H26 春期 SC 午前Ⅱ002

問1003

平成 26 年度 春期 情報セキュリティスペシャリスト 午前Ⅱ

正解

完璧直前チェック

特定の認証局が発行した CRL（Certificate Revocation List）に関する記述のうち，適切

問1
解説

イ
CRL（Certificate Revocation List）は，有効期間中に失効した公開かぎ証明書を記春載したリストで，認証局から発行される。公開かぎ証明書の検証時に，公開かぎ証明書のなものはどれか。

失効確認に使用するため常に参照される。

ア

CRL には，失効したディジタル証明書に対応する秘密鍵が登録される。

イ

CRL には，有効期限内のディジタル証明書のうち破棄されているディジタル証明書と破棄された日時の対応が提示される。

ウ

CRL は，鍵の漏えい，破棄申請の状況をリアルタイムに反映するプロトコルである。

エ

有効期限切れで失効したディジタル証明書は，所有者が新たなディジタル証明書を取得するまでの間，CRL に登録される。

問2

正解

完璧直前チェックXML 署名において署名対象であるオブジェクトの参照を指定する表記形式はどれか。

公開かぎ証明書の有効期間中に秘密かぎの紛失や漏えいが発生した場合には該当する証明書の廃棄手続きが行われ，公開かぎ証明書のシリアル番号が CRL に記載される。
ア：秘密鍵ではなく，公開鍵が登録される。
ウ：CRL は定期的に更新されるがリアルタイムに更新されない。
エ：失効したディジタル証明書は，所有者が新たなディジタル証明書を取得しても CRLに登録された状態を継続する。

問2
解説

ウ
XML 署名は，XML 文書に付加する署名である。署名のアルゴリズムや証明書あるいは署名のタグを定め，任意のデータに署名を付けられるだけでなく，XML 文書の指定したエレメントやコンテントに対して署名を付けることもできる。署名の表示形式は

ア

OID の形式

URI（Uniform Resource Identifier）が使用される。

イ

SSID の形式

OID（Object IDentifier）：オブジェクト識別子である。通信において識別されるべきオブジウ

URI の形式

エディジタル証明書のシリアル番号の形式

問

3

ェクトを，全世界で一意に識別できるよう管理するために割り当てられた値である。
SSID（Service Set ID）：無線 LAN のアクセスポイントを識別するための ID である。

正解

完璧

直前
チェック

クラウドサービスにおける，従量課金を利用した EDoS（Economic Denial of Service，Economic Denial of Sustainability）攻撃の説明はどれか。

問3
解説

ウ
EDoS（Economic Denial of Service）は，クラウドサービスで従量課金となっているネットワーク利用料金を利用して，利用企業のサーバに対する従量課金金額を増やすことを目的とした攻撃である。攻撃された企業のサーバは課金額が膨大となり支払による経ア

