【セキュマネ】平成28年度秋午後問2の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成28年度秋科目B問2を解説します。

内心”ガバンが1日以内に無事に見つかったからいいんでは？”と思いつつも、セキュリティって最悪のシナリオを想定するよね、と学びになりました。

「ヒヤリハット」「ハインリッヒの法則」も出題されましたもんね。＞【SG】平成30年度春午後問3の解説Note

SGならではの”持出し端末のセキュリティ対策”（設問2(2)）、SCセキスペでも難しい”クライアント証明書と秘密鍵”（設問2(4)）が出ました。

一旦”本人/端末確認ができる”"危殆化したら再発行する"までの理解で大丈夫です。クライアント証明書＋秘密鍵は仕組みまで解説を作りましたが。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1ab | 書かれた初動対応に従う

正答は、
a：ア（Fさんが紛失した情報の内容/量の特定）
b：エ（情報セキュリティ対策の実施状況の確認）

【空欄a～d】は「初動対応を次の通り開始」した結果。

「初動対応」は図1-2「初動対応の開始を指示する」。

• 情報セキュリティリーダと拠点の情報システム担当と協力

• インシデントの事実関係を整理

• 【a】機器に保存されていた情報の内容及び量の確認

• 【b】暗号化, アクセス制御など情報セキュリティ対策の実施状況の確認

• 【cの後】機器に保存されていた情報にアカウント情報が含まれる場合、PWD変更/アカウント停止などの措置

• 確認結果と防止措置を、拠点の情報セキュリティ管理責任者に報告

図1の文章が長くて、区切りが分かりにくかったですね。特に【b】の「内容及び量, 並びに暗号化, アクセス制御」の部分。でも選択肢に文言が入っているので大丈夫です。 

設問1c | 被害発生の本質を捉えているのは

正答は、イ（Fさんが外出先からアクセスできるシステムの特定）。

【空欄c】後に「上記で特定したシステムにおいてFさんのアクセス権の無効化」なので、【空欄c】はFさんがアクセスできていたシステムの類。

選択肢の性質を見ます。

• ア：社内で使っているシステム
  ➡✖寄り△。紛失は社外で起こり、攻撃者がいたら社外で入手/社外で悪用なので。

• イ：外出先からアクセスできるシステム
  ➡○。紛失は社外なので。アと同じ考え。問題文に具体的なシステム/アクセス経路が不明ですが。

• ウ：顧客情報を保管しているシステム
  ➡△。大事ですが、社外からアクセスできる/できないが重要。また顧客情報の他に、営業秘密など護る情報もありそう。

• エ：顧客訪問時に画面を見せてもらったシステム
  ➡✖。訪問先のシステムのように聞こえます。FさんのPCからアクセスできるように思えません。

お客様を護るウは大事ですが、イに含まれる概念。イの社外からの悪用リスクがより広範囲かつポイントです。

設問1d | 調査の範囲

正答は、エ（社外から不審なアクセスがないか）。

【空欄c】は「上記で特定したシステム」絡みなので、FさんPCが社外からできる行為についての調査。

• ア：紛失当日の訪問先に関する顧客情報がダウンロードされたか
  ➡✖寄り△。狭すぎ。当日の訪問先以外をダウンロードされる可能性を捨てられません。

• イ：社外から操作ログが改ざんされたか
  ➡✖。進展しすぎ。まずは（システムの）操作ログを確認して不正アクセスがあったか調査。その後に改ざんの可能性を必要あれば考えますが…。

• ウ：社外からパスワードリスト攻撃が行われたか
  ➡✖寄り△。狭すぎ。辞書攻撃などもあるのに、なぜパスワードリスト攻撃に限定して調べるのか。＞【Iパス】パスワードクラック４つNote

• エ：社外から不審なアクセスがあったか幅広い確認
  ➡○。紛失は社外で起こったので、悪用も社外から行われる可能性大。

調査の範囲・進展を考えると、エしか残らないですね。具体的には、表1-(i)の「クラウドサービスで提供される契約管理システム（Lシステム）」が該当するかな。

設問2(1) | データの持出し手段

正答は、ア（i, ii, iii）。
i：NPC持出し期間中に、会社で追加保存できる。
ii：会社貸与USBメモリで持出し、NPCに保存できる。
iii：外出先からLシステムにアクセスして、NPCにダウンロードできる。

