情報処理安全確保支援士試験の全問題一覧
脅威分析とセキュリティリスクアセスメント
- ある企業が新たに顧客向けのオンライン決済システムを企画している。要求定義工程の段階で、開発チームが脅威分析(STRIDEなどのモデルを用いた脅威の洗い出し)を実施する目的として、最も適切なものはどれか。
- ある組織が実施した脆弱性診断の結果、複数のシステムで脆弱性が検出された。CVSS基本値が最も高い脆弱性であっても、当該システムがインターネットから隔離された閉域網内にあり、攻撃元区分(Attack Vector)が「ネットワーク経由」を前提としていた場合、対応の優先順位を決定する際に追加で考慮すべきものとして最も適切なものはどれか。
- オンプレミスで稼働している基幹システムをクラウドサービスへ移行するプロジェクトにおいて、リスクアセスメントに着手する際、最初に行うべき作業として最も適切なものはどれか。
- ある製造業者が、部品調達先の取引先企業のネットワークを経由してマルウェアに感染し、自社の生産管理システムに被害が及んだ。このようなリスクへの対応として、取引先を含めたリスクアセスメントを行う際に着目すべき観点として最も適切なものはどれか。
- ある従業員が、退職の直前に自らの業務用アカウントを利用して顧客情報を大量に外部の記憶媒体へコピーしていたことが事後に判明した。このようなリスクへの事前対応として、リスクアセスメントの結果に基づき導入すべき対策として最も適切なものはどれか。
- ある組織のファイルサーバーの一部でランサムウェアによるファイル暗号化の兆候が検知された。バックアップ体制の状況を確認したところ、当該サーバーのバックアップは同一ネットワークセグメント上のNASにのみ保存されており、隔離されたバックアップは存在しなかった。この状況をリスクアセスメントの観点から評価した場合、最も重視すべきリスクはどれか。
- ある情報システムの資産価値は5,000万円と評価されている。ある脅威が発生した場合、資産価値の40%が損失を受けると見積もられ(EF=40%)、この脅威の年間発生率(ARO)は0.5回/年と予測されている。年間予想損失額(ALE)はいくらか。
- あるリスクアセスメントにおいて、発生可能性を1(低い)から5(高い)の5段階、影響度を1(小さい)から5(大きい)の5段階でそれぞれ評価し、両者の積によってリスクレベルを算出する方式を採用している。発生可能性を4、影響度を3と評価した場合のリスクレベルの値はいくらか。
- あるセキュリティ対策の導入前における年間予想損失額(ALE)は800万円、導入後のALEは200万円と見積もられている。この対策の導入・運用に要する年間コストが300万円である場合、この対策による年間の正味便益(ALEの削減額から対策コストを差し引いた額)はいくらか。
- ある資産の年間予想損失額(ALE)は1,200万円と見積もられている。新たな対策の導入によってリスクが60%低減されると評価された場合、対策導入後の残存ALEはいくらか。
- JIS Q 27005(ISO/IEC 27005)が示す情報セキュリティリスクマネジメントの工程のうち、「リスク特定」「リスク分析」「リスク評価」「リスク対応」の4つを実施順に並べたものとして適切なものはどれか。
- データフロー図(DFD)を用いてSTRIDEモデルによる脅威モデリングを実施する際の作業手順として、最初に行うべきものはどれか。
- 事業継続計画(BCP)策定のために事業影響度分析(BIA)を実施する際、最初に行うべき作業として最も適切なものはどれか。
- リスクアセスメントにおける「定性的リスク分析」と「定量的リスク分析」の違いに関する記述として、最も適切なものはどれか。
- リスク対応における「リスク低減」と「リスク移転」の違いに関する記述として、最も適切なものはどれか。
- 情報セキュリティにおける「脅威」と「脆弱性」の違いに関する記述として、最も適切なものはどれか。
- STRIDEによる脅威分析モデルにおける「改ざん(Tampering)」と「否認(Repudiation)」の違いに関する記述として、最も適切なものはどれか。
