H29 秋期 SC 午前Ⅱ002

問1

平成 29 年度 秋期 情報処理安全確保支援士試験 午前Ⅱ

正解

完璧直前チェック

問1
解説

CRL（Certiﬁcate Revocation List）に掲載されるものはどれか。

エCRL は，有効期限内に失効した公開鍵証明書を記載したリストである。認証局から発行され，公開鍵証明書が失効しているかどうかを確認できる。
公開鍵証明書の有効期限内に秘密鍵の紛失や漏えいが発生した場合には，該当する証明

ア

有効期限切れになったディジタル証明書の公開鍵イ

有効期限切れになったディジタル証明書のシリアル番号ウ

有効期限内に失効したディジタル証明書の公開鍵エ

有効期限内に失効したディジタル証明書のシリアル番号書の廃棄手続きが行われ，公開鍵証明書のシリアル番号が CRL に記載される。

問2
解説

問

2

正解

完璧直前チェック

PKI を構成する OCSP を利用する目的はどれか。

ウOCSP（Online Certiﬁcate Status Protocol）は，ディジタル証明書の失効情報をリアルタイムで確認するためのプロトコルである。OCSP は CRL（証明書失効リスト）の代替として策定され，CRL をもたなくてもリアルタイムで失効情報を確認することが可能である。RFC 2560 によって規定されている。

ア

誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。

イ

ディジタル証明書から生成した鍵情報の交換が OCSP クライアントとレスポンダの間で失敗した際，認証状態を確認する。

問3

ア

解説
SAML（Security Assertion Markup Language）：標準化団体 OASIS によって策定された，

ウ

ディジタル証明書の失効情報を問い合わせる。

エ

有効期限が切れたディジタル証明書の更新処理の進捗状況を確認する。

ID やパスワードなどの認証情報を安全に交換するための仕様。SAML を用いることで，一度の認証で複数の Web サイトやサービスの利用が可能となるシングルサインオン（SSO：Single Sign-On）を実現できる。Web サイトが SAML に対応していれば，異なる

問3

正解

完璧直前チェック標準化団体 OASIS が，Web サイト間で認証，属性及び認可の情報を安全に交換するために策定したフレームワークはどれか。
アSAMLイSOAPウ

ドメインのサイトへ移動したときに，移動元のサイトと移動先のサイトが SAML プロト
コルで通信し，自動的に認証情報を引き継ぐことができる。
SOAP（Simple Object Access Protocol）：SOAP による通信では，XML 文書にエンベロープと呼ばれる付帯情報がついたメッセージを HTTP などでやり取りする。

XKMSエXKMS（XML Key Management Speciﬁcation）：XML を利用して公開鍵基盤（PKI）の鍵情報

XML Signatureを効率よく管理するためのプロトコルである。
XML Signature：W3C（World Wide Web Consortium）によって勧告された規格。XML においてディジタル署名を利用するための規格である。

003

春秋

H29 秋期 SC 午前Ⅱ

004

問

4

平成 29 年度 秋期 情報処理安全確保支援士試験 午前Ⅱ

正解

完璧直前
チェック

ハッシュ関数の性質の一つである衝突発見困難性に関する記述のうち，適切なものは

問4
解説

エ
衝突発見困難性は，ハッシュ値が一致する二つのメッセージを探索するための計算量が大きいことによって，探索が困難となり解読されにくいことを意味する。ハッシュどれか。

