ITパス問題　１

53問 • 1年前

平川巧真

通報

問題一覧

ネットワークカメラなどのloT機器ではTCP23 番ポートヘの攻撃が多い理由はどれか。

TCP23 番ポートはloT 機器の操作用プロトコルで使用されており、そのプロトコルを用いると、初期パスワードを使って不正ログインが容易に成功し、不正にloT 機器を操作できることが多いから

ディレクトリトラバーサル攻撃に該当するものはどれか。

攻撃者が、パス名を使ってファイルを指定し、管理者の意図していないファイルを不正に閲覧する。

攻撃者が、多数のオープンリゾルバに対して、‘‘あるドメイン＂の実在しないランダムなサブドメインを多数問い合わせる攻撃（ランダムサブドメイン攻撃）を仕掛け、多数のオープンリゾルバが応答した。このときに発生する事象はどれか。

“あるドメイン”を管理する権威DNS サーバに対して負荷が掛かる。

利用者PC 上のSSH クライアントからサーバに公開鍵認証方式でSSH 接続するとき、利用者のログイン認証時にサーバが使用する鍵とSSH クライアントが使用する鍵の組みはどれか。

サーバに登録されたSSH クライアントの公開鍵と、利用者PC 上のSSH クライアントの秘密鍵

アプリケーションソフトウェアにデジタル署名を施す目的はどれか。

アプリケーションソフトウェアの改ざんを利用者が検知できるようにする。

SSH の説明はどれか。

リモートログインやリモートファイルコビーのセキュリティを強化したプロトコル、及びそのプロトコルを実装したコマンド

SPF (Sender Policy Framework) の仕組みはどれか。

電子メールを受信するサーバが、電子メールの送信元のドメイン情報と、電子メールを送信　したサーバのIP アドレスから、送信元ドメインの詐称がないことを確認する。

電子メールをドメインA の送信者がドメインB の宛先に送信するとき、送信者をドメインA のメールサーバで認証するためのものはどれか。

SMTP-AUTH

JIS Q 27000:2019 （情報セキュリティマネジメントシステムー用語）におけるリスク分析の定義はどれか。

リスクの特質を理解し、リスクレベルを決定するプロセス

JIS Q 27001 :2023 （情報セキュリティマネジメントシステムー要求事項）では、組織が情報セキュリティリスク対応のために適用する管理策などを記した適用宣言書の作成が要求されている。適用宣言書の作成に関する記述のうち、適切なものはどれか。

情報セキュリティリスク対応に必要な管理策をJIS Q 27001 :2023 附属書A と比較した結果を基に、適用宣言書を作成する。

JIS　Q 27001 :2023 （情報セキュリティマネジメントシステムー要求事項）に基づいてISMS 内部監査を行った結果として判明した状況のうち、監査人が指摘事項として監査報告書に記載すべきものはどれか。

リスクアセスメントを実施した後に、リスク受容基準を決めた。

JIS Q 27002:2014 （情報セキュリティ管理策の実践のための規範）の“サポートユーティリティ＂に関する例示に基づいて、サポートユーティリティと判断されるものはどれか。

サーバ室の空調

　IPA“ 中小企業の情報セキュリティ対策ガイドライン（第2.1 版）”に記載されている、基本方針、対策基準、実施手順から成る組織の情報セキュリティポリシに関する記述のうち、適切なものはどれか。

組織の規模が小さい場合は、対策基準と実施手順を併せて1 階層とし、基本方針を含めて2 階層の文書構造として策定してもよい。

Saas (Software as a Service) を利用するときの企業の情報セキュリティ管理に関する記述のうち、適切なものはどれか。

システムの構築を行わずに済み、アプリケーションソフトウェア開発に必要な梢報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。

組織的なインシデント対応体制の構築や運用を支援する目的でJPCERT/CC が作成したものはどれか。

CSIRT マテリアル

参加組織及びそのグループ企業において検知されたサイバー攻撃などの情報を、IPA が情報ハブになって集約し、参加組織間で共有する取組はどれか。

J-CSIP

ペネトレーションテストに該当するものはどれか。

公開Web サーバや組織のネットワークの脆弱性を探索し、サーバに実際に侵入できるかどうかを確認する

退職する従業員による不正を防ぐための対策のうち、IPA“ 組織における内部不正防止ガイドライン（第4 版）＂に照らして、適切なものはどれか。

退職間際に重要情報の不正な持出しが行われやすいので、退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。

