個人情報保護士　⑥ 情報セキュリティと実務対策

情報セキュリティの実務対策を学ぶ分野です。ISO27001（ISMS）、CIA（機密性・完全性・可用性）、リスクマネジメント、暗号化、アクセス制御、ログ管理、インシデント対応（漏えい時の報告義務・本人通知）、テレワーク時のセキュリティ、クラウド利用時の留意点などを整理。技術的な対策と組織運用の両面が問われる分野です。

この分野の問題195問を、選択肢・正解・解説つきで掲載しています。まず自分で解答を考えてから「正解と解説を見る」を開いて答え合わせをしてください。

クイズモードで挑戦 →

第259問PCやサーバー内のファイルを勝手に暗号化して利用不能にし、復号するための対価（身代金）を要求するマルウェアはどれか。

Aスパイウェア
Bランサムウェア
Cキーロガー
Dボットネット

正解と解説を見る

正解：B．ランサムウェア

ランサムウェア（Ransomware）は、Ransom（身代金）とSoftwareを組み合わせた造語で、データを暗号化して人質に取り、金銭を要求するマルウェアです。可用性を侵害する代表的な脅威です。

個人情報保護士 ⑥ 情報セキュリティと実務対策

第259問PCやサーバー内のファイルを勝手に暗号化して利用不能にし、復号するための対価（身代金）を要求するマルウェアはどれか。

第260問特定の組織や個人をターゲットにし、業務連絡などを装った巧妙なメールを送りつけ、添付ファイルを開かせたりリンクをクリックさせたりしてウイルスに感染させる攻撃手法はどれか。

第261問Webアプリケーションの入力フォームなどに、データベースを操作する不正な命令文（SQL）を入力し、データの漏えい、改ざん、消去などを行う攻撃はどれか。

第262問Webサイトの掲示板などに悪意のあるスクリプト（プログラム）を埋め込み、そのサイトを閲覧したユーザーのブラウザ上でスクリプトを実行させ、Cookieの盗聴や偽サイトへの誘導を行う攻撃はどれか。

第263問他人のIDやパスワードを不正に入手するため、考えられるすべてのパターンを総当たりで試行する攻撃手法はどれか。

第264問別のサービスから流出したIDとパスワードのリストを入手し、それを使って特定のWebサイトへの不正ログインを試みる攻撃手法（パスワードの使い回しを狙った攻撃）はどれか。

第265問人間の心理的な隙や行動のミスにつけ込み、パスワード等の重要情報を入手する手法（肩越しに盗み見る、ゴミ箱をあさる等）を総称して何というか。

第266問サーバーに大量のアクセスやデータを送りつけ、過剰な負荷をかけることでサービスの提供を不能にする攻撃はどれか。

第267問「ゼロデイ攻撃」の説明として、最も適切なものはどれか。

第268問暗号化技術において、送信者が「受信者の公開鍵」を使って暗号化し、受信者が「自分の秘密鍵」を使って復号する方式はどれか。

第269問「デジタル署名」を利用することで確認できる事項の組み合わせとして、正しいものはどれか。

第270問認証の3要素（知識、所有、生体）のうち、2つ以上を組み合わせて本人確認を行う方式はどれか。

第271問「WAF（Web Application Firewall）」の役割として、最も適切なものはどれか。

第272問社外から社内ネットワークへ安全に接続するために、インターネット上に仮想的な専用線を構築し、通信を暗号化する技術はどれか。

第273問PCやサーバー等の端末（エンドポイント）において、マルウェアの侵入を防ぐだけでなく、侵入後の挙動を検知し、迅速な対応（隔離・調査等）を支援する製品はどれか。

第274問「クリアデスク・クリアスクリーン」の説明として、最も適切なものはどれか。

第275問会社の許可を得ていない私物のPCやスマートフォン、クラウドサービス等を、従業員が無断で業務に使用することを何というか。

第276問データの完全性を確認するために用いられる、元データから一定の長さの文字列（ハッシュ値）を生成する関数はどれか。

第277問「ISMS（情報セキュリティマネジメントシステム）」において維持すべき「情報セキュリティの3要素（CIA）」に含まれないものはどれか。

第278問HDDやUSBメモリ等の電子媒体を廃棄する際の措置として、最も確実にデータを消去する方法はどれか。

第279問電子メールの送信ドメイン認証技術の一つで、メール送信元のIPアドレスをDNSサーバーのレコードと照合することで、なりすましメールでないことを確認する技術はどれか。

第280問電子メールのセキュリティ対策において、メール本文と添付ファイルを暗号化し、かつ電子署名を付与することで「盗聴」と「改ざん」を防ぐ、エンドツーエンドの対策技術はどれか。

第281問Webサーバーなどの公開サーバーを、インターネットと内部ネットワーク（LAN）の両方から隔離された領域に設置し、不正侵入時の内部への被害拡大を防ぐネットワーク構成はどれか。

