第 13 回 演習 (第 2 回中間テスト) レポート課題 氏名: 高橋沙織 学籍番号: C1101402 語学クラス: 英語(1) コース(系): 地域共創コース ---------------------------------------------------------------------- H23秋問83 情報セキュリティ基本方針の説明として, 適切なものはどれか。 ア 一度決められた情報セキュリティ基本方針は, ビジネス環境や技術が 変化しても変更すべきでない。 イ 情報セキュリティに関する組織の取組み姿勢を示したものであり, 組織のトップによって承認され, 公表される。 ウ セキュリティビジネスを拡大するための重点的な取組みについて, 株主や一般に広く公開されるものである。 エ 組織のセキュリティの考え方に基づいて, 具体的なセキュリティ施策について 述べたものである。 解答 イ 解法 情報セキュリティ基本方針では、組織が行う情報セキュリティ対策の目的や 対象範囲、関連用語の定義などを定める。組織の情報セキュリティに対する 基本的な考え方を示すものであり、経営者によって承認される。 組織における情報セキュリティ対策の体制や運用基準についてまとめた 文書を情報セキュリティポリシーといい、以下の項目で構成されている。 ・情報セキュリティ基本方針 ・情報セキュリティ対策基準(基本方針実現に向けた行動についての基準) ・情報セキュリティ実施手順等(具体的な対策方法、本来ポリシーに含まれないが重要) ア: 情報セキュリティ基本方針は、環境に合わせて修正していく必要がある。 ウ: IR(Investor Relations)のことである。 エ: 情報セキュリティ実施手順のことである。 参考文献 情報セキュリティポリシーに関するガイドライン http://www.kantei.go.jp/jp/it/security/taisaku/guideline.html 平成23年 秋期 ITパスポート 問83 http://www.k4.dion.ne.jp/~type_f/23A_L1/23A_L1_83.html IR とは - コトバンク http://kohttp://kotobank.jp/word/IRtobank.jp/word/IR ---------------------------------------------------------------------- H23特問65 電子メールを介したウイルスの被害に遭わないために注意すべきこととして, 適切なものだけを全て挙げたものはどれか。 a 信用できる人からの電子メールであっても, 添付ファイルのウイルスチェック を行う。 b 添付ファイルの種類が音声や画像などの非実行ファイルであっても, ウイルス チェックを行う。 c 不審な電子メールは, メールソフトのプレビュー機能で内容の安全性を確認 してから閲覧する。 ア a, b イ a, b, c ウ a, c エ b, c 解答 ア 解法 a: 正しい。電子メールを勝手に送信するタイプのウイルスが存在し、 相手のPCに感染したウイルスがメールを送信している可能性があるため、 ウイルスチェックは送信者が誰であろうと行うべきである。 b: 正しい。添付ファイルの拡張子を音声(.mp3 など)や画像(.png など)の形式に 偽装している可能性があるため、ウイルスチェックが必要である。 c: 正しくない。HTML形式のメールなどの場合は、プレビュー機能を使って 閲覧しただけでもウイルスに感染する場合があるため危険である。 したがって、答えは ア (a, b) である。 参考文献 電子メールのウィルス対策 ITパスポート 平成23年特別 午前問65｜ITパスポート試験.com http://www.itpassportsiken.com/kakomon/23_toku/q65.html ---------------------------------------------------------------------- H22秋問62 シングルサインオンの説明として, 適切なものはどれか。 ア 利用者が使用したいシステムごとに認証を受けることである。 イ 利用者が認証を一度受けるだけで, 許可されている複数のシステムを利用 できることである。 ウ 利用者がネットワーク上のサービスにアクセスして, 会員登録の手続を 行うことである。 エ 利用者が配布された初期パスワードでアクセスしたときに, パスワードを 変更することである。 解答 イ 解法 シングルサインオン(Single Sign-On)とは、許可される範囲内の システムを一度の認証によりすべて利用できる仕組みである。 複数のアプリケーションごとに逐一認証を行う必要がある場合に役立つ。 ア: これの煩わしさを解消するためにシングルサインオンが利用される。 イ: 会員登録のことである。 エ: ワンタイムパスワードのことである。 参考文献 シングルサインオンとは【SSO】 - 意味/解説/説明/定義 ： IT用語辞典 http://e-words.jp/w/E382B7E383B3E382B0E383ABE382B5E382A4E383B3E382AAE383B3.html ---------------------------------------------------------------------- H22春問71 クライアントPCのブラウザからの接続要求に対し, Webサーバが電子証明書など を送信し, クライアントPC側でWebサーバを認証するために用いられるものは どれか。 ア ISP イ PNG ウ S/MIME エ SSL 解答 エ 解法 ・ISP: インターネット接続サービス(通信回線やサーバなど)を提供する事業者。 