テクニカルエンジニア（情報セキュリティ）試験対策 http://www.svtokkun.net/ ja Copyright 2007 Sun, 07 May 2006 21:39:24 +0900 http://www.sixapart.com/movabletype/?v=3.2-ja-2 http://blogs.law.harvard.edu/tech/rss キーマンズネット［インターネットサイトの有効利用術］ ズバリ！インターネットは情報の宝箱です。

インターネット上で、無料で情報セキュリティ他の情報をゲットできるサイトとして
「キーマンズネット」と「＠ＩＴ」が有名です。


私は時間があるときは、まずこの２つのサイトを訪れます。


そして、一つのキーワードに対して両方のサイトで記事を読みます。


当然、２つのサイトでは違った視点で書かれています。
（記事を書いている人が別の人なので当然ですが。。。）


一つのモノをあらゆる角度から見ることって本当に大事なことなんですよね。


特にキーマンズネットは実際の製品といっしょに紹介されているので、
製品の知識を得られるだけでなく、その機能、仕組みについても分かりやすく
すんなり頭に入ってきます。


＠ＩＴは基礎、入門編が用意されているので、段階的に理解していくことが可能です。


技術的視点を肉付けするためには？

では、午後問題にどう役立てるの？というのが率直な疑問ですよね。
（「技術的対策の視点」を磨くためには？）

ズバリ３点について意識して、記事を読んでみてください。

・情報セキュリティを脅かす要因（脅威）と結びつけて考える
・技術的防衛と結びつけて考える
・アクセス制御（認証技術）と結びつけて考える


そして、


「知っている」と「理解している」は違うんです。（重要！）


理解していることは、アウトプットできる！


知っていることは、うまくアウトプットできない！


アウトプットをどんどんしましょう。

⇒紙に書き出しましょう。
⇒人に説明してみましょう。


アウトプットすれば、もっとアウトプットしたくなります。


アウトプットするものがなくなると、人間、インプットを欲します。


インプットを欲する力、そうです。


新しい情報、知識を吸収する力が増大するのです。


今、思いついた用語について調べてみてください。


キーマンズネット
（※）キーマンズネットは会員登録が必要です。
]]> http://www.svtokkun.net/2006/05/post.html http://www.svtokkun.net/2006/05/post.html Sun, 07 May 2006 21:39:24 +0900 情報セキュリティアドミニストレータ平成15年問36 ものはどれか。


　ア　Webサービスに関する情報を広く公開し、それらが提供する機能など
　　を検索可能にするための仕組みを定めたもの

　イ　権限のないユーザの傍受、読取り、改ざんから電子メールを保護して
　　送信するためのプロトコルを定めたもの

　ウ　ディジタル署名に使われるかぎ情報を効率よく管理するためのWebサ
　　ービスプロトコルを定めたもの

　エ　認証情報に加え、属性情報とアクセス制御情報を異なるドメインに
　　伝達するためのWebサービスプロトコルを定めたもの

解説

難易度　★★
解答

　エ　認証情報に加え、属性情報とアクセス制御情報を異なるドメインに
　　伝達するためのWebサービスプロトコルを定めたもの


　◇SAML　とは・・・

　　Security Assertion Markup Languageの略です。
　　ユーザIDやパスワードなどの認証情報に加え、属性情報とアクセス制御
　　情報などをXMLデータでやり取るするための仕様で、ネットワーク上の
　　ビジネス文書のデータ形式などの標準化推進団体であるOASIS
　　（Organization for the Advancement of Structured Information
　　Standards）が策定しました。

　　SAMLは、同一ドメイン内や特定のベンダーの製品の枠を超えた大規模な
　　サイトなどで、シングルサインオンの仕組みやセキュアな認証情報管理
　　を実現します。


>　ア　Webサービスに関する情報を広く公開し、それらが提供する機能など
>　　を検索可能にするための仕組みを定めたもの

　UDDIに関する記述です。

　◇UDDI　とは。。。

　　Universal Description, Discovery and Integrationの略です。

　　Web Serviceに関する情報を広く公開し、それらが提供する機能などを
　　検索可能にするための仕組みのことです。

　　このUDDIにより、Web Serviceは、自分が必要とする機能を提供してく
　　れる未知のWeb Serviceを広くインターネットから検索し、それを呼び
　　出せるようになります。


>　イ　権限のないユーザの傍受、読取り、改ざんから電子メールを保護して
>　　送信するためのプロトコルを定めたもの

　S/MIMEに関する記述です。

　◇S/MIME　とは。。。

　　Secure Multipurpose Internet Mail Extensionの略です。
　　S/MIMEは共通かぎ暗号方式と公開かぎ暗号方式およびハッシュ関数を利
　　用して、メールの暗号化とディジタル署名の付与を実現します。

　　公開かぎ証明書のフォーマットは、X.509と呼ばれる仕様で決められて
　　います。


>　ウ　ディジタル署名に使われるかぎ情報を効率よく管理するためのWebサ
>　　ービスプロトコルを定めたもの

　XKMSに関する記述です。

　◇XKMS　とは。。。【 XML Key Management 】

　　XML Key Managementの略です。
　　ディジタル署名において、公開かぎの登録や配布を行うためのプロトコ
　　ルです。

　　XKMSは、公開かぎ管理や公開かぎ証明書の検証などのPKIによる複雑な
　　処理をWebサービスとして提供します。

　　それにより、ユーザ側のアプリケーション開発の負担を軽減することが
　　できます。


>　エ　認証情報に加え、属性情報とアクセス制御情報を異なるドメインに
>　　伝達するためのWebサービスプロトコルを定めたもの

　正しい記述です。

　SAMLを利用して異なるドメインに伝達するためには、SAMLオーソリティの
　Webサイトを構築して、目的Webサイトへのアクセス認可を受けるようにし
　ます。
]]> http://www.svtokkun.net/2006/02/1536.html http://www.svtokkun.net/2006/02/1536.html 410セキュリティ機能の実装 Sun, 26 Feb 2006 22:21:10 +0900 情報セキュリティアドミニストレータ平成17年問26

　ア　使用している暗号方式の強度

　イ　対象プログラムの様々な入力に対する出力結果と仕様上の出力
　　との一致

　ウ　ファイアウォールが単位時間当たりに処理できるセション数

　エ　ファイアウォールや公開サーバに対するセキュリティホールや
　　設定ミスの有無

解説

難易度　★
解答

　エ　ファイアウォールや公開サーバに対するセキュリティホールや
　　設定ミスの有無


　◇ペネトレーションテスト　とは・・・

　　ネットワークに外部から不正に侵入できないかどうかを実際に試してみ
　　るテストのことです。主なテスト項目は以下の通りです。

　　・ファイアウォールや公開サーバに対するセキュリティホールや設定ミ
　　　スがないか
　　・DoS攻撃を受けた場合にどの程度耐えられるのか
　　・他のコンピュータを攻撃する踏み台にされないかどうか


>　ア　使用している暗号方式の強度

　暗号方式の強度は、セキュリティプロダクトの検証で確認する対象です。


>　イ　対象プログラムの様々な入力に対する出力結果と仕様上の出力
>　　との一致

　対象システムにおけるプログラムテストで確認する対象です。


>　ウ　ファイアウォールが単位時間当たりに処理できるセション数

　ファイアウォールの性能テストで確認する対象です。


>　エ　ファイアウォールや公開サーバに対するセキュリティホールや
>　　設定ミスの有無

　正しい記述です。

　ファイアウォールや公開サーバには、セキュリティホールが存在したり、
　設定に漏れや誤りがある可能性があります。

　事前にチェックリストを作成し、設定に漏れや誤りが生じないようにする
　必要があります。さらにセキュリティホールや設定ミスをチェックするた
　めにペネトレーションテストを行います。
]]> http://www.svtokkun.net/2006/02/1726.html http://www.svtokkun.net/2006/02/1726.html 330セキュリティ実装テスト仕様の作成 Sun, 19 Feb 2006 22:00:00 +0900 システム監査平成10年問17 ァイアウォールの機能として、適切なものはどれか。


　ア　インターネットから受け取ったパケットのデータ部分に改ざん
　　がないかどうかをチェックし、改ざんがあった場合にはそのパケ
　　ットを捨てる。

　イ　インターネットから受け取ったパケットのヘッダ部分に改ざん
　　がないかどうかをチェックし、改ざんがあった場合にはそのパケ
　　ットを捨てる。

　ウ　動的に割り振られたTCPポート番号をもったパケットを、固定値
　　のTCPポート番号をもったパケットに変更して、内部ネットワーク
　　に通過させる。

　エ　特定のTCPポート番号をもったパケットだけを、インターネット
　　から内部ネットワークに通過させる。

]]> http://www.svtokkun.net/2006/02/1017.html http://www.svtokkun.net/2006/02/1017.html 510開発対象システムの本番移行 Sun, 19 Feb 2006 02:23:09 +0900 システム監査平成14年問41 実施する監査手続として、適切なものはどれか。


　ア　アクセスを分析し、必要な対象者にヒアリングすること。

　イ　個別計画書に基づいて、アクセスコントロール機能の達成度を
　　判断すること。

　ウ　システム設計書によって、アクセスコントロール機能の達成度
　　を判断すること。

　エ　不正アクセスの防止策について改善を勧告すること。

解説

難易度　★★★
解答

　ウ　システム設計書によって、アクセスコントロール機能の達成度
　　を判断すること。


　システム監査基準、一般基準の監査には、

　(1)システム監査人は、システム監査の基本計画及び個別計画を策定
　　すること。
　(2)システム監査は、個別計画に基づき、予備調査、本調査及び評価
　　・結論の手順により実施すること

　とあります。


　このように、システム監査の調査は、効率性・有効性を図るため、
　予備調査と本調査の２段階に分けて行われます。

　調査対象が広範囲になると、すべての監査項目について詳細な調査
　を行うために、膨大な時間がかかることになります。
　そのため、時間をかけて調査しなければならない項目が、不十分な
　調査に終わってしまうことも考えられます。

　これでは、有効な監査報告につながらないため、予備調査で、管理
　者へのヒアリングや資料の確認によって、監査対象の実態を概略的
　に調査します。

　その予備調査の結果によって、本調査で時間をかけて調査する項目、
　確認すればよい項目の選別を行い、必要であれば監査個別計画を修
　正します。


>　ア　アクセスを分析し、必要な対象者にヒアリングすること。

　不正アクセス防止状況に対するアクセスの分析やヒアリングは、本
　調査で行うことになります。


>　イ　個別計画書に基づいて、アクセスコントロール機能の達成度を
>　　判断すること。

　監査の個別計画書に基づくアクセスコントロール機能の達成度は、
　本調査を行い、評価の段階で判断されます。


>　ウ　システム設計書によって、アクセスコントロール機能の達成度
>　　を判断すること。

　正しい記述です。

　予備調査は、監査対象の実態を概略的に調査します。
　不正アクセス防止の監査では、システム構成や管理体制を予備調査
　の段階で把握してから、本調査の調査項目を確定します。


>　エ　不正アクセスの防止策について改善を勧告すること。

　不正アクセスの防止策の改善勧告は、報告における監査手続です。
]]> http://www.svtokkun.net/2006/02/1441.html http://www.svtokkun.net/2006/02/1441.html 420システムテストの支援 Sun, 19 Feb 2006 02:21:42 +0900 ソフトウェア開発技術者平成16年午後I問1 ～３に答えよ。

　X社では、これまで社内ネットワーク上でクライアント／サーバの処理形態で行っ
ていた業務を、外出先や自宅からインターネット経由で行えるようにすることになっ
た。セキュリティの確保のため、インターネットと社内ネットワークの間はファイア
ウォールによって適切に接続するほか、本業務のクライアントとサーバの間で相互の
認証及び電文の暗号化を行い、なりすましや盗聴を防ぐことにする。
　クライアントがサーバと接続するときに、まずクライアントとサーバの間で相互に
認証を行う。IDとパスワードを平文(暗号化していない電文)で送る認証方式では、
盗聴される危険性があるので、パスワードを直接には送らずに認証するチャレンジ・
レスポンス方式と呼ばれる手順が考え出されている。その手順は、まず認証する側が
適当な長さの乱数の電文を生成して相手に送る(チャレンジ)。認証される側は、自分
のパスワードをかぎとしてその電文を暗号化し、送り返す(レスポンス)。認証する側
にはのレスポンスを【　ａ　】して【　ｂ　】一致することを確認して、相手を
認証する。
　ここでは、クライアントとサーバの間の相互の認証に、このチャレンジ・レスポン
ス方式を採用する。使用する暗号の方式は、かぎの設定や保管などの運用面を考慮し
て公開かぎ暗号方式とし、次のように名付げた四つのかぎを使用する。
　　　K1:クライアントがもつ秘密かぎ
　　　K2:K1とペアの公開かぎ
　　　K3:サーバがもつ秘密かぎ
　　　K4:K3とペアの公開かぎ
　相互の認証の完了後、暗号作した電文の送受信を行う。ここでは、処理速度を考慮
し、電文の暗号化には共通(秘密)かぎ暗号方式を使用する。ただし、そこで使う共
通かぎはクライアントとサーバの接続の都度生成することにし、それを相手に送る際
には公開かぎ暗号方式を使用する。そのときのかぎは、認証で使用するのと同じもの
を利用する。



