【平成27年度秋期　SC　午後Ⅰ　問２】～情報セキュリティスペシャリスト試験（SC）の過去の出題より～

情報処理推進機構（IPA）が実施する情報処理技術者試験の「情報セキュリティスペシャリスト試験」（SC）午後Ⅰ試験・午後Ⅱ試験の過去の出題から、情報セキュリティへの考えを深めていきます。

過去の試験問題の全文と解答例、講評が、 https://www.jitec.ipa.go.jp/1_04hanni_sukiru/_index_mondai.html にて公開されています。ここから、各問における問題文内の見出し、図や表の標題、設問と公表されている解答例、そして、設問に関係すると思われる問題文中の文章を書き出しています。なお、関係する図については、上記の公開されている試験問題をご覧ください。

試験対策以外にも、情報セキュリティ学習をさらに進めるためのきっかけとなれば、と思います。

問２ 特権 ID の管理に関する次の記述を読んで，設問１～３に答えよ。

図１ Y システムの構成

〔調査の実施と対策方針の策定〕

表１ 調査結果（概要）

〔要件と実現方式の検討〕

• 要件１ : 委託用特権 ID の使用を作業者だけに限定すること
• 要件２ : 委託用特権 ID を使用した者を特定可能にすること
• 要件３ : 作業対象サーバだけにアクセス可能とすること
• 要件４ : 許可された作業内容と実際に実施された作業内容を突き合わせ，不正な作業を検知可能にすること

検討の結果 N 君は，案２の方が製品の導入が容易であると判断し，案 ２による実現方式案をまとめて，L 主任に報告した。実現方式案の概要を表２に示す。

表２ 実現方式案の概要

項目	概要
ID の登録	・ a が，プログラム K の ID 登録画面において，委託用特権 ID をあらかじめ登 録する。また，作業者の個人 ID をあらかじめ登録する。個人 ID は，ブログラム K にロダインするために付与される。
作業計画の入力と特権 ID の使用申讀	・ プログラム K の作業計画入力・委託用特権 ID 使用申蹟画面において，保守實任者が，作業者の個人 ID，作業者氏名，作業期間，作業対象サーバ及び作業内容を入力し，委託用特権 ID の使用を申讀する。
特権 ID の使用許可	・ a が，使用申讀を確認した後に 委託用特権 ID の使用許可操作を行う。この操作によって，作業対象サーパでの委託用特権 ID の使用が可能になる。
作業対象サーパヘのログイン	・ 作業者は，個人 ID を用いてプログラム K にログインし，作業対象サーパヘの接続要求を行う。 ・ ブログラム K は，作業者の個人 ID による委託用特権 ID の使用が許可されていることを確認する。確認できた瘍合は，委託用特権 ID とパスワードを用いて作業対象サーパに自動ログインする。
操作履歴の取得	・ ブログラム K は，委託用特権 ID による操作履歴を入力コマンドはテキストで，操作画面は動画で記録する。 ・ 作業対象サーパでの操作履歴は管理用サーバに保存される。保存された操作履歴ヘのアクセスには管理用サーパのシステム管理権限が必要であリ，Y 社内の限られた者だけがアクセスできる。 ・ 繰作履歴のうち，入力コマンドのテキストは作業対象サーバにも保存される。
作業完了報告	・ 作業終了後，ブログラム K の報告画面において，保守責任者が作業完了報告を行う。
特権 ID の使用解除	・ a が，作業完了報告を確認した後に，プロクラム K の管理画面において，委託用特権 ID の使用解除操作を行う。 ・ 使用解除操作を行うと，作業対象サーパでの委託用特権 ID の使用が不可となる。
作業内容の確認	・ プロクラム K の機能によって, 操作履歴と委託用特権 ID の使用申請で入力された作業内容を突き合わせ，その結果をレポートに出力する。 ・ a が, レポートを確認する。

〔実現方式案の要件の確認〕

L 主任は N 君の対策案に対して，要件１と要件３について補足説明を求め，要件２と要件４について問題を指摘した。

要件１について，N 君は，作業者以外は委託用特権 ID を使用できないことを説明し，L 主任の了解を得た。

要件２について，L 主任は，次のように指摘した。

• 指摘１ : 製品 Q の導入だけではこの要件を満たすのに不十分である。
• 指摘２ : ①使用される委託用特権 ID によっては，DB サーパヘアクセスした者を DB サーバ上のアクセスログから特定することができない。

指摘１に対して N 君は，追加対策を検討すると回答した。また，指摘２に対しては，DB サーパ上のアクセスログを利用せずとも，DB サーバヘアクセスした者を特定できることとその理由を回答した。

要件３について, N 君は， b からは c へのアクセスだけを許可するように FW3 の設定を変更することによって，アクセス先を作業対象サーパに限定できると説明し，L 主任の了解を得た。

要件４について，L 主任は，作業者が作業対象サーバ上のアクセスログを書き換えると，作業計画の作業内容以外の操作，つまり不正操作が検知できなくなるのではないかと指摘した。これに対して N 君は，②不正操作を検知できることとその理由を回答した。

〔追加対策の検討〕

N 君は，要件２についての指摘１を踏まえて，次の追加対策を L 主任に提案した。

• ・ ③ S 社におけるプログラム K の個人 ID の管理状況を Y 社が確認する。
• ・ ④ 委託用管理 ID を使った者が特定されることをプログラム K のログイン画面に表示し，作業者に周知させる。

最後に L 主任は，案２を採用すベき理由を再確認した。N 君は，要件を満たすためには製品を適切に運用するための資産管理が必要だが，Y 社の状況においては⑤案１に比べて案２の方が必要な資産管理を実施しやすいと説明した。L 主任は，案２による実現方式案と追加対策を承認した。

〔対策の実施〕

設問１ 表２ 中の a に入れる適切な字句を，10 字以内で答えよ。

設問	解答例・解答の要点
設問１	a	Y 社の管理者

設問２ 〔実現方式案の要件の確認〕 について，(1)～(3) に答えよ。

(1) 本文中の 下線① について，DB サーバへアクセスした者を特定することができない委託用特権 ID を 10 字以内で答えよ。また，特定することができない理由を 35 字以内で述べよ。

設問		解答例・解答の要点
設問２	(1)	委託用特権 ID	DBMS 操作 ID
		理由	業務アプリが DB サーバにアクセスする ID と同じ ID であるから

(2) 本文中の b ， c に入れる適切な機器名を答えよ。

設問		解答例・解答の要点
設問２	(2)	b	S 社 PC5
		c	管理用サーバ

(3〉 本文中の 下線② について，不正操作を検知できる理由を 35 字以内で述ベよ。

設問		解答例・解答の要点
設問２	(3)	不正操作の記録が管理用サーバの操作履歴に残るから

設問３ 〔追加対策の検討〕 について，(1)～(3) に答えよ。

(1) 本文中の 下線③ について，具体的には何を確認すベきか。35 字以内で述ベよ。

設問		解答例・解答の要点
設問３	(1)	個人 ID が本人以外に使われるおそれがないように管理していること

(2) 本文中の 下線④ には，顧客情報の不正持出し対策として何と呼ばれる効果があるか。効果の名称を “効果” という字句を含めて 5 字以内で答えよ。

設問		解答例・解答の要点
設問３	(2)	抑止効果

(3〉 本文中の 下線⑤ について，案２の方が資産管理を実施しやすい理由を 40 字以内で述ベよ。

設問		解答例・解答の要点
設問３	(3)	委託用 PC にインストールするプログラムの資産管理をせずに済むから