値はあらかじめわかっていない状態から解析を行う。

ア

SHA-256 の衝突発見困難性を示す，ハッシュ値が一致する二つのメッセージの探索に要する最大の計算量は，256 の 2 乗である。

イ

問5

SHA-256 の衝突発見困難性を示す，ハッシュ値の元のメッセージの探索に要する最大の計算量は，2 の 256 乗である。

ウ

衝突発見困難性とは，ハッシュ値が与えられたときに，元のメッセージの探索に要する計算量が大きいことによる，探索の困難性のことである。

エ衝突発見困難性とは，ハッシュ値が一致する二つのメッセージの探索に要する計算量が大きいことによる，探索の困難性のことである。

解説エエクスプロイトコード（exploit code）とは，ソフトウェアのセキュリティホールを利用して，不正な動作を再現するプログラムである。たとえば，OS のセキュリティホールを利用して，特権アカウントを搾取するプログラムなどが該当する。
ア：CSV などほかの製品が取り込める形式でのファイル出力は，エクスポートと呼ばれる。
イ：エクスプロイトコードは，暗号化を解除するものではない。
ウ：試作品を作成し，利用者の反応を見ながら完成形に近づける開発手法は，プロトタイプモデルとなる。

問5

正解

完璧直前
チェック

情報セキュリティにおけるエクスプロイトコードの説明はどれか。
ア同じセキュリティ機能をもつ製品に乗り換える場合に，CSV など他の製品に取り込むことができる形式でファイルを出力するプログラム

イ

コンピュータに接続されたハードディスクなどの外部記憶装置や，その中に保存されている暗号化されたファイルなどを閲覧，管理するソフトウェア

ウ

セキュリティ製品を設計する際の早い段階から実際に動作する試作品を作成し，それに対する利用者の反応を見ながら徐々に完成に近づける開発手法

エ

ソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラム

005

春秋

H29 秋期 SC 午前Ⅱ006

問6

平成 29 年度 秋期 情報処理安全確保支援士試験 午前Ⅱ

正解

完璧直前
チェック

問6
解説

DNS に対するカミンスキー攻撃（Kaminsky s attack）への対策はどれか

ウ
DNS に対するカミンスキー攻撃は，攻撃対象の DNS サーバに対して，存在するURL と同じドメイン内の存在しない名前を連続的に検索させ DNS キャッシュを汚染させア

DNS キャッシュサーバと権威 DNS サーバとの計 2 台の冗長構成とすることによっ取られた名称である。て，過負荷によるサーバダウンのリスクを大幅に低減させる。
イ

SPF（Sender Policy Framework）を用いて MX レコードを認証することによって，電子メールの送信元ドメインが詐称されていないかどうかを確認する。

ウ

問合せ時の送信元ポート番号をランダム化することによって，DNS キャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させる。

エる攻撃である。カミンスキーとは，この攻撃手法を発見した，ダン・カミンスキー氏からプレースホルダを用いたエスケープ処理を行うことによって，不正な SQL 構文による DNS リソースレコードの書換えを防ぐ。

カミンスキー攻撃への対策は，DNS での問合せ時に使用する送信元ポート番号をランダム化することで DNS キャッシュサーバに偽の情報がキャッシュされる確率を大幅に低減させることである。
ア：カミンスキー攻撃はキャッシュを汚染させる攻撃であるため，冗長化構成では対策とならない。
イ：電子メールで利用する MX レコードの対策では，IP アドレス情報をキャッシュするカミンスキー攻撃対策とはならない。
エ：説明文は，SQL インジェクションの対策である。

問

7

正解

完璧

直前チェック問7

DoS 攻撃の一つである Smurf 攻撃はどれか。

解説アSmurf 攻撃とは，ネットワークに大量のパケットを発生させてサービス不能状

ア

ICMP の応答パケットを攻撃対象に大量に送り付ける。

態を作り出す攻撃手法である。ICMP では，ICMP Echo Request が送信されると Echoイ

TCP 接続要求である SYN パケットを攻撃対象に大量に送り付ける。

Replay が返信される。攻撃者は送信元を攻撃対象のサイトに偽造して，Echo Request をウ

サイズが大きい UDP パケットを攻撃対象に大量に送り付ける。

エ

サイズが大きい電子メールや大量の電子メールを攻撃対象に送り付ける。

問8

正解

完璧

ブロードキャストアドレス宛に送信する。Echo Reply がネットワークのすべてのコンピュ直前
チェック

暗号化装置において暗号化処理時に消費電力を測定するなどして，当該装置内部の秘密情報を推定する攻撃はどれか。

ータから返信され，この大量の Reply によりサービス不能となる。

問8

イ

解説
キーロガー：コンピュータへのキー入力をすべて記録して，パスワード等を入手する目的で利用される。不特定多数で利用される PC へ仕掛けることで，ネットバンキングの口座番号や暗証番号などを盗むことに利用される場合が多い。

