H28 春期 SC 午前Ⅱ002

問1

平成 28 年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ

正解

完璧直前チェック

問1
解説

CRL（Certificate Revocation List）に掲載されるものはどれか。

エCRL は，有効期限内に失効した公開鍵証明書を記載したリストである。認証局

から発行され，公開鍵証明書が失効しているかどうかを確認できる。

ア

有効期限切れになったディジタル証明書の公開鍵イ

有効期限切れになったディジタル証明書のシリアル番号ウ

有効期限内に失効したディジタル証明書の公開鍵エ

有効期限内に失効したディジタル証明書のシリアル番号

問

2

正解

公開鍵証明書の有効期限内に秘密鍵の紛失や漏えいが発生した場合には，該当する証明書の廃棄手続きが行われ，公開鍵証明書のシリアル番号が CRL に記載される。
ア，イ：有効期限切れではなく，有効期限内に失効した証明書のシリアル番号が登録される。
ウ：有効期限内に失効した公開鍵ではなく，シリアル番号が登録される。
完璧直前
チェック

次の攻撃において，攻撃者がサービス不能にしようとしている標的はどれか。

問2
解説

ア
攻撃（1）〜（3）は，DNS リフレクター攻撃の説明である。

（1） サブドメイン名をランダムに多数生成することは，ドメインを詐称した攻撃である〔攻撃〕と読み取ることができる。

（1） A 社ドメイン配下のサブドメイン名を，ランダムに多数生成する。

（2） 詐称したサブドメイン名に対する大量の問合せを，多数の第三者 DNS キャッシュサ

（2）（1）で生成したサブドメイン名に関する大量の問合せを，多数の第三者の DNS キーバに分散して送信することで，詐称した IP アドレスを大量に送ることができる。
（3） 送信元 IP を詐称し，多数送付する。

ャッシュサーバに分散して送信する。
（3）（2）で送信する問合せの送信元 IP アドレスは，問合せごとにランダムに設定して攻撃（1）〜（3）で，A 社ドメインの権威 DNS サーバが大量の問合せによって CPU 高負荷詐称する。

やメモリ不足となり，サービス不能となる。

ア

A 社ドメインの権威 DNS サーバ

ウ：詐称した送信元 IP アドレスへの通信は，ほぼないため関係ない。

イ

A 社内の利用者 PC

ウ

攻撃者が詐称した送信元 IP アドレスに該当する利用者 PCエ

第三者の DNS キャッシュサーバ

問3

イ：DNS の問合せを詐称した攻撃であるため，利用者の PC は関係しない。
エ：第三者の DNS キャッシュサーバへの通信は，詐称したサブドメインに対する問合せのみであるため影響ない範囲といえる。

問3
正解

完璧

直前
チェック

PKI を構成する OCSP を利用する目的はどれか。

解説ウ
OCSP（Online Certificate Status Protocol）は，ディジタル証明書の失効情報をリアルタイムで確認するためのプロトコルである。OCSP は CRL（証明書失効リスト）の代替として策定され，CRL をもたなくてもリアルタイムで失効情報を確認することが可能である。RFC 2560 によって規定されている。

ア

誤って破棄してしまった秘密鍵の再発行処理の進捗状況を問い合わせる。

イ

ディジタル証明書から生成した鍵情報の交換が OCSP クライアントとレスポンダの間で失敗した際，認証状態を確認する。

ウ

ディジタル証明書の失効情報を問い合わせる。

エ

有効期限が切れたディジタル証明書の更新処理の進捗状況を確認する。

003

春

H28 春期 SC 午前Ⅱ004

問4

平成 28 年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ

正解

完璧直前チェック

標準化団体 OASIS が，Web サイト間で認証，属性及び認可の情報を安全に交換する

問4

ア

解説SAML（Security Assertion Markup Language）：標準化団体 OASIS によって策定された，ために策定したフレームワークはどれか。