カード情報の取得を目的に，金融機関が利用しているクラウドサービスに侵入する済的な損失が発生する。

攻撃
イ

課金回避を目的に，同じハードウェア上に構築された別の仮想マシンに侵入し，課金機能を利用不可にする攻撃

ウ

クラウド利用企業の経済的な損失を目的に，リソースを大量消費させる攻撃エパスワード解析を目的に，クラウド環境のリソースを悪用する攻撃

Web_SC_H26Sam2.indd 2-3

2014/10/09 17:37

H26 春期 SC 午前Ⅱ004

問4005

平成 26 年度 春期 情報セキュリティスペシャリスト 午前Ⅱ

正解

完璧直前チェック

スパムメールの対策として，宛先ポート番号 25 番の通信に対して ISP が実施する

問4
解説

イ
OP25B（Outbound Port 25 Blocking）は，内部ネットワークから外部ネットワー

春

クへのポート 25 番の通信（SMTP）を遮断する手法である。例えば，ISP が OP25B を用い

OP25B の説明はどれか。

ることで，会員が ISP の外部ネットワークに存在するメールサーバを使用してスパムメー

ア

ISP 管理外のネットワークからの通信のうち，スパムメールのシグネチャに該当すルを送信しようとすることを防止することが可能となる。

るものを遮断する。
イ

動的 IP アドレスを割り当てたネットワークから ISP 管理外のネットワークへの直接の通信を遮断する。

ウ

メール送信元のメールサーバについて DNS の逆引きができない場合，そのメールサーバからの通信を遮断する。
エ問5
解説

イ
TPM（Trusted Platform Module）とは，PC に内蔵する暗号化の鍵を格納するセキュリティチップである。一般的に，企業向け PC のハードディスクを暗号化してセキュリティを高めるために，このチップの搭載が進んでいる。

メール不正中継の脆弱性をもつメールサーバからの通信を遮断する。

仕組みとしては，ハードディスクを暗号化する鍵をセキュリティチップに記録する。ハードディスクが盗難にあってもセキュリティチップに格納された鍵がなければ複合できない。

問5

正解

完璧

直前
チェック

PC などに内蔵されるセキュリティチップ（TPM：Trusted Platform Module）がもつ機

セキュリティチップには，ハードディスクに格納するデータを暗号化するための鍵を生成する機能がある。
ア：TPM 間の共通鍵ではなく，TPM とハードディスク間の共通鍵交換となる。
ウ：証明書の発行は，TPM では行えない。

能はどれか。

エ：TPM は PC 内のみで利用できる。PC からはずすと PC が起動できなくなる。したがア

TPM 間での共通鍵の交換

イ

鍵ペアの生成ウ

ディジタル証明書の発行

エネットワーク経由の乱数送信って，取り外しやネットワーク経由等では利用できない。

問6
解説

問

6

正解

完璧

直前
チェック

ファイアウォールにおけるダイナミックパケットフィルタリングの特徴はどれか。

エダイナミックパケットフィルタリングは，ファイアウォールのパケット通過時のパケット開放の方式である。内部から外部への通信を実行した際に，外部からの戻りパケットもファイアウォールで開放する必要がある。ダイナミックパケットフィルタリングでは，戻りパケットを必要な状況に応じて動的に開放し，要求がない場合はポートを閉じておく方式である。

ア

IP アドレスの変換が行われるので，ファイアウォール内部のネットワーク構成を外部から隠蔽できる。

イ

暗号化されたパケットのデータ部を復号して，許可された通信かどうかを判断で

ア：IP アドレスの変換とは関係がない。
イ：パケットの暗号化とは関係がない。
ウ：パケットのデータ部分のチェックは行っていない。

きる。
ウ

パケットのデータ部をチェックして，アプリケーション層での不正なアクセスを防止できる。

エ

戻りのパケットに関しては，過去に通過したリクエストパケットに対応付けられるものだけを通過させることができる。

Web_SC_H26Sam2.indd 4-5

2014/10/09 17:37

H26 春期 SC 午前Ⅱ006

問

7007

平成 26 年度 春期 情報セキュリティスペシャリスト 午前Ⅱ

正解

完璧

直前
チェック

エ

外部から入るパケットの送信元 IP アドレスが自ネットワークのものであれば，そのパケットを破棄する。

ポリモーフィック型のウイルスの説明として，適切なものはどれか。
ア

インターネットを介して，攻撃者が PC を遠隔操作する。

イ

感染するごとにウイルスのコードを異なる鍵で暗号化し，ウイルス自身を変化させ解説て同一のパターンで検知されないようにする。
ウ

複数の OS で利用できるプログラム言語でウイルスを作成することによって，複数ルートキットを利用してウイルスに感染していないように見せかけることによって，ウイルスを隠蔽する。