設問１　クライアントとサーバの間の認証こ関する記述中の【　ａ　】、【　ｂ　】
に入れる適切な字句を答えよ。また、図1に示すクライアントによるサーバ認証
の手順中の【　ｃ　】、【　ｄ　】に入れる適切なかぎを、K1～K4の中から
選べ。




設間２　暗号化した電文の挙受信を行うために、クライアント側で共通かぎを生成して
サーバに送り、.クライアントとサーバの間で暗号化通信を始める手順を図2に示
す。この手順中の【　ｅ　】、【　ｆ　】に入れる適切なかぎを、K1～K4の
中から選べ。




設問３　クライアントやサーバの台数が多い場合の対応に関する次の記述中の
【　ｇ　】～【　ｋ　】に入れる適切な字句又は式を答えよ。

　多数のクライアントやサーバのそれぞれに認証のために別個のかぎをもたせる
と、かぎの設定などの運用が煩雑になる。これを公開かぎ暗号方式の特長を活か
して簡素化することを考える。
　クライアントやサーバの設置にあたり、それらがもつ秘密かぎについては、そ
の機器で注意深く保管する必要がある。しかし、そのペアの公開かぎについては、
あらかじめ通信の相手となる各機器に保持させておかずに、接続の都度送っても
よい。ただし、なりすましの防止のために、送られた公開かぎの正当性は確認で
きるようにしておく必要がある。
　そこで、認証局を設置し、認証局がもつ秘密かぎについては、認証局内で厳重
に保管する。そのペアの公開かぎは、正当性確認の問題がないように、あらかじ
め【　ｇ　】に設定しておく。各クライアントやサーバは、自分のＩＤと公開か
ぎを認証局に送って、認証局の【　ｈ　】で暗号化したもの(公開かぎ証明書
と呼ぶ)を発行してもらい、用意しおく。認証曲は、正当なクライアントやサ
ーバからの要求に対してだけ、公開かぎ証明書を発行する。各クライアントやサ
ーバは、接続の都度、その今開かぎ証明書も通信相手に送る。相手は、送られて
きた公開かぎ証明書を認証局の【　ｉ　】で復号することによって、送信元の
公開かぎの正当性を確認できる。
　なお、クライアントやサーバの廃止などに伴って公開かぎとその証明書を無効
にするには、そのための仕組みが別途必要である。
M台のクライアントとN台のサーバが既に稼働しているときに、1台のクライ
アントが増設されて、かぎのペアを追加生成する場合を考える。公開かぎを必要
なクライアントやサーバ機器にあらかじめ保持させておく方式では、追加の秘密
かぎや公開かぎの設定作業が【　ｊ　】台の機器で必要となる。一方、認証局
を設置し、接続の都度、公開かぎ証明書を送る方式では、追加の秘密かぎや公開
かぎ証明書の設定作薬が必要な機器は、公開かぎ証明書を発行する認証局の1台
を含めて【　ｋ　】台である。ここで、各クライアントから接続する相手はす
べてのサーバとする。また、台数には増設されるクライアント自体も含める。
]]> http://www.svtokkun.net/2006/02/16i1.html http://www.svtokkun.net/2006/02/16i1.html 130ソフトウェア開発技術者 Sat, 18 Feb 2006 16:33:22 +0900 ソフトウェア開発技術者平成15年午後I問3 　H社のネットワーク管理部門では、自社のシステムをインターネットに接続するこ
とにし、ネットワークセキュリティ方針(以下、セキュリティ方針という)を決定し
た。セキュリティ方針に沿って、ファイアウォール製品を購入し、システム構成を図
に示すものとした。

　H社が購入したファイアウォールの仕様を次に示す。このファイアウォールは、図
中のGate-way上で動作させるものとする。
〔ファイアウォールの仕様〕
(1)アプリケーションゲートウェイ型のファイアウォールである。
　　アプリケーションゲートウェイ型のファイアウォールでは、内部ネットワーク上
　にあるクライアントパソコンがインターネット上にあるサーバとの通信を行う際に、
　ファイアウォール用のコンピュータが要求を中継し、クライアントに代わって目的
　のサーバとの通信を行う。また、TCP/IPプロトコルの上位層のサービス(http、
　https、ftp、smtp、dnsなどのプロトコルや、利用者が作成したアプリケーションサ
　ービス)に対してセキュリティ方針を定義することができる。
(2)ネットワーク上の資源を管理できる。
　　ネットワーク上の資源(オブジェクト)とは、ネットワーク上に存在するコンピ
　ュータ(ホスト名、そのIPアドレス)やLAN(LAN名、そのIPサブネットアド
　レス)などの情報のことで、次に述べるセキュリティルールベースを定義する際に
　使用される。そこでは、ネットワーク上のすべてのコンピュータや、すべてのサー
　ビスを指す場合、特別な名称として“すべて”を使用できる。
(3)セキュリティルールベースの定義ができる。
　　送信側オブジェクト、受信側オブジェクト及びサービスの種類の組合せに対し、
　ファイアウォールの動作(許可又は禁止)を定義したものの集合をルールベース
　(表1)と呼ぶ。セキュリティ方針をファイアウォールによって実現するには、ル
　ールベースを定義する必要がある。このファイアウォールは、到着したIPデータグ
　ラムに対し、定義されたルールベースを上から順に適用し、最初に適合したルール
　によってそのIPデータグラムに対する動作を決定する。

表1　ルールベースの例
項番 送信側
オブジェクト名		 受信側
オブジェクト名		 サービス名称 動作
1 すべて Gate-way すべて 禁止

　表1では、すべての利用者からGate-wayへのアクセスを、すべてのサービスで
禁止する(許可しない)ことを示している。
(4)アドレス変換機能を備えている。
　　アドレス変換機能は、IPデータグラム内のIPアドレスを別のIPアドレスに付け
　替える機能である。この機能は、内部ネットワーク上から外部(インターネット
　側)へ向けて開始された通信に対して適用され、内部のネットワークで使用してい
　るIPアドレスを隠ぺいして、ゲートウェイ自身のグローバルIPアドレスだけを外
　部に見せるようにする。

設問１
　H社のネットワーク管理部門は、セキュリティ方針を次のように決定し、ファ
イアウォールヘ実装するためのルールベースを定義した。
表2“H社ネットワーク管理部門のルールベース”中の【　a　】～
【　h　】に入れる適切な字句を答えよ。
〔セキュリティ方針〕
①インターネット側から来る電子メールは、必ず外部のメールサーバ(GW-
　mail)で受け、このメールサーバが内部のメールサーバ(Mail)へ中継する。
②利用者(インターネット側を含む)からのファイアウォール(Gate-way)
　への直接アクセスをすべて禁止する。
③内部のパソコンからインターネットヘのアクセスは、http、https、ftpの各
　サービスだけ許可し、必ずプロキシサーバ(Proxy)を経由する。
④内部のパソコンから外部のdnsサーバ(GW-dns)への直接アクセスは許可
　しない。必ず内部のdnsサーバ(Dns)を経由する。また、外部のdnsサー
　バ(GW-dns)から内部のdnsサーバ(Dns)への通信は許可しない。
⑤内部のパソコンから外部のメールサーバ(GW-mail)への直接アクセスは
　許可しない。必ず、内部のメールサーバ(Mail)を使わせる。また、内部の
　メールサーバ(Mail)から直接インターネットヘのメールを発信させない。
　必ず、外部のメールサーバ(GW-mail)が中継して、インターネット側へ発
　信する。
⑥内部のパソコンからのドメイン名参照は、内部のdnsサーバ(Dns)を使
　用する。
⑦Webサーバ(WWW)へは、すべての利用者(インターネット側を含む)
　からのアクセス(http、https)を認める。また、内部のパソコンからの直接
　アクセスも認める。
⑧“原則拒否の方針”を採用し、セキュリティ方針として言及していない通
　信は、すべて禁止する。
表2　H社ネットワーク管理部門のルールベース
項番
送信側
オブジェクト名
受信側
オブジェクト名
サービス名称
動作
1
すべて
Gate-way
すべて
禁止
2
【　ａ　】
WWW
【　ｂ　】、【　ｃ　】
許可
3
【　ｄ　】
すべて
http、https、ftp
許可
4
Dns
【　ｅ　】
【　ｆ　】
許可
5
GW-dns
Dns
dns
禁止
6
GW-mail
【　ｇ　】
【　h　】
許可
7
Mail
GW-mail
smtp
許可
8
すべて
すべて
すべて
禁止

設問２
　H社の営業部門から、営業社員にモバイルパソコンを持たせ、顧客先などから
インターネットを経由して内部のパソコン(サーバ)ヘアクセスし、ftpプロトコ
ルを用いて情報をモバイルパソコンにダウンロードしたいという要望が挙がった。
しかし、ネットワーク管理部門で検討した結果、この要望は実現できないことが
分かった。
　ネットワーク管理部門の検討結果の【　ｉ　】～【　ｍ　】に入れる適切な
字句を答えよ。
　〔セキュリティ方針〕 を見ると、インターネット側からの【　ｉ　】による
通信に言及していない。したがって、【　ｊ　】によって、この通信は
【　ｋ　】されている。
ファイアウォールの【　ｌ　】によって内部ネットワークの【　ｍ　】が隠
ぺいされているので、モバイルパソコンと内部ネットワーク上のパソコン(サー
バ)間で、【　ｉ　】によるコネクションが確立できない。
]]> http://www.svtokkun.net/2006/02/15i3.html http://www.svtokkun.net/2006/02/15i3.html 130ソフトウェア開発技術者 Sat, 18 Feb 2006 16:31:24 +0900 ソフトウェア開発技術者平成14年午後I問3
　二つのサイトA、B間で、セキュリティが確保された通信を行う方式の一つに
VPN(VirtualPrivateNetwork)がある。図1に、ホストA、B間で、VPN装置A、B
を経由し、IPを用いて通信を行う場合のシステム構成を示す。VPN装置A、B間の
通信に必要な情報、例えば暗号化の鍵やルーティング情報などは、事前に適切に設
定されているものとする。

　図1中のVPN装置は、自サイト内のホストからVPN通信を行うサイトあてのIP
パケットを受け取ると、次の変換を行い、相手サイトのVPN装置へ送信する。
(1)受け取ったIPパケット全体を秘密鍵方式で暗号化する。
(2)暗号化したパケットに、自分から相手サイトのVPN装置あてとなるIPヘッダを
　付ける。
(3)IPヘッダと暗号化したパケット全体からハッシュ関数の値を計算し、認証デー
　タとしてパケットに設定する。
　変換後の送信パケットの構成を図2に示す。
 
 
IPヘッダ
認証
データ
暗号化された
IPパケット
図2　送信パケット

　VPN装置が相手サイトのVPN装置からパケットを受け取ると、次の処理を行う。
(4)VPN通信を行っているサイトのVPN装置からのパケットであることを確認後、
　認証データが正しいかどうかチェックする。
(5)認証データが正しい場合、受信したパケットの中から暗号化されているバケッ
　ト部を取り出して復号し、復号したIPパケットの送信先アドレスへ転送する。


設問１

　VPN装置のパケット変換について、次の問いに答えよ。
　(1)パケットを暗号化することは、セキュリティ上、何を防止するためか。5字
　以内で答えよ。
　(2)パケットにハッシュ関数値を付加することは、セキュリティ上、何を防止
　するためか。5字以内で答えよ。
設問２

　ホストAからホストBにVPNを使ってパケットを送信するときに、表に示す
それぞれの区間で、IPヘッダ内に現れる送信元アドレスと送信先アドレスは何
になるか。次の表中の【　ア　】～【　エ　】に入れる適切な字句を答えよ。
表　各区間における送信元アドレス及び送信先アドレス
区間
送信元アドレス
送信先アドレス
ホストA　→　VPN装置A
ホストA
【　ア　】
VPN装置A　→　VPN装置B
【　イ　】
【　ウ　】
VPN装置B　→　ホストB
【　エ　】
ホストB

