問題一覧
1
マルウェア対策ソフトの導入, セキュリティバッチ(修正モジュール)の適用
2
導入後もマルウェア定義ファイルの更新を継続して行う。
3
検疫ネットワーク
4
個人用パスワードはシステム管理者にも教えない。, パスワードを第三者に知られた可能性がある場合には、すぐに変更する。, 付与された初期パスワードは、最初にログインした時に変更する。
5
アクセス制御
6
インシデントの原因究明に必要となるデータの収集と保全
7
ファイアウォール
8
パーソナルファイアウォールを導入する。
9
インターネットからの不正侵入に対する防止効果
10
運用担当者のセキュリティ意識が低い。
11
MDM (Mobile Device Management)
12
権限のある社員だけに入室を許可する。, 入室を試みて、拒否された社員を記録する。
13
通信の暗号化を行うことによって、通信経路上での通信内容の漏洩を防ぐ。
14
SMTPサーバは、クライアントがアクセスしてきた場合に利用者認証を行い、認証が成功した時電子メールを受け付ける。
15
Webサーバ及びWebアプリケーションに起因する脆弱性への攻撃を遮断する。
16
情報セキュリティポリシー
17
情報セキュリティに対する組織の取組みを示すもので、経営層が承認する。
18
特定の政府機関や企業から独立した組織であり、国内のコンピュータセキュリティインシデントに関する報告の受付、対応の支援、発生状況の把握、手口の分析、再発防止策の検討や助言を行っている。
19
一過性の活動でなく改善と活動を継続する。, 導入及び活動は経営層を頂点とした組織的な取組みである。
20
ISMSの監視及びレビュー
21
ISO/IEC 27001 (JIS Q 27001)
22
リスク分析→リスク特定→リスク対応→リスク評価
23
以前に洗い出された全てのリスクへの対応が完了する前に、リスクアセスメントを実施することは避ける。
24
セキュリティ対策を行って、問題発生の可能性を下げた。
25
Dos攻撃を受け、サーバが停止する。
26
定められた守秘責任を果たさなかった場合、相応の処置がとられることを、雇用契約に定めている。
27
脂弱性検査ソールを利用して、サーバの脆弱性を確認する
28
国民に対し、サイバーセキュリティの重要性につき関心と理解を深め、その確保に必要な注意を払うよう務めることを求める規定がある。
29
電気通回線を通じてアクセス制御されたコンピュータを不正利用する行為
30
他人が作成したマルウェアを発見し、後日これを第三者のコンピュータで助させる目的で保管した。
31
TCP23番ポートはIoT機器の操作用プロトコルで使用されており、そのプロトコルを用いると、初期パスワードを使って不正ログインが容易に成功し、不正にIoT機器を操作できることが多いから
32
IT部門の許可を得ずに、従業員又は部門が業務に利 用しているデバイスやクラウドサービス
33
従業員が私的に保有する情報端末を業務に利用することであり、セキュリティ設定の不備に起因するウイルス感染などの情報セキュリティリスクが増大する。
34
電子政府での利用を推奨する暗号技術の安全性を評価，監視する。
35
組織を指揮し、管理する人々の集まりとして複数名で構成されていてもよい。
36
組織の規模が小さい場合は、対策基準と実施手順を併せて1階層とし、基本方針を含めて2階層の文書構造として策定してもよい。
37
リスク所有者
38
情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために、あらかじめ定めた連絡経路に従ってB社から連絡した。
39
結果とその起こりやすさの組合せとして表現される，リスクの大きさ
40
リスクによって引き起こされる事象, リスクによって引き起こされる事象の原因及び起こり得る結果, リスクを顕在化させる可能性をもつリスク源
41
リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス
42
組織の情報セキュリティのリスク基準
43
受容するリスクについては、リスク所有者が承認すること
44
システムが被害を受けるリスクを想定して、保険を掛ける。
45
"必要な資源"及び"結果の評価方法"
46
是正処置
47
情報セキュリティ対策の有効性を維持するために、対策を定期又は随時に見直す。, 情報セキュリティ対策を組織的に実施する意思を明確に示すために、方針を定める。, 情報セキュリティの新たな脅威に備えるために、最新動向を収集する。
48
ウ
49
情報セキュリティガバナンスの範囲とITガバナンスの範囲は重複する場合がある。
50
サーバ室の空調
51
ア
52
J-CSIP
53
NCO
54
ソフトウェアなどの脆弱性関連情報や対策情報
55
脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し、決定する。
56
エ
57
情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダーに依存しない評価方法を提供する。
58
検体をサンドボックス上で実行し、その動作や外部との通信を観測する。
59
画像などのデータの中に、秘密にしたい情報を他者に気付かれることなく埋め込む。
60
様々な機器から集められたログを総合的に分析し、管理者による分析を支援する。
61
インターネット上のWebサイトから、内部ネットワークのPCへのマルウェアのダウンロードを防ぐ。
62
電源の瞬断に起因するデータの破損を防ぐ
63
システム管理者が、業務システムのプログラムにアクセスし、バージョンアップを行う。
64
退職間際に重要情報の不正な持出しが行われやすいので、退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。
