問題一覧
1
組織的なインシデント対応体制の構築や運用を支援する目的でJPCERT/CCが作成したものはどれか。
CSIRTマテリアル
2
JIS Q 27000:2014(情報セキュリティマネジメントシステム-用語)における、トップマネジメントに関する記述として、適切なものはどれか。
組織を指揮し、管理する人々の集まりとして複数名で構成されてもよい。
3
JIS Q 27000:2016(JIS Q 27000に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範)が提供する、"管理及び実施の手引"の適用に関する記述のうち、適切なものはどれか。
外部クラウドサービスを利用する事業者と、クラウドサービスを他社に提供する事業者とのどちらにも適用できる。
4
安全・安心なIT社会を実現するために創設された制度であり、IPA"中小企業の情報セキュリティ対策ガイドライン"に沿った情報セキュリティ対策に取り組むことを中小企業が自己宣言するものはどれか。
SECURITY ACTION
5
SaaS(Software as a Service)を利用するときの企業の情報セキュリティ管理に関する記述のうち、適切なものはどれか。
システム構築を行わずに済み、アプリケーションソフトウェア開発に必要な情報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。
6
JIS Q 27000:2014(情報セキュリティマネジメントシステム-要求事項)では、組織が情報セキュリティリスク対応のために適用する管理策などを記した適用宣言書の作成が要求されている。適用宣言書の作成に関する記述のうち、適切なものはどれか。
情報セキュリティリスク対応に必要な管理策をJIS Q 27000:2014 附属書 A と比較した結果を基に、適用宣言書を作成する。
7
JIS Q 27000:2014(情報セキュリティマネジメントシステム-用語)におけるリスク分析の定義はどれか。
リスクの特質を理解し、リスクレベルを決定するプロセス。
8
JIS Q 27000:2015(情報セキュリティガバナンス)における、情報セキュリティガバナンスの範囲とITガバナンスの範囲に関する記述のうち、適切なものはどれか。
情報セキュリティガバナンスの範囲とITガバナンスの範囲は重複する場合がある。
9
IPA"中小企業の情報セキュリティガイドライン(第2.1版)"に記載されている、基本方針、対策基準、実施手順から成る組織の情報セキュリティポリシに関する記述のうち、適切なものはどれか。
組織の規模が小さい場合は、対策基準と実施手順を併せて1階層とし、基本方針を含めて2階層の文書構造として策定してもよい。
10
情報セキュリティ管理を推進する取り組みa~bのうち、IPA"中小企業の情報セキュリティ対策ガイドライン(第2.1版)"において、経営者がリーダシップを発揮し自ら行うべき取組みもしめ示されているものだけを全て挙げた組合せはどれか。 (情報セキュリティ管理を推進する取組み) a 情報セキュリティ監査の目的を有効かつ効率的に達成するために、監査計画を立案する。 b 情報セキュリティ対策の有効性を維持するために、対策を定期又は随時に見直す。 c 情報セキュリティ対策を組織的に実施する思考を明確に示すために、方針を定める。 d 情報セキュリティの新たな脅威に備えるために、最新動向を収集する。
b, c, d
11
情報の取扱基準よ中で、社外秘情報の持ち出しを禁じ、周知した上で、従業員に情報を不正に持ち出された場合に、"社外秘烝とは知らなかった"という言い訳をさせないことが目的の一つになっている対策はどれか。
情報の管理レベルについてのラベル付け
12
軽微な不正や犯罪を放置することによって、より大きな不正や犯罪が誘発されるという理論はどれか。
割れ窓理論
13
ゼロデイ攻撃の特徴はどれか。
脆弱性に対してセキュリティパッチが提供れる前に当該脆弱性を悪用して攻撃する。
14
ボットネットにおけるC&Cサーバの役割として、適切なものはどれか。
侵入して乗っ取ったコンピュータに対して、他のコンピュータへの攻撃などの不正な操作をするよう、外部から命令を出したり応答を受け取ったりする。
15
マルウェア Wanna Cryptor(WannaCry)に関する記述として、適切なものはどれか。