Internet Service Provider の略称で、単に「プロバイダ」とも呼ばれる。 ・PNG: 画像ファイル形式の一つで、画質の安定性と高い圧縮率を兼ね備え、 透過処理も可能。Portable Network Graphics の略称。 ・S/MIME:「Secure MIME」とも言い、公開鍵暗号方式を用いた 電子メールの暗号化方法の一つ。 MIME(Multipurpose Internet Mail Extension)は、 バイナリデータ(画像など)をテキストデータに変換する規格。 ・SSL: データを暗号化し送受信できる通信プロトコル。複数の技術による セキュリティ対策が施され、その一部として「なりすまし」を防ぐために デジタル証明書を用いた認証が行われる。Secure Socket Layer の略称。 よって、答えは エ のSSLである。 参考文献 ISP とは - コトバンク (出典: ASCII.jpデジタル用語辞典) http://kotobank.jp/word/ISP PNG とは - コトバンク (出典: ASCII.jpデジタル用語辞典) http://kotobank.jp/word/PNG セキュリティ用語事典 [S/MIME（Secure MIME）] http://www.atmarkit.co.jp/aig/02security/smime.html SSLとは【Secure Socket Layer】 - 意味/解説/説明/定義 ： IT用語辞典 http://e-words.jp/w/SSL.html ---------------------------------------------------------------------- H22春問74 電子透かしによってできることとして, 適切なものはどれか。 ア 解読鍵がなければデータが利用できなくなる。 イ 作成日や著作権情報などを, 透けて見える画像として元の画像に重ねて 表示できる。 ウ データのコピーの回数を制限できる。 エ 元のデータからの変化が一見して分からないように作成日や著作権情報などを 埋め込むことができる。 解答 エ 解法 電子透かしとは、外見に殆ど影響を与えずに情報をデータへ埋め込む技術である。 紙幣の偽造防止に用いられる「透かし」と同じく、主にデータの不正コピーや 改ざんを防ぐための著作権情報などが電子透かしとして埋め込まれる。 ア: 解読鍵は電子透かしの検出に必要ない。 イ: この「透かし」もあるが、通常「電子透かし」は目に見えないタイプを指す。 ウ: コピー回数を記録することはできるが、制限まではできない。 参考文献 電子透かしとは【electronic watermarking】（デジタルウォーターマーク）：IT用語辞典 http://e-words.jp/w/E99BBBE5AD90E9808FE3818BE38197.html 電子透かし ITパスポート 平成22年春期 午前問74｜ITパスポート試験.com http://www.itpassportsiken.com/kakomon/22_haru/q74.html ---------------------------------------------------------------------- H22春問87 攻撃者が, システムの利用者になりすましてシステム管理者に電話をかけ, パスワードを忘れたと言ってパスワードを初期化してもらい, システムに侵入した。 このような行為を何というか。 ア DoS攻撃 イ 総当たり攻撃 ウ ソーシャルエンジニアリング エ バックドア 解答 ウ 解法 ・DoS攻撃: 不正なデータや大量のデータを送信することでネットワークを 使用不能にする攻撃。DoS は Denial of Services attack の略称。 ・総当たり攻撃: 暗号解読に使われる方法の一つで、鍵と考えられる文字列を 片っ端から解読にかける。適合するまでの時間は長い。 ・ソーシャルエンジニアリング: 人を話術で騙したり、背後から盗み見たりするなど (「機械的」でない)「社会的」な手段による 不正な情報入手の手口。 ・バックドア: 不正アクセスのために設けられる侵入経路(「裏口」)。 よって、答えは ウ のソーシャルエンジニアリングである。 参考文献 DoS攻撃とは【Denial of Services attack】（サービス拒否攻撃）：IT用語辞典 http://e-words.jp/w/DoSE694BBE69283.html 総当たり攻撃とは【brute force attack】（ブルートフォース攻撃）：IT用語辞典 http://e-words.jp/w/E7B78FE5BD93E3819FE3828AE694BBE69283.html ソーシャルエンジニアリングとは【social engineering】（ソーシャルハッキング）：IT用語辞典 http://e-words.jp/w/E382BDE383BCE382B7E383A3E383ABE382A8E383B3E382B8E3838BE382A2E383AAE383B3E382B0.html バックドアとは【backdoor】：IT用語辞典 http://e-words.jp/w/E38390E38383E382AFE38389E382A2.html ---------------------------------------------------------------------- H22秋中問B 施設の入室管理に関する次の記述を読んで, 問 93 〜 96 に答えよ。 