問題一覧
1
マルウェア対策ソフトの導入, セキュリティバッチ(修正モジュール)の適用
2
導入後もマルウェア定義ファイルの更新を継続して行う。
3
検疫ネットワーク
4
個人用パスワードはシステム管理者にも教えない。, パスワードを第三者に知られた可能性がある場合には、すぐに変更する。, 付与された初期パスワードは、最初にログインした時に変更する。
5
アクセス制御
6
インシデントの原因究明に必要となるデータの収集と保全
7
ファイアウォール
8
パーソナルファイアウォールを導入する。
9
インターネットからの不正侵入に対する防止効果
10
運用担当者のセキュリティ意識が低い。
11
MDM (Mobile Device Management)
12
権限のある社員だけに入室を許可する。, 入室を試みて、拒否された社員を記録する。
13
通信の暗号化を行うことによって、通信経路上での通信内容の漏洩を防ぐ。
14
SMTPサーバは、クライアントがアクセスしてきた場合に利用者認証を行い、認証が成功した時電子メールを受け付ける。
15
Webサーバ及びWebアプリケーションに起因する脆弱性への攻撃を遮断する。
16
情報セキュリティポリシー
17
情報セキュリティに対する組織の取組みを示すもので、経営層が承認する。
18
特定の政府機関や企業から独立した組織であり、国内のコンピュータセキュリティインシデントに関する報告の受付、対応の支援、発生状況の把握、手口の分析、再発防止策の検討や助言を行っている。
19
一過性の活動でなく改善と活動を継続する。, 導入及び活動は経営層を頂点とした組織的な取組みである。
20
ISMSの監視及びレビュー
21
ISO/IEC 27001 (JIS Q 27001)
22
リスク分析→リスク特定→リスク対応→リスク評価
23
以前に洗い出された全てのリスクへの対応が完了する前に、リスクアセスメントを実施することは避ける。
24
セキュリティ対策を行って、問題発生の可能性を下げた。
25
Dos攻撃を受け、サーバが停止する。
26
定められた守秘責任を果たさなかった場合、相応の処置がとられることを、雇用契約に定めている。
27
脂弱性検査ソールを利用して、サーバの脆弱性を確認する
28
国民に対し、サイバーセキュリティの重要性につき関心と理解を深め、その確保に必要な注意を払うよう務めることを求める規定がある。
29
電気通回線を通じてアクセス制御されたコンピュータを不正利用する行為
30
他人が作成したマルウェアを発見し、後日これを第三者のコンピュータで助させる目的で保管した。
31
TCP23番ポートはIoT機器の操作用プロトコルで使用されており、そのプロトコルを用いると、初期パスワードを使って不正ログインが容易に成功し、不正にIoT機器を操作できることが多いから
32
IT部門の許可を得ずに、従業員又は部門が業務に利 用しているデバイスやクラウドサービス
33
従業員が私的に保有する情報端末を業務に利用することであり、セキュリティ設定の不備に起因するウイルス感染などの情報セキュリティリスクが増大する。
34
電子政府での利用を推奨する暗号技術の安全性を評価，監視する。
35
組織を指揮し、管理する人々の集まりとして複数名で構成されていてもよい。
36
組織の規模が小さい場合は、対策基準と実施手順を併せて1階層とし、基本方針を含めて2階層の文書構造として策定してもよい。
37
リスク所有者
38
情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために、あらかじめ定めた連絡経路に従ってB社から連絡した。
39
結果とその起こりやすさの組合せとして表現される，リスクの大きさ
40
リスクによって引き起こされる事象, リスクによって引き起こされる事象の原因及び起こり得る結果, リスクを顕在化させる可能性をもつリスク源
41
リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス
42
組織の情報セキュリティのリスク基準
43
受容するリスクについては、リスク所有者が承認すること
44
システムが被害を受けるリスクを想定して、保険を掛ける。
45
"必要な資源"及び"結果の評価方法"
46
是正処置
47
