【セキュマネ】平成29年度秋午後問3の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成29年度秋科目B問3を解説します。

スマホの端末や通信がテーマでした。

特に端末周りの「SIMカード」「root化」「アプリストア」が出たのが印象的です。日頃から触れてると思い当たる節がありました。とはいえ、知らなくても得点はできます。良き学びになる問題ですね。

持出し端末も王道でした。紛失/盗難対策、通信周り（VPN/プロキシのURLフィルタリング/IPアドレス制限）、人的対策（教育/マニュアル/利用申請）と揃ってます。

2026年でも通じる、スマホの業務利用の良問ですね。”おまけ”も沢山追加したので、目次だけでも見てくれたら嬉しいでうｓ。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1(1)a | 社外から社内アクセスと云えば「VPN」

正答は、イ（VPNサーバで利用者認証する）。

【空欄a】左は「内部ネットワークへの侵入」なので、社内にどうやってアクセスしているかを探します。

図1-3「モバイルワーカは、～社外から内部ネットワーク～にアクセスする場合、会社が用意した～VPNサーバに接続し、自らの利用者アカウントを用いてログイン」。

模範解答は理解できます。イ（VPNサーバで利用者認証する）

具体的に説明すると。社外から社内にアクセスする時には、
１：まずVPNサーバに接続
２：VPNサーバに、ID, PWDを伝え認証を得る
３：VPNサーバと暗号通信を確立。社外→VPNサーバ→社内。

認証にて正しい利用者だけが社内にアクセスでき、かつ暗号通信にて盗聴対策もできる仕組みです。

VPNの実現方法は複数ありますが、SGレベルでは一旦違いは意識しないで大丈夫です。下位で使うプロトコルが違うだけ。

SSLを使うタイプ「SSL-VPN」。
＞【SG】平成29年度春午後問1設問1(3)の解説Note＊

IPsecを使うタイプ「IPsec-VPN」。
＞【NW】SSL/TLSのNote
＞【NW】IPsecとVPNのNote

補強 | グローバルIPアドレス制限と限界

ア：B社ファイル共有サービスにIPアドレス制限機能を設定
➡J社内部ネットワークへのアクセスとは無関係

設定すべきです。

B社ファイル共有サービスにて、送信元IPアドレスをJ社グローバルIPアドレスにすれば、J社からだけアクセス可能。

J社内のPCはプロキシサーバ経由、社外PCはVPN→プロキシ経由で、B社サービスへアクセスしてます。プロキシのIPアドレスだけ許可設定すればOK。

以上が自社”から”のアクセス。折角なので、自社”への”アクセスも学んでおきましょう。

グローバルIPアドレスは、申請が必要（JPNIC, ICANN）。プロバイダや回線契約（SIMカード）では、事業者が割り当てるIPアドレスはずっと同じになるとは限りません。

また事業者のグローバルIPアドレスは契約者で共有してます。事業アドレスで許可設定すると、他契約者も通してしまいます。

”自分専用のグローバルIPアドレスを割り当ててもらう契約”が必要です。将にオプションサービス。

テレワークで使う自宅回線なんて、普通の契約。わざわざ”別の固定グローバルIPアドレスの割り当てに契約変更”なんてしたくないですよね。

だったらVPN認証（ID, PWD）で受け入れた方が良いかなと。

補強 | プロキシのフィルタ/認証

エ：プロキシサーバのでURLブラックリストを設定
➡J社内から外部へのアクセスの話。

設定すべきです。プロキシ設定で必ず話題になります。＞【SG】平成30年度秋午後問3の解説Note（プロキシのフィルタリング）

• ブラックリスト（BL）：アクセスを禁止。サーバのベンダ（開発元）がリストを配布してくれるケースも多い。

• ホワイトリスト（WL）：アクセスを禁止したけど、業務に支障があるので、例外的にアクセスを認める。

• カテゴリ指定：BL, WLはアクセス先を個別指定なので、調査/指定/管理が手間なので、カテゴリで一括指定。業務に関係ないカテゴリのサイトなど。支障あればWLで対応。

BLは自前で調べるのは大変なので、プロキシのベンダー（開発元）の配布リストを使うのが多いです。カテゴリも同じく。BL/カテゴリによるアクセス禁止で、業務支障が出たらWLに追加登録する流れ。
＞【SG】平成30年度秋午後問3の解説Note