問8

正解

完璧直前
チェック

ICMP Flood 攻撃に該当するものはどれか。
ア

信の負荷を掛ける。

徴がある。ウイルス対策ソフト側では，この特徴を利用してウイルス感染を検出する。
ア：ハッキングまたはクラッキングの説明である。

問8
解説

イ
ICMP Flood 攻撃は，ping を用いてサーバに対して行われる代表的な DoS（DenialICMP を利用している点である。利用するプロトコルにより攻撃名称が異なる。
ICMP（Internet Control Message Protocol）：ping や traceroute（経路情報を得るコマンド）に用いられる送信エラーや，制御メッセージの通知に利用される。

ping コマンドを用いて大量の要求パケットを発信することによって，攻撃対象のサーバに至るまでの回線を過負荷にしてアクセスを妨害する。
ウ

ポリモーフィック型ウイルスは，感染するたびにウイルス自体を暗号化することにより，ウイルス対策ソフトから検知されないように振る舞うウイルスである。暗号化さof Service:：サービス不能）攻撃の一つである。選択肢イ，ウ，エの攻撃との違いは，HTTP GET コマンドを繰返し送ることによって，攻撃対象のサーバにコンテンツ送イ

イ

れたコードは変化するが，ウイルスが発動するときの復号ロジックは変換しないという特の OS 上でウイルスが動作する。
エ問7

春

ア：HTTP GET Flood の説明である。
ウ：TCP SYN Flood の説明である。

コネクション開始要求に当たる SYN パケットを大量に送ることによって，攻撃対

エ：TCP Connection Flood の説明である。

象のサーバに，接続要求ごとに応答を返すための過大な負荷を掛ける。
エ

大量の TCP コネクションを確立することによって，攻撃対象のサーバに接続を維持させ続けてリソースを枯渇させる。

問9
解説

エ
IP スプーフィングとは，攻撃者が送信元を隠ぺいするために，送信元 IP アドレスを偽装したパケットを相手に送りつけることである。外部からのパケットは，通常であ

問

9

正解

完璧

直前
チェック

自ネットワークのホストへの侵入を，ファイアウォールにおいて防止する対策のうち，IP スプーフィング（spoofing）攻撃の対策について述べたものはどれか。

れば発信元は「外部」，あて先は「自ネットワーク」となる。しかし選択肢エでは，発信元が自ネットワークであり，自ネットワークを発信元としたパケットが外部から送られてくることは不自然である。
選択肢ア，イ，ウは，IPスプーフィングではなく，ア

外部から入る TCP コネクション確立要求パケットのうち，外部へのインターネッ
トサービスの提供に必要なもの以外を破壊する。

イ

外部から入る UDP パケットのうち，外部へのインターネットサービスの提供や利用したいインターネットサービスに必要なもの以外を破棄する。
ウ

外部から入るパケットの宛先 IP アドレスが，インターネットとの直接の通信をすべきでない自ネットワークのホストのものであれば，そのパケットを破棄する。

Web_SC_H26Sam2.indd 6-7

クラッカ

偽発信元IP ：a.a.a.a
あて先サーバ：Y.Y.Y.Y
大量のパケットを送信

不正アクセスに対する防Y.Y.Y.Yのサーバ止策である。
IP スプーフィングで発信
元 を 偽 装 し た DoS 攻 撃 のときのパケットの流れは，パケットの返信は本当のa.a.a.aに返信

Y.Y.Y.Yとa.a.a.aの間で大量のトラフィックが発生

本当に，a.a.a.aをもつサーバ

右図のようになる。

2014/10/09 17:37

H26 春期 SC 午前Ⅱ008

問 10009平成 26 年度 春期 情報セキュリティスペシャリスト 午前Ⅱ

正解

完璧直前
チェック

Web サーバが HTTPS 通信の応答で cookie に Secure 属性を設定したときのブラウザの

問 10
解説

ウ
Web サーバが HTTPS 通信を利用している場合，セッション ID が第三者に漏え春いすることを防止するために，cookie 発行時に Secure 属性を付ける対策がある。これは，処理はどれか。

Web へのアクセスの際に同一ホスト内で，HTTP のページと HTTPS のページがあり相互ア

ブラウザは，cookie の Secure = に続いて指定された時間を参照し，指定された時間を過ぎている場合にその cookie を削除する。

イに行き来する場合に HTTP 通信時に HTTPS で使うべき cookie の値が流出する可能性があるためである。対処方法としては，HTTPS 通信時だけ cookie を送信する。