ID やパスワードなどの認証情報を安全に交換するための仕様。SAML を用いることで，

アSAML

問

5

イSOAP

ウエ

XKMS

XML Signatureドメインのサイトへ移動したときに，移動元のサイトと移動先のサイトが SAML プロト
正解

完璧

直前
チェック

ハッシュ関数の性質の一つである衝突発見困難性に関する記述のうち，適切なものはどれか。
アに要する最大の計算量は，256 の 2 乗である。
SHA-256 の衝突発見困難性を示す，ハッシュ値の元のメッセージの探索に要する最大の計算量は，2 の 256 乗である。
ウ

衝突発見困難性とは，ハッシュ値が与えられたときに，元のメッセージの探索に要する計算量の大きさによる，探索の困難性のことである。

エ衝突発見困難性とは，ハッシュ値が一致する二つのメッセージの探索に要する計算量の大きさによる，探索の困難性のことである。

問

6

正解

完璧

直前
チェック

情報セキュリティにおけるエクスプロイトコードに該当するものはどれか。
ア同じセキュリティ機能の製品に乗り換える場合に，CSV など他の製品が取り込める形式でファイルを出力するプログラム

イ

コンピュータに接続されたハードディスクなどの外部記憶装置や，その中に保存されている暗号化されたファイルなどを閲覧，管理するソフトウェア

ウ

セキュリティ製品を設計する際の早い段階から実際に動作する試作品を作成し，それに対する利用者の反応を見ながら徐々に完成に近づける開発手法

エコルで通信し，自動的に認証情報を引き継ぐことができる。
SOAP（Simple Object Access Protocol）：SOAP による通信では，XML 文書にエンベロープと呼ばれる付帯情報がついたメッセージを HTTP などでやり取りする。
XKMS（XML Key Management Specification）：XML を利用して公開鍵基盤（PKI）の鍵情報

SHA-256 の衝突発見困難性を示す，ハッシュ値が一致する二つのメッセージの探索

イ

一度の認証で複数の Web サイトやサービスの利用が可能となるシングルサインオン（SSO：Single Sign-On）を実現できる。Web サイトが SAML に対応していれば，異なるソフトウェアやハードウェアの脆弱性を利用するために作成されたプログラムを効率よく管理するためのプロトコルである。
XML Signature：W3C（World Wide Web Consortium）によって勧告された規格。XML においてディジタル署名を利用するための規格である。

問5
解説

エ
衝突発見困難性は，ハッシュ値が一致する二つのメッセージを探索するための計算量が大きいことによって，探索が困難となり解読されにくいことを意味する。ハッシュ値はあらかじめわかっていない状態から解析を行う。

問6
解説

エ
エクスプロイトコード（exploit code）とは，ソフトウェアのセキュリティホールを利用して，不正な動作を再現するプログラムである。例えば，OS のセキュリティホールを利用して，特権アカウントを搾取するプログラムなどが該当する。
ア：CSV など他の製品が取り込める形式でのファイル出力は，エクスポートと呼ばれる。
イ：エクスプロイトコードは，暗号化を解除するものではない。
ウ：試作品を作成し，利用者の反応を見ながら完成形に近づける開発手法は，プロトタイ
プモデルとなる。

005

春H28 春期 SC 午前Ⅱ

006

問

7

平成 28 年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ

正解

完璧直前チェック

問7
解説

DoS 攻撃の一つである Smurf 攻撃はどれか。

アSmurf 攻撃とは，ネットワークに大量のパケットを発生させてサービス不能状態を作り出す攻撃手法である。
ICMP では，ICMP Echo Request が送信されると Echo Replay が返信される。攻撃者はア

ICMP の応答パケットを大量に送り付ける。

イ

TCP 接続要求である SYN パケットを大量に送り付ける。

ウ

サイズが大きい UDP パケットを大量に送り付ける。

エ

サイズが大きい電子メールや大量の電子メールを送り付ける。

問8

正解

送信元を攻撃対象のサイトに偽造して，Echo Request をブロードキャストアドレス宛に送信する。Echo Reply がネットワークの全てのコンピュータから返信され，この大量の完璧Reply によりサービス不能となる。