ア

キーロガー

イ

サイドチャネル攻撃ウ

スミッシングエ

中間者攻撃

サイドチャネル攻撃：暗号を解読するための攻撃手法の一つである。暗号化や復号をする際に発生する電磁波，熱，演算処理時間など暗号化を直接解読するのではなく，外部からの観測といった二次的要素から解読を行う手法である。
スミッシング：携帯電話の SMS（ショートメッセージングサービス）を利用してあたかも有名サイトや，携帯会社のふりをし，フィッシングサイトに誘導する詐欺手法である。
中間者攻撃（Man-in-the-middle）：通信を行う 2 者間に割り込んで，両者が交換する情報を自分のものとすり替えることによって，気づかれることなくデータを盗聴する。

007

春秋

H29 秋期 SC 午前Ⅱ008

問9

平成 29 年度 秋期 情報処理安全確保支援士試験 午前Ⅱ正解

完璧

直前
チェック

ステートフルインスペクション方式のファイアウォールの特徴はどれか。

問9解説

エ
ステートフルインスペクション方式は，ファイアウォールを通過したパケットの通信セッションを認識し，通信セッションの状態に合わせて通過させる方式である。たとWeb クライアントと Web サーバとの間に配置され，リバースプロキシサーバとしえば，あるソフトウェアのデータ通信時に制御用通信とデータ転送用通信を別々のポートて動作する方式であり，Web クライアントからの通信を目的の Web サーバに中継すで通信する場合，ステートフルインスペクション方式であれば，制御用の通信がファイアアる際に，通信に不正なデータがないかどうかを検査する。
イ

アプリケーションプロトコルごとにプロキシソフトウェアを用意する方式であり，クライアントからの通信を目的のサーバに中継する際に，通信に不正なデータがないかどうかを検査する。
ウ

特定のアプリケーションプロトコルだけを通過させるゲートウェイソフトウェアをウォールを通過したときに，動的にデータ転送用通信ポートを開放する。通常はファイアウォールで遮断しているポートを必要に応じて開放される仕組みである。
ア：WAF（Web Application Firewall）の説明である。
イ，ウ：アプリケーションゲートウェイ方式の説明である。

利用する方式であり，クライアントからのコネクションの要求を受け付けて，目的の問 10

サーバに改めてコネクションを要求することによって，アクセスを制御する。

解説エイ
ディジタル証明書は，1988 年に ITU が勧告した X.509 によって公開鍵証明書が標

パケットフィルタリングを拡張した方式であり，過去に通過したパケットから通信準化されている。ディジタル証明書には，シリアル番号，発行者名，有効期間，所有者名，セッションを認識し，受け付けたパケットを通信セッションの状態に照らし合わせて所有者の公開鍵などの情報が含まれており，認証局の秘密鍵で電子署名が付与されている。

通過させるか遮断するかを判断する。

ア：S/MIME や TLS で利用するディジタル証明書の規格は，ITU-T の X.500 ディレクトリ
シリーズの X.509 で規定されている。

問 10

正解

完璧直前チェック

ディジタル証明書に関する記述のうち，適切なものはどれか。
アS/MIME や TLS で利用するディジタル証明書の規格は，ITU-T X.400 で標準化されている。
イ

