テクニカルエンジニア（ネットワーク）平成11年午後I問3
電子メールのセキュリティに関する次の記述を読んで、設問1～4に答えよ。
書籍販売会社のF社は、店頭での販売を行うかたわら、早くからインターネットを
利用した書籍販売に力を入れてきた。WWWサーバを自社内に設置して、顧客による
書籍の検索を可能にし、注文を受け付けている。また、顧客の問合せとその回答には、
電子メールを利用してきた。
F社はこれまでに、社員全員が電子メールを利用できるよう逐次設備を拡充してき
ている。現在では、社員の内60人は従来から利用してきた電子メールシステム(以
下、Cメールという)を利用し、残り210人はグループウェアを利用して電子メール
を送受信している。インターネット販売用システムには、Cメールが必須となってお
り、簡単にはなくすことができない。このため、Cメールを搭載したPC(以下、CP
という)とグループウェアを搭載したPC(以下、GPという)の2種類を混在使用し
ている。
現在のF社社内システム構成を図に示す。
外部からきたメールは、インターネットメールサーバにいったん格納され、ファイ
アウォールでチェック後、Cメールサーパに転送される。グループウェアユーザをあ
て先とするメールは、更にメッセージ転送サーバで変換された後、グループウェアサ
ーバに転送される。
最近、F社のインターネットメールサーバがジャンクメールの中継点に使われると
いう事件が発生した。すなわち、外部の何者かがF社のインターネットメールサーバ
を利用して、ほかのサイトに大量のメールを発信していることが発見された。これに
対し、F社は次の緊急対策を考えた。
①発見された当日の夕方から翌朝まで、とりあえずFWを停止する。
②インターネットメールサーバの設定を変更し、犯人とおぼしきIPアドレスか
らのメッセージを受け付けないようにする。
③インターネットメールサーバソフトをバージョンアップして、メールアドレス
のチェック機能を入れ、中継点になり得ないようにする。
F社は翌朝までFWを停止し、その間に②及び③の検討を行った結果、どちらの案
も実施可能であることが分かった。しかし、実際には③を実施し、②は実施しなかっ
た。
この件はこれらの対策によって沈静化した。
F社ではその後、社内でのセキュリティ意識の高まりから、コンサルティング会社
のG社の指導を受けて、社内セキュリティポリシを策定した。このセキュリティポリ
シでは、機密区分を定義して、社内情報を(ア)社外利用可(レベル1)、(イ)社内利用だ
け(レベル2)、(ウ)社内関係者だけ(レベル3)の三つのレベルに分け、それぞれの
運用方法を定めている。また、社内メールはすべて暗号化する運用を目指すものとし
た。
F社は更に、G社に対し具体的なセキュリティ改善策の提案を依頼した。
G社による改善策を次に示す。
(1) インターネットメールサーバとファイアウォールの分離
インターネットメールサーバとファイアウォールの共存は良くないと考えられま
す。サーバ機を購入して公開セグメントに置き、インターネットメールサーバをそ
ちらに移して、ファイアウォールから切り離すことをお勧めします。なぜなら、イ
ンターネットメールサーバが破られたとき、ファイアウォールも破られる可能性が
高いからです。
(2) パスワードの運用
Cメールでもグループウェアでも、個人別にパスワードが決められ、自分あての
メールには、自分しかアクセスできないようになっています。そのうちグループウ
ェアに関しては、パスワードの暗号化もなされています。しかしながら、パスワー
ドを【 a 】する運用がなされていません。これを改善するために、システ
ム管理機能の利用をお勧めします。この機能は現在利用されていませんが、グルー
プウェアがもっている機能です。具体的には、パスワードの利用可能日数の指定に
よって、利用者が同一パスワードを長期間使い続けられないようにする運用が可能
です。さらに、【 b 】パスワードは最大20個までチェックされ、これらを
再使用できなくすることが可能です。
(3) パスワードの暗号化
Cメールの現在のバージョンでは、パスワードが暗号化されておらず、また入力
されたパスワードに対して、利用可能日数のチェックが行われていません。これを
解決するためにCメールのバージョンアップをお勧めします。
(4) メールの暗号化
GPからGPへのメールは暗号化されていますが、GPとCP間、及びCPからCP
へのメールは暗号化されていません。対策としてGPとCPすべてに、共通の暗号
化ソフトを導入することが考えられます。しかしそうした場合、GPからCPにメ
ールを送る際のGPでの実際の運用では、メールの送信の前に暗号化処理を実施し、