設問３

　次の記述の中で、問題文中に示されているVPNの実現方式の特徴を述べてい
るものをすべて挙げ、記号で答えよ。
　ア　VPNを使用するアプリケーションは、専用のライブラリをリンクする必要
　　がある。
　イ　VPNを使用するためには、サイト間に必ず専用線を引かなければならない。
　ウ　公衆通信網の電話網やフレームリレー網を使っても、セキュリティが確保
　　された通信を実現できる。
　エ　サイト間の通信方式を、VPNを使用しない方式からVPNを使用する方式に
　　変更しても、アプリケーションの変更は必要としない。
　オ　データリンク層(レイヤ2)でトンネリングを行っているVPNの実現方式
　　である。
　カ　特定のアプリケーションだけが、VPNを使用できる。

設問４

　サイトA、B内のホストアドレスをインターネット側に公開しないために、ル
ータA、BにIPパケット内の特定の内側アドレスをインターネット側アドレス
に変換するNAT機能をもたせることにし、VPN装置A、Bだけインターネット
側にアドレスを公開することにした。しかし、NAT機能を導入したことによっ
て、サイトA、B間のVPN通信ができなくなってしまった。その理由について
述べた次の記述中の【　オ　】～【　キ　】に入れる適切な字句を10字以内
で答えよ。ここで、VPN装置A、Bのインターネット側IPアドレスをそれぞれ
VPN装置AX、VPN装置BXとする。
　NAT機能を導入した場合、サイトAからサイトBへ送るパケットのIPヘッ
ダ内のアドレスは、VPN装置Aから送り出す時点では、送信先が【　オ　】、
送信元がVPN装置Aである。また、VPN装置Bが受け取った時点のIPヘッダ
内のアドレスは、送信先はVPN装置B、送信元は【　カ　】である。このよ
うに、IPヘッダの内容が変更されていて、VPN装置Bでの【　キ　】に失敗
してしまうので、VPN通信ができなくなる。
]]> http://www.svtokkun.net/2006/02/14i3.html http://www.svtokkun.net/2006/02/14i3.html 130ソフトウェア開発技術者 Sat, 18 Feb 2006 16:28:15 +0900 ソフトウェア開発技術者平成13午後I問3 　X 社では、インターネット経由で取引先と電子メールやデータ(以下、メッセー
ジという)の交換を行うことを計画している。インターネット経由でメッセージの
交換を行う場合、メッセージの本文を暗号化するだけではセキュリティ面で安全と
は言えない。メッセージの交換相手の認証も行う必要ある。相手の認証を行うに
当たって、暗号化と復号を同一の鍵(共通鍵)で行う秘密鍵方式ではなく、暗号化
と復号を各個人が所有する秘密鍵と公開鍵とで行う公開鍵方式の暗号化アルゴリズ
ムを採用することにした。公開鍵方式を使って受信者Ｂが送信者Ａの認証を行う場
合の手順を図1に示す。

　図1の手順を応用して認証を可能にしたメッセージ送受信の手順を図２に示す。
図2の【　a　】【　b　】には、それぞれ図1の【　a　】【　b　】と同じ字句が入る。
　図2に示すメッセージ送受信の手順は次のとおりである。
 
(1) 送信者Ａは、メッセージ本文を、Ａと受信者Ｂが共有している共通鍵を使って、
秘密鍵方式で暗号化してＢへ送る。
(2) 認証を行うために、ＡとＢとで共有しているハッシュ関数を用いて、Ａはメッ
セージダイジェストを生成し、生成したメッセージダイジェストを公開鍵方式で
暗号化してＢに送る。ここで、ＡとＢは相手の公開鍵を安全な方法で入手できる
ものとする。
(3) Ｂは、受け取ったメッセージダイジェストを公開鍵方式で復号する。さらに、
メッセージ本文を共通鍵で復号し、復号した本文からハッシュ関数を使ってメッ
セージダイジェストを作る。
(4) Ｂは、Ａから受け取って復号したメッセージダイジェストと、自分でメッセージ
本文から生成したメッセージダイジェストが一致しているかどうかをチェックす
ることによって、相手を認証する。



設問1
　図1中の【　a　】、【　b　】に入れる適切な字句を、それぞれ10字以内で答えよ。
設問2

　図2中の【　c　】～【　f　】に入れる適切な字句を、それぞれ10字以内で答えよ。
設問3

　次の記述中の【　g　】に入れる適切な字句を15字以内で答えよ。
　図２の手順でメールを送るとき、メッセージ本体の暗号化と、メッセージダ
イジェストの暗号化では、別々の暗号化方式を用いている。これは、公開鍵
方式が秘密鍵方式に比べて、【　g　】が長いからである。
設問4
　認証用データにメッセージダイジェストを用いることは、セキュリティ上、
何を防止することを目的としているか。10字以内で答えよ。
設問5
　メッセージダイジェストを生成するハッシュ関数がもつべき特徴を解答群の
中から一つ選び記号で答えよ。
　解答群
　　ア　異なる入カデータから同じ出カデータを作成できる。
　　イ　入カデータから出カデータを求める時間が短い。
　　ウ　入カデータから出カデータを求める時間が長い。
　　工　入力されるデータの長さより出力されるデータの長さが長い。
　　オ　出カデータから入カデータを復元できない。
]]> http://www.svtokkun.net/2006/02/13i3_1.html http://www.svtokkun.net/2006/02/13i3_1.html 130ソフトウェア開発技術者 Sat, 18 Feb 2006 16:25:49 +0900 テクニカルエンジニア（ネットワーク）平成12年午後I問3 で、設問1～4に答えよ。

　J社は東京圏を中心とした小規模な輸入品販売業者である。本社は東京にあり、営
業所は都内5か所にある。営業所の数は今後増やしていく計画である。営業員は、
本社に20人、それぞれの営業所に10人程度が配置されている。J社では営業効率
の向上を目的として、営業員が客先に直行直帰する勤務体制を採用している。最近は、
輸入先である海外企業との取引のため、営業員が海外出張することが増えている。そ
こで、国内や海外出張先の営業員に対する支援策としてリモートアクセス環境を構築
することになった。

　本社には、既にメールサーバ、WWWサーバ、業務DBサーバなどによる営業支援
情報システムが構築されている。このシステムは本社内にいる営業員だけが利用でき、
各営業所、自宅、客先、海外出張先の営業員には公開されていない。J社で必要とす
るリモートアクセス環境は、次の要件が実現されることである。

(1)　各営業所から本社の営業支援情報システムを利用できる。
(2)　本社及び各営業所に出社しなくても、営業員は自宅や客先など国内の社
　　外から社内メールを利用して上司との間で営業報告や業務指示を授受できる。また、営業支
　　援情報システムでの情報検索や必要データのダウンロードができる。
(3)　国内と同じく、海外出張先からも上記(2)の操作ができる。
(4)　リモートアクセスを行うときは、営業員が携帯するパソコン(以下、携帯PCと
　　いう)の接続操作の簡便化を図るとともに、営業支援情報の漏えいを防止できる。

　J社では、上記の要件をネットワークベンダであるM社に提示し、リモートアクセ
ス環境を実現するネットワークシステムの提案を依頼した。

〔M社の提案概要〕

(1)　リモートアクセス環境の形態
　　　J社の要件をすべて満たすためには、次の3形態を考慮したネットワークシス
　　テムにすることを提案する。

　　形態1:各営業所の営業員個々のPCからISDN経由で本社に接続する。
　　形態2:営業員の自宅や客先など国内の外出先で、営業員の携帯PCからPHS網
　　　　　　経由で本社に接続する。
　　　　　　携帯PCからPHS網経由のダイアルアップで接続する場合、アクセスサ
　　　　　　ーバ側のインタフェースは、最大実効速度が【　a　】kビット/秒である
　　　　　　【　b　】を使用する。
　　形態3:海外出張先で、営業員の携帯PCからインターネット経由で本社に接続す
　　　　　　る。
　　　　　　通話料削減を目的として、インターネットサービスプロバイダ(以下、
　　　　　　ISPという)の【　c　】サービスを利用する。これは海外ISPのアク
　　　　　　セスポイントからインターネットを経由して本社に接続する方法である。

　図1は、三つの形態を実現するネットワークシステム構成である。



(2)　各営業所と本社との接続方法について
　　　各営業所は、本社と各営業所間を、ISDNルータを介したスター形のネットワー
　　クで接続する。営業所側ISDNルータでは、本社側ISDNルータヘの経路をデフォ
　　ルトとして設定している。また、営業所を増設する場合も同じ接続方法とする。

(3)　セキュリティ強化策について
　　　営業員が持ち歩く携帯PCに対しては、盗難や置き忘れなどセキュリティ上の問
　　題が想定される。社外からのリモートアクセスを想定した特別な対応がなされない
　　場合、営業員に【　d　】ことによって、携帯PCから本社のサーバに不正アク
　　セスされ、データの改ざん、電子メールの盗聴などが懸念される。一つの対策とし
　　て、ICカード利用によるセキュリティ強化策を提案する。図2に、〔形態2〕の場
　　合を想定したICカード利用によるセキュリティ強化の仕組みを示す。


(4)　運用管理上の留意点について
　　　〔形態2〕や〔形態3〕で、営業員が携帯PCから本社にリモートアクセスする
　　場合、営業員が入力するパスワードは運用上の重要な管理項目となる。パスワード
　　に関連して、パスワードの有効性を確認する属性情報を設定し、照合時に併せてチ
　　ェックさせる仕組みによってセキュリティを強化する。本社側に設置する認証サー
　　バにはパスワードに関する属性情報や条件を登録しておき、定期的な維持管理を徹
　　底する必要がある。運用が徹底されないと、営業員がそれまで使用できていたパス
　　ワードを入力しても接続できないという不具合が発生する。

　　　また、今回提案するICカード利用の携帯PC運用に際して、セキュリティをよ
　　り確実にするためには、携帯PCやICカードの盗難発生を想定して、携帯PC、本
　　社のサーバ双方の運用で徹底すべきことがある。一方、盗難対策として、携帯PC
　　では、ダウンロードしたデータを暗号化すること、ICカードと携帯PCを分散し
　　て所持するようルール化することを提案する。(以下、省略)


　J社はM社の提案を受け、ISPとの契約を行うとともにリモートアクセス環境の構
築と運用管理を徹底することにした。

設問１

　本文中の【　a　】～【　d　】に入れる適切な字句を答えよ。

設問２

　M社が提案するリモートアクセス環境の形態に関する次の間いに答えよ。

(1)　〔形態1〕で、各営業所の営業員が本社サーバに自動的に接続するために、営業
　　所側ISDNルータがもつべき“ルーティング機能”以外の機能は何か。15字以内で
　　述べよ。

(2)　〔形態1〕で、営業所側から本社サーバを利用するために本社側ISDNルータの設定
　　で必須となる事項は何か。20字以内で述べよ。

(3)　〔形態2〕で必要となる図1に示す機器Xの名称を答えよ。

設問３

　図2中の【　ア　】～【　ウ　】に入れる適切な字句を答えよ。

設問４

　M社が提案する運用管理上の留意点に関する次の間いに答えよ。

(1)　本文中にある“営業員がそれまで使用できていたパスワードを入力しても接続
　　できないという不具合が発生する”原因は何か。20字以内で述べよ。

(2)　本文中の下線部について、盗難発生を想定して、J社の本社にあるサーバの
　　運用において徹底すべきことは何か。30字以内で述べよ。
]]> http://www.svtokkun.net/2006/02/12i3.html http://www.svtokkun.net/2006/02/12i3.html 120テクニカルエンジニア（ネットワーク） Sat, 18 Feb 2006 16:23:35 +0900 テクニカルエンジニア（ネットワーク）平成11年午後I問3
　書籍販売会社のF社は、店頭での販売を行うかたわら、早くからインターネットを
利用した書籍販売に力を入れてきた。WWWサーバを自社内に設置して、顧客による
書籍の検索を可能にし、注文を受け付けている。また、顧客の問合せとその回答には、
電子メールを利用してきた。

　F社はこれまでに、社員全員が電子メールを利用できるよう逐次設備を拡充してき
ている。現在では、社員の内60人は従来から利用してきた電子メールシステム(以
下、Cメールという)を利用し、残り210人はグループウェアを利用して電子メール
を送受信している。インターネット販売用システムには、Cメールが必須となってお
り、簡単にはなくすことができない。このため、Cメールを搭載したPC(以下、CP
という)とグループウェアを搭載したPC(以下、GPという)の2種類を混在使用し
ている。

　現在のF社社内システム構成を図に示す。


　外部からきたメールは、インターネットメールサーバにいったん格納され、ファイ
アウォールでチェック後、Cメールサーパに転送される。グループウェアユーザをあ
て先とするメールは、更にメッセージ転送サーバで変換された後、グループウェアサ
ーバに転送される。

　最近、F社のインターネットメールサーバがジャンクメールの中継点に使われると
いう事件が発生した。すなわち、外部の何者かがF社のインターネットメールサーバ
を利用して、ほかのサイトに大量のメールを発信していることが発見された。これに
対し、F社は次の緊急対策を考えた。

