【セキュマネ】平成28年度秋午後問1の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成28年度秋科目B問1を解説します。

個人向け無料サービスを会社組織で使う時の”物足りなさ”が分かる問題でした。認証, ID管理, 不正調査など、いつもの問題で実装されてる機能が”ない”のが面白かったです。問題構成も素直で、点取りはスムーズ。

正解には絡みませんでしたが、ハッシュ値➡電子署名➡電子証明書が出揃ったので、学習する良い機会で補強しました。他にも、正答がすぐ決まる設問でも、各選択肢を議論しました。

過去問を学び倒したい方は、目次だけでも見て参考に頂けたら嬉しいです。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1(1)a | 仕様に基づくだけ

正答は、オ（パブリック, 閲覧権限）。

【空欄a】前。「B社に提供する～ファイルの一つが公開されてしまっている」しかも「（報告してくれた）Q社はJ社との取引関係はない」全く部会社。

【空欄a1, a2】は、Xサービスのファイル共有設定なので表1。

• 【空欄a1 ファイル共有先】は、「パブリック」。部外者のQ社が見れたので。

• 【空欄a2 共有権限】は、表1パブリックでは1つだけ「閲覧権限」で確定。

正答は、オ（パブリック, 閲覧権限）。

設問1(2) | 消去法で

正答は、オ（公開原因が不明で、他ファイルや今後登録するファイルに被害がでるかもしれない）。

消去法で。ア, イ, ウ, カは問題文に一切記載なし、エも【空欄a】前「ファイルの一つが公開」で消し。オだけ残ります。

• ア：XサービスのID,PWDが漏えいしたのが明らか～

• イ：Xサービスがサイバー攻撃を受けたことが明らか～

• ウ：（他）サービスに早急に移行することが決定したから。

• エ：Xサービスに登録されている全てのファイルが公開されたことが明らか～

• オ：公開原因が不明で、他ファイルや今後登録するファイルに被害がでるかもしれない

• カ：ファイルがマルウェアに感染したことが明らか～

下線①「直ちにXサービス～すべてのファイルを削除～サービスの利用を中止」は、超強い措置ですね。私は”誤操作ぐらいじゃないかなぁ”と、楽観的に考えてしまいました。

オは、もし内部不正（意図的な公開）だったら、今後さらにファイルが公開される、ってリスクを考えたのかと。全ファイル削除は大変だから、Xサービスに一時的にアカウント凍結してもらうのもテかもですね。

設問2 | 何の調査してどう判断したのか不明

正答は、キ（iii）。
iii：製造部PC以外のPCがXサービスに接続したか確認する。

下線②までの状況。
5頁「Xサービス～外部からの攻撃やシステム障害などが発生しなかった」こと。サービス側には問題なさそうですね。
「ファイルの共有設定を変更した者」を特定したいですが、「操作の履歴情報」は開示できない。

よって下線②「プロキシサーバを調査」で、「ファイルの共有設定を変更した者」の調査をしたいだろうと目星。

個人的には、パッとしませんが消去法で正解はできます。

• i：Xサービス以外のストレージサービスが利用されたか確認する
  ➡良いけど×。悪い調査ではないです。他サービスへ漏えいしてるか気になります。ただ、本件（Xサービスでのファイル共有設定の変更）の調査には直結しません。

• ii：過去に一時的にアクセス制限を解除したWebサイトへの接続を確認する
  ➡悪くないけど×。iと同じで直結しません。

• iii：製造部PC以外のPCがXサービスに接続したか確認する。
  ➡△かなぁ。3頁後半「製造部は～2年前から～Xサービス～をB社へのファイル提供に利用している」のですが、製造部以外にも不正者がいるのかも調べたかったのでしょう。

結局プロキシサーバのログで何を調査したのか、パッとしないんですよね。

6頁頭「プロキシサーバを調査したが不審な点は確認されず」って。プロキシのログには、送信元/先ぐらいは記録されてますが、通信内容=操作内容まで記録されません。容量的に無理。

そもそも、4頁頭「HTTPS」でPCとXサービス間は暗号化通信なので、内容も分かりません。

何をもって「不審な点は確認されず」なのか、私にはさっぱり分かりませんでした。

また解説によっては、（i：Xサービス以外のストレージサービス）は、プロキシで拒否されるってのも散見されます。根拠は3頁前半「業務上不要と思われるWebサイトへの接続を（プロキシの）コンテンツフィルタで制限している」。