問題一覧
1
マルウェア対策ソフトの導入, セキュリティバッチ(修正モジュール)の適用
2
導入後もマルウェア定義ファイルの更新を継続して行う。
3
検疫ネットワーク
4
個人用パスワードはシステム管理者にも教えない。, パスワードを第三者に知られた可能性がある場合には、すぐに変更する。, 付与された初期パスワードは、最初にログインした時に変更する。
5
アクセス制御
6
インシデントの原因究明に必要となるデータの収集と保全
7
ファイアウォール
8
パーソナルファイアウォールを導入する。
9
インターネットからの不正侵入に対する防止効果
10
運用担当者のセキュリティ意識が低い。
11
MDM (Mobile Device Management)
12
権限のある社員だけに入室を許可する。, 入室を試みて、拒否された社員を記録する。
13
通信の暗号化を行うことによって、通信経路上での通信内容の漏洩を防ぐ。
14
SMTPサーバは、クライアントがアクセスしてきた場合に利用者認証を行い、認証が成功した時電子メールを受け付ける。
15
Webサーバ及びWebアプリケーションに起因する脆弱性への攻撃を遮断する。
16
情報セキュリティポリシー
17
情報セキュリティに対する組織の取組みを示すもので、経営層が承認する。
18
特定の政府機関や企業から独立した組織であり、国内のコンピュータセキュリティインシデントに関する報告の受付、対応の支援、発生状況の把握、手口の分析、再発防止策の検討や助言を行っている。
19
一過性の活動でなく改善と活動を継続する。, 導入及び活動は経営層を頂点とした組織的な取組みである。
20
ISMSの監視及びレビュー
21
ISO/IEC 27001 (JIS Q 27001)
22
リスク分析→リスク特定→リスク対応→リスク評価
23
以前に洗い出された全てのリスクへの対応が完了する前に、リスクアセスメントを実施することは避ける。
24
セキュリティ対策を行って、問題発生の可能性を下げた。
25
Dos攻撃を受け、サーバが停止する。
26
定められた守秘責任を果たさなかった場合、相応の処置がとられることを、雇用契約に定めている。
27
脂弱性検査ソールを利用して、サーバの脆弱性を確認する
28
国民に対し、サイバーセキュリティの重要性につき関心と理解を深め、その確保に必要な注意を払うよう務めることを求める規定がある。
29
電気通回線を通じてアクセス制御されたコンピュータを不正利用する行為
30
他人が作成したマルウェアを発見し、後日これを第三者のコンピュータで助させる目的で保管した。
31
TCP23番ポートはIoT機器の操作用プロトコルで使用されており、そのプロトコルを用いると、初期パスワードを使って不正ログインが容易に成功し、不正にIoT機器を操作できることが多いから
32
IT部門の許可を得ずに、従業員又は部門が業務に利 用しているデバイスやクラウドサービス
33
従業員が私的に保有する情報端末を業務に利用することであり、セキュリティ設定の不備に起因するウイルス感染などの情報セキュリティリスクが増大する。
34
電子政府での利用を推奨する暗号技術の安全性を評価，監視する。
35
組織を指揮し、管理する人々の集まりとして複数名で構成されていてもよい。
36
組織の規模が小さい場合は、対策基準と実施手順を併せて1階層とし、基本方針を含めて2階層の文書構造として策定してもよい。
37
リスク所有者
38
情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために、あらかじめ定めた連絡経路に従ってB社から連絡した。
39
結果とその起こりやすさの組合せとして表現される，リスクの大きさ
40
リスクによって引き起こされる事象, リスクによって引き起こされる事象の原因及び起こり得る結果, リスクを顕在化させる可能性をもつリスク源
41
リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス
42
組織の情報セキュリティのリスク基準
43
受容するリスクについては、リスク所有者が承認すること
44
システムが被害を受けるリスクを想定して、保険を掛ける。
45
"必要な資源"及び"結果の評価方法"
46
是正処置
47
情報セキュリティ対策の有効性を維持するために、対策を定期又は随時に見直す。, 情報セキュリティ対策を組織的に実施する意思を明確に示すために、方針を定める。, 情報セキュリティの新たな脅威に備えるために、最新動向を収集する。
48
ウ
49
情報セキュリティガバナンスの範囲とITガバナンスの範囲は重複する場合がある。
50
サーバ室の空調
51
ア
52
J-CSIP
53
NCO
54
ソフトウェアなどの脆弱性関連情報や対策情報
55
脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し、決定する。
56
エ
57
情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダーに依存しない評価方法を提供する。
58
検体をサンドボックス上で実行し、その動作や外部との通信を観測する。
59
画像などのデータの中に、秘密にしたい情報を他者に気付かれることなく埋め込む。
60
様々な機器から集められたログを総合的に分析し、管理者による分析を支援する。
61
インターネット上のWebサイトから、内部ネットワークのPCへのマルウェアのダウンロードを防ぐ。
62
電源の瞬断に起因するデータの破損を防ぐ
63
システム管理者が、業務システムのプログラムにアクセスし、バージョンアップを行う。
64
退職間際に重要情報の不正な持出しが行われやすいので、退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。