【セキュマネ】平成30年度秋午後問1の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成30年度秋午後（科目B）問1を解説します。

追加認証（ICカード, ディジタル証明書, ワンタイムパスワード）と職務分掌（業務の流れの多段化と権利分離）がテーマでした。

難しめですが、6割は切らないです。

IPAが大好きな「中間者攻撃」が出ました（設問4(1)）。新しい学びは「トランザクション認証/署名」（設問4(2)）。SG科目AでもセキスペSCでも出てるので、今後に生かしましょう。

このNoteでは模範解答の解説だけではなく、設問文/問題文からのヒントの探し方、選択肢からの正解の絞り方なども丁寧に解説しています。

更に末尾に、問題文から更に学べるポイントを【8個】ピックアップしました。SG合格は勿論、より高度な資格まで使える知識です。今後のステップアップの布石になったら嬉しいです。

目次だけでも見て頂けたら、ご理解頂けると思います。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

このNoteが過去問演習の品質を高め、少しでも合格や学びの役に立ったら嬉しいです。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1 | 耐タンパ性

正答は、ア（マルウェア感染による秘密鍵の漏えいリスクを減らせる）。

下線①は、ICカードにディジタル証明書と秘密鍵を格納する話。しかも「耐タンパ性」と書いてあります。

以上だけでも、”パソコン内にあるよりは、取り出しにくい”と分かるので、正答に至れます。

各選択肢も考察しておきます。想像ツッコミで充分絞り込めます。知識が必要なのはイだけ。

• ア：PCからの秘密鍵の漏えいを防げる
  ➡正しい。秘密鍵はPCにないので。

• イ：デジタル証明書の更新が不要
  ➡デジタル証明書は、記載した有効期限通りに失効します。

• ウ：複数枚のデジタル証明書を格納できる
  ➡格納できるかもですが、PCでも格納できますからね。問われている、ICカードのメリットに該当しません。

• エ：ID, PWDを知らなくても、ICカードだけでログインできる
  ➡図1(b)に、ID,PWD,ディジタル証明書を利用する旨あり。

• オ：PCを複数人で共用できる
  ➡PC内にディジタル証明書を保存しても共用できます。OSでログインIDを別々にするだけ。

この話は、とても深いストーリーがあります。デジタル証明書＝クライアント証明書, 秘密鍵の役割, ICカードなど。かなり高度で長いので、Note最後にしますね。

＞【Iパス】IoT❸IoTでなくても使う問題のNote

設問2 | 手続きが台無し

正答は、イ（IB履歴と振込依頼書を突合して、違いがあればM主任に理由を聞く）。

下線②は、依頼→承認の手続きにて、承認時に内容を修正（変更）できる旨。”依頼の意味なくね？”って思いますよね。承認時に自由に変更できるんだから。

設問文の「Ｍ主任」の「内部不正」は、図2-4「M主任は～内容を修正して承認を実行する」できることが原因。

以上より、M主任は承認する時に、不正な内容に修正して承認を実行して、手続きを進める不正行為ができちゃうと発想。

折角の職務分掌の手続きが、台無しですね💦
＞【Iパス】法律⓬B：内部統制（職務分掌）Note

正答は理解できます。イ（IB履歴と振込依頼書を突合して、違いがあればM主任に理由を聞く）。”なんで修正したの？”って聞くってこと。

個人的には”そもそも、修正じゃなくて指し戻せよ”と思います。

＞【Iパス】法律⓬B：内部統制（職務分掌）Note

正しいけど不正答

ア, エ, オもセキュリティ的に良い策ですが、問われている"M主任の内部不正"への対策だけが正解になります。

• ア：PCを施錠付キャビネットで保管する。
  ➡良い対策だけど不正答。
  M主任もキャビネットからICカードを取り出せるので、取り出して内部不正できます。

• イ：L課長がIB履歴と振込依頼書を突合して、差があったら修正承認したM主任に理由を聞く。
  ➡正しい。予定と実績が食い違わないかの突合（照合）。

• ウ：急がない修正の場合、承認せず差し戻し、承認依頼を再度させる。
  ➡中途半端。
  承認時に訂正できるのは変わらないので不正できます。
  急がない場合は差し戻すとはいえ、承認時に不正訂正できる状態は変わりません。また急ぐ場合は従来通り承認時に不正訂正できます。

• エ：トークンを施錠付キャビネットに保管し、Nさんが鍵を管理し貸出記録をして貸し出す。
  ➡良い対策だけど不正答。アと同じ。
  M主任も業務でトークン使うので、正規手順で入手すれば、不正できます。

