【セキュマネ】令和元年度秋午後問3の解説（情報セキュリティマネジメント試験, SG）

このNoteでは「情報セキュリティマネジメント試験（SG）」令和元年度秋科目B問3を解説します。

少し絞りにくい/迷う問題はありましたが、6割は切らなさそうです。

31頁後半下線①～35頁後半【空欄b】までの、4頁は長すぎましたね。面倒でしたねぇ。

しかも、セキュリティ的に怪しい点が10点もありました。このNoteの最後に特集しました。問題文を読んでいる時に、「ここ怪しいなぁ」と▶マーキングしとくと、解きがスムーズなのでお薦めです。＞長文問題を読む６つのテクニックNote（３－３）

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

このNoteが過去問演習の品質を高め、少しでも合格や学びの役に立ったら嬉しいです。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1(1)a | Webで暗号通信といえば

正答は、ウ（HTTP over TLS）。

DKIMもDomainKeysも同じです。受信したメールの送信元の正当性を確認する仕組み。
相手DNSサーバから公開鍵を入手し、メールのデジタル署名を検証する。

DKIMとDomainKeysの違いは覚えなくて大丈夫。DomainKeysが米国Yahoo!社が考案し、DKIMで標準化されました。

他にもSPF, SenderIDもありますね。相手DNSサーバにメールサーバの実在性を問い合わせる。

＞【SC】メール受信のNote

SSL/TLSは、データを暗号化したり改ざん検知するための仕様です。HTTPSやSMTPS, FTPS, IMAPSなどに使われています。

SSL/TLS, SSL, TLSが登場しますが、全て同じと思って問題ありません。SSLが先に考案され、TLSとして標準化された経緯があります。＞【NW】SSL/TLSのNote

知っている通信プロトコルにSが付いたら、暗号化版かな、と思ってOK。
＞【Iパス】最初に覚える9つのプロトコルNote
＞【FE】プロトコル7+3のNote

• ウ：HTTPS over TLS = HTTPS（443番ポート）
  HTTP（Webサイト, 80番ポート）の暗号化版

• エ：IMAP over TLS = IMAPS
  IMAP（メール受信, サーバに残す）の暗号化版

• オ：POP3 over TLS = POP3S
  POP3（メール受信, サーバに残さない）の暗号化版

• カ：SMTP over TLS = SMTPS
  SMTP（メール送信, 25番ポート）の暗号化版

他にもあります。

SFTP：FTP（ファイル転送, 20,21番ポート）の暗号化版。
＞【NW】FTPのNote

IPsec：IPの暗号化版。
＞【NW】TCPとUDPのNote
＞【NW】IPsecのNote

DNSsec：DNSのデジタル署名導入版（暗号化ではない）
DNSはドメイン⇔IPアドレスの変換。
＞【SC】DNSECのNote

S/MIME：メール本文の暗号化の規格。MIMEはメールで画像などを送る拡張仕様。＞【NW】メールのNote

設問1(2) | 絶対正解/不正解を決めて絞る

正答は、エ（ii, iii）
（ii）：持出しによる情報漏えいを防止
（iii）：US部以外による情報漏えいを防止

「全て挙げ」なので、”2個以上かなぁ、1個ではないだろう”と推測。SGでは時たま1個の時もありますが…（設問3(4)）。

選択肢に組合せで、私は絞ります。
１：絶対正答を決めて中核にする
２：絶対不正答を決めて消去法する
少なくとも、私は全選択肢を見始めたら迷ってしまうので、なるべく目が曇る前に決めたいです。