IPS の説明はどれか。

サーバやネットワークヘの侵入を防ぐために、不正な通信を検知して遮断する装置

WAF におけるフォールスポジティブに該当するものはどれか。

HTML の特殊文字“＜＂を検出したときに通信を遮断するようにWAF を設定した場合、“＜’'などの数式を含んだ正当なHTTP リクエストが送信されたとき、WAF が攻撃として検知し、遮断する。

A 社では現在、インターネット上のWeb サイトを内部ネットワークのPC上のWeb ブラウザから参照している。新たなシステムを導入し、DMZ上に用意したVDI (Virtual DesktopIn frastructure)サーバにPCからログインし、インターネット上のWeb サイトをVDl サーバ上の仮想デスクトップのWeb ブラウザから参照するように変更する。この変更によって期待できるセキュリティ上の効果はどれか。

インターネット上のWeb サイトから、内部ネットワークのPC へのマルウェアのダウンロードを防ぐ。

参加者が毎回変わる100 名程度の公開セミナにおいて、参加者に対して無線LAN 接続環境を提供する。参加者の端末以外からのアクセスポイントヘの接続を防止するために効果がある情報セキュリティ対策はどれか。

アクセスポイントがもつ認証機能において、参加者の端末とアクセスポイントとの間で事前に共有する鍵をセミナごとに変更する。

セキュアブートの説明はどれか。

PC の起動時にOS やドライバのデジタル署名を検証し、許可されていないものを実行しないようにすることによって、OS 起動前のマルウェアの実行を防ぐ技術

入室時と退室時にID カードを用いて認証を行い、入退室を管理する。このとき、入室時の認証に用いられなかったID カードでの退室を許可しない、又は退室時の認証に用いられなかったID カードでの再入室を許可しないコントロールを行う仕組みはどれか。

アンチパスバック

A 社は、B 社と著作物の権利に関する特段の取決めをせず、A 社の要求仕様に基づいて、販売管理システムのプログラム作成をB 社に委託した。この場合のブログラム著作権の原始的帰属に関する記述のうち、適切なものはどれか。

B 社に帰属する。

サイバーセキュリティ基本法において定められたサイバーセキュリティ戦略本部は、どの機関に置かれているか。

内閣

企業が、‘‘特定電子メールの送信の適正化等に関する法律＂における特定電子メールに該当する広告宣伝メールを送信する場合に関する記述のうち、適切なものはどれか。

原則としてオプトイン方式を利用する。

不正競争防止法によって保護される対象として規定されているものはどれか。

秘密として管理されている事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの

シュリンクラップ契約において、ソフトウェアの使用許諾契約が成立するのはどの時点か。

ソフトウェアの入ったDVD-ROM の包装を解いた時点

A 社は、A 社で使うソフトウェアの開発作業をB 社に実施させる契約を、B 社と締結した。締結した契約が労働者派遣であるものはどれか。

A 社監督者が、B 社の雇用する労働者に、業務遂行に関する指示を行い、A社の開発作業を行わせる。

A 社は、A 社で使うソフトウェアの開発作業をB 社に実施させる契約を、B 社と締結した。締結した契約が労働者派遣であるものはどれか。

就業規則に業務上知り得た秘密の漏えい禁止の一般的な規定があるときに、担当従業員の職務に即して秘密の内容を特定する個別合意を行う。

“政府機関等の情報セキュリティ対策のための統一基準（平成30 年度版）＂に関する説明として、適切なものはどれか。

機密性、完全性及び可用性それぞれの観点による情報の格付の区分を定義している。

クライアントサーバシステムの特徴として、適切なものはどれか。

クライアントとサーバが協調して、目的の処理を遂行する分散処理形態であり、サービスという概念で機能を分割し、サーバがサービスを提供する。

Web システムの性能指標のうち、応答時間の説明はどれか。

Web ブラウザに表示された問合せボタンが押されてから、Web ブラウザが結果を表示し始めるまでの時間

トランザクションT, が更新中のデータを、トランザクションT2 が参照しようとしたとき、更新と参照の処理結果を矛盾させないようにするためのDBMS の機能はどれか。