• オ：振込先情報を手入力せず、データをアップロードするルールにする。
  ➡良い対策だけど不正答。
  手入力での誤入力を防止できます。承認時の不正訂正には無関係。

SGではこういうのよくあります。イジワルな国語の問題みたい。

設問3(1)a | マルウェア感染経路を塞ぐ

正答は、オ（i, iv, v）。
（i）：IB専用PCでのメール禁止。
（iv）：IB専用PCからファイルサーバの企画管理部フォルダのみアクセス可。
（v）：IB専用PCのUSBポートを物理的に塞ぐ。

表1【空欄a1, 2, 3】は、IB専用PCのマルウェア感染対策の話。

• （i）：メール禁止。
  ➡一旦〇寄り△で保留。
  添付ファイル/HTMLメールによるマルウェア感染は防げます。ただ「IB専用PC」でメールをするかの明記がないので。

• （ii）：共有アカウントでログイン。
  ➡確定×。
  マルウェア感染とは無関係。セキュリティ的にはダメですが。

• （iii）：社内ネットではなく、インターネットに直接接続。
  ➡確定×。
  FWやプロキシを介さないので、逆に感染リスクが高まる。

• （iv）：ファイルサーバの企画管理部フォルダだけに許可。
  ➡あり得る。△で保留。
  無関係なフォルダに感染ファイルがあってダウンロードする可能性。稀かもですが。

• （v）：USBポートを物理的に閉じる。
  ➡確定で〇。
  USBメモリに感染ファイルが入っていて、接続して感染するのはよくある事例。

• （vi）：プロキシで、インターネットへの接続先を、OSアップデート, マルウェア定義ファイルに関するサイトのみ許可する。
  ➡一見良さそうなんですが、×。
  IBサービスにアクセスできなくなるので。発想できるには演習慣れが必要です。

以上より、（v）は確定。あと2つは、保留した（i）（iv）を採用。（ii）（iii）は確定なので消去法で裏付けもできます。挟み撃ちですね。

設問3(2)b | 正解は複数あった

正答は、ウ（i, vi, iv）。
（i）：経理担当者以外によるIBへの不正ログイン
（vi）：経理担当者が他経理担当者になりすました不正振込
（iv）：経理担当者の自IDによる不正振込の承認

有効な対策が複数あるのですが、選択肢の組合せで限定されているのが、イジワルというか、好みじゃないでした。私は”理解を試すのが試験”と考えてますので。

分かり易い（i）（v）（vi）を軸にすると、選択肢の組合せから、どうしても（iv）の必要性が分かってきます。

【空欄b1】は（i）（v）

表1【空欄b1】は、「ICカード」「IBサービスのパスワード」を他人に使えなくすることで、対応できるリスク。

図1(b)「（IBサービスに）ログインするとき、～パスワード～ディジタル証明書を利用する」、「ディジタル証明書～を格納した～ICカード」より、ICカードもパスワードもログインに必要。

よって、他の経理担当者IDへのログインを防げます。

（i）：経理担当者以外によるIBへの不正ログイン
（v）：経理担当者が他経理担当者IDへの不正ログイン

【空欄b2】は（iv）（vi）

表1【空欄b2】は、トークンの施錠保管（各自）、振込操作の通知メールを3名全員に送る設定。

1つめ。トークンの施錠保管（各自）は、他人のトークンを使う不正は防止。ただし、自分のトークンは使えます。

2つめ。振込操作を全員が知れます。ただし、メールの内容は、図1-f「利用者ID, 日時」であり、振込先/金額は記載されません。

（iv）：自IDによる不正な振込の承認。1点目では自トークンは使えるので防げませんが、2点目でバレるのでけん制に。
（vi）：経理担当者が他経理担当者になりすました不正振込。1点目によって、自分のトークンしか手に入らないので、他人になりすませないので。

正直（iv）はこの段階では、気づかないと思います。私は次の【空欄b3】で気づきました。他にないので。

【空欄b3】も（iv）（vi）

表1【空欄b3】は、振込操作の通知メールを3名全員に送る設定。

（iv）：経理担当者の自IDによる不正振込の承認。自IDで不正振込はできるけど、通知でバレるので。

（vi）：経理担当者が他経理担当者になりすました不正振込。なりすまされたら”あれ、俺、この操作してないけど”と分かります。

（iv）を考えるしかなくなる

私は（iv）に考え至らなかったですが、選択肢の組合せからどうしても（iv）を採用せざるを得なくなりました。