ディジタル証明書は，TLS プロトコルにおいて通信データの暗号化のための鍵交換や通信相手の認証に利用されている。
ウ

認証局が発行するディジタル証明書は，申請者の秘密鍵に対して認証局がディジタル署名したものである。

エルート認証局は，下位の認証局の公開鍵にルート認証局の公開鍵でディジタル署名したディジタル証明書を発行する。

ウ：ディジタル証明書には，申請者の公開鍵に対して認証局の電子署名が付与されている。
エ：下位の認証局の証明書は，ルート認証局の秘密鍵で電子署名されている。

009

春秋

H29 秋期 SC 午前Ⅱ010

問 11

平成 29 年度 秋期 情報処理安全確保支援士試験 午前Ⅱ正解

完璧直前チェック不適合への対応のうち，JIS Q 27000 : 2014（情報セキュリティマネジメントシステム−用

問 11
解説

イ
JIS Q 27000 : 2014 は，組織の事業リスク全般に対する考慮のもとで文書化したISMS（Information Security Management System）の規格である。ISMS は，情報セキュリ語）の 是正処置 の定義はどれか。

ティマネジメントシステムと呼ばれる。組織が業務上，維持すべきセキュリティレベルを決定し，そのための計画と資源配分を策定して実際に運用することである。ISMS は外部

ア

不適合によって起こった結果に対処するための処置

イ

不適合の原因を除去し，再発を防止するための処置

ウ

不適合の性質及び対応結果について文書化するための処置

エ

不適合を除去するための処置審査機関によって審査・認証される。
是正処置は，監査で発見された不適合の原因を除去し，再発を防止するための処置である。
ア：JIS Q 27000 : 2014 に用語の定義にはないが，改善の説明といえる。
イ：是正処置の説明である。

問 12

正解

完璧直前
チェック

JIS Q 27000 : 2014（情報セキュリティマネジメントシステム−用語）における情報セキュリティリスクに関する記述のうち，適切なものはどれか。
ア

脅威とは，一つ以上の要因によって悪用される可能性がある，資産又は管理策の弱点のことである。
脆弱性とは，システム又は組織に損害を与える可能性がある，望ましくないインシイ

デントの潜在的な原因のことである。
ウ

リスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
エ

リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

ウ：JIS Q 27000 : 2014 に用語の定義にはないが，監査報告書の説明といえる。
エ：修正の説明である。

問 12
解説

エ
JIS Q 27000 : 2014 は，組織の事業リスク全般に対する考慮のもとで文書化したISMS（Information Security Management System）の規格である。
情報セキュリティリスクは，脅威が情報資産の脆弱性または情報資産グループの脆弱性に付け込み，その結果，組織に損害を与える可能性にともなって生じるものである。
リスク対応は，リスクを修正するプロセス。リスクの回避，リスク排除，リスク予防，リスク低減を行うことである。
ア：脆弱性の説明である。
イ：脅威の説明である。
ウ：リスク評価の説明である。
エ：正しい。リスク特定の説明である。

011

春
秋

H29 秋期 SC 午前Ⅱ

012

問 13

平成 29 年度 秋期 情報処理安全確保支援士試験 午前Ⅱ

正解

完璧直前
チェック

基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

ア春

基本評価基準（Base Metrics）：情報システムのセキュリティの考え方である。機密性，完秋

問 13
解説
全性，可用性に対する影響を評価する。

アCVSS

イISMS

ウ

エ

PCI DSS

問 14

現状評価基準（Temporal Metrics）：脆弱性について現在の深刻度を調査する。

PMS

環境評価基準（Environmental Metrics）：製品利用者の利用環境も含めた脆弱性について調査する。

正解

完璧

直前
チェック

攻撃者が，Web アプリケーションのセッションを乗っ取り，そのセッションを利用してアクセスした場合でも，個人情報の漏えいなどに被害が拡大しないようにするために，重要な情報の表示などをする画面の直前で Web アプリケーションが追加的に行う対策として，最も適切なものはどれか。

評価手法である。CVSS では，基本評価基準，現状評価基準，環境評価基準といった三つの基準で脆弱性を評価する。
ISMS（Information Security Management System）：情報セキュリティマネジメントシステ
ム。企業が情報を適切に管理し，機密情報を守るための仕組みである。
キュリティ基準である。

