情報セキュリティマネジメント 平成30年秋 午前問題
問題一覧
1
CSIRTマテリアル
2
組織を指揮し、管理する人々の集まりとして複数名で構成されてもよい。
3
外部クラウドサービスを利用する事業者と、クラウドサービスを他社に提供する事業者とのどちらにも適用できる。
4
SECURITY ACTION
5
システム構築を行わずに済み、アプリケーションソフトウェア開発に必要な情報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。
6
情報セキュリティリスク対応に必要な管理策をJIS Q 27000:2014 附属書 A と比較した結果を基に、適用宣言書を作成する。
7
リスクの特質を理解し、リスクレベルを決定するプロセス。
8
情報セキュリティガバナンスの範囲とITガバナンスの範囲は重複する場合がある。
9
組織の規模が小さい場合は、対策基準と実施手順を併せて1階層とし、基本方針を含めて2階層の文書構造として策定してもよい。
10
b, c, d
11
情報の管理レベルについてのラベル付け
12
割れ窓理論
13
脆弱性に対してセキュリティパッチが提供れる前に当該脆弱性を悪用して攻撃する。
14
侵入して乗っ取ったコンピュータに対して、他のコンピュータへの攻撃などの不正な操作をするよう、外部から命令を出したり応答を受け取ったりする。
15
SMBv1の脆弱性を悪用するなどして感染し、PC内のデータを暗号化してデータ復号のための金銭を要求してり、他のPCに感染を拡大したりする。
16
シャドーIT
17
PCの起動時にOSやドライバのデジタル署名を検証し，許可されていないものを実行しないようにすることによって，OS起動前のマルウェアの実行を防ぐ技術
18
NTP(UDP，ポート番号123)
19
エ
20
エ
21
攻撃者が特定の目的をもち，標的となる組織の防御策に応じて複数の攻撃手法を組み合わせ，気付かれないよう執拗(よう)に攻撃を繰り返すこと
22
サーバ証明書の正当性を，認証局の公開鍵を使って検証する。
23
クラウドサービス利用者の経済的な損失を目的に，リソースを大量消費させる攻撃
24
ステガノグラフィ
25
アプリケーションソフトウェアの改ざんを利用者が検知できるようにする。
26
AES
27
共通鍵暗号方式で相手ごとに秘密の通信をする場合，通信相手が多くなるに従って，鍵管理の手間が増える。
28
情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダーに依存しない評価方法を提供する。
29
リモートログインやリモートファイルコピーのセキュリティを強化したプロトコル，及びそのプロトコルを実装したコマンド
30
ブラックリストは，問題のある通信データパターンを定義したものであり，該当する通信を遮断する。
31
内閣
32
正当な理由なく他人の利用者IDとパスワードを第三者に提供する。
33
電子署名には，民事訴訟法における押印と同様の効力が認められる。
34
特定の分野ごとにWebページのURLを収集し，独自の解釈を付けたリンク集は，著作権法で保護され得る。
35
企業などソフトウェアの大量購入者向けに，インストールできる台数をあらかじめ取り決め，マスタが提供される契約
36
情報が，組織の意思・意図に沿って承認され，漏れなく正確に記録・処理されること
37
リスクアセスメントを実施した後に，リスク受容基準を決めた。
38
請負契約においては，委託側の事務所で作業を行っている受託側要員のシステムへのアクセスについて，アクセス管理が妥当かどうかを，委託側が監査できるように定める。
39
ウ
40
75
41
サービス提供者
42
段階的な取扱い
43
作業を階層的に詳細化して，管理可能な大きさに細分化する。
44
システムの一部が故障しても，危険が生じないような構造や仕組みを導入する設計のこと
45
問題のあるデータベース操作を事後に調査する。
46
TCPやUDPにおいてアプリケーションを識別する情報
47
情報科学についての知識を有し，ビジネス課題を解決するためにビッグデータを意味ある形で使えるように分析システムを実装・運用し，課題の解決を支援する。
48
情報リテラシーの習得機会を増やしたり，情報通信機器や情報サービスが一層利用しやすい環境を整備したりすること
49
システムに関わり合いをもつ利害関係者の種類を識別し，利害関係者のニーズ，要望及び課せられる制約条件を識別する。
50