　①発見された当日の夕方から翌朝まで、とりあえずFWを停止する。
　②インターネットメールサーバの設定を変更し、犯人とおぼしきIPアドレスか
　　らのメッセージを受け付けないようにする。
　③インターネットメールサーバソフトをバージョンアップして、メールアドレス
　　のチェック機能を入れ、中継点になり得ないようにする。

　F社は翌朝までFWを停止し、その間に②及び③の検討を行った結果、どちらの案
も実施可能であることが分かった。しかし、実際には③を実施し、②は実施しなかっ
た。

　この件はこれらの対策によって沈静化した。

　F社ではその後、社内でのセキュリティ意識の高まりから、コンサルティング会社
のG社の指導を受けて、社内セキュリティポリシを策定した。このセキュリティポリ
シでは、機密区分を定義して、社内情報を(ア)社外利用可(レベル1)、(イ)社内利用だ
け(レベル2)、(ウ)社内関係者だけ(レベル3)の三つのレベルに分け、それぞれの
運用方法を定めている。また、社内メールはすべて暗号化する運用を目指すものとし
た。

　F社は更に、G社に対し具体的なセキュリティ改善策の提案を依頼した。

　G社による改善策を次に示す。

(1)　インターネットメールサーバとファイアウォールの分離
　　　インターネットメールサーバとファイアウォールの共存は良くないと考えられま
　　す。サーバ機を購入して公開セグメントに置き、インターネットメールサーバをそ
　　ちらに移して、ファイアウォールから切り離すことをお勧めします。なぜなら、イ
　　ンターネットメールサーバが破られたとき、ファイアウォールも破られる可能性が
　　高いからです。

(2)　パスワードの運用
　　　Cメールでもグループウェアでも、個人別にパスワードが決められ、自分あての
　　メールには、自分しかアクセスできないようになっています。そのうちグループウ
　　ェアに関しては、パスワードの暗号化もなされています。しかしながら、パスワー
　　ドを【　a　】する運用がなされていません。これを改善するために、システ
　　ム管理機能の利用をお勧めします。この機能は現在利用されていませんが、グルー
　　プウェアがもっている機能です。具体的には、パスワードの利用可能日数の指定に
　　よって、利用者が同一パスワードを長期間使い続けられないようにする運用が可能
　　です。さらに、【　b　】パスワードは最大20個までチェックされ、これらを
　　再使用できなくすることが可能です。

(3)　パスワードの暗号化
　　　Cメールの現在のバージョンでは、パスワードが暗号化されておらず、また入力
　　されたパスワードに対して、利用可能日数のチェックが行われていません。これを
　　解決するためにCメールのバージョンアップをお勧めします。

(4)　メールの暗号化
　　　GPからGPへのメールは暗号化されていますが、GPとCP間、及びCPからCP
　　へのメールは暗号化されていません。対策としてGPとCPすべてに、共通の暗号
　　化ソフトを導入することが考えられます。しかしそうした場合、GPからCPにメ
　　ールを送る際のGPでの実際の運用では、メールの送信の前に暗号化処理を実施し、
　　その後で送信するという手間が発生し、暗号化ソフトが積極的には利用されないと
　　推測されます。現在GP間で行われているように、送る側も受ける側も意識しない
　　で、すべてのメールを暗号化する運用を実現することができません。そこで、共通
　　の暗号化ソフトを導入する方法でなく、CPにも【　c　】する方法をご検討く
　　ださい。

(5)　機密区分による運用
　　　現在は機密区分を利用する運用となっていません。御社では、すでにセキュリテ
　　ィポリシ策定時に三つの機密区分を定義しています。グループウェアをカスタマイ
　　ズすることによって、メールのヘッダ情報に機密区分を設け、どのレベルか選択で
　　きるようにする運用が可能です。メールを作成する際に画面上のボタンをクリック
　　することによって、機密区分を指定できるようにします。レベル2、3の場合は、
　　【　d　】の発信を禁止し、レベル3の場合は、メール転送を禁止する機能の作
　　り込みをお勧めします。

　　F社はこれらの改善策を吟味した結果、次の結論を出した。

　①　改善策(1)～(4)は、速やかに実施する。
　②　改善策(5)については、一部変更して実施し、併せて提案外の対策も実施する。

設問1

　ジャンクメールに関する次の問いに答えよ。

(1) 　F社が対策案②を実施しなかった理由を、20字以内で述べよ。

(2) 　対策案③に“メールアドレスのチェック”とあるが、具体的には何をどのよ
　　うにチェックするのかを、40字以内で述べよ。

(3) 　ジャンクメールの中継点にされても、F社内のファイルが漏えいするわけで
　　も、壊されるわけでもない。困る理由は何かを、40字以内で述べよ。

設問2

　本文中の【　a　】～【　d　】に入れる適切な字句を、それぞれ10字
以内で答えよ。

設問3

　改善策(4)では、メール自体の暗号化について述べている。ファイアウォールに
よって守られているのに、暗号化する理由を、20字以内で述べよ。

設問4

　改善策(5)では、“機密区分を指定できるようにする”ことを提案しているが、
一部変更し、提案外の対策を併せて実施することになった。これはF社内で、利
用者が指定しなければ意味がないし、また指定しても間違っていれば効果は上が
らないなどの意見があったからである。改善策(5)に関する次の問いに答えよ。

(1)　改善策(5)をどのように変更すればよいかを、20字以内で述べよ。

(2)　社内システムの変更に加えて、F社が実施すべき“提案外の対策”を、40
　　字以内で述べよ。
]]> http://www.svtokkun.net/2006/02/11i3.html http://www.svtokkun.net/2006/02/11i3.html 120テクニカルエンジニア（ネットワーク） Sat, 18 Feb 2006 16:21:29 +0900 テクニカルエンジニア（ネットワーク）平成10年午後II問3
　A社は、社員数が数万人規模の製造業である。本社組織と複数の事業部があり、本
社と各事業部は複数の部から構成されている。
　A社では"A-NET"と呼ばれる全社TCP/IPネットワークが稼働している。A-NET
稼働前は、幾つかの事業部ネットワークが独立して使われていた。それらのネット
ワークを相互接続しながら、A-NETは構築されてきた。現在、本社とすべての事業
部がA-NETで相互接続され、業務システム、電子メール、WWW、ファイル転送な
どに広く利用されている。図1にA-NETの概要と管理範図を示す。


〔サイトLANと基幹ネットワーク〕

　A-NETは一つの"基幹ネットワーク"と複数の"サイトLAN"から構成される。
サイトLANは、"基幹ルータ"経由で基幹ネットワークと接続されている。基幹ルー
タを含む基幹ネットワークは、本社の情報システム部が運用管理を行っている。

　A-NETでは、社内の組織を "サイト"という単位に分けて管理している。サイト
と事業部又は部とは、必ずしも1:1に対応しない。サイトLANはサイトが運用管
理を行うネットワークで、A-NETへの加入単位でもある。


〔アドレス体系〕

　A-NETは、クラスAのプライベートアドレスを採用している。各サイトLANの
ネットワークアドレスは、A-NET加入申請時に、情報システム部からそのサイトに
与えられる。サイトLANのホストアドレスはサイトが管理する。

　A-NETに接続されていないLANや、ほかのサイトとは通信を行わないLANがサ
イトLANに含まれている場合もある。このようなLANのために、情報システム部で
は"サイト内アドレス"という特別なアドレス範図を、クラスAのプライベートアド
レス内に定義している。すべてのサイトは、サイト内の通信用に限り、与えられたア
ドレス以外に、サイト内アドレスを自由に使用することができる。


〔A-NETセキュリティガイド〕

　A-NETを計画する際、A社のトップは次のような基本方針を情報システム部に示
し、セキュリティに関する基準と運用規則の立案を指示した。

(1)　A-NETは、各種の資産(情報や機器)が接続される汎用のネットワークである。
　　セキュリティに関する問題の発生防止、発生した問題の速やかな検出、問題波及の
　　防止、問題解決の仕組みを考慮したセキュリティ対策をたてること。

(2)　情報システム部を全社のセキュリティ管理部門とし、A-NETのセキュリティ管
　　理に関する責任と権限を与える。

(3)　セキュリティ管理を行う技術者を、各利用部門(本社と事業部)から選出させ、
　　その技術者を"サイトLAN管理者"と呼ぶ。A-NETのセキュリティ管理体制は、
　　サイトLAN管理者と情報システム部の技術者を中心に作ること。


　情報システム部は、A-NETのセキュリティ基準と運用規則を作成し、トップの承
認を得た。そして、サイトLAN管理者向けの内容をまとめ、"A-NETセキュリティ
ガイド"として、全サイトLAN管理者に配布した。図2にA-NETセキュリティガイ
ドの構成を、図3、4にその一部を要約したものを示す。

  〔基本編〕

  1.はじめに
  1.1本ガイドの目的
  1.2 用語の定義
  1.3 セキュリティ管理の重要性
  2.A-NETのセキュリティポリシ
  2.1セキュリティ管理に対する基本的な考え方
  2.2 セキュリティ管理体制とその役割
  2.2.1A-NETセキュリティ管理部門の管理体制と役割
  2.2.2 A-NET利用部門の管理体制と役割
  2.3 問題発生時の対応
  2.4 セキュリティポリシの改訂
  3.サイトLANの運用
  3.1サイトLAN管理者の権限と責務
  3.2 サイトLAN運用ポリシの考え方
  4.申請書
  4.1サイトセキュリティ管理体制申請書(新規・変更)
  4.2 サイトLANのA-NET接続申請書(新規・変更)

  〔技術編〕

  1.サイトLAN運用のガイドライン
  (省略)
  2.ネットワーク機器運用のガイドライン
  2.1推奨機器
  (省略)
  3.サーバ運用のガイドライン
  3.1オペレーティングシステムとシステム構成
  (省略)
  4.クライアント運用のガイドライン
  (省略)
図2 A-NETセキュリティガイドの構成


①　ホスト : パソコン、ワークステーション、ルータなどのネットワーク機器の総称。
②　クライアントとサーバ : ほかのホストへサービスの要求を行うホストをクライアント、要求
　　　　　　　　　　　　　　　　　を受けるホストをサーバと呼ぶ。
③ 　アクセス可能(性) : ホストにアクセス可能とは、IPによってそのホストに到達可能であ
　　　　　　　　　　　　　　　ることをいう。
④　社外 : A社社員以外の者が、A社の許可なく出入りできる場所をいう(取引先、社員の自宅  
　　　　　　　なども社外に含む)。
図3 "1.2用語の定義"の一部(要約)



〔管理領域の明確化〕

①　A-NET上のすべてのホストは、いずれかのサイト又は情報システム部の管理下に置かれ
　　る。
②　A-NETへの加入に当たって、サイトLAN管理者は、管理範図を明確にし、ネットワーク
　運用管理体制を整えた上で、申請書に必要な事項を記入し、情報システム部に届けなければ
　ならない。
③　サイトLANのセキュリティは、ほかのサイトLAN及び基幹ネットワークからのアクセス
　　も含めて、そのサイトのネットワーク運用管理体制によって守らなければならない。

〔サイトLAN管理者〕

④　サイトLAN管理者は、サイト単位に、そのサイトを統轄する事業部長(本社においては
　　情報システム部長)によって任命され、情報システム部に登録される。サイトLAN管理者
　　は、緊急時のシステム停止を含む、そのサイトLANのシステム運用権限をもつ。
⑤　サイトLAN管理者は、サイトLANのセキュリティを確保し、他サイトに迷惑をかけない
　　ように、サイトLANを運用しなければならない。また、ネットワーク構成の定期的な
　　チェックを行い、不正なアクセスを防がなければならない。
⑥　サイトLAN管理者は、サイトLANの利用を許可した利用者が行う行為について、責任を
　　もって管理を行わなければならない。

〔問題発生時の対応〕

⑦　自サイトにおいてセキュリテイ上の問題が発生した場合、サイトLAN管理者は速やかに
　事業部長(本社においては情報システム部長)に報告するとともに、情報システム部及び関
　連するサイトに連絡を取り、問題の解決を図らなければならない。
⑧　A-NETにセキュリティ上の問題が発生した場合、サイトLAN管理者は、情報システム部
　の求める調査や対策に、積極的かつ速やかに協力しなければならない。
⑨　A-NETにセキュリティ上の問題が発生した場合、影響範図の拡大を防止するなどの目的
　で、情報システム部は、予告なしにサイトLANをA-NETから切り離すことができる。

