ハッシュ関数

○

CSIRTマテリアルは、組織的なインシデント対応体制である「( )」の構築を支援する目的で作成されたガイドラインである。JPCERT/CCが作成。

組織内CSIRT

附属書A

ファイル

セキュアブートにより、OS起動ファイルやドライバの( )を検証する。

デジタル署名

フィルタリングルールを設定する際の方針のうち、ブラックリストは問題のある通信( )を定義したものであり、該当する通信を遮断する。

データパターン

送信元ドメイン

HMACとは、(a)と秘密鍵を組み合わせてメッセージ認証を行う仕組みであり、データの整合性と(b)の認証が確認できる。[(b)]

送信元

J-CRATは、「( )特別相談窓口」にて、APTに関わる相談や情報提供を受け付けている。

標的型サイバー攻撃

本人

WAFでは、パケットのIPアドレスやポート番号だけではなくペイロード部をチェックする。

○

Tor

JANコードのコード体系には、13桁の標準タイプと8桁の短縮タイプがある。

○

ローカルループバックアドレスとは自分自身のコンピュータを指す特別なIPアドレスである。

○

【認証方式】チャレンジレスポンス方式の特徴は？

通信経路上に固定パスワードを流さないようにすることで盗聴によるパスワードの漏洩を防ぐ

ASCIIコードは、2進数7桁で128種類に英数字や記号、改行やタブなどの制御文字を割り当てた文字コードである

○

下請代金支払遅延等防止法で禁止されている行為

親事業者があらかじめ下請代金を決定しないで発注し、納品後に価格を交渉•決定する

【労働者派遣法】派遣元事業者が講ずべき措置として、どんなことが挙げられる？

雇用終了後に派遣先に雇用されることを制限してはならないこと

【労働者派遣法】派遣元事業者は、派遣労働者が派遣就業に必要な技能や知識を習得できるように教育訓練を行う機会を確保する必要がある

○

JIS Q 9001:2000品質マネジメントシステムの要求事項の規定として、どんなことが挙げられる？

内部監査において、品質マネジメントシステムの規格要求事項に適合するかを監査すること

Shift_JISの説明として適切なもの

Unicodeは文字の1バイト目で漢字かどうかがわかり、漢字とASCII符号を混在可能としている

ソフトウェア管理ガイドラインってなに？

ソフトウェアの違法複製などを防止するために、実施すべき事項を取りまとめたもの

【PL法】A社がC社から購入したソフトウェアを組み込み機器に実装し自社製品として、小売店D社で販売した場合、PL法での責任の所在はどこになる？

A社

【通信傍受法】犯罪が予見できる場合は、電気通信事業者の判断によって傍受することができる。

SEOポイズニングとは？

悪意のあるページが検索結果の上位に表示されること

100

デジタル署名