勝つためには選手に戦術の立案と実行を任せることだ。
問題一覧
1
CSIRTマテリアル
2
組織を指揮し、管理する人々の集まりとして複数名で構成されてもよい。
3
外部クラウドサービスを利用する事業者と、クラウドサービスを他社に提供する事業者とのどちらにも適用できる。
4
SECURITY ACTION
5
システム構築を行わずに済み、アプリケーションソフトウェア開発に必要な情報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。
6
情報セキュリティリスク対応に必要な管理策をJIS Q 27000:2014 附属書 A と比較した結果を基に、適用宣言書を作成する。
7
リスクの特質を理解し、リスクレベルを決定するプロセス。
8
情報セキュリティガバナンスの範囲とITガバナンスの範囲は重複する場合がある。
9
組織の規模が小さい場合は、対策基準と実施手順を併せて1階層とし、基本方針を含めて2階層の文書構造として策定してもよい。
10
b, c, d
11
情報の管理レベルについてのラベル付け
12
割れ窓理論
13
脆弱性に対してセキュリティパッチが提供れる前に当該脆弱性を悪用して攻撃する。
14
侵入して乗っ取ったコンピュータに対して、他のコンピュータへの攻撃などの不正な操作をするよう、外部から命令を出したり応答を受け取ったりする。
15
SMBv1の脆弱性を悪用するなどして感染し、PC内のデータを暗号化してデータ復号のための金銭を要求してり、他のPCに感染を拡大したりする。
16
シャドーIT
17
PCの起動時にOSやドライバのデジタル署名を検証し，許可されていないものを実行しないようにすることによって，OS起動前のマルウェアの実行を防ぐ技術
18
NTP(UDP，ポート番号123)
19
エ
20
エ
21
攻撃者が特定の目的をもち，標的となる組織の防御策に応じて複数の攻撃手法を組み合わせ，気付かれないよう執拗(よう)に攻撃を繰り返すこと
22
サーバ証明書の正当性を，認証局の公開鍵を使って検証する。
23
クラウドサービス利用者の経済的な損失を目的に，リソースを大量消費させる攻撃
24
ステガノグラフィ
25
アプリケーションソフトウェアの改ざんを利用者が検知できるようにする。
26
AES
27
共通鍵暗号方式で相手ごとに秘密の通信をする場合，通信相手が多くなるに従って，鍵管理の手間が増える。
28
情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダーに依存しない評価方法を提供する。
29
リモートログインやリモートファイルコピーのセキュリティを強化したプロトコル，及びそのプロトコルを実装したコマンド
30
ブラックリストは，問題のある通信データパターンを定義したものであり，該当する通信を遮断する。
31
内閣
32
正当な理由なく他人の利用者IDとパスワードを第三者に提供する。
33
電子署名には，民事訴訟法における押印と同様の効力が認められる。
34
特定の分野ごとにWebページのURLを収集し，独自の解釈を付けたリンク集は，著作権法で保護され得る。
35
企業などソフトウェアの大量購入者向けに，インストールできる台数をあらかじめ取り決め，マスタが提供される契約
36
情報が，組織の意思・意図に沿って承認され，漏れなく正確に記録・処理されること
37
リスクアセスメントを実施した後に，リスク受容基準を決めた。
38
請負契約においては，委託側の事務所で作業を行っている受託側要員のシステムへのアクセスについて，アクセス管理が妥当かどうかを，委託側が監査できるように定める。
39
ウ
40
75
41
サービス提供者
42
段階的な取扱い
43
作業を階層的に詳細化して，管理可能な大きさに細分化する。
44
システムの一部が故障しても，危険が生じないような構造や仕組みを導入する設計のこと
45
問題のあるデータベース操作を事後に調査する。
46
TCPやUDPにおいてアプリケーションを識別する情報
47
情報科学についての知識を有し，ビジネス課題を解決するためにビッグデータを意味ある形で使えるように分析システムを実装・運用し，課題の解決を支援する。
48
情報リテラシーの習得機会を増やしたり，情報通信機器や情報サービスが一層利用しやすい環境を整備したりすること
49
システムに関わり合いをもつ利害関係者の種類を識別し，利害関係者のニーズ，要望及び課せられる制約条件を識別する。
50
勝つためには選手に戦術の立案と実行を任せることだ。