社内PCのアプリを管理するシステムでも、BL/WL/カテゴリ指定機能が出題されました。＞【SG】平成30年度秋午後問2の解説Note

ウ：プロキシサーバの利用者認証を有効化
➡J社内から外部へのアクセスの話。

設定すべきです。

プロキシサーバの認証機能（ID, PWD）を有効にしてないと、社内ネットワークに接続した端末はプロキシサーバにアクセスするだけでインターネットに出れます。

社内PCがマルウェア感染した場合。マルウェアがプロキシを見つければ外部に情報漏えいできます。

プロキシ認証を有効にすれば、マルウェアは認証情報（ID, PWD）まで探し出さないと外部へ出れません。
＞【SC】平成27年春午後1問2設問1(2)bの解説Note
＞【SC】令和元年秋午後1問2の解説Note
＞【SC】平成28年秋午後1問3の解説Note

設問1(1)b | 優先順は落ちるが

正答は、ア（J社内のファイルサーバに業務データを保存）。

【空欄b】は端末の「紛失・盗難」による「情報漏えい」「消失」への対策。「消失」が明記されるの珍しいかも。

模範解答は理解できます。ア（J社内のファイルサーバに業務データを保存）。

端末の紛失/盗難が発生して、【空欄b】前の「ロック」「初期化」でデータ消して情報漏えいは防げました。一方で、端末内のデータは消えてしまいます。優先順はロック/初期化の次で、バックアップできるならできた方が良いですね。

結果論ですが、メタ読み戦略も。

端末紛失/盗難による情報漏えいはよくあるのですが、「消失」は珍しいんですよね。

しかも【空欄b】前の2個は紛失/盗難対策。では残り1つの【空欄b】は、消失なのかなぁと。順番的に、【空欄b】は「消失」絡みだと支持できます。

他選択肢も軽く触れます。

• イ：端末内にフォルダを作成して、業務データをバックアップする
  ➡✖。問われているのは、端末の紛失/盗難なので。

• ウ：端末の外部記憶媒体に業務データをバックアップする。
  ➡✖。外部記憶媒体を取り外し保管しないと、端末の紛失/盗難には効果なし。

• エ：ワーカ個人が契約しているファイル共有サービスにデータをバックアップする。
  ➡✖。端末の紛失/盗難があってもデータは無事ですが、個人で契約してるサービスなので情報漏えいです。企業が用意すべきですね。

設問1(1)c | 消去法後に採用理由を考える

正答は、ア（J社指定のアプリストアだけ利用）。

【空欄c】はマルウェア感染への対策。

各選択肢を見ると、ア, ウ, エの3つも「アプリ」に言及してます。怪しい。

問題文から「アプリ」を探すと、図2-b「アプリストアから～導入できる」。注1「マーケット～の中には、アプリの安全性審査を行っていないところがある」。注記にヒントはよくある作問手口。＞長文問題を解く６つのテクニックNote（２）

怪しいソフトをダウンロード/インストールしちゃダメですね。審査をしているサイトからしましょう。とはいえ完璧ではないでしょうが…。

他選択肢の意味なしも確認して解答アに自信を持たせます。

イ：「事業者の無線LANサービスだけ」
使用する通信回線は関係ありません。とはいえ、攻撃者が無線LANを設置して盗聴/改ざんする「中間者攻撃」などはあり得ますが。でもアを蹴る理由には弱い。＞【SC】出題された７３種類の攻撃手法Note（中間者攻撃）

ウ：「時間帯」は無関係。

エ：「プログラム言語」も無関係。

よってアを考えるしか。問題文を見返したら「アプリ」の記述があったので採用、という流れ。

設問1(2)d | 人的対策と云えば手順書/教育

正答は、エ（ii, v）。
ii：営業企画部が、手順を実際に検証してマニュアルを作成
v：営業企画部が、モバイルワーカに教育（端末やアプリの設定方法, 注意事項）

【空欄d1, d2】は「知識不足による誤操作」。

素直に選択肢の「マニュアル」と「教育」に反応しますね。「知識不足」なら学べば良い、「誤操作」起きにくいよう手順書を充実させれば良いので。他にも「手順書」「フロー」や「研修」などの言葉もあり得るでしょう。

残念ながら問題文に「知識不足」「誤操作」の記述はなかったので、選択肢を”セキュリティ的な常識”で見て、必要に応じて問題文との裏どりをします。

• i：設定方法が掲載されているSNS・ブログを記載
  ➡✖。おいおい個人サイトかよ…。私的利用では正直役立ちますが。組織としては…。

• ii：手順を検証後、マニュアル作成
  ➡○。人的対策に「マニュアル」は王道。個人的には「手順を実際に検証」してるのが手堅くてOK。

• iii：自分専用のマニュアルを作成できるようSNS/ブログへのアクセス許可
  ➡✖。組織として推奨できないです。SNS/ブログは個人作成なので、メーカより信頼性が落ちます。まずは会社がマニュアルを出すべきです。自分用のメモを追記するなら良いですが、マニュアルをゼロベースで作成するのはダメ。

