ITパスポート講座
★ 猫本 5-01 情報資産と脅威(その2) ★
ITパスポート 令和2年度 問82
情報セキュリティの物理的対策として，取り扱う情報の重要性に応じて，オフィスなどの空間を物理的に区切り，オープンエリア，セキュリティエリア，受渡しエリアなどに分離することを何と呼ぶか。
| ア | サニタイジング |
| イ | ソーシャルエンジニアリング |
| ウ | ゾーニング |
| エ | ハッキング |
解説
(頭の準備体操)
ゾーニング：セキュリティレベルに応じて間取りを設定すること
| ア | 「SQLインジェクションの対策などで用いられ，処理の誤動作を招かないように，利用者がWebサイトに入力した内容に含まれる有害な文字列を無害な文字列に置き換えること」(IP28.1.64) |
| イ | 「人の心理的な隙や不注意に付け込んで機密情報などを不正に入手する手法」(IP29.2.65) |
| ウ | 取り扱う情報の重要性に応じて，オフィスなどの空間を物理的に区切り，オープンエリア，セキュリティエリア，受渡しエリアなどに分離すること(正解) |
| エ | 本来は，「コンピュータの高度な知識を持つ人が，コンピュータやコンピュータネットワークの解析・改造・構築などを行うこと」の意味。現在では，「コンピュータの高度な知識を持つ人が，コンピュータやコンピュータネットワークの脆弱性を悪用して攻撃すること」の意味で用いられている。 |
解答
ウ
ITパスポート 令和3年度 問58
サーバルームへの共連れによる不正入室を防ぐ物理的セキュリティ対策の例として，適切なものはどれか。
| ア | サークル型のセキュリティゲートを設置する。 |
| イ | サーバの入ったラックを施錠する。 |
| ウ | サーバルーム内にいる間は入室証を着用するルールとする。 |
| エ | サーバルームの入り口に入退室管理簿を置いて記録させる。 |
解説
(頭の準備体操)
共連れ：情報セキュリティの物理的対策が施されたサーバルームなどのエリアに，複数の人が1人の認証で入室すること
よって，アである。
解答
ア
ITパスポート 令和4年度 問74
サーバ室など，セキュリティで保護された区画への入退室管理において，一人の認証で他者も一緒に入室する共連れの防止対策として，利用されるものはどれか。
| ア | アンチパスバック |
| イ | コールバック |
| ウ | シングルサインオン |
| エ | バックドア |
解説
(頭の準備体操)
アンチパスバック方式：共連れの防止対策。「アンチパスバック方式はIDの状態を記録し，入室済みのIDでの再入室，退室済みのIDでの再退室を規制するものである。」(IP28.2.98)
| ア | 「アンチパスバック方式はIDの状態を記録し，入室済みのIDでの再入室，退室済みのIDでの再退室を規制するものである。」(IP28.2.98)(正解) |
| イ | 電話番号を通知して相手を呼び出した後でいったん接続を切断し，相手側からの発信を求めること |
| ウ | 「利用者は最初に1回だけ認証を受ければ，許可されている複数のサービスを利用できるので，利便性が高い。」(IP30.1.91) |
| エ | 「企業内ネットワークやサーバに侵入するために攻撃者が組み込むもの」(FE26.1.43)。侵入するための裏口 |
解答
ア
ITパスポート 平成28年度秋期 問98
アンチパスバック方式はIDの状態を記録し，入室済みのIDでの再入室，退室済みのIDでの再退室を規制するものである。IDカードを用いた入退室管理システムを導入した部屋の利用制限について，アンチパスバック方式を導入することで実現できることはどれか。
| ア | 定められた期間において，入退室回数が一定の回数を超えると入室できなくする。 |
| イ | 他人の入室に合わせて，共連れで入室すると，自分のIDカードを使用しての退室をできなくする。 |
| ウ | 当日出社していない同僚から借りたIDカードを使用しての入室をできなくする。 |
| エ | 入室してから一定時間経過すると退室できなくする。 |
解説
(頭の準備体操)
アンチパスバック方式：共連れの防止対策。「アンチパスバック方式はIDの状態を記録し，入室済みのIDでの再入室，退室済みのIDでの再退室を規制するものである。」(IP28.2.98)
他人の入室に合わせて，共連れで入室する(自分のカードを使用して入室したという記録がない)と，自分のIDカードを使用しての退室をできなくする。
よって，イである。
解答
イ
ITパスポート 令和元年度秋期 問67
重要な情報を保管している部屋がある。この部屋への不正な入室及び室内での重要な情報への不正アクセスに関する対策として，最も適切なものはどれか。
| ア | 警備員や監視力メラによって，入退室確認と室内での作業監視を行う。 |
| イ | 室内では，入室の許可証をほかの人から見えない場所に着用させる。 |
| ウ | 入退室管理は有人受付とはせず，カード認証などの電子的方法だけにする。 |
| エ | 部屋の存在とそこで保管している情報を，全社員に周知する。 |
解説
| ア | 警備員や監視力メラによって，入退室確認と室内での作業監視を行う。(正解) |
| イ | 重要な情報への不正アクセスを防ぐ抑止力とするために，室内では，入室の許可証をほかの人から見える場所に着用させる。 |
| ウ | カード認証などの電子的方法だけでは共連れなどによる不正な入室を防ぐことができないため，有人受付やセキュリティゲートウェイなどを導入すべきである。 |
| エ | 重要な情報への不正アクセスを防ぐために，アクセス権限をもつ関係者に限定して周知する。 |
解答
ア
ITパスポート 平成28年度春期 問89
セキュリティを保つべきサーバルームの運用例として，適切なものはどれか。
| ア | 管理を容易にするために，入退室に使用するIDカードは個人ごとではなく部署ごとに発行する。 |
| イ | 全従業員や来訪者に所在が分かるように，入口に室名表示をする。 |
| ウ | 入退室の情報が漏えいすることを防止するために，入退室の記録は取らない。 |
| エ | 不正行為を防止するために，監督者がいないときはサーバ室で作業させない。 |
解説
| ア | IDカードを部署ごとに発行すると，問題が発生したときに個人や原因などを特定できないので，入退室に使用するIDカードは個人ごとに発行する。 |
| イ | 重要な情報への不正アクセスを防ぐために，アクセス権限をもつ関係者に限定して周知する。 |
| ウ | 入退室の情報は，問題が発生したときに個人や原因などを特定する情報となるため記録する。 |
| エ | 不正行為を防止するために，監督者がいないときはサーバ室で作業させない。(正解) |
解答
エ
ITパスポート 平成31年度春期 問87
情報セキュリティ対策を，技術的対策，人的対策及び物理的対策の三つに分類したとき，物理的対策の例として適切なものはどれか。
| ア | PCの不正使用を防止するために，PCのログイン認証にバイオメトリクス認証を導入する。 |
| イ | サーバに対する外部ネットワークからの不正侵入を防止するために，ファイアウォールを設置する。 |
| ウ | セキュリティ管理者の不正や作業誤りを防止したり発見したりするために，セキュリティ管理者を複数名にして，互いの作業内容を相互チェックする。 |
| エ | セキュリティ区画を設けて施錠し，鍵の貸出し管理を行って不正な立入りがないかどうかをチェックする。 |
解説
| ア | 技術的対策 |
| イ | 技術的対策 |
| ウ | 人的対策 |
| エ | 物理的対策(正解) |
解答
エ