〔サイトLANの運用ポリシとセキュリティ対策〕

⑩　サイトLAN管理者は、サイトLANの運用ポリシを定め、セキュリティ対策を計画し、そ
　　れを実行しなければならない。
⑪　サイトLANの運用ポリシでは、どのサーバが、どの範図のクライアントへ、どのような
　　サービスを提供するかを明確にしなければならない。さらに、サーバを守るためのセキュリ
　　ティ対策は、次に示す基準を満たさなければならない。
　　・社外からアクセス可能なサーバ(社外公開サーバ):
　　　　社外からアクセス可能なサーバが、サイトLAN上に存在してはならない。
　　・他サイトからアクセス可能なサーバ(全社サーバ):
　　　　ユーザやサービスを可能な限り限定すること。また、ログを利用し、他サイトからの不
　　　　正なアクセスがないことを定期的に確認すること。
　　・社外及び他サイトからはアクセス不可能なサービス(サイト内サーバ):
　　　　サイト内サーバは"サイト内アドレス"を用いることが望ましい。さらに、踏み台を利
　　　　用した侵入や、管理者の不注意によるシステム破壊を想定し、サイト内で運用ルールを
　　　　定めること。
図4 "2.A-NETのセキュリティポリシ"の一部(要約)


〔社外接続〕

　図4のA-NETセキュリティポリシに示すように、社外からサイトLAN上のサーバ
アクセスすることは許されていない。社外から利用するサーバは、A-NETには接
続れていないLAN上で動作する必要がある。しかし、最近、A-NETに接続きれた
サーバを社外からも利用したい、すなわち"社外公開サーバ"を設置したいという要
求が多い。

　これを受けて、情報システム部は、十分なセキュリティ対策を前提とした上で、
"社外公開サーバ"設置の個別認可を行うことにした。図5はその運用ポリシ案であ
り、試の後、A-NETセキュリティガイドに盛り込まれる予定である。


　サイトLANにおける社外公開サーバ設置は、情報システム部の個別認可が必要である。個別
認可を受けるに当たり、サイトLAN管理者は、本運用ポリシ案に準拠したセキュリティ対策を
計画し、それを情報システム部に提示しなければならない。

〔個別認可の対象〕 

①　個別認可の対象となる社外接続は、次の条件をすべて満たす必要がある。
　　・公衆電話網又はISDNを経由して、社外に存在するホスト(外部クライアント)からサイ
　　　トLAN上のネットワーク機器に接続する形態であること。
　　・運用上、外部クライアントは特定の機器に限定でき、その利用者も特定の者に限定できる
　　　こと。

〔認証〕

②　アクセスしようとする利用者が、許可された者かどうかを判別するために、次の中から少
　　なくとも一つの手段が採用されなければならない。通常用いられる"あらかじめ登録された
　　アカウントとパスワードの照合"だけでは個別認可は行われない。
　　・あらかじめ決められた電話番号へのコールバック
　　・【 a 】
　　・【 b 】

〔アクセス制御〕

③　外部クライアントがアクセスできる社外公開サーバは.必要最小限に限定されな
　　ければならない。
④　外部クライアントがアクセスできる範囲は、個別認可を受けたサイトLANに限定されな
　　ければならない。

〔ログ監視〕

⑤　【　c　】
⑥　【　d　】
図5 A-NET社外接続の運用ポリシ案


〔BビルのサイトLAN〕

　A社のB事業部は、BビルとB工場の二拠点に分かれている。技術部と営業部だけ
がBビルにあり、製造部などのほかの部はB工場にある。
　Bビルは3階建てで、営業部は2、3階に、技術部は3階に入居している。1階は
両部の共通フロアとなっている。取引先など社員以外は、すべて1階の受付けで入退
館の手続を受けることになっている。

　図6に、Bビルのネットワーク構成を示す。技術部と営業部は、それぞれ別の
LANをもっている。これらのLANは、ルータで接続されているが、特にパケット
フィルタリングは行っていない。これらのLANは、一つのサイトLAN(Bビルサイ
トLAN)として、A-NETに加入している。このほか、BビルサイトLANとは独立し
たLAN(営業部独立LAN)がある。


　技術部は、技術情報サーバを用い技術情報システムを稼働させている。このサーバ
には、B事業部の技術部と製造部がアクセスする。技術情報システムは、顧客製品の
仕様情報など、機密性の高いデータを扱ったシステムである。営業部は、営業情報
サーバを用い営業情報システムを稼働させている。営業情報システムは、ホテル、自
宅など、社外から営業部員が利用するシステムなので、A-NETとは独立したLANで
運用している。そのほか、全社サーバとして、技術部にメールサーバがある。表1に
これらのサーバの利用状況を示す。

表1 Bビルのサーバの利用状況
サーバ
（所在)		 利用目的 サーバ利用者 実施している
アクセス制御と認証
技術情報サーバ
(BビルサイトLAN)		 技術情報
システム		 技術部、
製造部		 ログイン時のアカウントと
パスワードの照合
営業情報サーバ
(営業部独立LAN)		 営業情報
システム		 営業部 ログイン時のアカウントと
パスワードの照合
リモートアクセスサーバ
(営業部独立LAN)		 営業情報
システム		 営業部 着呼時のアカウントと
パスワードの照合
メールサーバ
(BビルサイトLAN)		 A社電子
メールシステム		 技術部、
営業部		 ログイン時のアカウントと
パスワードの照合

　BビルサイトLANのサイトLAN管理者は、技術部に所属しているC氏である。
ネットワーク機器と表1のサーバの運用管理は、C氏が行っている。


〔BピルサイトLANの見直し構想〕

　技術情報システムの運用担当者は、現在の技術情報サーバのセキュリティ対策は不
十分であり、利用できるパソコンを必要なものだけに限定したいと考えている。営業
情報システムの運用担当者は、営業部独立LANをA-NETと接続し、社内にある営業
部員のパソコンからも営業情報システムを利用できるようにしたいと考えている。こ
れらのシステムの利用者は、そのほとんどが業務に必要なパソコン操作ができるだけ
で、ネットワークやサーバの知識はない。セキュリティに対する認識もまだ十分とは
いえない。

　B事業部長は、両システムの運用担当者の意見を聞き、Bビルのネットワークを見
直すようC氏に指示した。また、セキュリティへの意識が低いことを危ぐし、技術部
と営業部の全員にセキュリティに関する集合教育を行うよう併せて指示した。

　指示を受けたC氏は、図7のような改善案を作成した。その内容は次のとおりである。

(1)　BビルサイトLANを、技術部サイトLAN、営業部サイトLANの二つに分ける。
(2)　基幹ネットワークと技術部サイトLANの間、及び営業部サイトLANと営業部独
　　立LANの間に、ルータ(ファイアウォール)を設置し、"パケットフィルタリン
　　グ'を行う。パケットフィルタリングの定義には、クライアントのIPアドレス及
　　びサーバのIPアドレスとTCPポート番号を用いる。許可する通信をこれらの組合
　　せで定義し、それ以外のパケットはすべて破棄する運用とする。
(3)　営業部のサイトLANに認証サーバを設置し、リモートアクセスサーバが外部ク
　　ライアントから接続要求を受けた時の認証強化と、そのログ管理を行う。


〔情報システム部の見解〕

　C氏は、図7の改善案を情報システム部に提示し、セキュリティ対策の妥当性につ
いて見解を求めた。情報システム部では、図8の検討結果をC氏に回答した。


次の点を再検討した上で、A-NET接続の再申請を行うこと。

〔BビルサイトLANの分割について〕

①　サイトLAN管理者については、C氏が両方を兼務してもよいが、営業部の中から新たに
　　管理者を選出した方が、運用上望ましいのではないか。

②　サイトLANのアドレスについては、現在使っているネットワークアドレスをサブネット
　　に分割してそれぞれのサイトLANに割り当てるようにしてほしい。

〔技術部サイトLANについて〕

③　サイト独白にファイアウォールを設置することは、A-NETのセキュリティ上、特に問題
　　はない。しかし、図7の案では運用が複雑になる。導入目的が技術情報サーバのセキュリ
　　ティ対策ということであれば、次の案も検討してはどうか。
　　　別案1:ファイアウォールの挿入場所を、図7の【　e　】に変更する。
　　　別案2:ファイアウォールを用いず、技術情報サーバ自体にセキュリティ対策を施す。

〔営業部サイトLANの社外接続について〕

④　運用ポリシ案(図5)に準拠していると見なせるので、社外接続のパイロットケースとし
　　て認可できる。しかし、⑤、⑥で示す問題点については、⑦の案を参考に再度検討を行うこ
　　と。

⑤　認証サーバに関する考察
　　認証サーバは営業部のパソコンと同じLANに収容するが、このLANのネットワークアド
　レスをそのまま用いることは危険である。公衆電話綱から認証サーバへ不正侵入があった場
　合、認証サーバを【　f　】に利用することによって、A-NET全体への攻撃が可能になっ
　てしまう。また、他サイトから認証サーバヘの攻撃も考えられる。したがって、認証サーバ
　のアドレスには【　g　】アドレスを用いることが望ましい。

⑥　営業情報サーバに関する考察
　　営業情報サーバはルータ(ファイアウォール)の外側にあるので、公衆電話網経由の攻撃
　を受けやすい。しかし、現在使っている【　g　】アドレスをそのまま利用できるので、
　移行は容易である。また、ほかのサイトLANからのアクセスや、【　f　】を利用した他
　サイトへの攻撃は防止できる。

⑦　⑤、⑥で指摘した問題点の解決案
　　【　h　】の設置場所を【　i　】が設置されているLANに変更する。かつ、ルータ
　をもう1台確保し、図7の【　j　】に設置する。これによって、公衆電話網及びほかの
　サイトLANからの攻撃を、両方のルータによるフィルタリングで防御することができる。
図8 改善案(図7)に対する情報システム部の回答



〔BビルサイトLANの改善作業〕

　C氏は、図8の内容を盛り込んだ改善計画書を作成し、B事業部長に了解を求めた。
B事業部長はその計画を承認し、C氏に具体的な作業を進めるよう指示した。また、
サイトLAN分割後は、C氏を技術部サイトLANのサイトLAN管理者とし、営業部
のD氏を営業部サイトLANのサイトLAN管理者にすることを決めた。

　C氏は、表2のように今後の作業と担当者を決め、BビルサイトLANの改善を推進す
ることにした。

表2 今後の作業と担当者
作業項目 作業内容 担当者
サイトLAN運用
ポリシの作成		 技術部サイトLANと営業部サイトLANの運用ポリシを決
定し、新サイトLANの正式申請を情報システム部に行う。		 C氏、D氏
利用者集合教育 ネットワーク移行前に、技術部と営業部の全員に対しセキ
ュリティに関する必要最小限の知識について説明する。		 C氏
新ネットワーク
の設計と構築		 改善案を基に、Bビルネットワークシステムの再設計、構築、
移行を行う。		 C氏、D氏
LAN管理業務の
引継ぎ		 営業部サイトLANの運用に必要な管理業務を引き継ぐ D氏


設問１

　A-NETのセキュリティポリシに関する次の問いに答えよ。

(1)　"サイト内アドレス"を運用するために、基幹ルータで必要となる設定内
　　容を30字以内で述べよ。

(2)　A-NETの加入単位として、会社の組織(例えば事業部・部)を採用しな
　　かった理由を30字以内で述べよ。

(3)　加入単位である"サイト"と会社の組織単位が一致しないことで生じる
　　ネットワーク運用上の問題点を25字以内で述べよ。

(4)　(3)の問題点に対し、A-NETはどのような対策を講じているか。40字以内
　　で述べよ。

(5)　図5中の【　a　】～【　d　】に入れる適切な字句を、それぞれ
　　30字以内で答えよ。

設問２

　BビルサイトLANの見直しに関する次の問いに答えよ。

(1)　A-NETセキュリティポリシに従い、技術情報サーバを守るために必要な
　セキュリティ対策を二つ挙げ、それぞれ20字以内で述べよ。

(2)　図8の③で情報システム部が指摘している、ファイアウォール運用の複雑
　　さとは何か。40字以内で述べよ。

(3)　図8中の【　e　】、【　j　】に入れる適切な記号を、図7にある
　　(ア)～(ケ)の中から選べ。

(4)　図8中の【　f　】～【　i　】に入れる適切な字句を、それぞれ
　　10字以内で答えよ。

(5)　営業部員が社外からもA社のメールシステムを利用できるようにしたい。
　　この場合に必要な改善案(図7)の変更点を40字以内で述べよ。

設問３

　BピルサイトLANの改善に伴う今後の作業(表2)に関する次の問いに答えよ。

(1)　セキュリティ維持のため、今後、D氏が行わなければならない日常の作業
　　のうち、認証にかかわる作業を三つ挙げ、それぞれ20字以内で述べよ。

(2)　情報システム部の回答以外にも、BピルのサイトLANを分割することに
　　よって、セキュリティ管理上の問題が幾つか発生する。この中から、新しい
　　サイトLANの運用ポリシ作成において検討が必要な問題を二つ挙げ、それ
　　ぞれ30字以内で述べよ。