ブラウザは，cookie の Secure = に続いて指定されたホスト名を参照し，指定され問 11たホストにその cookie を送信する。
ウ

ブラウザは，cookie の Secure を参照し，HTTPS 通信時だけその cookie を送信する。

エ

ブラウザは，cookie の Secure を参照し，ブラウザの終了時にその cookie を削除する。

解説

ウテンペスト（TEMPEST）攻撃とは，コンピュータやディスプレイ，ケーブル等から放射される電磁波を受信・解析することで，キー入力情報の収集や表示画面の復元などを行う攻撃（盗聴）手法である。
テンペスト攻撃の対策としては，周辺機器やケーブル等をシールドして電波の放射を防

問 11

正解

完璧

直前
チェック

テンペスト（TEMPEST）攻撃を説明したものはどれか。

ぐ方法が有効である。具体的には，回線設計の段階で信号の漏えいを防ぎつつ，ケーブル等を被覆して電磁波をシールドすることが基本的な対策である。また，コンピュータの設置された部屋全体をシールドする手段もある。

ア

故意に暗号化演算を誤動作させて正しい処理結果との差異を解析する。

イ

処理時間の差異を計測し解析する。

ウ

処理中に機器から放射される電磁波を観測し解析する。

エ

チップ内の信号線などに探針を直接当て，処理中のデータを観測し解析する。

問 12
解説

ウ
ポートスキャンの結果から状態を判定する場合，TCP，UDP 両方のポートが開いている場合と閉じている場合の動作を理解する必要がある。
ア： RST/ACK（リセット）が返信された場合は，ポートは閉じていると判断する。RST/ACK は，通信を拒否されたときに返信されるパケットとなる。

問 12

正解

完璧

直前
チェック

脆弱性検査で，対象ホストに対してポートスキャンを行った。対象ポートの状態を判定する方法のうち，適切なものはどれか。
ア

イ：SYN / ACK（応答）が返信された場合は，ポートは開いていると判断する。SYN/ACK は，通信を許可されたパケットである。
ウ：port unreachable（ポート到達不可）は，ポートが閉じている場合に受信するパケットである。

対象ポートに SYN パケットを送信し，対象ホストから RST/ACK パケットを受信するとき，対象ポートが開いていると判定する。

イ

対象ポートに SYN パケットを送信し，対象ホストから SYN/ACK パケットを受信するとき，対象ポートが閉じていると判定する。

ウ対 象 ポ ー ト に UDP パ ケ ッ ト を 送 信 し， 対 象 ホ ス ト か ら メ ッ セ ー ジ port
unreachable を受信するとき，対象ポートが閉じていると判定する。

エ対 象 ポ ー ト に UDP パ ケ ッ ト を 送 信 し， 対 象 ホ ス ト か ら メ ッ セ ー ジ port
unreachable を受信するとき，対象ポートが開いていると判定する。

Web_SC_H26Sam2.indd 8-9

2014/10/09 17:37

H26 春期 SC 午前Ⅱ010

問 13011平成 26 年度 春期 情報セキュリティスペシャリスト 午前Ⅱ

正解

完璧直前
チェック

無線 LAN のセキュリティ対策に関する記述のうち，適切なものはどれか。

問 13春エ解説
EAP（Extensible Authentication Protocol）：PPP（Point to Point Protocol）を拡張した認証プ

ア

EAP は，クライアント PC とアクセスポイントとの間で，あらかじめ登録した共通証明書など様々な認証方式をサポートしている。EAP-TLS,EAP-TTLS などがある。