Web ブラウザとの間の通信を暗号化する。

イ

発行済セッション ID を Cookie に格納する。

ウ

発行済セッション ID を HTTP レスポンスボディ中のリンク先の URI のクエリ文字列

PMS（Personal information protection Management Systems）：個人情報保護マネジメントに設定する。
エCVSS（Common Vulnerability Scoring System）：情報システムの脆弱性に対する汎用的なPCI DSS（Payment Card Industry Data Security Standard）：クレジット業界の世界的なセアパスワードによる利用者認証を行う。

システムのことで，プライバシマーク（P マーク）の認証取得のために必要となる管理ルールである。

問 14
解説

問 15

正解

完璧

直前
チェック

ス パ ム メ ー ル の 対 策 と し て， 宛 先 ポ ー ト 番 号 25 の 通 信 に 対 し て ISP が 実 施 す る
OP25B の例はどれか。
ア

ISP 管理外のネットワークからの通信のうち，スパムメールのシグネチャに該当するものを遮断する。
イ

動的 IP アドレスを割り当てたネットワークから ISP 管理外のネットワークへの直接の通信を遮断する。
ウ

メール送信元のメールサーバについて DNS の逆引きができない場合，そのメールサーバからの通信を遮断する。
エ

メール不正中継の脆弱性をもつメールサーバからの通信を遮断する。

013

エ
Web アプリケーションのセッションを乗っ取られ，そのセッションを利用された

場合，被害者が画面上で操作できることを攻撃者が悪意をもって操作できるようになる。
この場合は，利用者しか知りえない情報を追加対策として入れることが有効である。
ア：通信路を暗号化してもセッションを乗っ取られた場合は防御できない。
イ，ウ：発行済みセッション ID は，セッションを乗っ取られているため Cookie への格納や，URI のクエリ文字列へ設定しても乗っ取られてしまう。
エ：防御策として有効である。セッションを乗っ取られても，重要な情報の前でパスワードによる利用者認証が入れば，パスワードを知らない攻撃者は先へのアクセスができない。

問 15
解説

イ
OP25B（Outbound Port 25 Blocking）は，動的 IP アドレスを割り当てたネットワークから，外部ネットワークへのポート番号 25 の通信（SMTP）を遮断する手法である。
ウイルス感染 PC や迷惑メール発信者がメールを外部サーバへ直接発信できなくするのが OP25B である。
ア：シグネチャマッチング方式による対策である。
ウ：DNS による逆引きを利用した対策である。
エ：RBL（Realtime Blackhole List）による対策である。

H29 秋期 SC 午前Ⅱ014

問 16

平成 29 年度 秋期 情報処理安全確保支援士試験 午前Ⅱ正解

完璧直前
チェック

外部から侵入されたサーバ及びそのサーバに接続されていた記憶媒体を調査対象とし

問 16
解説エ
ディジタルフォレンジックスは，パソコンやサーバなどのコンピュータ機器が犯てディジタルフォレンジックスを行うことになった。まず，稼働状態にある調査対象サ罪や裁判での証拠となり得るときに，データを保全し賠償などに備えることや，内容を分ーバや記憶媒体などから表に示す a 〜 d のデータを証拠として保全する。保全の順序の析，鑑定するための手段や技術を指す。
設問では外部から侵入されたサーバと，サーバに接続されている記憶媒体が調査対象でうち，最も適切なものはどれか。

あるから，初めに外部からの侵入部分をチェック（d）する。その後，ファイルの改ざんチ
ェック（c），遠隔にあるログチェック（a）という順序になる。b のインストール CD は読み証拠として保全するデータ取り専用であるため，確認の優先度は最後となる。

a

遠隔にあるログサーバに記録された調査対象サーバのアクセスログb

調査対象サーバにインストールされていた会計ソフトのインストール用 CD

c

調査対象サーバのハードディスク上の表計算ファイルd

調査対象サーバのルーティングテーブルの状態

問 17

a→ c →d→b

EAP（Extensible Authentication Protocol）：PPP（Point to Point Protocol）を拡張した認証プ

イb→ c → a → d

ロトコル。ユーザ ID/ パスワード以外にも，スマートカード（IC カード）やディジタル

ウc→ a →d→b

証明書などさまざまな認証方式をサポートしている。EAP-TLS, EAP-TTLS などがある。

d→ c → a → b

RADIUS（Remote Authentication Dial In User Service）：アクセスサーバと認証サーバ間でc の後に，a となるのは，a が遠隔にあるため，外部からの侵入では改ざんされる可能性が，c よりも低いからである。