SMBv1の脆弱性を悪用するなどして感染し、PC内のデータを暗号化してデータ復号のための金銭を要求してり、他のPCに感染を拡大したりする。
16
業務への利用には、会社の情報システム部門の許可が本来必要であるのに、その許可を得ずに勝手に利用されるデバイスやクラウドサービス、ソフトウェアを指す用語はどれか。
シャドーIT
17
セキュアブートの説明はどれか。
PCの起動時にOSやドライバのデジタル署名を検証し，許可されていないものを実行しないようにすることによって，OS起動前のマルウェアの実行を防ぐ技術
18
インターネットと社内サーバの間にファイアウォールが設置されている環境で，時刻同期の通信プロトコルを用いて社内サーバの時刻をインターネット上の時刻サーバの正確な時刻に同期させる。このとき，ファイアウォールで許可すべき時刻サーバとの間の通信プロトコルはどれか。
NTP(UDP，ポート番号123)
19
利用者PCがボットに感染しているかどうかをhostsファイルの改ざんの有無で確認するとき，hostsファイルが改ざんされていないと判断できる設定内容はどれか。ここで，hostsファイルの設定内容は1行だけであり，利用者及びシステム管理者は，これまでにhostsファイルを変更していないものとする。
エ
20
公衆無線LANのアクセスポイントを設置するときのセキュリティ対策と効果の組合せの組みのうち，適切なものはどれか。
エ
21
APTの説明はどれか
攻撃者が特定の目的をもち，標的となる組織の防御策に応じて複数の攻撃手法を組み合わせ，気付かれないよう執拗(よう)に攻撃を繰り返すこと
22
A社のWebサーバは，サーバ証明書を使ってTLS通信を行っている。PCからA社のWebサーバへのTLSを用いたアクセスにおいて，当該PCがサーバ証明書を入手した後に，認証局の公開鍵を利用して行う動作はどれか。
サーバ証明書の正当性を，認証局の公開鍵を使って検証する。
23
従量課金制のクラウドサービスにおけるEDoS(Economic Denial of Service，又はEconomic Denial of Sustainability)攻撃の説明はどれか。
クラウドサービス利用者の経済的な損失を目的に，リソースを大量消費させる攻撃
24
伝達したいメッセージを画像データなどのコンテンツに埋め込み，埋め込んだメッセージの存在を秘匿する技術はどれか。
ステガノグラフィ
25
アプリケーションソフトウェアにデジタル署名を施す目的はどれか。
アプリケーションソフトウェアの改ざんを利用者が検知できるようにする。
26
データベースで管理されるデータの暗号化に用いることができ，かつ，暗号化と復号とで同じ鍵を使用する暗号化方式はどれか。
AES
27
暗号方式に関する説明のうち，適切なものはどれか。
共通鍵暗号方式で相手ごとに秘密の通信をする場合，通信相手が多くなるに従って，鍵管理の手間が増える。
28
共通脆弱性評価システム(CVSS)の特徴として，適切なものはどれか。
情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダーに依存しない評価方法を提供する。
29
SSHの説明はどれか
リモートログインやリモートファイルコピーのセキュリティを強化したプロトコル，及びそのプロトコルを実装したコマンド
30
WAF(Web Application Firewall)のブラックリスト又はホワイトリストの記述のうち，適切なものはどれか。
ブラックリストは，問題のある通信データパターンを定義したものであり，該当する通信を遮断する。
31
サイバーセキュリティ基本法において定められたサイバーセキュリティ戦略本部は，どの機関に置かれているか。
内閣
32
不正アクセス禁止法で規定されている，"不正アクセス行為を助長する行為の禁止"規定によって規制される行為はどれか。
正当な理由なく他人の利用者IDとパスワードを第三者に提供する。
33
電子署名法に関する記述のうち，適切なものはどれか。
電子署名には，民事訴訟法における押印と同様の効力が認められる。
34
Webページの著作権に関する記述のうち，適切なものはどれか。
特定の分野ごとにWebページのURLを収集し，独自の解釈を付けたリンク集は，著作権法で保護され得る。
35
ボリュームライセンス契約の説明はどれか。
企業などソフトウェアの大量購入者向けに，インストールできる台数をあらかじめ取り決め，マスタが提供される契約
36
