基本情報 セキュリティ 練習問題（科目A型4問＋科目B型4問）

認証に使う要素は「知識（本人だけが知っている）」「所持（本人だけが持っている）」「生体（本人自身の特徴）」の3つに分けられます。多要素認証はこのうち種類の異なる要素を2つ以上組み合わせるものです。正解はパスワード（知識）＋スマートフォンに届くワンタイムパスワード（所持）の組み合わせ。秘密の質問は知識＋知識、指紋と虹彩は生体＋生体なので、手間は増えても要素は1種類のままで、多要素ではなく多段階にとどまります。同じパスワードの二重入力は認証の強度を上げません。「増やしたのは手順か、要素か」で見分けてください。

デジタル署名は「送信者本人しか作れない」ことで、なりすましと改ざんを検知できる仕組みです。したがって署名の作成には、本人だけが持つAさんの秘密鍵を使い、受信者は誰でも入手できるAさんの公開鍵で検証します。混同しやすいのが暗号化で、Bさんだけが読めるようにしたいならBさんの公開鍵で暗号化し、Bさんが自分の秘密鍵で復号します。「署名は自分の秘密鍵、暗号化は相手の公開鍵」と対にして覚えるのが確実です。なおBさんの秘密鍵はBさん本人しか持っていないので、Aさんが使うことはそもそもできません。

正解はSQLインジェクションです。対策はプレースホルダ（バインド機構）を使い、SQL文の構造と値を分離すること。入力値のエスケープ処理だけに頼る方法は漏れが生じやすいとされています。紛らわしい3つは被害が出る場所で切り分けます。クロスサイトスクリプティングは他の利用者のブラウザ上でスクリプトが実行される攻撃、クロスサイトリクエストフォージェリは利用者が意図しない操作を本人の権限で実行させる攻撃、ディレクトリトラバーサルは相対パスなどを使ってサーバ内の想定外のファイルを読み出す攻撃です。入口が同じ「入力値」でも、狙われるのがデータベースか・他の利用者か・サーバのファイルか、で名前が変わります。

リスク対応は「回避」「低減」「移転（共有）」「保有（受容）」に整理されます。保険への加入は、損失の負担を保険会社と分け合う移転の典型例です。サービスの停止は回避、対策ソフトの導入は低減、対策せず受け入れるのは保有にあたります。注意したいのは、移転できるのは主に金銭的な損失であって、責任そのものではないという点です。業務を外部へ委託した場合も、委託元には委託先を監督する責任が残ります（問8で扱います）。「お金は移せるが、責任は移らない」と押さえておくと選択肢を絞りやすくなります。

異動でいちばん見落とされるのが、旧部署の権限が残ったままになることです。権限が足し算だけで積み上がると、本人に必要な範囲を超えた状態（最小権限の原則から外れた状態）になり、万一の不正やアカウント乗っ取りのときに被害範囲が広がります。利用者IDを作り直す案は、過去の操作ログと本人の対応付けが切れてしまうため追跡の面でむしろ不利です。パスワードを情報システム部が設定して通知する運用は、本人以外がパスワードを知る状態を作るので望ましくありません。業務上の必要がないのに在籍時のログを提供するのは目的外の利用にあたります。この分野は「足したら、消す」が定番の論点です。

ランサムウェアはネットワーク経由で他の端末や共有フォルダへ広がるため、まず隔離して拡大を止め、速やかに報告するのが原則です。電源をすぐ切る案でも通信は止まりますが、メモリ上にしか存在しない情報が失われ、原因調査や復旧の手がかりが減ってしまいます。フルスキャンを待つ間も感染は広がりますし、そもそも検知できるとは限りません。添付ファイルとメールの削除は、原因を特定するための証拠を自分で消す行為になります。「止める（隔離）→報せる（報告）、消さない」の順番で覚えてください。判断に迷ったときに個人で対処しようとしないこと自体が、組織としての対策になります。

常時ネットワークにつながったバックアップは、業務サーバが暗号化されるときに一緒にやられる可能性があります。これがランサムウェア対策でバックアップが役に立たなかった、という事態の典型です。オフラインの媒体や別拠点、あるいは書き換えできない設定のストレージに複製を残しておけば、最後の復旧手段が確保できます。取得頻度を増やしても、同じネットワーク上にある限り一緒に被害を受けます。バックアップデータの暗号化は情報漏えいへの備えとしては有効ですが、攻撃者に暗号化されて読めなくなるという被害そのものは防げません。空き容量の監視は可用性の管理であって、今回の弱点とは別の話です。

個人情報保護法は、個人データの取扱いを委託する事業者に対し、委託先への必要かつ適切な監督を求めています。個人情報保護委員会のガイドラインでは、その具体的な内容として、適切な委託先の選定、安全管理措置を含む委託契約の締結、そして定期的な監査などによる取扱状況の把握、の3つが挙げられています。つまり契約を結ぶことは監督の一部であって、代わりにはなりません。またIaaSでは、事業者の責任範囲は物理設備や仮想化基盤までで、その上のOS・ミドルウェア・アプリケーションの管理は利用者側が担うのが一般的な役割分担です。科目Bのセキュリティ問題は、この「誰の責任か」を登場人物ごとに切り分けさせる設問が定番なので、事例を読むときは先に登場人物を書き出す癖をつけると迷いません。