排他制御

PC が、Web サーバ、メールサーバ、他のPC などと通信を始める際に、通信相手のIP アドレスを問い合わせる仕組みはどれか。

DNS (Domain Name System)

ソフトウェア開発プロジェクトにおいてWBS (Work Breakdown Structure)を使用する目的として、適切なものはどれか。

作業を階層的に詳細化して、管理可能な大きさに細分化する。

プロジェクトライフサイクルの一般的な特性はどれか。

リスクは、プロジェクトが完了に近づくにつれて減少する。

工程管理図表に関する記述のうち、ガントチャートの特徴はどれか。

作業開始と作業終了の予定と実績や、仕掛かリ中の作業などが把握できる。

IT サービスマネジメントにおいて、SMS （サービスマネジメントシステム）の効果的な計画立案、運用及び管理を確実にするために、SLA やサービスカタログを文書化し、維持しなければならないのは誰か。

サービス提供

ヒューマンエラーに起因する障害を発生しにくくする方法に、エラープルーフ化がある。運用作業におけるエラープルーフ化の例として、最も適切なものはどれか。

画面上の複数のウィンドウを同時に使用する作業では、ウィンドウを間違えないようにウィンドウの背景色をそれぞれ異なる色にする

システム運用におけるデータの取扱いに関する記述のうち、最も適切なものはどれか。

入カデータのエラー検出は、データを処理する段階で行うよリも、入力段階で行った方が検出及び修正の作業効率が良い。

IT サービスマネジメントにおいて、一次サポートグループが二次サポートグループにインシデントの解決を依頼することを何というか。ここで、一次サポートグループは、インシデントの初期症状のデータを収集し、利用者との継続的なコミュニケーションのための、コミュニケーションの役割を果たすグループであり、二次サポートグループは、専門的技能及び経験をもつグループである。

段階的取扱い

経済産業省‘‘情報セキュリティ監査基準実施基準ガイドライン(Ver1.0)” における、情報セキュリティ対策の適切性に対して一定の保証を付与することを目的とする監査（保証型の監査）と情報セキュリティ対策の改善に役立つ助言を行うことを目的とする監査（助言型の監査）の実施に関する記述のうち、適切なものはどれか。

不特定多数の利害関係者の情報を取り扱う情報システムに対しては、保証型の監査を定期的に実施し、その結果を開示することが有用である。

アクセス制御を監査するシステム監査人の行為のうち、適切なものはどれか。

データに関するアクセス制御の管理規程を閲覧した。

ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について、JIS Q 27001 :2023 （情報セキュリティマネジメントシステム―要求事項）の附属書A の管理策に照らして監査を行った。判明した状況のうち、監査人が監査報告書に指摘事項として記載すべきものはどれか。

