【セキュマネ】令和元年度秋午後問2の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」令和元年度秋科目B問2を解説します。

解き始めの下線①が5頁目中盤なのが、すっごく嫌な問題でした。選択問題だったら選ばないです。解きに入るまでに読み込む情報量が多いので、解答を作る度に丹念に証拠を探す必要もありました。

橙色は少しイジワル、少し失点するかも。総じて6割は超えるとは思いますが、高得点はコンボ決めないと無理ですね。初見で6～7割なら良しとしてください。勿論、復習後は10割ですよ。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

このNoteが過去問演習の品質を高め、少しでも合格や学びの役に立ったら嬉しいです。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1(1) | 本人への直接確認

正答は、ア（Kさんが～表3のCGメッセージがDさんからのものと信じ、URL-Pにアクセスする～Kさんのパスワードが窃取される）。

下線①「電話」なら本人に口頭確認できるので、間違いないだろうという話です。”ＶサービスのGCメッセージでこんなの来たけど、マジで送った？”と。

設問文「VサービスでDさんに連絡した場合」では、Dさん本人ではなく、Dさんのアカウントからのメッセージ。つまり、なりすましを見抜けません。

でも不幸なことに、選択肢ア～エに「なりすまし者」があったので、消去法はできず。折角発想できたのに残念。

1つずつ見ていきます。

ア：正しい。更になりすまし者と連絡して、URL-Pに誘導される。

イ：KさんがB副所長の認証情報（ID, PWDなど）を知っている記述はないですね。無関係。

ウ：「なりすまし者以外に盗聴」される理由がない。GCに参加してる者は全員見れますし、他になりすまし者がいるならあり得ますが、記述はなし。

エ：「GCメッセージが削除され」「証拠隠滅」はあり得ますが、設問文「被害」かは疑問。

アが一番良さそう。あり得るし被害なので。イもあり得ますが理由がない、エもできますが被害と言われると疑問。相対比較で。

超後の22頁頭。URL-Pではなく、URL-Rですが。「（Dさん）メールアドレスとパスワードを入力した」ので、攻撃者がID,PWDを窃取して不正ログインしたと分かります。

設問1(2) | 一頁後まで保留

正答は、ア（i, ii, iii）。
i：DさんがVサービスPWDを変更
ii：R全社員にURL-Pにアクセスしたなら報告
iii：R全社員にURL-Pにアクセスしないよう指示

被害の原因は、下線②前表3下「Dさんのアカウントに不正ログイン」して、なりすまされたこと。

Vサービスに不正ログインするには図2の4.4.2「メールアドレスを利用者ID～認証のためのパスワードを設定」より、メアドとPWD。

とりあえず目星ついたので、選択肢を見ます。

（i）：良さそう。「パスワードを変更」。
（ii）：「URL-P」の記述がないので一旦保留。
（iii）：（ii）と同じく一旦保留。
（iv）：「Vアプリを再インストール」しても、PWDなど認証情報はVサービスのサーバにあるので変更も初期化もされません。攻撃者に不正ログインされ続けます。なし。
（v）：「WS管理者のパスワードを変更」。WS管理者のアカウントは守れますが、Dさんがなりすまされた被害の対策になってません。ナシの方向。

（ii）（iii）を判断するために「URL-P」を探します。

21頁頭
「URL-P～はVサービスのURLではありません」
「悪意のあるサイトのURLと考えられる」

ちょい戻って表3「アカウントの確認が必要です」の「～v-service.exmaple.com」がURL-Pですね。

「アカウント」の確認だから、”IDやPWDを再度入力してください”みたいな偽サイトかなと推測できます。DさんがIDとPWDなどを入力したら、攻撃者は不正ログインできちゃいます。

（ii）（iii）は適切だと判断できます。
（ii）「URL-Pにアクセスした場合」に報告は、被害調査に役立ちますし、PWDを変えるよう指示もせねばですね。
（iii）「URL-Pにアクセスしないよう指示」は、今後の被害発生を防ぎます。

よって3つが正答。
（i）：Dさんの被害解除
（ii）：他に被害がありそうか調査
（iii）：今後の被害を防止

URL-Pの記述が登場する前に解答に使うのは、かなりナシです。作問品質が良くないですね。1頁後まで読むのも遠くてNG。

設問2(1)a | 穴を残すんかい

正答は、エ（VPNサーバ及びプロキシサーバ）。

ちょっと"スマホどうしたらいんだろう"って迷いましたね。これも問題品質があまり良くない。考え得る完全対策を解答させるべきです。

【空欄a】前「URL-Pへのアクセス」経路を探します。

URL-Pはインターネット上。表1の2番目「Webブラウザでのインターネット閲覧」から情報収集。

NPC：
「社内LAN～プロキシサーバを経由」
「それ以外～VPNサーバを経由」
DPC：「プロキシサーバを経由」
スマホ：「携帯通信網を経由」

「プロキシサーバ」「VPNサーバ」のログは確定ですね。

スマホのアクセス記録をどこから探すかが未解決。

表1スマホ4番目「URLフィルタリング機能1)」
表1注1「アクセスを遮断した場合だけ、アクセス先URL～記録」。
URL-Pにアクセスが通ったら記録されません。
選択肢を見ても、考えた3つ以外に候補はありません。

でも21頁頭「【空欄a】のログだけでは確認できない」。
URL-Pへのアクセスは全部拾い出せないんですね。
スマホのアクセスを特定できないのは諦めます。

正答は、エ（VPNサーバ及びプロキシサーバ）。

不完全な対策を答えさせるのは問題品質が悪いです。URLフィルタリングでも記録させて、注記まで探させる解き筋の方が良かった。理解力や観察力を問うのが試験なので。

設問2(2) | 2段のハードル

正答は、ア（営業担当者）。

これ難しかったですね。2段階のハードルがありました。私は2段目を超えられませんでした。

下線③は、【空欄a=プロキシ, VPN】のログではURL-Pにアクセスしたか確認できない、R営業所の従業員を問うてます。

【空欄a=プロキシ, VPN】のログでアクセスが分からないのは、スマホ。

スマホを使っている従業員は、表1の1番目「本社の課長以上の管理職」「営業所の所長、副所長及び営業担当者」。

私はここで、ウ「所長、副所長及び営業担当者」を選んで間違えました。これは難しい。