第282問無線LANのセキュリティにおいて、あらかじめ登録された端末（MACアドレス等）や、ユーザーごとのID・パスワード（IEEE 802.1X認証）を用いて接続を許可する、企業利用に適した方式はどれか。

第283問パスワードをハッシュ化して保存する際に、同じパスワードでも異なるハッシュ値になるように、ランダムな文字列（ソルト）を付加して計算する主な目的はどれか。

第284問通信経路上に割り込み、当事者になりすましてデータを盗聴したり、改ざんして送信したりする攻撃手法はどれか。

第285問Webサイトの利用者がログインした後に発行される「セッションID（Cookie等）」を攻撃者が盗み出し、その利用者になりすまして勝手に操作を行う攻撃はどれか。

第286問攻撃者が多数のPCやIoT機器をマルウェアに感染させて遠隔操作可能な状態（ボット）にし、それらを一斉に操って大規模なサイバー攻撃（DDoS攻撃等）を行うネットワーク網を何というか。

第287問標的型攻撃の段階の一つで、組織内部のPCに侵入した後、同一ネットワーク内の他のサーバーやPCに侵入範囲を広げていく行為を何というか。

第288問セキュリティ対策が強固な大企業を直接攻撃するのではなく、セキュリティが手薄な子会社、取引先、または利用しているソフトウェア製品などを踏み台にして、本丸のターゲットを攻撃する手法はどれか。

第289問「BEC (Business Email Compromise：ビジネスメール詐欺)」の手口として、最も適切なものはどれか。

第290問テレワーク環境におけるVPN利用のリスクとして、従業員がVPNを経由せずに直接インターネットに接続する設定（スプリットトンネリング）を許可した場合の懸念点はどれか。

第291問日本国内で慣習的に行われてきた、メールでパスワード付きZIPファイルを送り、別メールでパスワードを送る方式（いわゆるPPAP）が、現在セキュリティ上推奨されない主な理由はどれか。

第292問組織内でセキュリティインシデント（事故）が発生した際に、通報の受付、影響範囲の調査、対応手順の指示、復旧支援などを専門に行う組織やチームを何というか。

第293問入退室管理における「共連れ（テールゲーティング）」の説明として、適切なものはどれか。

第294問可用性を高めるための技術で、複数のハードディスクを組み合わせ、同じデータを同時に書き込む（ミラーリング）ことで、片方が故障してもデータを失わないようにするRAIDレベルはどれか。

第296問「トロイの木馬」と呼ばれるマルウェアの特徴として、適切なものはどれか。

第297問アクセス制御の原則の一つで、業務を遂行するために「必要最小限の権限」のみを付与し、不要な権限を与えないという考え方を何というか。

第298問セキュリティ対策において、システムやネットワークの利用状況、エラー、アクセス記録などを時系列に記録した「ログ」を取得・保管する主な目的として、最も適切なものはどれか。

第299問Webサイトを閲覧しただけで、ユーザーが何も操作（クリックやダウンロード）をしていないにもかかわらず、裏で自動的にマルウェアをダウンロード・実行させる攻撃手法はどれか。

第300問ユーザーが正しいURL（ドメイン名）を入力したにもかかわらず、DNSサーバーのキャッシュ情報を書き換えることで、偽のWebサイト（フィッシングサイト等）に誘導する攻撃はどれか。

第301問キーボードからの入力内容を密かに記録し、外部に送信する機能を持つマルウェア（スパイウェアの一種）はどれか。

第302問「ワーム」と呼ばれるマルウェアの特徴として、最も適切なものはどれか。

第303問システムへの侵入に成功した後、ログの消去やプロセスの隠蔽などを行い、自分の存在や侵入の痕跡を隠すために攻撃者が使用するツール群（パッケージ）はどれか。

第304問特定の組織や企業をターゲットにし、長期間にわたって執拗に潜伏・調査を行い、機密情報を盗み出す高度なサイバー攻撃手法はどれか。

第305問ネットワーク上の通信を監視し、不正な侵入や攻撃を検知するだけでなく、通信の遮断などの防御措置を自動的に行うシステムはどれか。

第306問ファイアウォール、アンチウイルス、IPS（侵入防御）、Webフィルタリングなどの複数のセキュリティ機能を一つの機器に統合し、包括的な対策を行う製品はどれか。

第307問社内ネットワークからインターネットへアクセスする際に中継役となり、アクセスログの取得、キャッシュによる高速化、URLフィルタリングなどを行うサーバーはどれか。

第308問「共通鍵暗号方式」の特徴として、正しいものはどれか。

第309問インターネット上の暗号化通信（SSL/TLS）で用いられている「ハイブリッド暗号方式」の仕組みとして、正しいものはどれか。

第310問「認証局 (CA：Certificate Authority)」の役割として、最も適切なものはどれか。

第311問生体認証（バイオメトリクス）の精度を示す指標において、「セキュリティ上のリスク（他人の不正利用）」に直結するのはどちらか。

第312問スマートフォンやタブレット等のモバイル端末を業務利用する際に、紛失・盗難時の「リモートワイプ（遠隔消去）」や「リモートロック」、アプリのインストール制限などを一元管理するシステムはどれか。

