中小企業診断士経営情報システム応用編(11〜15問)|情報セキュリティ

問11：Webアプリケーションへの攻撃に関する記述として、最も適切なものはどれか。

A：SQLインジェクションは、Webページに悪意のあるスクリプトを埋め込み、閲覧者のブラウザ上で実行させる攻撃である。
B：クロスサイトスクリプティング（XSS）は、入力欄に不正なSQL文を注入してデータベースを不正操作する攻撃である。
C：SQLインジェクションは入力値に不正なSQL文を注入してデータベースを不正に操作する攻撃で、対策として入力値の検証やサニタイジングが有効である。
D：DoS攻撃はデータベースへSQL文を注入して情報を窃取する攻撃であり、大量アクセスとは無関係である。

【第11問：正解と解説】

正解：C

・A
【論点】SQLインジェクションは不正なSQL文の注入でDBを操作、XSSは悪意のスクリプトを埋め込み閲覧者に実行させる、DoSは大量アクセスでサービス妨害。各攻撃の手口と対策を区別する。【考え方】各攻撃が何を注入・悪用するか（SQL文かスクリプトか、大量アクセスか）を押さえる。SQLインジェクションとXSSの説明を入れ替える誤りや、DoSの手口の取り違えに注意する。【選択肢解説】スクリプトを埋め込み閲覧者に実行させるのはXSSであり、SQLインジェクションの説明として誤り。

・B
【選択肢解説】不正なSQL文を注入するのはSQLインジェクションであり、XSSの説明として誤り。

・C
【選択肢解説】SQLインジェクションは不正なSQL文の注入でDBを操作し、入力検証やサニタイジングが有効で正しい。

・D
【選択肢解説】DoS攻撃は大量アクセス等でサービスを妨害する攻撃であり、SQL注入で大量アクセスと無関係という記述が誤り。

関連過去問：攻撃手法（H28類似）

問12：ネットワークセキュリティ機器に関する記述として、最も適切なものはどれか。

A：ファイアウォールはアプリケーション層でSQL文の内容を解析し、SQLインジェクションを専門に防ぐ機器である。
B：IDS（侵入検知システム）は不正な通信を検知した際に、自動的にその通信を遮断する機能を主目的とする。
C：WAFはIPアドレスやポート番号のみに基づいて通信を許可・拒否する、最も基本的なパケットフィルタである。
D：ファイアウォールはIPアドレスやポート等で通信を制御し、WAFはWebアプリへの攻撃を検知・防御する。

【第12問：正解と解説】

正解：D

・A
【論点】ファイアウォールはIP・ポート等で通信を制御、IDSは検知（通知）中心、IPSは検知と遮断、WAFはWebアプリ層の攻撃を防御する。各機器の防御階層と機能を区別する。【考え方】通信をIP・ポートで制御するのがファイアウォール、Webアプリ層を守るのがWAF、検知が主か遮断も行うかでIDSとIPSを区別する。各機器の役割や防御対象を取り違えないことが要点となる。【選択肢解説】アプリ層でSQL等を解析し防ぐのはWAFであり、ファイアウォールの説明として誤り。

・B
【選択肢解説】検知した通信を自動遮断するのはIPSの特徴であり、検知中心のIDSの説明として誤り。

・C
【選択肢解説】IP・ポートで許可拒否する基本的なフィルタはファイアウォールであり、WAFの説明として誤り。

・D
【選択肢解説】ファイアウォールはIP・ポート等で通信制御、WAFはWebアプリへの攻撃を防御し正しい。

関連過去問：セキュリティ機器（H29類似）

問13：情報セキュリティのリスクマネジメントに関する記述として、最も適切なものはどれか。

A：リスク対応には、リスク低減・リスク移転・リスク回避・リスク保有（受容）の考え方がある。
B：リスク移転とは、対策を講じてリスクの発生確率や影響度そのものを下げることを指す。
C：リスク回避とは、保険への加入などによりリスクによる損失を他者に肩代わりさせることを指す。
D：リスク保有（受容）とは、リスクの原因となる活動そのものを中止して危険を避けることを指す。