- 情報セキュリティにおける「アタックサーフェス(攻撃対象領域)」の説明として、最も適切なものはどれか。
- リスク対応において用いられる「残留リスク(残存リスク)」の説明として、最も適切なものはどれか。
- 「脅威インテリジェンス」の説明として、最も適切なものはどれか。
ネットワーク・暗号・認証等のセキュリティ対策技術
- 出張中の社員が空港の公衆無線LANに接続し、社内システムに暗号化されていないHTTP通信でアクセスしたところ、同一ネットワーク上の攻撃者に通信を盗聴され、認証情報を窃取された。今後、同様の被害を防ぐために最も有効な対策はどれか。
- 社内DNSサーバがキャッシュポイズニング攻撃を受け、利用者が本来とは異なる偽のWebサイトに誘導される被害が発生した。今後の再発防止として最も適切な対策はどれか。
- 社員のノートPCが盗難に遭った。当該PCのハードディスクは暗号化されておらず、内蔵の重要情報が第三者に読み取られる可能性がある。この教訓を踏まえ、今後導入すべき対策として最も適切なものはどれか。
- 公開Webサーバへの接続要求(SYNパケット)が短時間に大量に送信され、正規利用者がサービスに接続できなくなる被害が発生した。攻撃元IPアドレスは分散しており、送信元を個別に遮断することは困難であった。この攻撃への対策として最も適切なものはどれか。
- 拠点間VPNでIPsecを利用していたが、通信経路上で正規のパケットを攻撃者が記録し、後で再送信する再生攻撃(リプレイアタック)が疑われた。この攻撃を検知・防止するためにIPsecが備える仕組みとして最も適切なものはどれか。
- 多要素認証(ID・パスワード+ワンタイムパスワード)を導入していたが、精巧な偽サイトに誘導された利用者が入力したID・パスワードとOTPを攻撃者がリアルタイムで正規サイトに中継し、認証を突破してセッションを乗っ取られる被害(AiTM攻撃)が発生した。再発防止として最も有効な対策はどれか。
- RSA暗号において、素数p=5、q=11から求めた法n=55、公開鍵の指数e=3を用いて平文m=4を暗号化するとき、暗号文c(=m^e mod n)の値として正しいものはどれか。
- 0～9の数字のみから成る6桁の暗証番号を用いてログインするシステムがあり、ロックアウト機能は無く、攻撃者が1秒間に1,000回の割合で総当たり攻撃を行うとき、全ての組み合わせを試行し終えるまでにかかる時間として最も近いものはどれか。
- 素数p=23、原始根g=5を用いたDiffie-Hellman鍵交換において、Aliceの秘密鍵a=6(公開値A=5^6 mod23=8)、Bobの秘密鍵b=15(公開値B=5^15 mod23=19)であるとき、両者が最終的に共有する秘密鍵Kの値として正しいものはどれか。
- 6桁の数字から成るワンタイムパスワード(OTP、000000～999999が均等な確率で生成される)を用いたログイン機能があり、同一OTPに対して試行できる回数は3回まで(3回失敗するとロックアウト)に制限されている。攻撃者がランダムに数値を入力し、3回の試行のうちいずれかで正解する確率として最も近いものはどれか。
- TLSのフルハンドシェイクにおいて、クライアントとサーバが行う次の4つの処理のうち、ハンドシェイクの中で最後に行われるものはどれか。
- Kerberos認証において、クライアントが認証プロセスの中で最初に通信する相手はどれか。
- IPsecにおけるIKE(Internet Key Exchange)の鍵交換処理で、最初に実行されるフェーズはどれか。
- 共通鍵暗号のブロック暗号における利用モードのうち、CBC(Cipher Block Chaining)モードの特徴に関する記述として最も適切なものはどれか。
- ファイアウォールの実装方式のうち、ステートフルインスペクション型とアプリケーションゲートウェイ型の違いに関する記述として、最も適切なものはどれか。
- 侵入検知システム(IDS)における検知方式のうち、シグネチャ型(パターンマッチング型)とアノマリ型(異常検知型)の違いに関する記述として最も適切なものはどれか。