第313問従来の「社内ネットワークは安全である」という境界型防御の概念を捨て、「すべての通信（アクセス）を信頼せず、常に検証する」というセキュリティの考え方はどれか。

第314問OSやソフトウェアにセキュリティ上の欠陥（脆弱性）が見つかった場合に、開発ベンダーから提供される修正プログラムを適用することを何というか。

第315問パスワードクラックの手法の一つで、辞書に載っている単語や、よく使われる人名、地名などを組み合わせて試行する攻撃はどれか。

第316問「ソーシャルエンジニアリング」の一種で、オフィスのゴミ箱に捨てられた書類や記憶媒体をあさり、機密情報を入手する行為を何というか。

第317問「ソーシャルエンジニアリング」の一種で、パスワードを入力している人の背後から、キー操作や画面を盗み見る行為を何というか。

第318問クラウドサービスにおける「責任共有モデル」に関する記述として、適切なものはどれか。

第319問近年のランサムウェア攻撃において見られる「二重脅迫（ダブルエクストーション）」の手口として、最も適切なものはどれか。

第320問標的型攻撃の手法の一つで、ターゲットとなる組織のメンバーがよく利用するWebサイトを改ざんしてマルウェアを仕込み、アクセスしてくるのを待ち伏せする攻撃はどれか。

第321問SMS（ショートメッセージサービス）を悪用し、宅配便の不在通知や大手通販サイト等を装って、フィッシングサイトへ誘導したり不正アプリをインストールさせたりする手口はどれか。

第322問プログラムが確保しているメモリ領域（バッファ）の大きさを超えるデータを入力することで、メモリ上のデータを溢れさせ、予期しない動作（不正なコードの実行等）を引き起こす攻撃はどれか。

第323問攻撃者が攻撃対象のサーバーやネットワークに対して、外部から通信ポートへのアクセスを順次試み、稼働しているサービスやOSの種類、侵入可能な裏口（開いているポート）を探る行為はどれか。

第324問入退室管理システムにおける「アンチパスバック」機能の説明として、適切なものはどれか。

第325問Webサイトの通信暗号化（HTTPS）に使用されるプロトコルにおいて、脆弱性が見つかったため現在使用すべきではない（無効化すべき）とされているものはどれか。

第326問複数のWebサービスやアプリケーションを利用する際に、一度のユーザー認証（ログイン）だけで、連携するすべてのサービスを利用できるようにする仕組みはどれか。

第327問従業員が利用しているクラウドサービス（SaaS等）の利用状況を可視化・制御し、セキュリティポリシーを適用するためのソリューションはどれか。

第328問セキュリティインシデント（事故）が発生した際の初動対応において、被害の拡大防止や復旧の優先順位を決定するために、事案の重要度や緊急度を分類・選別することを何というか。

第329問システムやデータベースの「操作ログ（アクセスログ）」自体のセキュリティ対策として、最も重要な要件はどれか。

第330問無線LANのセキュリティ対策として用いられる「MACアドレスフィルタリング」の脆弱性（限界）として、正しいものはどれか。

第331問生体認証（バイオメトリクス）において、筆跡の速度や筆圧、キーボードの打鍵の癖、歩き方（歩容）などの「行動的特徴」を利用する認証方式はどれか。

第332問不審なファイルやマルウェアの疑いがあるプログラムを、外部への通信を遮断した隔離された仮想環境内で実際に動作させ、その挙動（振る舞い）を分析して判定する技術はどれか。

第333問セキュリティインシデント発生時に、法的証拠として利用できるように、データの保全（コピー）や解析、原因究明を行う一連の科学的調査手法を何というか。

第335問Webアプリケーションの入力データとして、OSに対する命令文（コマンド）を紛れ込ませ、サーバー側で不正に実行させる攻撃手法はどれか。

第336問あえて脆弱性を持たせた（あるいは脆弱に見せかけた）サーバーやシステムをネットワーク上に設置し、攻撃者を誘い込んで、その攻撃手法や行動を観察・記録するための「囮（おとり）」システムはどれか。

第337問公開鍵基盤（PKI）において、秘密鍵の漏えい等により、有効期限前に無効となったデジタル証明書のリスト（証明書失効リスト）を何というか。

第338問IoT機器（Webカメラやルーター等）がマルウェア（Mirai等）に感染し、ボットネットの一部として踏み台にされてしまう主な原因として、最も適切なものはどれか。

第339問個人情報保護法ガイドラインにおける「組織的安全管理措置」に該当するものはどれか。

個人情報保護士　⑥ 情報セキュリティと実務対策