直前
チェック

ディジタル証明書に関する記述のうち，適切なものはどれか。

問8
解説

イ
ディジタル証明書は，ITU が公開鍵証明書の標準として，1988 年に勧告したX.509 によって標準化されている。ディジタル証明書には，シリアル番号，発行者名，有効期間，所有者名，所有者の公開鍵などの情報が含まれており，認証局の秘密鍵で電子署

ア

S/MIME や TLS で利用するディジタル証明書の規格は，ITU-T X.400 で標準化されている。
イ

ディジタル証明書は，TLS プロトコルにおいて通信データの暗号化のための鍵交換や通信相手の認証に利用されている。
ウ

認証局が発行するディジタル証明書は，申請者の秘密鍵に対して認証局がディジタル署名したものである。

エルート認証局は，下位の認証局の公開鍵にルート認証局の公開鍵でディジタル署名したディジタル証明書を発行する。

名が付与されている。
ア：S/MIME や TLS で利用するディジタル証明書の規格は，ITU-T の X.500 ディレクトリ
シリーズの X.509 で規定されている。
ウ：ディジタル証明書には，申請者の公開鍵に対して認証局の電子署名が付与されている。
エ：下位認証局の証明書は，ルート認証局の秘密鍵で電子署名されている。

007

春

H28 春期 SC 午前Ⅱ

008

問

9

平成 28 年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ

正解

完璧直前
チェック

暗号に関連するデータのうち，次に示す処理で出力可能なものはどれか。

問9
解説

ア
処理（1）〜（7）において出力可能なものは，擬似乱数である。擬似乱数とは，乱数列に見えるが実際には，計算によって求められる乱数であるため，厳密には再現や予測〔処理〕が可能となる。本来乱数とは，規則性，再現性がないものを表す。

（1） カウンタを初期化する。

イ：ディジタル証明書は，認証局が発行するデータである。
ウ：ハッシュ値は，元となるデータから一定の計算によって求められた，規則性のない（2） その時点に得た時刻データを共通鍵で暗号化する。
（3） カウンタの値と（2）の結果の XOR をとり，さらに共通鍵で暗号化する。
（4）（3）の結果を出力する。

証コードは，データの作成元がハッシュ関数を利用してハッシュ値を生成する。その後，（6）（5）の結果をカウンタの新しい値とする。
（7）（4）の出力について，必要とする分の数を得るまで（2）〜（6）を繰り返す。
擬似乱数

イ

ディジタル証明書

ウ

ハッシュ値エメッセージ認証コード

エ：メッセージ認証コード（MAC：Message Authentication Code）は，データの作成元と受信者によってデータの改ざんがないことを確認するための手法である。メッセージ認（5）（3）の結果と（2）の結果の XOR をとり，さらに共通鍵で暗号化する。

ア

固定長の値である。

受信者と共有している共通鍵で暗号化し，受信者に送る。受信者では，共通鍵でデータを復号し，ハッシュ関数を利用してデータが改ざんされていないことを確認する。

問 10
解説

問 10

ア

正解

完璧

直前
チェック

サイバー情報共有イニシアティブ（ J-CSIP：Initiative for Cyber Security Information

sharing Partnership of Japan：ジェイシップ）は，2011 年に重工，重電など重要インフラで利用される機器の製造業者を中心に，参加組織間で情報共有を行い，高度なサイバー攻

サイバー情報共有イニシアティブ（ J- CSIP） の説明はどれか。

撃対策に繋げていく取組みである。

暗号技術の調査を行い，電子政府における調達のために参照すべき暗号のリストを体）間で締結した秘密保持契約（NDA）のもと，参加組織およびそのグループ企業におい公表するためのプロジェクト
イイ