鍵による暗号化通信を実現できる。
イ

RADIUS では，クライアント PC とアクセスポイントとの間で公開鍵暗号方式による暗号化通信を実現できる。

ウ

SSID は，クライアント PC ごとの秘密鍵を定めたものであり，公開鍵暗号方式による暗号化通信を実現できる。

エロトコル。ユーザ ID/パスワード以外にも，スマートカード（IC カード）やディジタル

WPA2 では，IEEE 802.1X の規格に沿った利用者認証及び動的に更新される暗号化鍵を用いた暗号化通信を実現できる。

RADIUS（Remote Authentication Dial In User Service）：アクセスサーバと認証サーバ間でやり取りする認証プロトコル。クライアントが認証を求める際に，認証を必要とするサーバ（アクセスサーバ）と認証機能を分離し，利用者の一元管理，アクセスログの記録が可能となる。
SSID（Service Set ID）：無線 LAN のアクセスポイントを識別するための ID である。
WPA2（Wi-Fi Protected Access 2）：WPAの改良版で，AES（Advanced Encryption Standard）を採用した CCMP（Counter-mode with CBC-MAC Protocol）暗号化方式である。無線の暗号化は，WEP がセキュリティ的に脆弱だということで WPA が作られ，さらに強力な WPA2

問 14

正解

完璧直前
チェック

JVN（Japan Vulnerability Notes）などの脆 弱性対策ポータルサイトで採用されているCWE（Common Weakness Enumeration）はどれか。
ア

基本評価基準，現状評価基準，環境評価基準の三つの基準で IT 製品の脆弱性を評

価する手法
イ

製品を識別するためのプラットフォーム名の一覧

ウ

セキュリティに関連する設定項目を識別するための識別子

エソフトウェアの脆弱性の種類の一覧が作られた。日々の技術進歩により，暗号を解読できる速度が速くなるためより強力な暗号技術が必要となっている。

問 14

エ

解説
JVN（Japan Vulnerability Notes）：日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供し，情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイト。JPCERT コーディネーションセンターと独立行政法人情報処理推進機構（IPA）が共同で運営している。
CWE（Common Weakness Enumeration）：ソフトウェアにおけるセキュリティ上の弱点（脆弱性）の種類を識別するための共通の基準としての識別子である。脆弱性タイプは，
ビ ュ ー（View）， カ テ ゴ リ ー（Category）， 脆 弱 性（Weakness）， 複 合 要 因（CompoundElement）の 4 種類に分類される。

Web_SC_H26Sam2.indd 10-11

2014/10/09 17:37

H26 春期 SC 午前Ⅱ012

問 1513013

平成 26 年度 春期 情報セキュリティスペシャリスト 午前Ⅱ

正解

完璧直前
チェック

Web アプリケーションの脆 弱性を悪用する攻撃手法のうち，Perl の system 関数や

問 15春イ

解説

PHP の exec 関数など外部プログラムの呼出しを可能にするための関数を利用し，不正HTTP ヘッダインジェクション：動的に HTTP ヘッダが生成される HTTP 通信の機能を利にシェルスクリプトや実行形式のファイルを実行させるものは，どれに分類されるか。

用した攻撃手法。HTTP ヘッダに改行コードを生成させることで不正な動作を実行させる。

ア

HTTP ヘッダインジェクション

イ

OS コマンドインジェクション

ウ

クロスサイトリクエストフォージェリ

エ

セッションハイジャック

問 16

OS コマンドインジェクション：サーバ内の OS コマンドを外部から実行させることでサーバに不正な動作を実行させる攻撃手法。
クロスサイトリクエストフォージェリ：Web サイトに埋め込まれているスクリプトや命令が，利用者がその Web サイトにアクセスすることによって自動的に実行させられてしまう攻撃手法。掲示板への書き込みやオンラインショップでの買い物などが，意図せ正解

完璧

直前
チェック

WAF（Web Application Firewall）のブラックリスト又はホワイトリストの説明のうち，適切なものはどれか。

当する通信を遮断する。
イブラックリストは，問題がある通信データパターンを定義したものであり，該当すホワイトリストは，暗号化された受信データをどのように復号するかを定義したものであり，復号鍵が登録されていないデータを遮断する。