設問４

　社外接続の試行期間中、営業部サイトLANが運用ポリシ案(図5)に準拠
し適正に運用されていることを、情報システム部も定期的に確認すべきである。
そのために、情報システム部が行うべき作業は何か。D氏から定期的に運用状
況の報告を受け取りその内容を確認すること以外に必要な作業を二つ挙げ、そ
れぞれ50字以内で述べよ。
]]> http://www.svtokkun.net/2006/02/10ii3.html http://www.svtokkun.net/2006/02/10ii3.html 120テクニカルエンジニア（ネットワーク） Sat, 18 Feb 2006 16:19:09 +0900 テクニカルエンジニア（ネットワーク）平成10年午後I問5
　Q社は、従業員数が1,500名の中堅の自動車部品メーカである。Q社では、営業活動の
効率向上とスピードアップを図るために、図1の社内ネットワークシステムを構築し、
その上で営業支捜システムを稼働させた。


　営業支援システムは、TCP/IPプロトコルを利用した顧客管理、営業活動報告、商談進
捗管理、交通費精算、及びSMTPとPOPを使用した電子メールなどのサブシステムから
構成されている。システム導入によって、社内での情報活用意識は更に高まり、システ
ム機能の拡大要望が強くなった。そこで、情報システム部のR君は、要望を基に拡大案
をまとめ、SI業者にシステムの提案を求めた。SI業者からの提案は次の内容であった。

[SI業者からの操業内容]

(1)　リモートアクセス環境
　　　本社及び各営業所にアクセスサーバを導入し、出先から公衆電話網経由で社内LAN
　　に接続してシステムを利用できるようにする。アクセスサーバは、ユーザID(以下、
　　IDという)とパスワードを用いたユーザ認証機能をもったものを選定した。アクセス
　　サーバでのユーザ認証は図2の手順で行われるので、アクセスサーバにはユーザ認証
　　のための個人情報を登録する必要がある。登録可能な個人情報の量は最大100人分で
　　あるが、本社及び各営業所に所属する営業員の数は100人に満たないことと、各営業
　　担当エリアを越えた活動はほとんど行われないことから、本社及び各営業所のアクセ
　　スサーバにはそれぞれ所属する社員だけの情報を登録する。アクセスサーバに登録
　　する個人情報は、IDと個人認証鍵（P')である。個人認証鍵は、利用者がパスワード
　　（P)を決定すると、あるアルゴリズムで生成されるものであり、PとP'は異なる。
　　また、利用者のパソコンがアクセスサーバに送倍する認証のための暗号化データは、
　　Pを暗号化鍵としてチャレンジコード(R)を暗号化したものであり P'を使って認
　　証する。


(2)　インターネット接続環境
　　　本社LANを図3の構成に拡張して、インターネット接続を行う。インターネットか
　　ら社内LANへの不正侵入を防ぐために、ファイアウォールを設置する。また、インタ
　　ーネットからのウイルス侵入を防ぐために、ウイルス防御サーバも設置する。ファイ
　　アウォールは、内部セグメントを隠ペいし外部からめ攻撃を防ぐとともに、社外に公
　　開するサーバを設置するための非武装セグメントをもち、外部からの攻撃に対して公
　　開サーバを守ることができる。今回、取引先への在庫情報公開のためのWWWサーバ
　　を非武装セグメントに新設する。また、内部セグメントには在庫情報をもつデータ
　　ベースサーバを新設する。WWWサーバからは、データベース連携処理を行うミドル
　　ウェアを利用して、リアルタイムに在庫情報の参照、検索が行えるようにする。メー
　　ルサーバは非武装セグメントに移動させる。また、今回新設するファイアウォール及
　　びウイルス防御サーバは、次の機能をもつ。

　①　内部セグメントから非武装セグメント、非武装セグメントからインターネット、
　　及び内部セグメントからインターネットへの通信は、プロキシ(proxy)で中継する。
　　プロキシとは、ユーザが利用するクライアントのアプリケーションの代わりに、外
　　部ネットワークの目的サーバとの間で通信を行う機能のことで、プロキシの働きで
　　応答パケットを利用した不正侵入に対しての安全性が確保される。また、プロキシ
　　によって、内部セグメントのアドレスはファイアウォールのアドレスに変換される。

　②　インターネットから非武装セグメント、非武装セグメントから内部セグメント、
　　及びインターネットから内部セグメントヘの通信は、パケットフィルタリング機能
　　で制御する。

　③　ウイルス防御サーバは、LAN上を流れるHTTP、FTP、SMTPのプロトコルで通
　　信するデータに対してウイルスチェックを行い、ウイルスの侵入を防止する機能を
　　もつ。


　今回の構成では、図3に示すd、e、fのアドレスをもつサーバに対して、インター
ネットから直接接続できるように、公開アドレスを設定する。また、ファイアウォール
経由でインターネット接続を行うので、社内LANのアドレスは変更しない。ファイアウ
ォールヘは、内部セグメントから非武装セグメントの各サーバヘの通信、非武装セ
グメントの各サーバからインターネット経由の外部サーバへの通信、非武装セグメ
ントのWWWサーバとデータベースサーバ間の通信、内部セグメントからインターネット経由
の外部WWWサーバヘの通信、及びインターネットから非武装セグメントの各サーバヘ
の通信を可能にする設定を行う。

　R君がSI業者からの提案内容を同僚の技術者と詳細に検討した結果、幾つかの問題点
を含んでいることが分かった。例えば、WWWサーバで利用予定のデータベース連携の
ためのミドルウェアは、データベースサーバとの通信のたびに、あて先ポート番号を変
化させてしまう。そのため、図3の構成では通信ができないことが分かった。また、イ
ンターネットからのウイルス侵入防止対策も十分でないことが判明した。

　R君は、SI業者に問題点を指摘し、改善案の検討を依頼することにした。

設問1

　インターネットのセキュリティに関する次の記述中の 【 ア 】～
【 オ 】に入れる適切な字句を答えよ。

　インターネットを利用して情報交換を行う場合、様々なセキュリティ対策が必
要になる。例えば、インターネット上を流れるデータは第三者によって
【　ア　】される危険性があるので、情報の滴えいを防ぐためにはデータの暗
号化が必要になる。また、他人に【　イ　】て悪事を働く第三者の侵入を防ぐ
ためには、ユーザ認証が必要となる。
　
　インターネットを利用して商取引を行うEC(エレクトロニックコマース)では、
契約内容の正当性の証明が必要になる。ECにおけるトラブル防止のための認証方
法に、【　ウ　】がある。【　ウ　】は、①第三者によって偽造できない。
②受取人によっても偽造できない。③【　ウ　】を行った本人が後でそれを
【　エ　】できない、などの機能をもつ。そのほか、コンピュータウイルス対
策も重要な課題である。ウイルス対策としては、防疫、感染の検出、【　オ　】
などがある。

設問2

　リモートアクセスに関する次の問いに答えよ。

(1)　図2に示したアクセスサーバでの暗号方式は、何と呼ばれるか答えよ。

(2)　この方式の場合、アクセスサーバではどのような処理を行ってユーザ認証を
　　行うか。25字以内で述べよ。

(3)　SI業者の提案に従いアクセスサーバを導入した場合、想定できるユーザ管理
　　上の問題点を、35字以内で述べよ。

設問3 

　インターネット接続に関する次の問いに答えよ。

(1)　今回のファイアウォールへの設定で、表中の【　カ　】～【　コ　】に
　　入れる適切なアドレスを、図3のa～mから答えよ。
表 ファイアウォールの設定内容(一部)
ポート番号
サービス名/
プロトコル名) 		 インターネット→非武装セグメント 非武装セグメントー内部セグメント
状態  送信元アドレス あて先アドレス 状態   送信元アドレス あて先アドレス
80(HTTP) 許可  any 【　カ　】  禁止 - -
25(SMTP) 許可 any 【　キ　】  禁止 - -
53(DOMAIN) 許可 any 【　ク　】 禁止 - -
1521(データベー
       ス連携）		 禁止 - - 許可  【　ケ　】 【　コ　】
その他 禁止 - - 禁止 - -

(2)　利用予定のミドルウェアは、通信データのあて先ポート番号を変化させてし
　　まうが、あて先ポート番号が変化した場合、ファイアウォール設定上どのよう
　　な問題が発生するか。30字以内で述べよ。

(3)　(2)の問題を解決するためには、WWWサーバを内部セグメントに設置する方
　　法がある。この場合、内部セグメントのアドレス変更が必要になるが、どのよ
　　うな変更が必要になるか。20字以内で述べよ。

(4)　図3の場所にウイルス防御サーバを設置した場合、インターネットからのウ
　　イルス侵入が防げない通信がある。のような通信のデータにウイルスチェッ
　　クが行われないか。20字以内で述べよ。
]]> http://www.svtokkun.net/2006/02/10i5.html http://www.svtokkun.net/2006/02/10i5.html 120テクニカルエンジニア（ネットワーク） Sat, 18 Feb 2006 16:16:11 +0900 情報セキュリティアドミニストレータ平成13年午後II問2 答えよ。

　A社は、従業員が700人規模のエネルギ関連企業で、エネルギの購入、備蓄、精
製及び卸販売を行っている。
　エネルギの購入及び卸販売の業務は、主に本社部門が行っている。これらの事務処
理業務のシステム化は、情報システム部が担当している。情報システム部は、事務処
理の効率化のため、10年ほど前にネットワーク（以下、事務処理系ネットワークと
いう）を敷設し、本社部門のパソコンをネットワークに接続した。昨年、購入や卸販
売業務でインターネットの利用が必要になったので、事務処理系ネットワークをイン
ターネットに接続した。これによって、電子メールと社外のホームページ検索（以下
Web検索という）が可能になり、従来からの社員間の情報交換に加え、社外との情
報交換も可能になった。
　インターネットの接続時にファイアウォールを設置し、電子メールとWeb検索だ
けを可能にした。特にウイルス対策としては、社外及び社内用メールサーバでウイル
ス検査を行い、感染のおそれがある場合には、中継を保留する措置を講じた。
　生産部門では、エネルギを備蓄するためのタンクとエネルギを精製するための装置
（以下、これらを総称してプラントという）を管理している。安定稼働とコストダウ
ンの観点から、プラントの操業の自動化が推進されてきており、20年前にコンピュ
ータが導入された。プラントの制御及び監視の一元管理、並びに計測情報の分析及び
解析のため、10年ほど前にプラント制御系ネッートワークが敷設された。また、プラ
ントのメンテナンス業務を効率化するため、リモートアクセスサーバ（以下、RAS
という）を設置している。これらについては、生産部門が構築し、維持管理を行って
いる。
　A社ではこれまで、本社部門と生産部門の間で方針や施策に関して意見の食い違い
が多く発生し、意思決定に時間を要していた。本社部門と生産部門の連携を強化する
ため、両部門間の人事ローテーションを活発に行うこと、及び1年後に本社部門を
生産部門の隣に移転することを経営会議で決定した。また、本社部門の移転時に、ネ
ットワーク全体の見直しを図ることも決定した。

〔情報セキュリティポリシの策定〕
　情報システム部のB課長は、本社部門の移転計画を契機に、情報セキュリティポリ
シを作成し、セキュリティレベルの向上を図ることが必要であると考えた。そこで、
B課長は、社長を委員長とする情報セキュリティ委員会の設置と情報セキュリティ基
本方針の骨子（図1）を経営会議に提案した。経営会議では、"本社部門の移転まで
の10か月間で情報セキュリティボリシの導入を完了し、移転後に運用を開始するこ
と"及び"ウィルス対策を強化すること"という指示が出た。
　次は、経営会議での質疑応答である。
C役員：短期間で完了するためには、同業他社で作成した情報セキュリティポリシを
　　　　流用して一部修正するのが効率的ではないか。
B課長：効率的に作業を進めるため、外部の専門会社の支援を仰ぐつもりですが、情
　　　　報セキュリティ基本方針の骨子で述べたような情報セキュリティポリシを策
　　　　定するには、自分たちが中心となって作成したいと考えています。
　社員は、エネルギ事業を縦続的かつ安定的に行う上で、情報資産の重要性を認識し、情報
資産の重要度とリスクに応じたセキュリティ（機密性、完全性及び可用性）の確保に努めな
ければならない。特に、プラント関係のシステムについては、可用性の確保に努めなければ
ならない。
　当社は、情報セキュリティ委員会を設置し、すべての情報資産のセキュリティを確保する
ため、実効性のある施策を情報セキュリティポリシとして定めるとともに、必要な諸手続を
整備する。情報セキュリティポリシに関する教育、有効性の評価及び遵守状況の監視を行う
ことによって、セキュリティを維持、向上させる。
　情報資産のセキュリティを損ねる行為を行った社員は、就業規則に基づき懲罰される。