その後で送信するという手間が発生し、暗号化ソフトが積極的には利用されないと
推測されます。現在GP間で行われているように、送る側も受ける側も意識しない
で、すべてのメールを暗号化する運用を実現することができません。そこで、共通
の暗号化ソフトを導入する方法でなく、CPにも【 c 】する方法をご検討く
ださい。
(5) 機密区分による運用
現在は機密区分を利用する運用となっていません。御社では、すでにセキュリテ
ィポリシ策定時に三つの機密区分を定義しています。グループウェアをカスタマイ
ズすることによって、メールのヘッダ情報に機密区分を設け、どのレベルか選択で
きるようにする運用が可能です。メールを作成する際に画面上のボタンをクリック
することによって、機密区分を指定できるようにします。レベル2、3の場合は、
【 d 】の発信を禁止し、レベル3の場合は、メール転送を禁止する機能の作
り込みをお勧めします。
F社はこれらの改善策を吟味した結果、次の結論を出した。
① 改善策(1)～(4)は、速やかに実施する。
② 改善策(5)については、一部変更して実施し、併せて提案外の対策も実施する。
設問1
ジャンクメールに関する次の問いに答えよ。
(1) F社が対策案②を実施しなかった理由を、20字以内で述べよ。
(2) 対策案③に“メールアドレスのチェック”とあるが、具体的には何をどのよ
うにチェックするのかを、40字以内で述べよ。
(3) ジャンクメールの中継点にされても、F社内のファイルが漏えいするわけで
も、壊されるわけでもない。困る理由は何かを、40字以内で述べよ。
設問2
本文中の【 a 】～【 d 】に入れる適切な字句を、それぞれ10字
以内で答えよ。
設問3
改善策(4)では、メール自体の暗号化について述べている。ファイアウォールに
よって守られているのに、暗号化する理由を、20字以内で述べよ。
設問4
改善策(5)では、“機密区分を指定できるようにする”ことを提案しているが、
一部変更し、提案外の対策を併せて実施することになった。これはF社内で、利
用者が指定しなければ意味がないし、また指定しても間違っていれば効果は上が
らないなどの意見があったからである。改善策(5)に関する次の問いに答えよ。
(1) 改善策(5)をどのように変更すればよいかを、20字以内で述べよ。
(2) 社内システムの変更に加えて、F社が実施すべき“提案外の対策”を、40
字以内で述べよ。
書籍販売会社のF社は、店頭での販売を行うかたわら、早くからインターネットを
利用した書籍販売に力を入れてきた。WWWサーバを自社内に設置して、顧客による
書籍の検索を可能にし、注文を受け付けている。また、顧客の問合せとその回答には、
電子メールを利用してきた。
F社はこれまでに、社員全員が電子メールを利用できるよう逐次設備を拡充してき
ている。現在では、社員の内60人は従来から利用してきた電子メールシステム(以
下、Cメールという)を利用し、残り210人はグループウェアを利用して電子メール
を送受信している。インターネット販売用システムには、Cメールが必須となってお
り、簡単にはなくすことができない。このため、Cメールを搭載したPC(以下、CP
という)とグループウェアを搭載したPC(以下、GPという)の2種類を混在使用し
ている。
現在のF社社内システム構成を図に示す。
外部からきたメールは、インターネットメールサーバにいったん格納され、ファイ
アウォールでチェック後、Cメールサーパに転送される。グループウェアユーザをあ
て先とするメールは、更にメッセージ転送サーバで変換された後、グループウェアサ
ーバに転送される。
最近、F社のインターネットメールサーバがジャンクメールの中継点に使われると
いう事件が発生した。すなわち、外部の何者かがF社のインターネットメールサーバ
を利用して、ほかのサイトに大量のメールを発信していることが発見された。これに
対し、F社は次の緊急対策を考えた。
①発見された当日の夕方から翌朝まで、とりあえずFWを停止する。
②インターネットメールサーバの設定を変更し、犯人とおぼしきIPアドレスか
らのメッセージを受け付けないようにする。
③インターネットメールサーバソフトをバージョンアップして、メールアドレス
のチェック機能を入れ、中継点になり得ないようにする。
F社は翌朝までFWを停止し、その間に②及び③の検討を行った結果、どちらの案
も実施可能であることが分かった。しかし、実際には③を実施し、②は実施しなかっ
た。
この件はこれらの対策によって沈静化した。
F社ではその後、社内でのセキュリティ意識の高まりから、コンサルティング会社
のG社の指導を受けて、社内セキュリティポリシを策定した。このセキュリティポリ