- 情報システムにおける「認証(Authentication)」と「認可(Authorization)」の違いに関する記述として、最も適切なものはどれか。
- ゼロトラストの考え方に基づくセキュリティモデルの基本原則として、最も適切な記述はどれか。
- 鍵交換方式におけるPFS(Perfect Forward Secrecy、完全順方向秘匿性)の説明として、最も適切なものはどれか。
- パスワードをハッシュ化して保存する際に付加する「ソルト(salt)」の目的として、最も適切な記述はどれか。
セキュアなシステム開発・品質管理
- あるWebアプリケーションの開発チームが、ユーザー入力をそのままSQL文に連結してデータベースに問い合わせる実装をしていたところ、セキュリティレビューでSQLインジェクションの脆弱性が指摘された。この脆弱性に対する修正方法として最も適切なものはどれか。
- リリース1週間前のシステムテスト工程で、ログイン画面に反射型クロスサイトスクリプティング（XSS）の脆弱性が発見された。このときプロジェクトが最初に取るべき対応として最も適切なものはどれか。
- 開発チームがCI/CDパイプラインに静的アプリケーションセキュリティテスト（SAST）ツールを導入したところ、大量の誤検知（false positive）が報告され、開発者が警告を無視するようになった。この状況の改善策として最も適切なものはどれか。
- 自社製品が利用しているOSSライブラリに新たな深刻な脆弱性（CVE）が公表された。開発部門がまず行うべき対応として最も適切なものはどれか。
- コードレビューにおいて、パスワードのハッシュ化にMD5が使用されていることが指摘されたが、担当者は「これまで問題が起きていないので変更不要」と主張した。レビュアーが取るべき対応として最も適切なものはどれか。
- 本番デプロイの直前に重大な脆弱性が検出されたが、リリース日は契約上変更できないと関係者から言われた。プロジェクトが取るべき対応として最も適切なものはどれか。
- あるモジュールのソースコード1,000行に対してコードレビューを実施したところ、50件の指摘が検出された。このモジュールの指摘密度（件/KLOC）はどれか。
- 10,000行（10KLOC）のプログラムに対する結合テストで検出された欠陥件数が40件であった。このときの欠陥密度は何件/KLOCか。
- あるシステムのMTBF（平均故障間隔）が450時間、MTTR（平均修理時間）が50時間であるとき、このシステムの稼働率（可用性）はどれか。
- ある入力項目の許容範囲が「1以上100以下」と定義されている。境界値分析の技法に基づき、下限と上限のそれぞれについて「境界値の直前」「境界値」「境界値の直後」の3点ずつテストする場合、この入力項目に対する境界値分析のテストケース数は何件か。
- セキュアな開発ライフサイクル（Security Development Lifecycle）の考え方に基づいてシステム開発を進める場合、要件定義工程で最初に実施すべき作業として最も適切なものはどれか。
- Webアプリケーションに対する脆弱性診断を実施する際の一般的な作業の流れとして、最初に行うべき工程はどれか。
- 新規に静的解析（SAST）ツールをソフトウェア開発プロセスに導入する際の一般的な進め方として、最も適切な順序はどれか。
- ソースコードを解析して脆弱性を検出する静的アプリケーションセキュリティテスト（SAST）と、実際に動作中のアプリケーションに対して疑似攻撃を行うことで脆弱性を検出する動的アプリケーションセキュリティテスト（DAST）の違いに関する記述のうち、最も適切なものはどれか。
- ホワイトボックステストとブラックボックステストの違いに関する記述のうち、最も適切なものはどれか。
- レビュー技法であるウォークスルーとインスペクション（フェーガン法によるレビュー）の違いに関する記述のうち、最も適切なものはどれか。