情報セキュリティ対策の有効性を維持するために、対策を定期又は随時に見直す。, 情報セキュリティ対策を組織的に実施する意思を明確に示すために、方針を定める。, 情報セキュリティの新たな脅威に備えるために、最新動向を収集する。
48
ウ
49
情報セキュリティガバナンスの範囲とITガバナンスの範囲は重複する場合がある。
50
サーバ室の空調
51
ア
52
J-CSIP
53
NCO
54
ソフトウェアなどの脆弱性関連情報や対策情報
55
脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し、決定する。
56
エ
57
情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダーに依存しない評価方法を提供する。
58
検体をサンドボックス上で実行し、その動作や外部との通信を観測する。
59
画像などのデータの中に、秘密にしたい情報を他者に気付かれることなく埋め込む。
60
様々な機器から集められたログを総合的に分析し、管理者による分析を支援する。
61
インターネット上のWebサイトから、内部ネットワークのPCへのマルウェアのダウンロードを防ぐ。
62
電源の瞬断に起因するデータの破損を防ぐ
63
システム管理者が、業務システムのプログラムにアクセスし、バージョンアップを行う。
64
退職間際に重要情報の不正な持出しが行われやすいので、退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。
65
IPsec
66
デジタル証明書によるサーバ認証
67
メール送信者のドメインのなりすましを検知する。
68
SMTP-AUTH
69
Webサイトの閲覧に使用されることから、通がファイアウォールで許可されている可能性が高い。
70
ハニーポット
71
Webサーバで稼働しているサービスを列挙して、不要なサービスが稼働していないことを確認する。
72
リバースプロキシ
73
問題のあるデータベース操作を事後に調査する。
74
特定の分野ごとにWebページのURLを収集し、独自の解釈を付けたリンク集は、著作権法で保護され得る。
75
B社に帰属する。
76
A社のソースコードを無断で使用していると、著作権の存続期間内は、著作権侵害となる
77
広く知られた他人の商品の表示に、自社の商品の表示を類似させ、他人の商品と誤認させて商品を販売する。
78
サイバー空間が一部の主体に占有されることがあってはならず、常に参加を求める者に開かれたものでなければならない。
79
正な理由なく他人の利用者IDとパスワードを第三者に提供する。
80
本人から書面に記載された個人情報を直接取得する場合には、利用目的などをあらかじめ書面によって本人に明示し、同意を得なければならないと定められている。
81
従業員の個人番号を利用して業務成績を管理するファイルを作成する場合
82
刑法
83
原則としてオプトイン方式を利用する。
84
利用しているクラウドサービスに保存している情報資産を含めて、台帳に記入する。
85
就業規則に業務上知り得た密の漏えい禁止の一般的な規定があるときに、担当従業員の職務に即して移密の内容を特定する個別合意を行う。
86
公益通報者保護法
87
ソフトウェアの入ったDVD-ROMの包装を解いた時点
88
プロキシサーバ
89
DNS(Domain Name System)
90
Bcc
91
Webサーバ内に、URLで指定したページが見つからなかった。
92
サービス及びサービス目標を特定した、サービス提供者と顧客との間の合意事項
93
サービス提供者
94
決められた業務手順どおりに、システムが稼働すること
95
画面上の複数のウインドウを同時に使用する作業では、ウインドウを間違えないようにウィンドウの背景色をそれぞれ異なる色にする。
96
プログラムの異常終了
97
入力データのエラー検出は、データを処理する段階で行うよりも、入力段階で行った方が検出及び修正の作業効率が良い。
98
コンピュータや周辺機器が設置されている施設、及びそれらを利用する人々の環境全体が、常に安全で最適な状態に保たれるように管理する。
99
請負契約においては、委託側の事務所で作業を行っている受託側要員のシステムへのアクセスについて、アクセス管理が妥当かどうかを、委託側が監査できるように定める。
100
