【セキュマネ】平成29年度秋午後問1の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成29年度秋科目B問1を解説します。

組織としてフロー/数式によるリスク判断、王道な対策もたくさん登場する問題でした。SGに出る計算問題なんてリスク値ぐらいなので、確実に正解できるようになっておきたいです。

全ての選択肢が”組合せ”なのもイジワルでしたね。

選択肢（組み合わせ）を見ると気持ちが揺れちゃいます。まずは各選択肢を個別に判断して、優先順（絶対正しい、含めると良い/削っても良い、絶対間違い）を決めて、一番似ている選択肢を選ぶの手順が良いですね。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1a | 可用性=いつでも使える

正答は、カ。
利用できなくなると、
2：自社/取引先/顧客に大影響
1：事業に影響あり
0：事業に影響なし

【空欄a】は表1「可用性」なので、”いつでも利用できる”旨が評価基準になると目星がつきます。＞【Iパス】CIAの３点セットNote

オとカが、”利用”に関する記述。「評価値」が高い方が、リスクの影響が大きいので、カだと判断。

他選択肢に学びはないかなぁと。

設問2b | 今で云う「VDI」

正答は、エ（オンライン持出し, シンクライアント）。

まず【空欄b1, b2】の2つに対して、表3が3つなので、絞れるか考えます。

表3-2「リモート接続～社内システムへのアクセス」について、
5頁頭。
「案Ⅰ」：「社内システムにアクセスして」
「案Ⅱ」：「社内システムにアクセスして」
双方、アクセス「する」ので、
「オフライン持出し型」
「シンクライアント型」
が残ります。

【空欄b1, b2】で記述が多いのは【空欄b2】。
5頁末「PCの紛失・盗難によるリスクがより小さい」
5頁末「採用することが望ましい」
ので、
【空欄b2】は「シンクライアント型」。
表3「データの持出し」を「しない」ので。

【空欄b1】は、残りの「オンライン持出し」。

シンクライアントでは、データやアプリ処理はサーバで行ない、端末は画面表示とキーボード/マウスの入力だけ。もし端末が紛失/盗難してもデータが保管されないので、サーバへのアクセスを封じれば漏えいは防げます。

シンクライアントは、最近は「VDI（仮想デスクトップ）」と云います。
＞【Iパス】DMZを用いたセキュリティ対策Note（VDI）
＞12サーバの配置Note（VDI）

余談。画面をスマホで撮影/メモすれば、内部不正やショルダーハッキングなどの情報漏えいは防げません。＞【Iパス】ソーシャルエンジニアリングのNote

設問3(1)c | マイナンバーのピンポイントな目的

正答は、カ（2, 2, 2, 4）。

【空欄c1】は表4「従業員の基本情報（税務, 社会保険用）」の「機密性」。表1の「該当する情報の例」の「マイナンバー」（＝税, 保険のみに使える個人情報）に気づきます。よって「2」。＞【Iパス】法律➐：マイナンバー法Note

【空欄c2】は「完全性」。表1「完全性」の「マイナンバー」がある「2」。

【空欄c3】の「重要度」は、図1-2「～評価値の最大値を～重要度とする」ので、
機密性=2（空欄c1）
完全性=2（空欄c2）
可用性=1（表4）
なので最大値は「2」。

【空欄c4】の「リスク値」は、図1-4に「リスク値=」の式があり。
重要度=2（空欄c3）
脅威=2（表4）
脆弱性=1（表4）
なので、
リスク値=2×2×1=「4」

正答は、カ（2, 2, 2, 4）。

設問3(1)d | cと同様に

正答は、ウ（0, 1, 4）。

設問3(1)cと解き方は同じです。

【空欄d1】の「自社Webサイトに掲載した会社情報」の「機密性」は、表1「自社Webサイト掲載情報」なので、「0」。

【空欄d2】の「重要度」は、
機密性=0（空欄d1）
完全性=1（表4）
可用性=1（表4）
なので、最大値「1」。

【空欄c4】の「リスク値」は、図1-4に「リスク値=」の式があり。
重要度=1（空欄d1）
脅威=2（表4）
脆弱性=2（表4）
なので、
リスク値=1×2×2=「4」