- 脆弱性診断（バルネラビリティアセスメント）とペネトレーションテストの違いに関する記述のうち、最も適切なものはどれか。
- ソフトウェア開発における「シフトレフト（Shift Left）」の説明として、最も適切なものはどれか。
- ソフトウェアの脆弱性検出手法である「ファジング（Fuzzing）」の説明として、最も適切なものはどれか。
- 「SBOM（Software Bill of Materials）」の説明として、最も適切なものはどれか。
セキュリティ方針・法的要求事項・インシデント対応・監査
- 組織におけるセキュリティインシデント対応のプロセスを、一般的なインシデント対応モデルに沿って順に並べたとき、最も適切な順序はどれか。
- ある企業で、退職を控えた従業員が退職直前の数日間に、業務上必要な範囲を超えて大量の顧客データをUSBメモリにコピーしていたことが、退職後の監査で判明した。このとき、企業がまず実施すべき対応として最も適切なものはどれか。
- 個人データを取り扱う事業者において、不正アクセスによる個人データの漏えいが発生し、対象者に重大な権利利益の侵害が生じるおそれがあると判断された。個人情報保護法上、この事業者が行うべき対応として適切なものはどれか。
- 情報セキュリティ監査における「内部監査」と「外部監査」の違いに関する記述として、最も適切なものはどれか。
- ある情報資産に対する脅威について、1回の事故で想定される損失額(単一予想損失額)が200万円、年間の発生確率(年間発生率)が0.25回/年と見積もられている。このときの年間予想損失額(ALE)として正しいものはどれか。
- 端末のフォレンジック調査において、揮発性の高いデータから優先して収集するという原則に従うとき、最初に収集すべき対象として最も適切なものはどれか。
- 「不正アクセス行為の禁止等に関する法律」と「不正競争防止法」による保護の対象の違いに関する記述として、最も適切なものはどれか。
- 「サイバーセキュリティ基本法」に関する記述として、最も適切なものはどれか。
- 業務用端末がマルウェアに感染した疑いがあり、今後フォレンジック調査を行う可能性がある場合、発見者が最初にとるべき対応として最も適切なものはどれか。
- あるシステムの平均故障間隔(MTBF)が180時間、平均修復時間(MTTR)が20時間であるとき、このシステムの稼働率として正しいものはどれか。
- 事業継続計画(BCP)における「目標復旧時間(RTO)」と「目標復旧時点(RPO)」の違いに関する記述として、最も適切なものはどれか。
- ある企業が独自に開発した製造ノウハウを「営業秘密」として法的に保護しようとしていたが、実際には当該情報にアクセス制限を設けず、社内の従業員であれば誰でも自由に閲覧できる状態になっていた。この場合の評価として最も適切なものはどれか。
- 組織における情報セキュリティ関連文書を、抽象度の高いものから具体的なものへ順に整備するとき、一般的に適切な順序はどれか。
- あるシステムについて、目標復旧時点(RPO)を3時間に設定したい場合、バックアップの取得間隔として適切なものはどれか。
- 「電子署名及び認証業務に関する法律(電子署名法)」に関する記述として、最も適切なものはどれか。
- 災害発生時に、どの業務から優先的に復旧させるべきかを検討するため、各業務が停止した場合の組織への影響の大きさや許容できる停止時間を分析する活動として最も適切なものはどれか。
- 個人情報保護法における「匿名加工情報」と「仮名加工情報」の違いに関する記述として、最も適切なものはどれか。
- ある監査で、200件の対象母集団から50件をサンプル抽出して検証したところ、4件に不備が見つかった。このサンプル結果から推定される母集団の不備率として正しいものはどれか。
- 情報セキュリティ監査における「監査証拠」に関する記述として、最も適切なものはどれか。
- 情報セキュリティ監査において、監査人がアクセス権限台帳と実際のシステム設定を突合した結果、退職済みの従業員のアカウントが有効なまま残っていることを発見した。この場合の監査人の対応として最も適切なものはどれか。