エ解説
アエ

やり取りする認証プロトコル。クライアントが認証を求める際に，認証を必要とするサ

問 17ーバ（アクセスサーバ）と認証機能を分離し，利用者の一元管理，アクセスログの記録
正解

完璧直前チェック

無線 LAN の情報セキュリティ対策に関する記述のうち，適切なものはどれか。
ア

EAP では，クライアント PC とアクセスポイントとの間で，あらかじめ登録した共通鍵による暗号化通信を実現できる。
イ

RADIUS では，クライアント PC とアクセスポイントとの間で公開鍵暗号方式による暗号化通信を実現できる。
ウ

SSID は，クライアント PC ごとの秘密鍵を定めたものであり，公開鍵暗号方式による暗号化通信を実現できる。
エWPA2-Enterprise では，IEEE 802.1X の規格に沿った利用者認証及び動的に配布される暗号化鍵を用いた暗号化通信を実現できる。

が可能となる。
SSID（Service Set ID）：無線 LAN のアクセスポイントを識別するための ID である。
WPA2-Enterprise（Wi-Fi Protected Access 2 Enterprise）：WPA の改良版で，AES（AdvancedEncryption Standard）を採用した CCMP（Counter-mode with CBC-MAC Protocol）暗号化方式である。WPA2 は，個人の自宅のようにアクセスポイントで直接認証する。WPA2Enterprise は，認証サーバを利用した方式となる。

015

春
秋

H29 秋期 SC 午前Ⅱ016

平成 29 年度 秋期 情報処理安全確保支援士試験 午前Ⅱ

問 18

正解

完璧

直前
チェック

ルータで接続された二つのセグメント間でのコリジョンの伝搬とブロードキャストフ

問 18
解説

ア
ルータで接続された二つのセグメント間の通信は，OSI 参照モデルで考える必要がある。コリジョンおよびブロードキャストフレームは，いずれも第 2 層のデータリンク

レームの中継について，適切な組合せはどれか。

層で中継される。そのため，第 3 層のルータでは伝搬されない。注意しなければならない
コリジョンの伝搬のは，ブロードキャストフレームは第 2 層だが，ブロードキャストパケットとなると第 3ブロードキャストフレームの中継層になる。呼び方に注意する必要がある。

ア

伝搬しない

中継しない

コリジョン：フレームの衝突を通知すること。

イ

伝搬しない

中継する

ブロードキャストフレーム：第 2 層で接続されている機器全体へ送付するフレーム。

ウ

伝搬する

中継しない

エ

伝搬する

OSI 基本参照モデル

中継する

問 19

正解完璧

アプリケーション層
プレゼンテーション層

第5層

セッション層

第 4 層 トランスポート層
第 3 層 ネットワーク層
第 2 層 データリンク層
第 1 層 物理層

直前
チェック

1 台のサーバと複数台のクライアントが，100 Mビット / 秒の LAN で接続されている。

機器

PDU

第7層
第6層

メッセージセグメント
パケット
フレーム
ビット

ゲートウェイなど
ルータ，L 3 スイッチ
ブリッジ，L 2 スイッチ
リピータ，ハブ

PDU（Protocol Data Unit）：各層でデータを扱う単位。

業務のピーク時には，クライアント 1 台につき 1 分当たり 600 k バイトのデータをサーバからダウンロードする。このとき，同時使用してもピーク時に業務を滞りなく遂行できるクライアント数は何台までか。ここで，LAN の伝送効率は 50％，サーバ及びクラ問 19

