FEsimu - 基本/応用情報技術者試験

大問一覧へ|応用令和7年秋期 問1　情報セキュリティ

ケース情報セキュリティ

企業グの対策に関する次の記述を読んで，設問に答えよ。 Z社は，産業機械を製造する企業で，L社をはじめとする複数の子会社を含めてZ社グを形成している。Z社グでは，Weベースの業務システムが複数運用されており，グ各社が共通で利用できる共通業務システムと各社内だけから利用できる個別業務システムの2種類がある。共通業務システムはZ社の内部内のセグメントG中に構築され，グ各社の拠点間を接続したVPN経由でアクセスされる。個別業務システムは各社が個別に構築しており，VPN経由も含めて社外からはアクセスできない。業務システムは全てZ社グ外に委託して開発したものであり，共通業務システムの運用管理はZ社の情報システム部が，個別業務システムの運用管理は各社の情報システム部が，それぞれっている。業務システムが稼働しているサーバ及び従業員が使用しているPCについては，各社の情報システム部が設定及び運用管理をしている。Z社グの構成(抜粋)を図1に示す。〔Z社の現状の対策〕 Z社は，信頼できる領域と信頼できない領域を定め，必要な管理策を実施している。Z社の現状の対策は次のとおりである。対策1：aの考え方に基づき，からZ社の内部への攻撃を入口となるで防いでいる。具体的には，子会社からのVPN経由での共通業務システムへのアクセスは許可し，からZ社内へのその他のアクセスは，共通業務システムへのアクセスも含めて禁止している。対策2：Z社内の，PC及び業務システムが稼働しているサーバには対策を導入している。対策3：Z社内の，PC，業務システムが稼働しているサーバ及び機器に対し，各ベンダーからの脆弱性情報やアップデート情報を日次で確認して，適宜パッチの適用やアップデートを実施している。対策4：Z社内の業務システムは，導入時に脆弱性診断を実施している。脆弱性が発見された場合は，利用開始までに対応を実施している。なお，各子会社については，それぞれ独自に対策を実施している。〔サプライチェーン攻撃の調査〕ある日，Z社の情報システム部の部長は，同業他社においてサプライチェーン攻撃による被害の事例が複数報告されていることを知り，主任にサプライチェーン攻撃の事例を調査して整理するように指示した。 T主任が調査した結果，サプライチェーン攻撃には幾つかのパターンがあることが分かった。T主任が整理したパターンを次に示す。ビジネスサプライチェーン攻撃標的とする会社の，対策が不十分な子会社や取引先などの関連会社を攻撃して，そこのシステムを踏み台として，内部などを経由して標的とする会社を攻撃する。サービスサプライチェーン攻撃標的とする会社が利用しているITサービスの運営事業者などを攻撃して，そのサービスのアカウントを乗っ取ったり，そのサービスを経由してを配布したりすることによって，最終的に標的とする会社を攻撃する。サプライチェーン攻撃標的とする会社の業務システムなどに導入しているの開発会社を攻撃してを改ざんしたり，業務システムなどで利用しているオープンのの脆弱性を利用したりすることによって最終的に標的とする会社を攻撃する。 (1)～(3)のパターンについて，主任が部長に報告したときの会話を次に示す。部長：サプライチェーン攻撃に対して，Z社グの現状の対策は十分ですか。T主任：不十分だと思います。Z社については，a の考え方で内部内の機器の防御をっているので，攻撃者によって内部に侵入されてしまうと，内部内の業務システムなどが容易に攻撃されるおそれがあります。部長：なるほど。実際，幾つかの共通業務システムは，VPN経由も含む内部からであれば認証無しでアクセスすることが可能なので，内部に侵入された場合に情報漏えいのがあるということですね。その他の懸念はありますか。T主任：業務システムについても懸念があります。システム導入以降は脆弱性診断を実施しておらず，導入以降に明らかになった脆弱性への対応ができていないおそれがあります。また，Z社グ全体に視野を広げると，対策の選定や機器の設定など，各社がそれぞれ独自に対策を実施しているので，対策が不十分な会社が存在するおそれがあります。部長：分かりました。今後は各社任せにするのではなく，我々Z社が中心となってZ社グ全体の対策を強化していく必要がありますね。Z社グ全体として追加すべき対策を検討してください。〔追加すべき対策〕 T主任はZ社グ各社の現状の対策を調査し，追加すべき対策を検討して次のようにまとめた。なお，子会社に対してはこれらの対策に加えて，①Z社グ全体の統制を強化しサプライチェーン攻撃の又は被害を低減する施策の実施を依頼する。対策5：全ての業務システムへのアクセスに対しては，従業員ごとに割り当てたIDとによる認証をう。また，は類推されにくいものだけが利用できるようにシステムで制限する。加えて，の原則に従い，各従業員に対して過剰な権限を与えないようにする。対策6：機密性の高い内部情報を扱う業務システムへのアクセスに対しては，多要素認証をう。対策7：機器などの管理用アカウントのは類推されにくいものにする。特に，機器の型番ごとに共通であることが多いcの利用は禁止する。対策8：業務システム，業務システムが稼働しているサーバ及び機器へのアクセスについては監視及びログの記録をい，それらのログをdで分析することによって攻撃の予兆検知や早期発見を図る。また，業務システムやへのアクセスログが記録されていることをZ社グ各社の従業員に周知し，②データの持出しなどの内部不正を抑止する。対策9：業務システム，業務システムが稼働しているサーバ及び機器については，機密情報の取扱いの有無などの重要度に応じて3か月から1年の周期で定期的な脆弱性診断をい，発見された脆弱性への対応をう。 T主任が検討の結果を部長に報告したところ，③サプライチェーン攻撃への対策として"対策9"に加えて実施すべき内容があると指摘された。そこでT主任は，業務システムなどで使用している製品及びについて，名称，バージョン，開発会社名などを一覧にまとめたe を作成することを，"対策10"として対策に追加することにした。 T主任は"対策10"も含めて部長に改めて報告し，追加すべき対策が承認された。

出典：ap-siken.com/kakomon/07_aki/pm01.html

設問1選択式

本文中のa，，d，eに入れる適切な字句を，それぞれ解答群の中から選び，記号で答えよ。

設問2記述式

本文中のcに入れる適切な字句を，5字以内で答えよ。

設問3選択式

〔追加すべき対策〕について答えよ。本文中の下線①について，具体的な施策として適切でないものを解答群の中から選び，記号で答えよ。本文中の下線②について，内部不正の抑止につながる理由を30字以内で答えよ。本文中の下線③について，部長は何を懸念して指摘したと考えられるか。脆弱性対策の観点に着目して35字以内で答えよ。