S 社の T 営業所では, IDカードによる入室管理システムを導入することになった。 T 営業所の施設の種類と管理対象者の区分 (以下, 対象区分という) を表のように 分類し, 入室許可の有無の区分 (以下, 許可区分という) の設定を行う。ここで, 表は施設に対して入室を許可する対象区分を "◯", 入室を許可しない対象区分を "×"で示す。 (図: http://roy/~c110140/images/h22a_mB_0.png) (1) 設定は, 形式1 を1行目に記述し, 形式2 を2行目以降に必要な行数だけ記述する。 (2) 許可区分には, 入室を許可する場合は "ACCEPT", 入室を許可しない場合は "DENY" を記述する。 (3) 形式1 は, ポリシを記述するための形式であり, 最初の項目には "ポリシ"と記述 する。ポリシの記述とは, 2行目以降に記述する行のいずれにも該当しない 施設と対象区分の組合せに対して, 適用する対象区分を指定するものである。 (4) 形式2 には, 施設と対象区分の組合せとそれに対する許可区分を記述する。施設に 対して許可区分が同じ対象区分については, コンマで区切って複数記述できる。 (5) 入室が許可されるかどうかは, 2行目以降で記述した行の順に評価される。指定 した施設と対象区分の組合せの行が見つかれば, その行の許可区分を適用し, それ以降の行の評価は行われない。 --------------------------------------- 〔テクノロジ〕 問93 表の許可区分の設定について, ポリシの許可区分を ACCEPT にしたときの設定の 記述は次の図になる。表の設定について, ポリシの許可区分を DENY にしたときの 設定の記述はどれか。 (図と選択肢: http://roy/~c110140/images/h22a_mB_q93.png) 解答 エ 解法 ポリシを"ACCEPT"(許可する)にしたとき、"執務室"への"来客者"の入室が "DENY"(許可しない)であることを図で表している。 重要となるのは中問題文中の(3)である。これによると、ポリシでは2行目以降に 記述する行以外(図の場合は"営業課員"など)に対する許可区分を表している。 逆に言うと、2行目以降にはポリシに当てはまらない者の設定が記述される。 初めの表を見ると、"執務室"への"来客者"の入室が"×"であるため、 ポリシの"ACCEPT"が表すのは、表の"○"に当たる組合せである。 そのため、2行目には"×"(ポリシの範囲外)に当たる組合せを記述している。 したがって、反対にポリシが"DENY"のとき、ポリシには表の"×"に当たる 組合せの設定が当てはまるため、2行目以降には表の"○"("ACCEPT")に 当たる組合せすべてを記述する必要がある。 参考文献 許可区分の設定１ ITパスポート 平成22年秋期 午前問93｜ITパスポート試験.com http://www.itpassportsiken.com/kakomon/22_aki/q93.html 平成22年 秋期 ITパスポート 中問B http://www.k4.dion.ne.jp/~type_f/22A_L1/22A_L1_B.html --------------------------------------- 〔テクノロジ〕 問95 次の表に示す許可区分の設定について, ポリシの許可区分を ACCEPT にしたとき の設定の記述は 図1 である。新たに, 課長に対して特別会議室の入室を許可する ことになり, "課長" という対象区分を設け, 図2 の設定の記述を追加することに した。図1 に, 図2 の設定を追加する位置として, 適切な位置は (1)〜(4) のどれか。 なお, "課長"の対象区分には営業課長と技術課長が属しており, それぞれの課長は それぞれの所属課員の対象区分にも属している。管理対象者が二つの対象区分に 属する場合, 設定の記述の評価において, 施設と一方の対象区分との組合せと合致 する行が見つかれば, その行の許可区分が適用される。 (図: http://roy/~c110140/images/h22a_mB_q95.png) ア (1) イ (2) ウ (3) エ (4) 解答 ア 解法 問題文によると、"課長"は所属する課員の対象区分にも属する。つまり、 営業課長は"課長"と"営業課員"、技術課長は"課長"と"技術課員"に属している。 また、中問題文中の(5)を踏まえると、一方の対象区分が記述された行は 上から順に評価される。このため、前後の行で矛盾が起こらないように設定する。 図1 の2行目を見ると、"営業課員"と"技術課員"の"特別会議室"への入室は "DENY"(許可しない)となっている。この行の後に 図2 の設定を追加しても、 もう一つの"課長"に対する"ACCEPT"の意味は無くなってしまう。2行目の設定が 先に評価されるためである。(まず「課員」と見なされ、「課長」の権利は無視) したがって、2行目より前に 図2 を追加する必要がある。すると、"課長"に対する 許可区分が優先されることになるため、前述のような矛盾は起こらない。 よって答えは ア である。 参考文献 許可区分の設定３ ITパスポート 平成22年秋期 午前問95｜ITパスポート試験.com http://www.itpassportsiken.com/kakomon/22_aki/q95.html 平成22年 秋期 ITパスポート 中問B http://www.k4.dion.ne.jp/~type_f/22A_L1/22A_L1_B.html ----------------------------------------------------------------------