エホワイトリストは，脆弱性がないサイトの FQDN を登録したものであり，登録がないサイトへの通信を遮断する。

問 17

完璧

直前
チェック

SSL の実装の脆弱性を用いて，通信経路に介在する攻撃者が，弱い暗号化通信方式を強制することによって，暗号化通信の内容を解読して情報を得る。
イ

SSL のハンドシェイクプロトコルの終了前で，使用暗号化アルゴリズムの変更メッセージを，通信経路に介在する攻撃者が削除することによって，通信者が暗号化なしでセッションを開始し，攻撃者がセッションの全通信を盗聴したり改ざんしたりする。

ウ

SSL を実装した環境において，攻撃者が物理デバイスから得られた消費電流の情報などを利用して秘密情報を得る。

エ

保守作業のミスや誤操作のときに回復できるようにバックアップした SSL の旧バージョンのライブラリを，攻撃者が外部から破壊する。

Web_SC_H26Sam2.indd 12-13

解説イ
WAF（Web Application Firewall）：Web アプリケーションのやり取りを把握・管容などを直接に検査することによって，不正と見なされたアクセス要求を遮断する仕組みが採用されている。クライアントの操作する Web ブラウザと Web サーバ間に介在し，ブラウザとの直接的なやり取りを WAF が受け持つ。SQL インジェクションやクロスサイトスクリプティング，強制ブラウジングといった要求は WAF が遮断する。
ブラックリストには問題のある通信データパターンが定義され，ホワイトリストには問正解

SSL に対するバージョンロールバック攻撃の説明はどれか。
ア

問 16

理することによって不正侵入を防御するファイアウォール。プログラムに渡される入力内る通信を遮断するか又は無害化する。
ウ

かもそのセッションの参加者であることを装う攻撃手法。セッションの参加者でなければ見ることのできない情報を盗み出すことができる。

ブラックリストは，脆弱性があるサイトの IP アドレスを登録したものであり，該アずに行われてしまう。
セッションハイジャック：セッション ID を盗み出すことでセッションを乗っ取り，あた題のない正規の通信データパターンが定義されている。それ以外の通信はいわばグレーゾーンであり，ホワイトリストで許可してそれ以外のグレーゾーンを含む通信を拒否するか，ブラックリストのみ拒否してそれ以外のグレーゾーンを含む通信を許可するのかを考えなければならない。
日々新しい Web アプリケーションは増えており，新しい攻撃もあるため，運用まで考慮すると，ブラックリストとホワイトリストの優劣はつけ難い。

問 17
解説

ア
SSL のバージョンロールバック攻撃は，SSL 通信経路上の攻撃者により脆弱なバージョンを利用する事を強制させられ，情報を盗み取られることである。一般的には，脆弱制のあるバージョンの利用を無効にするなどの対策を取ることで回避可能である。
ウ：サイドチャネル攻撃の説明である。

2014/10/09 17:37

H26 春期 SC 午前Ⅱ014

問 18015平成 26 年度 春期 情報セキュリティスペシャリスト 午前Ⅱ

正解

完璧直前
チェック

10 M ビット/秒の LAN で接続された 4 台のノード（A，B，C，D）のうち，2 組（A と B，

問 18
解説

エ
この LAN ではリピータハブを用いているので，二つのファイル転送は回線を共C と D）のノード間でそれぞれ次のファイル転送を行った場合，LAN の利用率はおよそ有している。衝突は考えなくて良いので，2 組の転送のそれぞれの転送時間を単純に合計何％か。ここで，転送時にはファイルの大きさの 30％に当たる各種制御情報が付加さしたものが答えとなる。

れるものとする。また，LAN ではリピータハブが使用されており，更に衝突は考えないものとする。

1,000 × 1.3 × 60 × 2 ＝ 156k バイト/秒＝ 1,248k ビット/秒
この値で 10M ビット/秒の LAN を用いて転送するときの利用率は 12.48％となる。