図1　情報セキュリティ基本方針の骨子


　情報セキュリティポリシ策定の支援を依頼された外部コンサルティング会社からは、
失敗しないためのポイントとして、次の三つが提示された。 

① 各部門の代表者からなる横断的な組織を形成し、全社での協調体制を構築する。
② 既存の文書管理規則や電子メールの利用規定との整合性を確保する。
③ 責任の所在が明確になるように、利用部門及び管理部門の権限範囲を規定する。

　B課長は、会社全体の実情に詳しく、また、他の部門のメンバと調整した経験の
ある情報システム部のW主任を、情報セキュリティ対策の担当者に選任した。W主任
は、情報セキュリティポリシを策定し、その後、本社部門の移転までに教育を完了す
るというスケジュールを立案した。それを見たB課長は、経営会議の指示に対して、
作業が完了しない項目がでるおそれがあると考え、情報セキュリティポリシの策定ス
ケジュールを早めるようにW主任へ指示した。
　次は、情報セキュリティ委員会での会話である。

F課長：今回の適用対象に紙の情報を含めるのか。ワープロで作成された電子化情報
　　　　だけを対象にすれば十分ではないか。
W主任：プリンタで出力すれば電子化情報も紙として存在しますので、含めたいと思
　　　　います。紙の情報の機密レベルは、既に文書管理規則で規定されております。
　　　　今後、情報の機密レベルについては、情報セキュリティポリシに一本化する
　　　　方向で文書管理規則の担当者と合意しております。
F課長：生産部門のプラント制御系システムを、今回の情報セキュリティポリシの対
　　　　象から外すべきだ。利用しているOSなどの技術基盤が異なるからだ。
W主任：本社部門の移転後、事務処理系とプラント制御系のネットワークを接続する
　　　　予定です。確かに、プラント制御系システムは、汎用性の低い専用のハード
　　　　ウェアとソフトウェアで構成されていますが、以前よりも汎用化が進んでい
　　　　ます。やはり対象とすべきではないでしょうか。
F課長：我々の生産部門は、安定稼働を至上命題にシステムやネットワークを構築し
　　　　た。事務処理系システムよりも高い可用性レベルを維持している。そもそも、
　　　　事務処理系のネットワークやシステムとはセキュリティ要件が異なる。無理
　　　　やりすべての情報資産を同じレベルで管理しようとすると、かえって我々の
　　　　システムのレベルが下がってしまう。
W主任：生産部門のシステムは、確かに高い可用性レベルを維持しています。しかし、
　　　　基本方針の骨子にも、すべての情報資産を対象にするとあり、一部を外すわ
　　　　けにはいきませんので、対象に含めるべきではないでしょうか。
F課長：これでは平行線で、話がまとまらん。
B課長：今回の移転は、本社部門と生産部門の連携強化がねらいだが、すぐに実現す
　　　　ることは難しいので段階的に進めていくのはどうだろう。W君、何かいい方
　　　　法はないかね。
W主任：それでしたら、プラント制御系ネットワークを2つに分けるのはどうでしょ
　　　　うか。汎用性の高い方は、情報セキュリティポリシの対象とし、もう一方は
　　　　対象から外します。
F課長：それぞれが基本方針や対策基準を策定し、運用していくということだな。そ
　　　　れがいい。運用状況を見て、1年後に統合するかどうかを検討するのはどう
　　　　だろうか。
B課長：了解した。当面、ネットワークの所管については、従来どおりでいこう。
W主任：話は変わりますが、電子メールによる情報の漏えいを防ぐため、外部に送信
　　　　する場合には、上司に控えを送信するというようにしたいのですが、いかが
　　　　でしょう。
F課長：私の部下は30人もいて、いちいち見ていられない。
B課長：電子メールによる機密情報の漏えいを予防するため、協力をお願いしたい。

〔ネットワークの見直し計画〕
　情報セキュリティ委員会の委員及び関係者で協議し、ネットワーク構成を見直した
結果、図2のようになった。

（1）プラント制御系ネットワークを制御系と制御情報系の二系統に分離する。
（2）制御系ネットワークは、プラントの制御及び監視を行う。ネットワークプロトコ
　　ルやOSなどは、専用的な技術基盤を利用する。
（3）制御情報系ネットワークは、プロセスコンピュータ（以下、プロコンという）を
　　用いて、計測情報や各種構成情報など、重要で最も機密性の高い情報を管理する。
　　ネットワークプロトコルやOSなどは、汎用的な技術基盤を利用する。
（4）制御情報系ネットワークは、内部ファイアウォールを経由して事務処理系ネット
　　ワーク、ゲートウェイを介して制御系ネットワークと接続する。制御情報系ネット
　　ワーク上のパソコンから社内共用ネットワークヘの接続、電子メールやWeb検索
　　の利用が可能である。


図2　本社部門の移転後のA社ネットワーク構成


　表は、各ネットワークに対して要求されるセキュリティレベルをそれぞれの所管が
まとめたものである。

表 各ネットワークのセキュリティ要件
区分 適用対象 所管 セキュリティ要求レベル
機密性 完全性 可用性
社外向けネットワーク 対象 情報システム部 低  低 低
事務処理系ネットワーク 対象 情報システム部 中  中 中
社内共用ネットワーク 対象 【　c　】 高 高 中
制御系ネットワーク 【　a　】 生産部門 中 高 【　e　】
制御情報系ネットワーク 【　b　】 【　d　】 高  高 高

注 適用対象は、情報セキュリティポリシの適用対象に含めるか含めないかを示す。


　本社部門の移転の5か月前に、図3の情報セキュリティポリシが策定された。
I.目的
　　情報資産（情報及び情報システム）の機密保護、運用及び保全に関する取扱いを定め、
　その方針や基準を明確化することによって、セキュリテイ（機密性、完全性及び可用性）
　を確保することを目的とする。
II.適用範囲
① 当社に所有権又は管理責任のある情報資産及びこれを利用又は管理する者（以下
　　取扱者という）に対して適用される。 
② プラントを制御する情報システム（ハードウェア、ソフトウェア及びネットワーク）
　　のうち、制御系ネットワークで稼動するものは適用対象外とする。

（途中省略）

V.情報資産の重要度分類
（1）情報は、次の三つの機密レベルに分類して取り扱う。
　① 極秘 ：関係者以外への配布を禁止する。ネットワークを経由して配布、共有す
　　る場合、暗号化などによる秘匿化措置やアクセス制御を実施しなければ
　　ならない。
　② 取扱注意：社外への配布を禁止する。ただし、事前に管理責任者の許可を得て、ネ
　　 ットワークを経由して社外へ配布する場合、暗号化などによる秘匿化措
　　置を講じなければならない。
　③ 一般情報：取扱いに制限はない。
　なお、電子メールの利用は、ネットワークを経由した配布に該当する。また、社外へ電
　子メールを送付する場合は、上司に控え（ブラインドカーボンコピー）を送付しなければ
　ならない。
（2）情報システムは、次の三つの可用性レベルに分類して取り扱う。
　① 無停止 ：安定稼働を最優先したホットスタンパイ構成にする。稼働状況の監視を
　　常時実施する。
　② 即時復旧：費用対効果を勘案するが、安定稼働を重視したコールドスタンパイ構成
　　にする。稼働状祝の監視を定期的に実施する。
　③ 通常復旧：費用対効果を勘案した構成にする。稼働状況の監視は、必要に応じて実
　　施する。

（途中省略）

VIII.運用管理項目
　① 情報資産へのアクセス管理と取扱者の認証を適宜行わなければならない。
　② 情報システムは、適切に設計され維持管理されなければならない。
　③ 情報システムを構成する機器類は、適切な場所と環境に設置し、維持管理されるとと
　　もに、定期的に保守されなければならない。
　④ 情報システムが正常に稼働していることを把握しなければならない。

（途中省略）

付則：本情報セキュリティポリシの適用範囲は、施行1年後に見直すものとする。

図3 A社の情報セキュリティポリシ（抜粋）

〔情報セキュリティポリシの遵守状況の確認〕
　B課長は、情報セキュリティポリシが適切に運用されるように、次の二つの方策を
検討し、本社部門の移転後に実施することにした。
　インターネットからの不正侵入による脅威が増大し続けているので、年1回、外
部の専門家によるペネトレーションテスト（疑似侵入攻撃）を実施し、ファイアウォ
ールによる対策に不備がないかどうかを検証することにした。
　また、電子メールの適正な利用を推進するため、社外に送信する電子メールであて
先に上司が含まれていない（ブラインドカーボンコピーがない）場合、送信を保留し
て本人へ返送する仕組みを導入することにした。また、これを導入するに当たって、
【　f　】の問題で会社と社員との間にあつれきが生じないように、事前に周知す
ることにした。

〔事故の発生〕
　本社部門の移転後、しばらくしてプロコンのデータが一部消失するという事故が発
生した。調査の結果、次のことが分かった。
（1）本社部門の移転時にプラントのメンテナンス用機器が盗まれその機器を利用し
　　てRAS経由で不正侵入された。RASへの接続には構内無線電話が利用されており、
　　安全であるとの認識から、接続時にIDとパスワードの設定はなかった。しかし、
　　工場の外壁の外側からテストしたところ、RASへの接続が可能であった。
（2）メンテナンス用機器の利用者は、盗難に気付いていたが報告していなかった。
（3）プロコンの管理者用のIDとパスワードが容易に推測できるものであった。また、
　　プロコンのOSのセキュリティに関する設定が初期値のままであった。
（4）プロコンに保管されている各種構成情報からゲートウェイのアドレスが発覚し、
　　攻撃を仕掛けられたが、侵入までには至らなかった。

〔対策の実施〕
　事故発生後、次の対策を講じた。
（1）メンテナンス用機器の紛失時の連絡体制を整備し、周知徹底した。
（2）RAS及びプロコンのIDとパスワードの管理方法を見直した。
（3）プロコンのOSに対する設定を見直した。

　今回の事故を通じて、B課長は、情報セキュリティを確保する上でのポイントは何
であるかを痛感した。

設問1

本文中の【 a 】 ～ 【 f 】に入れる適切な字句を答えよ。

設問2 

情報セキュリティ対策に関する次の問いに答えよ。

（1）B課長は、W主任の提示したスケジュールでは、"作業が完了しない項目が
　　でるおそれがある"と考えた。そのような作業項目を15字以内で述べよ。

（2）W主任は、情報セキュリティポリシの策定に当たって、B課長の期待どおり
　　に活躍しているが、それはどのような点か。二つ挙げ、それぞれ30字以内で
　　述べよ。

（3）B課長は、経営会議の質疑応答で、"自分たちが中心となって作成したい"
　　と答えている。B課長のねらいは何であるか。50字以内で述べよ。

設問3 

電子メールの情報セキュリティ対策に関する次の問いに答えよ。

（1）情報セキュリテンポリシの導入によって、従来からのウイルス対策の効果が
　　一部低下するおそれがある。それは現在の運用方法から考えてどのような点か。
　　30字以内で述べよ。

（2）電子メールの適正な利用を推進するための対策について、運用上の課題を二
　　つ挙げ、それぞれ30字以内で述べよ。

設問4 

不正侵入に関する次の問いに答えよ。

（1）W主任は、ほかのネットワークと比較して制御系ネットワークのリスクが小
　　さいと分析した。その理由を二つ挙げ、それぞれ15字以内で述べよ。

（2）プロコンに対する対策は、不正侵入防止という点から不十分である。とるべ
　　き対策を20字以内で述べよ。

設問5 

B課長は、今回の事故を通じて、A社の情報セキュリティを向上するために改
善すべき内容とその解決策は何であると考えているか。改善すべき内容を30字
以内で述べよ。また、その解決策を70字以内で述べよ。
]]> http://www.svtokkun.net/2006/02/13ii2.html http://www.svtokkun.net/2006/02/13ii2.html 110情報セキュリティアドミニストレータ Sat, 18 Feb 2006 16:14:17 +0900 情報セキュリティアドミニストレータ平成13年午後II問1 答えよ。

　X社は、各種の電子部品やパソコンの周辺機器を製造、販売している中堅の電子機
器メーカである。パソコンの周辺機器については、パソコンメーカに相手先ブランド
で供給するとともに、自社ブランドによる一般消費者への販売も行っている。
　X社の組織は、図1のとおりである。ある地方都市の郊外に本社ピルがあり、同じ
敷地内に工場が隣接している。そのほか、東京、大阪度び名古屋に営業所が設置され
ている。