データに関するアクセス制御の管理規程を閲覧した。
問題一覧
1
マルウェア対策ソフトの導入, セキュリティバッチ(修正モジュール)の適用
2
導入後もマルウェア定義ファイルの更新を継続して行う。
3
検疫ネットワーク
4
個人用パスワードはシステム管理者にも教えない。, パスワードを第三者に知られた可能性がある場合には、すぐに変更する。, 付与された初期パスワードは、最初にログインした時に変更する。
5
アクセス制御
6
インシデントの原因究明に必要となるデータの収集と保全
7
ファイアウォール
8
パーソナルファイアウォールを導入する。
9
インターネットからの不正侵入に対する防止効果
10
運用担当者のセキュリティ意識が低い。
11
MDM (Mobile Device Management)
12
権限のある社員だけに入室を許可する。, 入室を試みて、拒否された社員を記録する。
13
通信の暗号化を行うことによって、通信経路上での通信内容の漏洩を防ぐ。
14
SMTPサーバは、クライアントがアクセスしてきた場合に利用者認証を行い、認証が成功した時電子メールを受け付ける。
15
Webサーバ及びWebアプリケーションに起因する脆弱性への攻撃を遮断する。
16
情報セキュリティポリシー
17
情報セキュリティに対する組織の取組みを示すもので、経営層が承認する。
18
特定の政府機関や企業から独立した組織であり、国内のコンピュータセキュリティインシデントに関する報告の受付、対応の支援、発生状況の把握、手口の分析、再発防止策の検討や助言を行っている。
19
一過性の活動でなく改善と活動を継続する。, 導入及び活動は経営層を頂点とした組織的な取組みである。
20
ISMSの監視及びレビュー
21
ISO/IEC 27001 (JIS Q 27001)
22
リスク分析→リスク特定→リスク対応→リスク評価
23
以前に洗い出された全てのリスクへの対応が完了する前に、リスクアセスメントを実施することは避ける。
24
セキュリティ対策を行って、問題発生の可能性を下げた。
25
Dos攻撃を受け、サーバが停止する。
26
定められた守秘責任を果たさなかった場合、相応の処置がとられることを、雇用契約に定めている。
27
脂弱性検査ソールを利用して、サーバの脆弱性を確認する
28
国民に対し、サイバーセキュリティの重要性につき関心と理解を深め、その確保に必要な注意を払うよう務めることを求める規定がある。
29
電気通回線を通じてアクセス制御されたコンピュータを不正利用する行為
30
他人が作成したマルウェアを発見し、後日これを第三者のコンピュータで助させる目的で保管した。
31
TCP23番ポートはIoT機器の操作用プロトコルで使用されており、そのプロトコルを用いると、初期パスワードを使って不正ログインが容易に成功し、不正にIoT機器を操作できることが多いから
32
IT部門の許可を得ずに、従業員又は部門が業務に利 用しているデバイスやクラウドサービス
33
従業員が私的に保有する情報端末を業務に利用することであり、セキュリティ設定の不備に起因するウイルス感染などの情報セキュリティリスクが増大する。
34
電子政府での利用を推奨する暗号技術の安全性を評価，監視する。
35
組織を指揮し、管理する人々の集まりとして複数名で構成されていてもよい。
36
組織の規模が小さい場合は、対策基準と実施手順を併せて1階層とし、基本方針を含めて2階層の文書構造として策定してもよい。
37
リスク所有者
38
情報セキュリティインシデントの発生をA社及びB社の関係者に迅速に連絡するために、あらかじめ定めた連絡経路に従ってB社から連絡した。
39
結果とその起こりやすさの組合せとして表現される，リスクの大きさ
40
リスクによって引き起こされる事象, リスクによって引き起こされる事象の原因及び起こり得る結果, リスクを顕在化させる可能性をもつリスク源
41
リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス
42
組織の情報セキュリティのリスク基準
43
受容するリスクについては、リスク所有者が承認すること
44
システムが被害を受けるリスクを想定して、保険を掛ける。
45
"必要な資源"及び"結果の評価方法"
46
是正処置
47