【第13問：正解と解説】

正解：A

・A
【論点】リスク対応は低減（対策で確率・影響を下げる）、移転（保険等で第三者に転嫁）、回避（活動中止で危険を除く）、保有（受容して備える）に分類される。各対応の内容を区別する。【考え方】対策で下げるのが低減、第三者へ転嫁が移転、活動中止が回避、受け入れて備えるのが保有である。各対応の定義を入れ替える誤りに注意することが要点となる。【選択肢解説】リスク対応が低減・移転・回避・保有に分類される点を正しく述べており正しい。

・B
【選択肢解説】対策で発生確率や影響度を下げるのはリスク低減であり、リスク移転の説明として誤り。

・C
【選択肢解説】保険等で損失を肩代わりさせるのはリスク移転であり、リスク回避の説明として誤り。

・D
【選択肢解説】活動そのものを中止するのはリスク回避であり、リスク保有の説明として誤り。

関連過去問：リスク対応（H26類似）

問14：近年のセキュリティ概念に関する記述として、最も適切なものはどれか。

A：ゼロトラストは社内ネットワークの内部を完全に信頼し、境界の内側では認証を省略する考え方である。
B：ゼロトラストは「決して信頼せず常に検証する」を原則とし、社内外を問わずアクセスのたびに認証・認可を行う考え方である。
C：クラウドの責任共有モデルでは、利用者は一切のセキュリティ責任を負わず、すべて事業者が負う。
D：ゼロトラストは境界防御を強化して社内を安全地帯とみなす、従来型の境界防御そのものを指す。

【第14問：正解と解説】

正解：B

・A
【論点】ゼロトラストは社内外を問わず信頼を前提とせず常に検証する考え方である。クラウドの責任共有モデルでは事業者と利用者が範囲を分担して責任を負う。各概念を正確に区別する。【考え方】ゼロトラストが境界の内側も信頼しない点、責任共有モデルが事業者と利用者で責任を分担する点を押さえる。内部を信頼する従来型境界防御との違いや、利用者の責任の有無を取り違えないことが要点となる。【選択肢解説】ゼロトラストは内部も信頼しない考え方であり、内部を完全に信頼し認証を省略するという記述が誤り。

・B
【選択肢解説】ゼロトラストは常に検証を原則とし社内外を問わず認証・認可を行い正しい。

・C
【選択肢解説】責任共有モデルでは利用者も一定の責任を負うため、一切負わないという記述が誤り。

・D
【選択肢解説】ゼロトラストは従来型の境界防御とは異なる考え方であり、境界防御そのものという記述が誤り。

関連過去問：ゼロトラスト（H30類似）

問15：情報セキュリティの管理体制に関する記述として、最も適切なものはどれか。

A：ISMSは特定の情報システム1台のみを対象とし、組織全体の管理の仕組みは対象としない。
B：情報セキュリティポリシーは技術的な設定値だけを定めた文書で、組織の方針や基本理念は含めない。
C：ISMS（情報セキュリティマネジメントシステム）はPDCAサイクルにより組織的にセキュリティを継続的に維持・改善する仕組みである。
D：CSIRTはシステムの新機能開発を専門に担う組織で、セキュリティインシデントへの対応は行わない。

【第15問：正解と解説】

正解：C

・A
【論点】ISMSはPDCAで組織的にセキュリティを継続改善する仕組み、情報セキュリティポリシーは方針・基準・手順を体系化した文書、CSIRTはインシデント対応組織である。各概念を区別する。【考え方】ISMSが組織全体をPDCAで管理する仕組みである点、ポリシーが方針を含む点、CSIRTがインシデント対応組織である点を押さえる。対象範囲や役割を取り違えないことが要点となる。【選択肢解説】ISMSは組織全体を対象とする管理の仕組みであり、1台のみを対象とするという記述が誤り。

・B
【選択肢解説】情報セキュリティポリシーは組織の方針や基本理念も含むため、設定値だけという記述が誤り。

・C
【選択肢解説】ISMSはPDCAで組織的にセキュリティを継続維持・改善する仕組みであり正しい。

・D
【選択肢解説】CSIRTはインシデント対応を担う組織であり、新機能開発専門で対応を行わないという記述が誤り。

関連過去問：ISMS・CSIRT（H28類似）