• iv：ワーカがマニュアル不備を発見したら、ワーカが修正する
  ➡✖。組織に報告して修正&再配布すべき。誤字脱字のレベルならともかく、手順自体が違うなら検証も必要です。”マニュアル通りではうまくいかないけど、このやり方ならなーんかうまくいく！”じゃダメ。

• v：ワーカにアプリの設定/手順/注意事項を定期的に教育
  ➡○。開始時の「教育」だけでも改善ですが、「定期的」にリピートするのが良き。

設問1(3) | root化

正答は、ウ（利用者が出荷時のセキュリティ設定を解除できるようになる）。

「root化」「Jailbreak」は後で解説します。

イ, エ, オを消して、ア, ウで迷うまで行けたらOK。

アだけちょっと迷うかも。イは電波の話で利用者側にはどうしようもなく、エとオは既に来て/来る可能性ある状況ですよね。

• ア：OSの脆弱性を悪用した攻撃者によるバックドアの設置
  ➡OSの脆弱性はOSプログラムが元々の原因。下線①「利用者によるOSの改造」がプログラムの改造/ビルドし直すならあり得ますが。root権限を持つだけではプログラムは変わりません。

• イ：無線LANと携帯電話回線の電波干渉で通信できなくなる
  ➡電波干渉は周波数の重複が元々の原因。

• エ：詐欺SMSで送られ、架空請求される
  ➡詐欺SMSはどんな状況でも送られる。

• オ：詐欺メールが送られ、フィッシングサイトに誘導され、個人情報が漏えいする
  ➡詐欺メールはどんな状況でも送られる。詐欺サイトへのアクセスや入力は利用者の操作。

SIMフリーとかライフハック系を調べたら一度は目にします。

• 「root化」：端末への最高権限（=root権限）を取得する行為。

• 「Jailbreak」：端末のメーカー制限を解除する行為。root化の方が広範囲に強いです。

root権限はLinux知識。SCやITエンジニアを目指す方は学んでください。私は大学生時代にLinux触り始めました。＞【SC】図解で学ぶLinux基礎Note

私の「root化」との出会いは、ドコモ端末で格安SIMで「テザリング」するために調べた時でした。

USB経由でテザリングするアプリを見つけたので、結局やらずにすみました。現在はアプリなしでもテザリングできる仕様になって不要になりましたが。たしか、テザリング時の通信先がドコモ独自に設定されてるので格安SIMではテザリングできなくて、root化して設定解除/通信先変更をする必要があったんだったかな。

設問2(1)e | 仕様に忠実に

正答は、イ（iii, iv）。
iii：端末保存の全データ
iv：端末の業務フォルダ内のデータ

【空欄e1】が指すMM1は、図3-1-1「内部記憶媒体及び～外部記憶媒体の全領域の暗号化」なので、iii：端末保存の全データ。

【空欄e2】が指すMM2は、図3-2-1「内部記憶媒体のうち、業務フォルダが使用する領域の暗号化」なので、端末の業務フォルダ内のデータ。

設問2(2)f | 常識で考える

正答は、イ（モバイルワーク前に書面で同意を得る）。

常識で考えれば充分。ウ以外は良くて、相対比較してイ＞ア＞エかな。

• ア：「口頭」で「説明」
  ➡△。”言った/言わない”"聞いた/聞いてない"や勘違いなどの齟齬が出るのがちょっとコワイ。説明原稿があれば会社側は証明できますが、社員側は可哀そうかな。内容書面を社員側に渡すならまだ良いですけど。だったらイ（書面で同意署名）が良くなります。

• イ：「書面」で「同意」
  ➡○。”この内容で説明して理解したよね”の同意を、証拠として書面で取ってるので良き。誓約書と同じで、署名後にコピーして、会社と社員で所有するのが良いでしょうね。

• ウ：「説明」して「日時を記録」
  ➡✖。どんな内容の説明したかの確認/証明にならないかな。

• エ：「メールで通知」して「開封通知を保存」
  ➡△。メールで内容を送るだけでなく、開封したのを確認したのはまぁ良き。開封=理解・同意か微妙。そもそも読んだのか怪しい。組織としてやれることはあるので、自己責任に押しつけ切れないかなぁと。

SGに「誓約書」が良く出ます。
＞【SG】平成30年度秋午後問2設問1(2)の解説Note
※退職時の署名拒否への対策
＞【SG】平成30年度春午後問2の解説Note
※退職時の誓約書
＞【SG】平成29年度秋午後問1設問3(6)の解説
※選択肢に登場

設問2(3)gh | 問題文の仕様を芋づるで

正答は、
ア（業務データと私的データの両方が消える）。
エ（ロック解除PWDが変更され、利用者が端末発見時に端末のロック解除ができない）。

【空欄gh】は、表3「デバイスの紛失・盗難時」に「MM1の機能を実行」した時の課題。