情報セキュリティ対策の有効性を維持するために、対策を定期又は随時に見直す。, 情報セキュリティ対策を組織的に実施する意思を明確に示すために、方針を定める。, 情報セキュリティの新たな脅威に備えるために、最新動向を収集する。
48
ウ
49
情報セキュリティガバナンスの範囲とITガバナンスの範囲は重複する場合がある。
50
サーバ室の空調
51
ア
52
J-CSIP
53
NCO
54
ソフトウェアなどの脆弱性関連情報や対策情報
55
脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し、決定する。
56
エ
57
情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダーに依存しない評価方法を提供する。
58
検体をサンドボックス上で実行し、その動作や外部との通信を観測する。
59
画像などのデータの中に、秘密にしたい情報を他者に気付かれることなく埋め込む。
60
様々な機器から集められたログを総合的に分析し、管理者による分析を支援する。
61
インターネット上のWebサイトから、内部ネットワークのPCへのマルウェアのダウンロードを防ぐ。
62
電源の瞬断に起因するデータの破損を防ぐ
63
システム管理者が、業務システムのプログラムにアクセスし、バージョンアップを行う。
64
退職間際に重要情報の不正な持出しが行われやすいので、退職予定者に対する重要情報へのアクセスや媒体の持出しの監視を強化する。
65
IPsec
66
デジタル証明書によるサーバ認証
67
メール送信者のドメインのなりすましを検知する。
68
SMTP-AUTH
69
Webサイトの閲覧に使用されることから、通がファイアウォールで許可されている可能性が高い。
70
ハニーポット
71
Webサーバで稼働しているサービスを列挙して、不要なサービスが稼働していないことを確認する。
72
リバースプロキシ
73
問題のあるデータベース操作を事後に調査する。
74
特定の分野ごとにWebページのURLを収集し、独自の解釈を付けたリンク集は、著作権法で保護され得る。
75
B社に帰属する。
76
A社のソースコードを無断で使用していると、著作権の存続期間内は、著作権侵害となる
77
広く知られた他人の商品の表示に、自社の商品の表示を類似させ、他人の商品と誤認させて商品を販売する。
78
サイバー空間が一部の主体に占有されることがあってはならず、常に参加を求める者に開かれたものでなければならない。
79
正な理由なく他人の利用者IDとパスワードを第三者に提供する。
80
本人から書面に記載された個人情報を直接取得する場合には、利用目的などをあらかじめ書面によって本人に明示し、同意を得なければならないと定められている。
81
従業員の個人番号を利用して業務成績を管理するファイルを作成する場合
82
刑法
83
原則としてオプトイン方式を利用する。
84
利用しているクラウドサービスに保存している情報資産を含めて、台帳に記入する。
85
就業規則に業務上知り得た密の漏えい禁止の一般的な規定があるときに、担当従業員の職務に即して移密の内容を特定する個別合意を行う。
86
公益通報者保護法
87
ソフトウェアの入ったDVD-ROMの包装を解いた時点
88
プロキシサーバ
89
DNS(Domain Name System)
90
Bcc
91
Webサーバ内に、URLで指定したページが見つからなかった。
92
サービス及びサービス目標を特定した、サービス提供者と顧客との間の合意事項
93
サービス提供者
94
決められた業務手順どおりに、システムが稼働すること
95
画面上の複数のウインドウを同時に使用する作業では、ウインドウを間違えないようにウィンドウの背景色をそれぞれ異なる色にする。
96
プログラムの異常終了
97
入力データのエラー検出は、データを処理する段階で行うよりも、入力段階で行った方が検出及び修正の作業効率が良い。
98
コンピュータや周辺機器が設置されている施設、及びそれらを利用する人々の環境全体が、常に安全で最適な状態に保たれるように管理する。
99
請負契約においては、委託側の事務所で作業を行っている受託側要員のシステムへのアクセスについて、アクセス管理が妥当かどうかを、委託側が監査できるように定める。
100
データに関するアクセス制御の管理規程を閲覧した。