イ

イアント内の処理時間は無視できるものとし，1 Mビット / 秒＝ 106 ビット / 秒，1 k バ

解説

イト＝ 1,000 バイトとする。のデータ量）で求められる。

クライアント数は，（1 秒間の実効データ転送速度）
÷（クライアント 1 台の 1 秒間

（0.5 × 100 × 10 6 ÷ 8）÷（ 600 × 10 3 ÷ 60 ）＝（ 6.25 × 10 6 ）÷（ 1×10 4 ）＝ 625

ア

10

イ625

ウ

エ

1,250

問 20

伝送効率は，ネットワーク回線の単位時間当たりに転送できるデータ量の比率。通信量

5,000

正解が増えると，衝突が発生して低下することがある。
完璧

直前
チェック

ネットワークに接続されているホストの IP アドレスが 198.51.100.90 で，サブネットマスクが 255.255.255.224 のとき，ホストアドレスはどれか。
ア

10

イ

26

ウ90

エ212

問 20
解説イ
サブネットマスクから，ホストアドレスを求める。設問からサブネットマスクとホストの IP アドレスを 2 進数表記すると，下表のようになる。
サブネットマスク（2 進数表記）
ホストの IP アドレス
（2 進数表記）

255.

255.

255.

22411111111.

11111111.

11111111.

11100000

198.

51.

100.

90

11000110.

00110011.

01100100.

01011010

サブネットマスクの 2 進数表記では，下位 5 ビットが 0 となっている。ホストアドレスはこの下位 5 ビットで示されるところであるため，これをホストの IP アドレスの 2 進数表
記から読み取ると，11010 となる。これを 10 進数に変換すると，11010 ＝ 26 となる。

017

春
秋

H29 秋期 SC 午前Ⅱ

018

問 21

平成 29 年度 秋期 情報処理安全確保支援士試験 午前Ⅱ

正解

完璧

直前
チェック

ビッグデータの解析に利用されるニューラルネットワークに関する記述のうち，適切

問 21
解説

ウ
ニューラルネットワークは，人間の脳内にある神経細胞（ニューロン）とそのつながりといった，神経回路網を人工的に IT を利用してソフトウェア的に表したものである。

なものはどれか。

ア：誤差逆伝播法は，出力層から入力層に向かって調整する手法である。

ア

誤差逆伝播法（バックプロパゲーション）は，ニューラルネットワーク全体の重みを調整する手法であり，調整作業は入力層から出力層に向かって行われる。
イ

サポートベクタマシンは機械学習に必要な機能を実現する装置のことであり，ニューラルネットワークで大量計算する際に利用される。
ウ

深層学習（ディープラーニング）に用いられるニューラルネットワークは，入力層と出力層の間に複数の中間層をもつモデルが利用される。

イ：サポートベクタマシンは，データの境界面を利用し分類する手法である。大量計算よりもより深く計算するものに利用される。
ウ：正しい。
エ：オーバフィッティングは，異常なデータ量が多すぎる場合や，必要なデータが少なすぎる場合に発生し，データの解析制度が落ちることを指す。

中間層を増やしたニューラルネットワークによる訓練データを用いた学習は，訓練問 22

データ以外の未知のデータに対しても高精度な正解が導け，これを過学習（オーバフ解説ィッティング）という。

システムがさまざまな利害関係者の明示的ニーズおよび暗黙のニーズを満足している度合エエ
JIS X 25010 : 2013 は，定義された特定の条件で利用する場合の，システムの品質，いを表すための規格要求事項である。満足性は，製品又はシステムが明示された利用状況

問 22

正解

完璧直前チェック

JIS X 25010 : 2013（システム及びソフトウェア製品の品質要求及び評価（SQuaRE）−システム及びソフトウェア品質モデル）におけるシステムの利用時の品質特性に 満足性がある。 満足性 の品質副特性の一つである 実用性 の説明はどれか。
ア