シでは、機密区分を定義して、社内情報を(ア)社外利用可(レベル1)、(イ)社内利用だ
け(レベル2)、(ウ)社内関係者だけ(レベル3)の三つのレベルに分け、それぞれの
運用方法を定めている。また、社内メールはすべて暗号化する運用を目指すものとし
た。
F社は更に、G社に対し具体的なセキュリティ改善策の提案を依頼した。
G社による改善策を次に示す。
(1) インターネットメールサーバとファイアウォールの分離
インターネットメールサーバとファイアウォールの共存は良くないと考えられま
す。サーバ機を購入して公開セグメントに置き、インターネットメールサーバをそ
ちらに移して、ファイアウォールから切り離すことをお勧めします。なぜなら、イ
ンターネットメールサーバが破られたとき、ファイアウォールも破られる可能性が
高いからです。
(2) パスワードの運用
Cメールでもグループウェアでも、個人別にパスワードが決められ、自分あての
メールには、自分しかアクセスできないようになっています。そのうちグループウ
ェアに関しては、パスワードの暗号化もなされています。しかしながら、パスワー
ドを【 a 】する運用がなされていません。これを改善するために、システ
ム管理機能の利用をお勧めします。この機能は現在利用されていませんが、グルー
プウェアがもっている機能です。具体的には、パスワードの利用可能日数の指定に
よって、利用者が同一パスワードを長期間使い続けられないようにする運用が可能
です。さらに、【 b 】パスワードは最大20個までチェックされ、これらを
再使用できなくすることが可能です。
(3) パスワードの暗号化
Cメールの現在のバージョンでは、パスワードが暗号化されておらず、また入力
されたパスワードに対して、利用可能日数のチェックが行われていません。これを
解決するためにCメールのバージョンアップをお勧めします。
(4) メールの暗号化
GPからGPへのメールは暗号化されていますが、GPとCP間、及びCPからCP
へのメールは暗号化されていません。対策としてGPとCPすべてに、共通の暗号
化ソフトを導入することが考えられます。しかしそうした場合、GPからCPにメ
ールを送る際のGPでの実際の運用では、メールの送信の前に暗号化処理を実施し、
その後で送信するという手間が発生し、暗号化ソフトが積極的には利用されないと
推測されます。現在GP間で行われているように、送る側も受ける側も意識しない
で、すべてのメールを暗号化する運用を実現することができません。そこで、共通
の暗号化ソフトを導入する方法でなく、CPにも【 c 】する方法をご検討く
ださい。
(5) 機密区分による運用
現在は機密区分を利用する運用となっていません。御社では、すでにセキュリテ
ィポリシ策定時に三つの機密区分を定義しています。グループウェアをカスタマイ
ズすることによって、メールのヘッダ情報に機密区分を設け、どのレベルか選択で
きるようにする運用が可能です。メールを作成する際に画面上のボタンをクリック
することによって、機密区分を指定できるようにします。レベル2、3の場合は、
【 d 】の発信を禁止し、レベル3の場合は、メール転送を禁止する機能の作
り込みをお勧めします。
F社はこれらの改善策を吟味した結果、次の結論を出した。
① 改善策(1)～(4)は、速やかに実施する。
② 改善策(5)については、一部変更して実施し、併せて提案外の対策も実施する。
設問1
ジャンクメールに関する次の問いに答えよ。
(1) F社が対策案②を実施しなかった理由を、20字以内で述べよ。
(2) 対策案③に“メールアドレスのチェック”とあるが、具体的には何をどのよ
うにチェックするのかを、40字以内で述べよ。
(3) ジャンクメールの中継点にされても、F社内のファイルが漏えいするわけで
も、壊されるわけでもない。困る理由は何かを、40字以内で述べよ。
設問2
本文中の【 a 】～【 d 】に入れる適切な字句を、それぞれ10字
以内で答えよ。
設問3
改善策(4)では、メール自体の暗号化について述べている。ファイアウォールに
よって守られているのに、暗号化する理由を、20字以内で述べよ。
設問4
改善策(5)では、“機密区分を指定できるようにする”ことを提案しているが、
一部変更し、提案外の対策を併せて実施することになった。これはF社内で、利
用者が指定しなければ意味がないし、また指定しても間違っていれば効果は上が
らないなどの意見があったからである。改善策(5)に関する次の問いに答えよ。
(1) 改善策(5)をどのように変更すればよいかを、20字以内で述べよ。
(2) 社内システムの変更に加えて、F社が実施すべき“提案外の対策”を、40
字以内で述べよ。