ファイルの転送頻度：平均 60 回/秒（1 組当たり）2イ転送されるファイルには 30％の制御情報が付加され，1 秒当たり平均 60 回転送される。
これが 2 組あるので，1 秒当たりの転送データ量は 1,248k ビットとなる。ここで，1 バイ
ト＝ 8 ビットの変換を忘れないこと。

ファイルの大きさ：平均 1,000 バイト

ア春ウ6エ10

問 19

1,248k ビット/秒÷ 10M ビット/秒＝ 0.1248 ≒ 12％

12

問 19
正解

完璧

直前
チェック

VoIP において，ユーザエージェント間のセッションの確立，変更，切断を行うプロエ

解説
RTCP（Real Time Control Protocol）：通話参加者に管理パケットを送信するプロトコル。
RTP とセットで利用される。
RTP（Real Time Transport Protocol）：音声データを送信するためのプロトコル。RTCP とトコルはどれか。

セットで利用される。

ア

RTCP

イ

RTP

ウ

SDP

エ

SDP（Session Description Protocol）：マルチメディアセッションの記述に利用される。

SIP

SDP は，SIP によるセッション確立の中で利用される。
SIP（Session Initiation Protocol）：セッションの確立，変更，切断を行うプロトコル。

問 20

正解

完璧直前
チェック

インターネット VPN を実現するために用いられる技術であり，ESP（EncapsulatingSecurity Payload）や AH（Authentication Header）などのプロトコルを含むものはどれか。
アIPsec

イ

MPLS

ウ

PPPエ

問 20

ア

解説
IPSec
（IP Security Architecture）：データの完全性検証に用いるAH（Authentication Header）と，

SSL

データの暗号化に用いる ESP（Encapsulated Security Payload）の二つのセキュリティプロトコルから構成されている。
MPLS（Multi Protocol Label Switching）：主に WAN で使用される L3 スイッチングである。
ルーティング情報にラベルを付けることで，ルーティングを高速化する技術である。
PPP（Point to Point Protocol）：ダイヤルアップによる ISP への接続などに用いられるデー
タリンク層プロトコル。認証機能やデータ圧縮機能等を備えている。
SSL（Secure Socket Layer）：OSI 参照モデルのトランスポート層（第 4 層）の情報を暗号化して送受信するプロトコルである。HTTP などのプロトコルのデータを暗号化し，プライバシーに関わる情報やクレジットカード番号，企業秘密等を安全に送受信することができる。

Web_SC_H26Sam2.indd 14-15

2014/10/09 17:37

H26 春期 SC 午前Ⅱ016

問 21017平成 26 年度 春期 情報セキュリティスペシャリスト 午前Ⅱ

正解

完璧直前
チェック

関係モデルにおける外部キーに関する記述のうち，適切なものはどれか。

問 21
解説

エ
外部キーとは，テーブルのカラムに，別テーブルの特定カラムに含まれる項目の春みに限定することである。例えば，商品コードの列に，商品テーブルの商品コードを外部ア

外部キーの値は，その関係の中で一意でなければならない。

キーとして設定することで，商品テーブルに含まれる商品コード以外の内容を入力できな

イ

外部キーは，それが参照する候補キーと比較可能でなくてもよい。

くすることや，商品コードを選択して入力する操作を可能とする。

ウ

参照先の関係に，参照元の外部キーの値と一致する候補キーが存在しなくてもよい。

エ

一つの関係に外部キーが複数存在してもよい。

問 22
解説

問 22

正解

完璧直前
チェック

UML2.0 において，オブジェクト間の相互作用を時間の経過に注目して記述するものはどれか。

ウ
オブジェクト間の相互作用を表す図には，シーケンス図とコミュニケーション図がある。シーケンス図は相互作用を時間の経過に注目して記述し，コミュニケーション図はオブジェクト間の関係に注目して記述する。
アクティビティ図は，処理の流れを表現する図で，ビジネスプロセスやワークフローのモデリングに利用される。
ユースケース図は，システムが外部に提供する機能（ユースケース）を表現する図である。