個人的なニーズを満たすことから利用者が感じる喜びの度合い

イ

利用者がシステム又はソフトウェアを利用するときの快適さに満足する度合い

ウ

利用者又は他の利害関係者がもつ，製品又はシステムが意図したとおりに動作するという確信の度合い

エ

利用の結果及び利用の影響を含め，利用者が把握した目標の達成状況によって得られる利用者の満足の度合いにおいて使用されるとき，利用者ニーズが満足される度合いである。
ア：快感性の説明である。
イ：快適性の説明である。
ウ：信用性の説明である。
エ：正しい。実用性の説明である。

019

春秋

H29 秋期 SC 午前Ⅱ

020

問 23

平成 29 年度 秋期 情報処理安全確保支援士試験 午前Ⅱ

正解

完璧直前チェック企業間で，商用目的で締結されたソフトウェアの開発請負契約書に著作権の帰属が記

問 23
解説

ウ
ソフトウェアは，注文者が依頼する仕様書に基づいて請負人が開発するので，著作権はソフトウェアの開発元である請負人にある。ただし，委託契約書で開発成果物の著載されていない場合，著作権の帰属先として，適切なものはどれか。

作権の帰属先を記載してあれば，それに従う。設問では著作権の帰属先が明記されてない

ア

請負人，注文者のどちらにも帰属しない。

イ

請負人と注文者が共有する。

ウ

請負人に帰属する。

エ

注文者に帰属する。

ので請負人に著作権があり，注文者はその開発成果物を別のソフトウェアに転用できないことになる。

問 24
解説

問 24

正解

完璧

直前
チェック

情報システムの設計のうち，フェールソフトの考え方を適用した例はどれか。

ウ
フェールソフトとは，システムに障害が発生した場合，障害箇所を切り離して障害の影響の拡大を防ぎ，規模を縮小して稼働を継続するシステム構成技法である。
ア：フォールトトレランスに関する説明である。システム障害発生時にも正常な動作を維持できるようにシステムを構成する手法。
イ：フェールセーフに関する説明である。システムに故障が発生した場合，生命や周辺のア

UPS を設置することによって，停電時に手順どおりにシステムを停止できるようにする。

イ構成手法。

制御プログラムの障害時に，システムの暴走を避け，安全に運転を停止できるよう

エ：フールプルーフに関する説明である。利用者の誤入力や誤操作を想定し，あらかじめそのような事象が発生しないようにシステムを構成する。にする。
ウ

機器へ損害を及ぼすことのないように，常に安全な状態にシステムを維持するシステムハードウェアの障害時に，パフォーマンスは低下するが，構成を縮小して運転を続けられるようにする。

エ

問 25

利用者の誤操作や誤入力を未然に防ぐことによって，システムの誤動作を防止できるようにする。

解説ア
システム監査基準は，情報システムを適切に管理・運用することを目的とした基準である。
具体的には以下がある。

問 25

正解

完璧

直前
チェック

株式会社の内部監査におけるシステム監査を，システム監査基準（平成 16 年）に基づいて実施する場合の監査責任者及びメンバに関する記述のうち，適切なものはどれか。

・システム監査基準の品質を確保し，有効かつ効率的に監査を実施する。
・リスクコントロールがリスクアセスメントに基づいて整備・運用されているかをシステ
ム監査人が評価し，保証・助言を行い，IT ガバナンスの実現に寄与する。
ア：正しい。システム監査は，利害関係がないメンバが担当する必要があるため，過去に在籍していた部門に対する監査をする場合，一定期間置くのがよい。

アあるメンバを，当該メンバが過去に在籍していた部門に対する監査に従事させる場合，一定の期間を置く。

イ

監査責任者は，当該株式会社の株主に限る。

ウ

監査部門の在籍期間について，メンバの場合は制限がないが，監査責任者の場合は会社法における監査役の任期を下回ってはならない。

エメンバの給与その他の報酬の水準は，監査部門に在籍中は引き下げてはならない。

イ：内部監査の場合，企業内の監査担当が責任者となるため，株主ではない。
ウ：内部監査の場合，会社法の監査役とは関連していない。そのため，監査責任者と，監査役の任期は関係ない。
エ：内部監査のメンバの給与の基準は，関連しない。

021

春
秋