金融庁"財務報告に係る内部統制の評価及び監査に関する実施基準(平成23年)"におけるITの統制目標の一つである"信頼性"はどれか。
情報が，組織の意思・意図に沿って承認され，漏れなく正確に記録・処理されること
37
JIS Q 27001:2014(情報セキュリティマネジメントシステム－要求事項)に基づいてISMS内部監査を行った結果として判明した状況のうち，監査人が指摘事項として監査報告書に記載すべきものはどれか。
リスクアセスメントを実施した後に，リスク受容基準を決めた。
38
外部委託管理の監査に関する記述のうち，最も適切なものはどれか。
請負契約においては，委託側の事務所で作業を行っている受託側要員のシステムへのアクセスについて，アクセス管理が妥当かどうかを，委託側が監査できるように定める。
39
システム監査において，電子文書の真正性の検証に電子証明書が利用できる公開鍵証明書取得日，電子署名生成日及び検証日の組合せはどれか。 なお，公開鍵証明書の有効期間は4年間とし，当該期間中の公開鍵証明書の更新や失効は考慮しない前提とする。
ウ
40
合意されたサービス提供時間が7:00～19:00であるシステムにおいて，ある日の16:00にシステム障害が発生し，サービスが停止した。修理は21:00まで掛かり，当日中にサービスは再開できなかった。当日のサービスは予定どおり7:00から開始され，サービス提供の時間帯にサービスの計画停止は行っていない。この日の可用性は何%か。ここで，可用性は小数点以下を切り捨てるものとする。
75
41
ITサービスマネジメントにおいて，SMS(サービスマネジメントシステム)の効果的な計画立案，運用及び管理を確実にするために，SLAやサービスカタログを文書化し，維持しなければならないのは誰か。
サービス提供者
42
ITサービスマネジメントにおいて，一次サポートグループが二次サポートグループにインシデントの解決を依頼することを何というか。ここで，一次サポートグループは，インシデントの初期症状のデータを収集し，利用者との継続的なコミュニケーションのための，コミュニケーションの役割を果たすグループであり，二次サポートグループは，専門的技能及び経験をもつグループである。
段階的な取扱い
43
ソフトウェア開発プロジェクトにおいてWBS(Work Breakdown Structure)を使用する目的として，適切なものはどれか。
作業を階層的に詳細化して，管理可能な大きさに細分化する。
44
信頼性設計に関する記述のうち，フェールセーフの説明はどれか。
システムの一部が故障しても，危険が生じないような構造や仕組みを導入する設計のこと
45
データベースの監査ログを取得する目的として，適切なものはどれか。
問題のあるデータベース操作を事後に調査する。
46
TCP/IPネットワークのトランスポート層におけるポート番号の説明として，適切なものはどれか。
TCPやUDPにおいてアプリケーションを識別する情報
47
データサイエンティストの主要な役割はどれか。
情報科学についての知識を有し，ビジネス課題を解決するためにビッグデータを意味ある形で使えるように分析システムを実装・運用し，課題の解決を支援する。
48
デジタルディバイドの解消のために取り組むべきことはどれか。
情報リテラシーの習得機会を増やしたり，情報通信機器や情報サービスが一層利用しやすい環境を整備したりすること
49
企画，要件定義，システム開発，ソフトウェア実装，ハードウェア実装，保守から成る一連のプロセスにおいて，要件定義プロセスで実施すべきものはどれか。
システムに関わり合いをもつ利害関係者の種類を識別し，利害関係者のニーズ，要望及び課せられる制約条件を識別する。
50
リーダーシップのスタイルは，その組織の状況に合わせる必要がある。組織の状況とリーダーシップのスタイルの関係に次のことが想定できるとすると，スポーツチームの監督のリーダーシップのスタイルのうち，図中のdと考えられるものはどれか。 〔組織の状況とリーダーシップのスタイルの関係〕 組織は発足当時，構成員や仕組みの成熟度が低いので，リーダーが仕事本位のリーダーシップで引っ張っていく。成熟度が上がるにつれ，リーダーと構成員の人間関係が培われ，仕事本位から人間関係本位のリーダーシップに移行していく。更に成熟度が進むと，構成員は自主的に行動できるようになり，仕事本位，人間関係本位のリーダーシップがいずれも弱まっていく。
勝つためには選手に戦術の立案と実行を任せることだ。