ア

アクティビティ図イ

コミュニケーション図ウ

シーケンス図エ

ユースケース図

問 23
解説

問 23

正解

完璧

直前
チェック

SOA（Service Oriented Architecture）の説明はどれか。
アWeb サービスを利用するためのインタフェースやプロトコルを規定したものである。

イ

XML を利用して，インターネット上に存在する Web サービスを検索できる仕組みである。

ウ

ウ
SOA：サービス指向アーキテクチャは，サービスの集まりとしてシステムを構築する手法である。サービスとは外部から標準化された手順で呼び出すことができるひとまとまりのソフトウェアの集合であり，各サービスが XML で記述されたメッセージをSOAP でやり取りし，連携して動作する。
ア：SOAP（Simple Object Access Protocol）の説明である。
イ：UDDI（Universal Description，Discovery，and Integration）の説明である。
エ：SLA（Service Level Agreement）の説明である。

業務機能を提供するサービスを組み合わせることによって，システムを構築する考え方である。

エサービス提供者と委託者との間でサービスの内容，範囲及び品質に対する要求水準を明確にして，あらかじめ合意を得ておくことである。

Web_SC_H26Sam2.indd 16-17

2014/10/09 17:37

H26 春期 SC 午前Ⅱ018

問 24

正解

完璧直前チェック

問 24

ウ

システムの改善に向けて提出された 4 案について，評価項目を設定して採点した結果

解説を，採点結果表に示す。効果及びリスクについては 5 段階評価とし，それぞれの評価項とおり。

案 2：（4 × 4 + 4 × 2 + 4 × 3）−（4 × 8 + 1× 3）= 1
案 3：（5 × 4 + 2 × 2 + 2 × 3）−（1 × 8 + 5 × 3）= 7〔総合評価点の算出式〕

案 4：（2 × 4 + 5 × 2 + 4 × 3）−（5 × 8 + 1 × 3）= −13

総合評価点＝効果の総評価点−リスクの総評価点
採点結果表
案1 案2 案3 案43452

システム運用品質向上

2425

作業コスト削減

5424スケジュールリスク

2415技術リスク

4151

ウ

案3

イ

案2リスク

リスク

セキュリティ強化案1

総合評価点が最も高い改善策は，案 3 の 7 となる。
重み付け表

効果

効果

ア

春

案 1：（3 × 4 + 2 × 2 + 5 × 3）−（2 × 8 + 4 × 3）= 3

価点を算出したとき，総合評価点が最も高い改善案はどれか。

評価項目

問題文に指定された重み付けを利用して総合評価点を計算する。計算式は次の各システムの改善案の採点結果×各評価項目の重み付け＝各項目の評価点目の重要度に応じて，重み付け表に示すとおりの重み付けを行った上で次の式で総合評

案019

平成 26 年度 春期 情報セキュリティスペシャリスト 午前Ⅱ

エ

問 25

評価項目重みセキュリティ強化

4

システム運用品質向上

2

作業コスト削減3

スケジュールリスク

8

技術リスク

3

問 25
解説

イ
システム監査報告書に記載された改善勧告は，実施されることが必要であるが，経営資源の状況によっては，必ずしも直ちに実施できるわけではない。
ア：1 年以上かかる改善勧告であっても実施されなければならない。
ウ：システムの機能面だけでなく，セキュリティ面なども考慮し実施されなければならない。
エ：必要な改善は，予算措置を行ってでも実施されなければならない。

案4

正解

完璧

直前
チェック

システム監査報告書に記載された改善勧告に対して，被監査部門から提出された改善計画を経営者が IT ガバナンスの観点から評価する際の方針のうち，適切なものはどれか。
ア

1 年以内に実現できる改善を実施する。

イ

経営資源の状況を踏まえて改善を実施する。

ウ

情報システムの機能面の改善に絞って実施する。

エ被監査部門の予算の範囲内で改善を実施する。

Web_SC_H26Sam2.indd 18-19

2014/10/09 17:37