ソフトウェア開発におけるセキュリティ機能の試験は、開発期間が終了した後に実施している。

データの生成から入力、処理、出力、活用までのプロセス、及び組み込まれているコントロールを、システム監査人が書面上で又は実際に追跡する技法はどれか。

ウォークスルー法

企画、要件定義、システム開発、ソフトウェア実装、ハードウェア実装、保守から成る一連のプロセスにおいて、要件定義プロセスで実施すべきものはどれか。

システムに関わり合いをもつ利害関係者の種類を識別し、利害関係者のニーズ及び要望並びに課せられる制約条件を識別する。

RFI に回答した各ベンダに対してRFP を提示した。今後のベンダ選定に当たって、公正に手続を進めるためにあらかじめ実施しておくことはどれか。

提案の評価基準や要求事項の適合度への重み付けをするルールを設けるなど、選定の基準や手順を確立しておく。

情報システムを取得するための提案依頼書(RFP) の作成と提案依頼に当たって、取得者であるユーザ企業側の対応のうち、適切なものはどれか。

複数の要求事項がある場合、重要な要求とそうでない要求の区別がつくようにRFP作成時点で重要度を設定しておく。

BPO の説明はどれか。

社内業務のうちコアビジネスでない事業に関わる業務の一部又は全部を、外部の専門的な企業に委託すること

デジタルディバイドの解消のために取り組むべきことはどれか。

情報リテラシの習得機会を増やしたり、情報通信機器や情報サービスが一層利用しやすい環境を整備したりすること

企業活動におけるBCP を説明したものはどれか。

災害やシステム障害など予期せぬ事態が発生した場合でも、重要な業務の継続を可能とするために事前に策定する行動計画のこと

情報のCIA

情報のCIA

情報資産・脅威・脆弱性

情報資産・脅威・脆弱性

試験頻出項目：サイバー攻撃手法

試験頻出項目：サイバー攻撃手法

試験頻出項目：サイバー攻撃手法２

試験頻出項目：サイバー攻撃手法２

暗号

暗号

認証

認証

第１章まとめ

第１章まとめ

リスクマネジメント

リスクマネジメント

情報セキュリティポリシ

情報セキュリティポリシ

各種管理策

各種管理策

セキュリティ評価

セキュリティ評価

CSIRT

CSIRT

システム監査

システム監査

過去問

過去問

第２章まとめ

第２章まとめ

マルウェア対策

マルウェア対策

不正アクセス対策

不正アクセス対策

情報漏えい対策

情報漏えい対策

アクセス管理

アクセス管理

人的対策

人的対策

知的財産権と個人情報の保護

知的財産権と個人情報の保護

セキュリティ関連法規

セキュリティ関連法規

その他法規やガイドライン

その他法規やガイドライン

ネットワーク

ネットワーク

考査試験

考査試験

選択問題

選択問題

データベース

データベース

システム戦略と構成要素

システム戦略と構成要素

セキュリティシステム戦略

セキュリティシステム戦略

企業の活動と統治

企業の活動と統治

模擬問題１

模擬問題１

間違い

間違い

考査試験

考査試験

問題一覧

ネットワークカメラなどのloT機器ではTCP23 番ポートヘの攻撃が多い理由はどれか。

ディレクトリトラバーサル攻撃に該当するものはどれか。

攻撃者が、パス名を使ってファイルを指定し、管理者の意図していないファイルを不正に閲覧する。

“あるドメイン”を管理する権威DNS サーバに対して負荷が掛かる。

サーバに登録されたSSH クライアントの公開鍵と、利用者PC 上のSSH クライアントの秘密鍵

アプリケーションソフトウェアにデジタル署名を施す目的はどれか。

アプリケーションソフトウェアの改ざんを利用者が検知できるようにする。

SSH の説明はどれか。

リモートログインやリモートファイルコビーのセキュリティを強化したプロトコル、及びそのプロトコルを実装したコマンド

SPF (Sender Policy Framework) の仕組みはどれか。

電子メールをドメインA の送信者がドメインB の宛先に送信するとき、送信者をドメインA のメールサーバで認証するためのものはどれか。

SMTP-AUTH

JIS Q 27000:2019 （情報セキュリティマネジメントシステムー用語）におけるリスク分析の定義はどれか。

リスクの特質を理解し、リスクレベルを決定するプロセス

情報セキュリティリスク対応に必要な管理策をJIS Q 27001 :2023 附属書A と比較した結果を基に、適用宣言書を作成する。

リスクアセスメントを実施した後に、リスク受容基準を決めた。

サーバ室の空調

組織の規模が小さい場合は、対策基準と実施手順を併せて1 階層とし、基本方針を含めて2 階層の文書構造として策定してもよい。

Saas (Software as a Service) を利用するときの企業の情報セキュリティ管理に関する記述のうち、適切なものはどれか。

組織的なインシデント対応体制の構築や運用を支援する目的でJPCERT/CC が作成したものはどれか。

CSIRT マテリアル

J-CSIP

ペネトレーションテストに該当するものはどれか。

公開Web サーバや組織のネットワークの脆弱性を探索し、サーバに実際に侵入できるかどうかを確認する

退職する従業員による不正を防ぐための対策のうち、IPA“ 組織における内部不正防止ガイドライン（第4 版）＂に照らして、適切なものはどれか。

退職間際に重要情報の不正な持出しが行われやすいので、退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。