そんなに強い制限には見えません。例えば”全サイトへのアクセスを禁止し、業務に必要なWebサイトの申請があれば審査して許可設定をする”と書かれていたら分かります。

設問3(1)b | 間違える事故=知識不足/教育不足

正答は、エ（共有設定の用語を正しく理解していない社員がいた）。

【空欄b】前後。図2の「ヒアリングの結果」を見て「”Xサービスのファイル共有設定を間違える”という事故が起きやすい」状況だと判断されました。

図2-3「共有設定に関係する～用語の意味を正しくは理解していなかった」。そりゃ間違える事故は起きそう。

エ（共有設定の用語を正しく理解していない社員がいた）。

◀印してなくても、各選択肢について、❶問題文の対応箇所を探し、❷事実確認、❸問われていることへの直接解答、解釈をしていきます。

• ア：Xサービスの利用方法を知らない社員が3名いた
  ➡図2-2と一致。でも「B社に関係する業務がなく」使う必要がない。事故の可能性は低い。×寄りだけど一旦保留。

• イ：Xサービス利用規則を社員全員が認識していた
  ➡図2-1と一致。良いことですよね。

• ウ：Xサービスを自宅PC/スマホ/タブレットから使った社員はいなかった
  ➡図2-4と一致。嘘をついてる可能性はあるでしょうが。疑い過ぎの捻くれですが、念のため保留。

• エ：共有設定の用語を正しく理解していない社員がいた
  ➡図2-3と一致。「共有設定を間違える”という事故」に繋がりますね。

全選択肢は、❶記述あり❷事実でした。疑って保留が多くなっちゃいましたが、❸問われていることへ一番直接的に解答している選択肢を選びました。

設問3(2) | 「読める」は「入手」であり/なし

正答は、ケ（ii, iv）。
ii：ファイルを暗号化してから登録する
iv：ファイルを登録したら、B社に連絡し、B社がダウンロードしたらXサービスから直ちに削除する

下線③「間違った共有設定がなされても第三者にファイルを読まれる可能性を下げる対策」。

• i：ファイルに電子署名を付与してから登録する
  ➡✖。ファイルの改ざん検知の意味はあります。＞【Iパス】デジタル署名の学習のススメNote

• ii：ファイルを暗号化してから登録する
  ➡○。ファイルが入手されても「読める（=意味が分かる）」とは限らないので。復号されちゃうリスクは勿論あり（オフライン攻撃）。

• iii：ファイルを登録したら、B社にファイルのハッシュ値を連絡する
  ➡✖。ファイルの改ざん検知の意味は…ありますが、現実的ではないかなぁ。SHA-256だと256ビットもあります。そもそも電子署名内にハッシュ値は内包されてますし。

• iv：ファイルを登録したら、B社に連絡し、B社がダウンロードしたらXサービスから直ちに削除する
  ➡○。ファイルを入手できる期間が短期間になるので。

補強 | ハッシュ値の活用

ハッシュ値は大丈夫ですか？

3つの特徴があります。特に”逆算推定の困難性”が重要。

• 入力値が少し違うだけで、全く違うハッシュ値が出力される

• 入力値の長さに関係なく、一定の長さのハッシュ値が出力される

• ハッシュ値から入力値の逆算推定は極めて困難である（一方向性）

＞【FE】modはその場で理解するNote
＞【AP】mod, int, log対数Note

ハッシュ値は、データに変更/改ざんがあったかの確認（検証）に使われます。

データ/ファイルのハッシュ値を保管しておいて、データ/ファイルのハッシュ値を再計算して比較すれば、当時から変わったか分かります。＞【SG】令和05年度科目A問05の解説Note

しかしハッシュ関数は誰でも使えるので、ハッシュ値も誰でも作れます。そこで、秘密鍵を使って、誰でもは作れない電子署名にしてあげるんです。

秘密鍵はデータ作成者しか持ちません。データの検証は公開鍵で行ないます。公開鍵は配布して構いません。秘密鍵は署名専用・公開鍵は検証専用。

＞【Iパス】公開鍵で迷わない方法Note
＞【Iパス】デジタル署名の学習のススメNote

設問4(1)c | 調査が進展しなかった理由

正答は、イ（操作履歴が提供されない）。

【空欄c】。表2-1「今回の調査で判明」した「原因を調べられない」状態になった問題点ですね。

今回、結局誰が操作したか、誤操作なのか不正なのか分かりませんでした。理由は6頁頭「（X社が）操作の履歴情報を開示」しなかったから。

設問4(1)d | 認証の仕様を探す

正答は、オ（メアドとPWDだけで利用できる）。

【空欄d】。表2-3「2段階認証～が必要であると、～規定に定めている」。

2段階認証では、認証を2回行います。ID, PWDの後に、OTP（ワンタイムパスワード）を入れるなど。＞【Iパス】２要素/段階/経路の認証Note

Xサービスの認証は、4頁頭「IDとして電子メールアドレス～パスワードを設定すれば～すぐに利用を始められる」。2段階認証になっていません。

おまけ | 選択肢の事実確認

設問4(1)c/dは、一発で正答を引けるとは思います。

でも復習なので、何か学べる点はないかなぁと。各選択肢も見ます。もし一発引き出来なかった方は、❶選択肢と問題文の紐づけ/事実確認から始めて下さいね。