下線①「顧客情報を追加で保存」できる方向で想像します。

i：NPC持出し期間中に、会社で追加保存できる。
➡○。
そりゃシステムにアクセスすればできるでしょうね。表1最後「NPCに情報を保存～場合は、～申請システム～長の承認を得～持ち出すファイルのリスト～NPCの資産管理番号と合わせて申請」と、持ち出し時に申請はしてます。ただ、持ち出した後に、申請した以外のファイル入手を制限する対策はないと解釈できます。。

ii：会社貸与USBメモリで持出し、NPCに保存できる。
➡○。表1-gに記述あり。可能。

iii：外出先からLシステムにアクセスして、NPCにダウンロードできる。
➡○。表1-hに記述あり。可能。クラウドなので社外からアクセスできるでしょう。

iv：外出先で公共無線LANを用いて、他社Webサイトを閲覧して、NPCにダウンロードできる。
➡✖。他社Webサイトは公開なので支障ないかと。また顧客情報はLシステムにあるので無関係。

v：訪問先で、先方から借りたUSBメモリからコピー保存できる。
➡✖。表1-gに記述あり、不可能（会社貸与USBのみ可能なので）。

（i）で分かったように、持ち出し申請は良いけど、申請が通った後のファイルダウンロードを制限/追跡できていないのが、問題点ですね。今後、申請改善/システム改修がされるかなぁ、と頭に入れときます。

設問2(2) | 多段で対策する

正答は、ク（h：HDD全体の暗号化）。

表1-a（OS-PWD）、b（BIOS-PWD）も情報漏えい対策なんですが。攻撃者からすれば時間が掛かります。

内部ストレージを取り出す手口は簡単です。ドライバー使って短時間で盗めますし、別PCに外部接続すればOS/BIOSのPWDは不要。よって、ク（h：HDD全体の暗号化）が効果的だ…と作問者は答えさせたいのでしょう。

とはいえ、a（OS-PWD）、b（BIOS-PWD）を×ってのもちょっと可哀そうかなぁと個人的には思います。でも、HDD暗号化/HDD-PWDはSGにも出題されているので、理不尽ではないです。

詳しく解説させて下さい。

OSパスワード＋BIOSパスワード

下線②/設問「NPC紛失時にNPCの中の情報を盗まれる」のは、ログインID/PWDを当てられてログインされるのは、真っ先に思い浮かびます。だから表1-a「OSへのログイン」だけでなく、表1-b「BIOSパスワード」の二重にしています。

「BIOSパスワード」はSGで良くみますね。逆FE/AP/SCではあまり見ないかも（私が午前解説をあまり作ってないからかなぁ）
＞【SG】平成31年春問22の解説Note
＞【SG】平成30年秋問17の解説Note
＞【SG】平成28年春問20の解説Note
＞【SG】サンプル問題科目A問11の解説Note

＞【SG】平成30年度春午後問1設問2(1)の解説Note
＞【SG】平成30年度春午後問3設問3(3)の解説Note

ログインの他にもう一つ手法あり。

内部ストレージを取り出し外部接続

PC内のHDDを取り出して別PCに外部装置として接続する手法もあります。HDD全領域の暗号化/HDDパスワード設定は有効です。

今回の正答は、ク（h：HDD全体の暗号化）

「HDDパスワード」の出題
（BIOSパスワードと一緒に出ること多し）
＞【SG】平成31年度春期科目A問22の解説Note
＞【SG】平成30年度秋期科目A問17の解説Note

内部（HDDなど）/外部記憶媒体の「暗号化」
＞【SG】平成30年度春午後問3設問3(3)の解説Note
＞【SG】平成29年度秋午後問1設問3(4)eの解説Note
＞【SG】平成29年度秋午後問3設問2(1)eの解説

OSログインに生体認証を追加

本人だけがログインできるようには、「生体認証」を追加すると良いですね。

表1になかったので気になりました。今回は申請して貸与するPCなので少し面倒かもですが。持出し期間が「最長1ヶ月」とはいえ、実際は新たに申請して同じPCを使い続けてるんじゃないかなぁ。

＞【Iパス】2要素/段階/経路の認証Note
＞【Iパス】バイオメトリクス認証Note

設問2(3)e | 手元にない時間帯

正答は、イ（アクセスを試みた形跡, 本日00:00から15:30）。

【空欄e1, e2】で確認したいのは、攻撃者が秘密鍵/クライアント認証してLシステムに入れたか。ダウンロードしたかは、その後の話。ダウンロードしなくても見た/撮影した時点で漏えいですからね。

調査期間は、
Fさんが紛失した10:00（網棚に置いた）や10:05（座った時に網棚に本当にあったのを目視したか不明）から始め。
かばんが見つかった連絡を受けた14:10まで。