IPS の説明はどれか。

サーバやネットワークヘの侵入を防ぐために、不正な通信を検知して遮断する装置

WAF におけるフォールスポジティブに該当するものはどれか。

インターネット上のWeb サイトから、内部ネットワークのPC へのマルウェアのダウンロードを防ぐ。

アクセスポイントがもつ認証機能において、参加者の端末とアクセスポイントとの間で事前に共有する鍵をセミナごとに変更する。

セキュアブートの説明はどれか。

アンチパスバック

B 社に帰属する。

サイバーセキュリティ基本法において定められたサイバーセキュリティ戦略本部は、どの機関に置かれているか。

内閣

原則としてオプトイン方式を利用する。

不正競争防止法によって保護される対象として規定されているものはどれか。

秘密として管理されている事業活動に有用な技術上又は営業上の情報であって、公然と知られていないもの

シュリンクラップ契約において、ソフトウェアの使用許諾契約が成立するのはどの時点か。

ソフトウェアの入ったDVD-ROM の包装を解いた時点

A 社は、A 社で使うソフトウェアの開発作業をB 社に実施させる契約を、B 社と締結した。締結した契約が労働者派遣であるものはどれか。

A 社監督者が、B 社の雇用する労働者に、業務遂行に関する指示を行い、A社の開発作業を行わせる。

A 社は、A 社で使うソフトウェアの開発作業をB 社に実施させる契約を、B 社と締結した。締結した契約が労働者派遣であるものはどれか。

就業規則に業務上知り得た秘密の漏えい禁止の一般的な規定があるときに、担当従業員の職務に即して秘密の内容を特定する個別合意を行う。

“政府機関等の情報セキュリティ対策のための統一基準（平成30 年度版）＂に関する説明として、適切なものはどれか。

機密性、完全性及び可用性それぞれの観点による情報の格付の区分を定義している。

クライアントサーバシステムの特徴として、適切なものはどれか。

Web システムの性能指標のうち、応答時間の説明はどれか。

Web ブラウザに表示された問合せボタンが押されてから、Web ブラウザが結果を表示し始めるまでの時間

排他制御

PC が、Web サーバ、メールサーバ、他のPC などと通信を始める際に、通信相手のIP アドレスを問い合わせる仕組みはどれか。

DNS (Domain Name System)

ソフトウェア開発プロジェクトにおいてWBS (Work Breakdown Structure)を使用する目的として、適切なものはどれか。

作業を階層的に詳細化して、管理可能な大きさに細分化する。

プロジェクトライフサイクルの一般的な特性はどれか。

リスクは、プロジェクトが完了に近づくにつれて減少する。

工程管理図表に関する記述のうち、ガントチャートの特徴はどれか。

作業開始と作業終了の予定と実績や、仕掛かリ中の作業などが把握できる。

サービス提供

画面上の複数のウィンドウを同時に使用する作業では、ウィンドウを間違えないようにウィンドウの背景色をそれぞれ異なる色にする

システム運用におけるデータの取扱いに関する記述のうち、最も適切なものはどれか。

入カデータのエラー検出は、データを処理する段階で行うよリも、入力段階で行った方が検出及び修正の作業効率が良い。

段階的取扱い

不特定多数の利害関係者の情報を取り扱う情報システムに対しては、保証型の監査を定期的に実施し、その結果を開示することが有用である。

アクセス制御を監査するシステム監査人の行為のうち、適切なものはどれか。

データに関するアクセス制御の管理規程を閲覧した。

ソフトウェア開発におけるセキュリティ機能の試験は、開発期間が終了した後に実施している。

ウォークスルー法

システムに関わり合いをもつ利害関係者の種類を識別し、利害関係者のニーズ及び要望並びに課せられる制約条件を識別する。

RFI に回答した各ベンダに対してRFP を提示した。今後のベンダ選定に当たって、公正に手続を進めるためにあらかじめ実施しておくことはどれか。

提案の評価基準や要求事項の適合度への重み付けをするルールを設けるなど、選定の基準や手順を確立しておく。

情報システムを取得するための提案依頼書(RFP) の作成と提案依頼に当たって、取得者であるユーザ企業側の対応のうち、適切なものはどれか。

複数の要求事項がある場合、重要な要求とそうでない要求の区別がつくようにRFP作成時点で重要度を設定しておく。

BPO の説明はどれか。

社内業務のうちコアビジネスでない事業に関わる業務の一部又は全部を、外部の専門的な企業に委託すること

デジタルディバイドの解消のために取り組むべきことはどれか。

情報リテラシの習得機会を増やしたり、情報通信機器や情報サービスが一層利用しやすい環境を整備したりすること

企業活動におけるBCP を説明したものはどれか。

災害やシステム障害など予期せぬ事態が発生した場合でも、重要な業務の継続を可能とするために事前に策定する行動計画のこと

ITパス問題 １

ITパス問題 １

ITパス問題　１

ITパス問題　１