下線①は、X情報（顧客の個人情報）を復号できるのは、US部のPCだけという話。

絞り方は人ぞれぞれですが、（ii）採用の線、（v）（vi）消しの線は、多くの方に当てはまると思います。

（i）：×。「DMBSの脆弱性」なんて話出てないし、暗号化/復号とは無関係。「不正なアクセスによる情報漏えいのリスク」も、復号できる可能性が極めて低いのでナシ。

（ii）：〇。「不正に持ち出された場合」でも、復号できないので「Ｘ情報が読まれるリスクを低減」できます。

（iii）：〇/△。「US部以外の従業員」のPCでは復号できないので「情報漏えいするリスクを低減」できそう。US部のPCを使われたら…と考えても〇寄りの△で。

（iv）：×かな。「NDBを誤って操作～X情報を変更」は、データベースの操作と暗号化/復号とは関係ない気が。

なお、図1の2.1.3で「顧客情報の登録, 更新, 閲覧, 削除の権限の設定」がされたら大変。でもUS部の平社員に権限があるのか明記なし。でも下線①前に、X情報には「問合せ対応記録」もあるので、対応したら記入しそうなので、権限ありそう。

うーん。と迷いますが、深読みしすぎかなと。後で選択肢を見ると、(iv)に(ii)が組んだ選択肢がないです。（ii）は絶対正答なんで（iv）を消します。

（v）：×。「マルウェアを駆除」と暗号化/復号は無関係。

（vi）：×。「マルウェアを検知」と暗号化/復号は無関係。

（ii）は絶対〇と自信あるので、中核にして選択肢を挙げます。
ア：（i）×, （ii）〇
イ：（i）×, （ii）〇, （iii）〇/△
エ：（ii）〇, （iii）〇/△
オ：（ii）〇, （v）×
絶対×な（i, v）のお陰で、エ（ii, iii）に決まりました。

（v）（vi）消去の線であっても、4つに絞れます。
ア：（i）, （ii）〇
イ：（i）, （ii）〇（iii）
エ：（ii）〇, （iii）
カ：（iii）（iv）
（i）と（iv）のDB絡みをどう考えるかですね。

設問2b | システムの差=記述の差

正答は、エ（システム管理部の従業員によるX情報の不正な持出しリスクを回避）。

【空欄b】まで3～4頁読むので、ゲッソリですね。問題品質が良くないです。しかもセキュリティ的に怪しい点が10個以上。
※Note最後に特集します。

【空欄b】には、案2が案1より優れている点が入るみたい。

「案1」「案2」は表3。記述で違う点は、案2に「監査ログ～操作履歴を確認できる」が追記。あからさまですね。

監査ログの効果に注目しながら、選択肢を考えていきます。

ウとエで迷うならOK。アとイは消して下さい。

ア：「X業務に従事しないY-CS部の従業員」について。
表1「Y-CS部」は、「T部長～50名」の計61名。
X業務に従事する従業員は、表3でYシステム/Nサービスを使える「主任のうち2名、～2名、～4名」の合計8名。既に、ア「X業務に従事しないY-CS部の従業員」はX情報にアクセスできません。

イ：「N社に移転」が意味不明。「移転」は”保険”や”業務委託”の類で実現されます。N社はNサービスを提供しているだけで、データや業務の責任は利用者Y社にあります。

ウ：「回避」に疑問。「低減」かなぁと思います。”監査ログで確認できるからね”と周知して抑制できます。しかし完全回避はできません。あくまで抑止と事後調査。不正実施をリアルタイムで防止できません。

エが分からなかったら、「回避」への違和感を呑んで、ウを選ぶのはアリです。私はウを選んで不正解でした。

エ：「システム管理部」について。
システム管理部は、表1にて「Yサービス～運用」、しかも「注1：～データベースのデータにアクセスすることがある」。X業務に直接関係ないけど、X情報にアクセスできるのは良くない。試験なら仮想データを使えば良いし、実データならY-CS部立ち合いの下行えば良いです。ちょっと想像が必要でしたね。

ウの「回避」への違和感か、エの「システム管理部」が管理者とはいえX業務を行ってないので顧客情報にアクセスしない方が良い点、どちらを採るかになります。

設問3(1)c | キーワードを芋づるで

正答は、エ（X業務に従事するY-CS部の2名の主任）。

【空欄c】後の「3階以外」に注目。