正答は、ウ（0, 1, 4）。

設問3(2) | 図1に厳密に考える

正答は、オ（ii）。

選択肢の重要度や評価値の値と、設問文「図1の適用」を見比べて判断します。

図1に厳密に考えます。

図1では、リスク値=5以下なら受容可能（リスク保有：リスク対応しない）、5超なら低減/回避/共有の3つから対応を選ぶ旨。＞【Iパス】リスク対応４種のNote

リスク値が5以下か、超えるかだけが判断基準。

i：×。「受容度が0」なら、リスク値は0になるので、「部分的な管理策」は不要。リスク値は掛け算なので、必ず0になります。

ii：〇。「重要度が1」で「評価値が1の脅威」の時、表2より脆弱性は1～3の値なので、1×1×(1～3) = 1～3 ≦5なので、「リスクを受容できる」で正しい。

iii：×。「重要度が2」で「1の脅威」。「一部の管理策を実施するだけでは不十分」は表2より「2」。2×1×2 = 4 ≦5。「リスクを受容できる」のに、選択肢文は「策を全て実施する必要がある」なので誤り。

リスク値の計算では、重み付合計なども良く使われます。＞【Iパス】表は掛けて足すNote

設問3(3) | 図1の式で考える

正答は、イ（i, ii, iii, iv）。

下線①は「リスク値が変化する可能性」。リスク値が変化するのは、図1の式から、重要度or脅威or脆弱性が変化すること。

• i：OSに脆弱性発見（パッチ適用未だ）
  ➡脆弱性が変化

• ii：暗号アルゴリズムの危殆化
  ➡脆弱性が変化

• iii：取引先からの情報の秘密指定が解除
  ➡重要度が変化

• iv：標的型攻撃メールが急増
  ➡脅威が変化

設問3(4)e | 紛失/盗難の物理的/技術的対策

正答は、オ（HDD全体の暗号化, 物理的対策）。

【空欄e1, e2】は、表5下「NPCを自宅に持ち帰る途中で紛失・盗難」へ対策の話。

【空欄e2】前「NPCはケーブルロックによって固定」する類の対策なので、「物理的対策（イ, オ）」。”セキュリティワイヤ”とも云います。＞【SG】平成28年度春期科目A問02の解説Note

【空欄e1】は、問題文に複数登場しますが。8頁後半「OSでは標準機能」なので、電子的な対策。「紛失・盗難」に絡むのは、「ハードディスクドライブ全体の暗号化（エ, オ）」。

なお、ア～ウの左e1は、マルウェア感染対策。紛失・盗難したPCに、マルウェアを感染させて情報窃取するテもあるかもですが、HDD暗号化を蹴るほど強い解答ではないですね。

設問3(5) | 選択肢を見ずに一旦挙げる

正答は、オ（ii, iv, viii）。

私は選択肢が組合せの時、選択肢を見ずに、個別に正しいか挙げます。できれば”外せない””入れときたい”など優先順を付けて。

私がはii, iv, vi, viiiを挙げました。ivは外せない。

次に選択肢を見て、なるべく多く含まれているのを探します。

ivを軸にして、ii, vi, viiがなるべく入ってて、iii, v, vii, ixを含んでないような。オ（ii, iv, viii）だけが残ったので、viの削除を呑めるか検討しました。

逆にviを採用して、（ii, iv, viii）のどれかを外せるかを検討して再確認も。

各選択肢を見ていきます。
考えるのは2点。
下線②「許可されていないインストール」への対策
下線③「利用者による不正サイトへのアクセス」への対策

i：「CDN」➡×。
「CDN」は、Webサイトの内容をキャッシュ（一次保存）した「CDNエッジサーバ」を複数点在させ、利用者を近いエッジサーバに誘導する技術。

利用者側はアクセスがスムーズになり、サーバ側はアクセス集中を避け、CDNサーバがアクセスを引き受けるのでご本尊のサーバも守れます。＞【SC】令和4年度春期午後2問2の解説Note（CDN特集）

2025/2026年にクラウドフレア社のCDN不具合で、X（Twitter）などにアクセスできな障害が発生しました。

ii：IT資産管理ソフトによる構成情報の自動収集/管理➡〇。
各機器のハード構成/ソフト構成を収集し、バージョンアップなどを一括指示（管理）できるツール。ノートPC内のソフトを一覧で管理できるので、不正ソフトのインストールを検知できます。
名称を覚えるかは微妙ですが、名前を見て推測はできるように。

iii：「MACアドレスフィルタリング」➡×
個別PCに導入するシステムではないです。接続元を制限する設定で、"無線LANアクセスポイントに接続できる端末を限定する時”によく使われます。＞【SG】平成31年春問20のNote
＞【SC】平成31年度春期午後2問1設問3(1)の解説Note