図1　X社の組織



〔インターネットヘの接続と情報セキュリティポリシの策定〕
　技術研究所（以下、研究所という）は、先端技術の研究を行うという業務の性格上
各種の技術情報を効率的に収集する必要がある。また、大学や各種研究機関と共同で
研究を行う機会も多くなっている。そのため、研究所では、X社のほかの部門でネッ
トワークが導入される以前からインターネットヘの接続環境を整備し、情報収集や共
同研究の際の情報交換などに活用していた。
　今から5年ほど前、X社では業務の効率化を目指し、販売管理システムの構築と
全社的なネットワーク（以下、業務用ネットワークという）の導入が推進された。業
務用ネットワークの管理を行う部署として情報システム部の下にネットワーク管理課
が新設された。

　業務用ネットワークの整備が開始されるのと同時に、社長から、"当社は今後、情
報セキュリティを重視していく"との方針が出され、部門を横断した組織として情報
セキュリティ委員会（以下、委員会という）が設置された。この委員会を中心として、
X社の情報セキュリティポリシが策定された。
　当時、インターネットの普及が本格化してきたことから、業務用ネットワークはイ
ンターネットヘ接続されることになった。業務用ネットワークのインターネットヘの
接続は、新たに契約した専用線で行われた。それに伴い、研究所が利用していた専用
線は、解約される予定であった。しかし、研究所から"各種ネットワークプロトコル
の研究やネットワーク機器の相互接続性の実証実験などに利用可能な環境がほしい"
との強い要望が出されたので、研究所のインターネット接続環境は、そのまま実験用
ネットワークとして残されることになった。ただし、情報セキュリティポリシに従っ
て、実験用ネットワークは、実験用機器の設置と実験データの収集にだけ用いること
にした。研究所が従来から行ってきた情報収集、情報交換、実験データの解析及び資
料作成には、業務用ネットワークを用いることが決められた。
　結果として、X社のインターネットヘの接続環境は、図2のようになった。業務用
ネットワークはネットワーク管理課が、実験用ネットワークは研究所が、それぞれ管
理している。



　業務用ネットワークから実験用ネットワークヘのアクセスは、ファイアウォールB
によって、研究所LANからのTELNET、FTP、HTTP及びSSHに制限されている。
また、ファイアウォールBは、研究所LANと実験用ネットワーク間の経路情報しか
保持していないので、研究所LANから実験用ネットワーク経由でインターネットヘ
直接アクセスすることはできない。
　実験用ネットワークには、実験用のサーバやネットワーク機器を実験内容に応じて
接続している。したがって、機器の台数や構成は一定していない。ファイアウォール
Cは、実験用ネットワークからインターネットヘのIPパケット及びその応答パケッ
トだけを許可している。ただし、実験の内容によっては、設定が変更されることもあ
る。

　業務用ネットワークのDMZ上には、2台のサーバが設置されている。サーバAで
　はWebサービスが、サーバBでは電子メール（以下、メールという）サービス
　（SMTPサーバとPOPサーバ）が、それぞれ稼働しており、X社の社員は、サーバ
B上のPOPサーバにアクセスしてメールを読んでいる。このPOPサーバは、外出先
でも社員がメールを読めるように、インターネットからもアクセスが可能になってい
る。また、ファイアウォールAでは、SMTPとHTTPで受信したデータに対するウ
イルススキャンとURLのフィルタリングが機能している。
　インターネットからPOPサーバヘのアクセスについては、情報が漏えいする可能
　性があるので難色を示した委員もいたが、委員会での検討の結果、利便性を重視して
アクセスを可能とすることになった。

〔電子商取引サイトの立ち上げとスパムメール〕
　今から1年ほど前、パソコンの周辺機器を直接消費者に販売する電子商取引（以
下、ECという）サイトを立ち上げる案が役員会で検討され 承認された。このEC
サイトは、情報システム部のシステム開発課が中心となって構築を進めていくことに
なった。仕組みは、次のとおりである。
（1）業務用ネットワークのDMZ上にサーバCを追加し、これにDBMSをインスト
　　ールする（図3）。このDBMSには、X社が製造しているパソコンの周辺機器の製
　　品情報データベースを載せる。
（2）サーバA上に、このDBMSと連携できるアプリケーションサーバ（以下、ASと
　　いう）をインストールし、このASを利用して、商品の検索と注文ができるホーム
　　ページを用意する。
（3）消費者は、この注文用ページを利用して購入したい周辺機器の注文をする。
（4）注文内容は、営業部のECサイト担当者あてのメールとして、サーバAによっ
　　て自動的にサーバBへ送られる。担当者は、注文品の毎庫と納期を確認した後、
　　受注確認のメールを注文者あてに送信し、商品の発送手続を行う。


　ECサイトを立ち上げて間もなくのある日の早朝、ネットワーク管理課のY係長は、
営業部のECサイト担当者からPOPサーバの応答が悪いという連絡を受けた。Y係
長が調査したところ、サーバB上のSMTPサーバの送信キューには大量の未送信メ
ールが、また、受信スプールにはあて先不明によるリターンメールがそれぞれ大量に
たまっており、サーバBが過負荷状態になっていることが判明した。何者かがサー
バBを踏み台にして、大量のスパムメールを送信したようであった。Y係長は、上
司であるZ課長に事態を報告し、指示を仰いだ。
　X社のセキュリティ管理者でもあるZ課長は、報告を受けると、直ちにサーバB
をネットワークから切り離すようY係長に指示するとともに、すぐさま復旧作業に取
り掛かるよう命じた。Y係長は、メールの送受信プロセスを停止させた後、①復旧作
業を実施した。また、事故の再発防止のため、サーバB上のSMTPサーバのメール
配送ルールを表1のように設定し、第三者中継を防ぐようにした。
なお、ルール3は、外出先のX社社員がサーバBを利用してメールを送信できる
ようにするためのものである。 

表　SMTPサーバのメール配送ルール
ルール 接続元 発信側のメールアドレス 受信側のメールアドレス 中継／受信
1 社外 任意 【　a　】 許可
2 社外 【　b　】 【　c　】 不許可
3 社外 X社のドメイン 【　d　】 許可
4 社内 X社のドメイン 任意 許可

〔ぜい弱性分析の実施〕

　Z課長は、X社のインターネットの接続環境には、サーバBの第三者中継以外に
　もセキュリティ上の問題があるのではないかと考え、専門業者にぜい弱性分析を依頼
した。

〔ぜい弱性分析の結果〕

　専門業者からの報告で、早急に対処が必要とされた問題は次の3点である。

・問題点1

　サーバB上で稼働しているPOPサーバの幾つかのアカウントのパスワードを、
辞書攻撃によって破ることができた。これは、第三者によってメールを読み出され
てしまう可能性が極めて高い状態になっていることを意味している。また、第三者
中継への対処が不十分なので、X社のアカウントを詐称すればサーバBを踏み台
にすることが可能になる。

･問題点2

　ファイアウォールC上でHTTPのプロキシサーバが稼働している。このプロキ
　シサーバの設定が不適切なので、第三者がこのプロキシサーバを踏み台にして社外
のWebサーバヘアクセスすることができるようになっている。

･問題点3

　サーバA上で稼働しているASには、最近になって不正侵入に結びつくセキュリ
ティホールが報告された。サーバAでは、このセキュリティホールに対する対策
が取られておらず、実際にシステムに侵入可能であることが確認された。

"問題点1"～"問題点3"のそれぞれに対し、専門業者から提示された対処法は
次のとおりである。

･問題点1の対処法

　簡易なパスワードを設定している社員に対して、パスワードの変更を指示するこ
とが急務である。

　なお、②インターネット経由でPOPを利用することは、望ましくない。外出先
から会社あてのメールを読む必要のある社員が少数であれば、③特定のアカウント
にだけリモートアクセスを許可するような仕組みにした方がよい。
また、現状の構成のまま、X社の社員が外出先からサーバB上のSMTPサーバ
を利用してメールを送信できるようにしたいのであれば、【　e　】などを利用
して、第三者中継を防ぐ必要がある。

･問題点2の対処法

　ファイアウォールの設定を見直し、プロキシサーバが踏み台にされないように設
定を変更する。

･問題点3の対処法

　この問題に対する対処法には、次の三つの方法がある。
（a）ベンダから提供されている対策パッチを適用する。
（b）ASを最新のものにバージョンアップする。
（c）ほかのベンダのASに切り替える。

　ただし、いずれの方法にも一長一短がある（表2を参照）ので、どう対処するかに
関しては検討が必要である。

対処法

表2　各対処法の得失
　 工数 AS上のアプリケーションの書換え 問題点
（a） 少 不要 パッチ適用後、メモリリークが発生
（b） 中 一部必要
（AS呼出しの構文仕様変更のため）		 特になし
（c） 多 ほぼ全面的に必要 
（移行ツール付属のASもあり） 		 新たなASをサポートできるように
担当者の再教育が必要

 〔Z課長の調査〕
　"問題点2"のプロキシサーバは、研究所LANからインターネット上のWebサイ
トヘアクセスするために用いられていることが判明した。
　ファイアウォールCを管理している研究員によれば、"ファイアウォールAでブロ
　ックされている複数のWebサイトヘアクセスするためにプロキシサーバを立ち上げ
た"とのことである。業務上アクセスの必要なWebサイトがファイアウォールでブ
ロックされている場合、フィルタリングの設定変更の申請をするのが本来の手続であ
る。しかし、研究に関連するWebサイトヘのアクセスがブロックされることが頻繁
にあり、そのたびに申請をするのが煩わしいことや、申請してから設定が変更される
までに時間がかかることといった不満が、バックドアの作成に結び付いたようである。
"問題点3"に関しては、専門業者、システム開発課のECサイト担当者及び営業
部のECサイト担当者から事情を聞いた結果、次の点が明らかになった。

（1）X社のECサイトのアクセス状況から考えて、対処法（a）のメモリリーク対策のた
　　めには、最低でも1日1回はASの再起動が必要である。
（2）現在、システム開発課の社員は、販売管理システムの改訂作業に追われており、
　　ほかの作業に人手を割く余裕がほとんどない。
（3）対処法（b）の場合、アプリケーションの変更作業とそのテストが必要であるが、
　　上記の（2）の理由によって、対処が終了するまで1、2か月が必要である。
（4）対処法（c）については、移行ツール付属のASへ切り替えたとしても、対処法（b）に
　　比べて更に多くの時間が必要である。また、担当者に対するトレーニング費用も発
　　生する。
（5）ECサイトは、思いのほか好評で売上も好調である。機会損失を最小にする意味
　　からも、なるべくサイトを停止させたくない。

　Z課長は、表2と上記の（1）～（5）を勘案した上で、"未対処のままの期間の長短"、
　"対処作業の工数とコスト"、及び"対処後にECサイトの可用性を低下させる要因
の有無"を考慮し、"問題点3"の対処作業案を作成した。
Z課長は、上記の内容と各問題点に対する対処作業案についてまとめた上で、委員
会を召集した。

〔委員会での検討〕
"問題点1"については、当面、次のように対処することにした。
（1）POPアカウントをもつ全社員に対し、適切なパスワードに変更するよう周知徹
　　底する。
（2）社外からは、APOPによる認証を行うことにする。
（3）第三者中継に対する対策として【　e　】を導入する。

また、委員会では、"専門業者のアドバイスに従って、外出先からのメールの読出
しを、申請されたアカウントに限って期限付きで許可するべきである"との意見が大
勢を占めた。そこで、Z課長以下ネットワーク管理課が、その仕組みを提案すること
になった。
　"問題点2"については、ファイアウォールCの設定を変更するよう研究所に指
　示するとともに、フィルタリングの設定変更処理を迅速化するための体制について検
討することにした。
"問題点3"については、Z課長から提案された対処作業案が了承された。

設問1 

本文中の【　a　】～【　e　】に入れる適切な字句を答えよ。

設問2

本文中の下線①で行った復旧作業の内容を60字以内で述べよ。

設問3

 "問題点1の対処法"に関する次の問いに答えよ。

（1）本文中の下線②の理由を25字以内で述べよ。

（2）本文中の下線③の理由を30字以内で述べよ。

設問4

 "問題点2の対処法"に関する次の問いに答えよ。

（1）URLのフィルタリングの運用に関して、変更処理の迅速化のほかにも検討
　　した方がよいことがある。その検討内容を50字以内で述べよ。

（2）現在のX社のネットワーク構成及び管理体制では、実験用ネットワークを介
　　したバックドアの作成が今後も発生する可能性がある。それを防ぐため、ネッ
　　トワーク構成と管理体制の面からとるべき具体的な対処作業案を、それぞれ理
　　由とともに60字以内で述べよ。 

設問5

Z課長が作成した"問題点3"の対処作業案は、どのようなものと考えられる
か。理由とともに140字以内で述べよ。
]]> http://www.svtokkun.net/2006/02/13ii1.html http://www.svtokkun.net/2006/02/13ii1.html 110情報セキュリティアドミニストレータ Sat, 18 Feb 2006 14:23:56 +0900