検知したサイバー攻撃の情報を公的機関に集約し，高度なサイバー攻撃対策につなげていく取組み

ウ

制御システムにおけるセキュリティマネジメントシステムの認証制度

エ

脆弱性関連情報の発見から公表に至るまでの対処プロセス

具体的には，IPA（情報処理推進機構）と各参加組織（あるいは参加組織を束ねる業界団て検知されたサイバー攻撃等の情報を IPA に集約する。そして情報提供元に関する情報や機微情報の匿名化を行い，IPA による分析情報を付加した上で，情報提供元の承認を得て共有可能な情報とし，参加組織間での情報共有を行っている。
ア：CRYPTREC（Cryptography Research and Evaluation Committees）の説明である。
ウ：IEC 62443-2-1（CSMS：Cyber Security Management System）の説明である。
エ：ソフトウェア等脆弱性関連情報取扱基準に示されている，脆弱性関連情報の取扱いプロセスの内容である。

009

春H28 春期 SC 午前Ⅱ

010

問 11

平成 28 年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ

正解

完璧直前
チェック

JIS Q 27000 における情報セキュリティリスクに関する定義のうち，適切なものはど

問 11
解説

エ
JIS Q 27000 は，組織の事業リスク全般に対する考慮のもとで文書化した ISMS

（Information Security Management System）の規格である。

れか。

ア：脅威とは，システム又は組織に損害を与える可能性があるインシデントの潜在的な原ア

脅威とは，一つ以上の要因によって悪用される可能性がある，資産又は管理策の弱点のことである。
脆弱性とは，望ましくないインシデントを引き起こし，システム又は組織に損害をイ与える可能性がある潜在的な原因のことである。
ウ

リスク対応とは，リスクの大きさが，受容可能か又は許容可能かを決定するために，リスク分析の結果をリスク基準と比較するプロセスのことである。
エ

リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

因である。
イ：脆弱性とは，一つ以上の脅威が付け込むことのできる資産又は資産グループがもつ弱点である。
ウ：リスク対応とは，リスクを修正するプロセスである。リスク対応の選択肢については，リスクの回避，リスクの低減，リスクの移転，リスクの保有の四つがある。

問 12
解説

イ
DNS キャッシュポイズニング攻撃とは，URL などの DNS を利用した IP アドレス検索を行う際に，正しい IP アドレスを検索できなくすること。攻撃者が不正な IP アドレ

問 12

正解

完璧

直前
チェックスを返すよう DNS のキャッシュ（一定期間 IP アドレス情報を記憶している仕組み）を汚染させることである。そのため，汚染されたキャッシュ上の Web サーバにアクセスしようとすると本来とは異なるサーバに誘導される。

DNS キャッシュポイズニング攻撃に対して有効な対策はどれか。

対策としては，DNS 問合せに対する DNS ヘッダの ID を，ランダムに変更することである。

ア

DNS サーバで，マルウェアの侵入をリアルタイムに検知する。

イ

DNS 問合せに使用する DNS ヘッダ内の ID を固定せずにランダムに変更する。

ウ

DNS 問合せに使用する送信元ポート番号を 53 番に固定する。

エ

外部からの DNS 問合せに対しては，宛先ポート番号 53 のものだけに応答する。

ア：DNS キャッシュポイズニング攻撃は，キャッシュ内容が不正になるため，マルウェアの進入とは関連しない。
ウ：ポート番号の 53 番は，一般的に DNS で利用されるポートであるため，固定してもDNS キャッシュポイズニング攻撃を防ぐことはできない。
エ：ポート番号の 53 番は，一般的に DNS で利用されるポートであるため誤りである。

問 13

正解

完璧

直前
チェック

スパムメールの対策として，宛先ポート番号25 の通信に対して ISP が実施する OP 25Bの説明はどれか。

問 13
解説

イ
OP25B（Outbound Port 25 Blocking）は，内部ネットワークから外部ネットワー

クへのポート番号 25 の通信（SMTP）を遮断する手法である。例えば，ISP が OP25B を用ア

ISP 管理外のネットワークからの通信のうち，スパムメールのシグネチャに該当するものを遮断する。
イ

動的 IP アドレスを割り当てたネットワークから ISP 管理外のネットワークへの直接の通信を遮断する。

ウ

メール送信元のメールサーバについて DNS の逆引きができない場合，そのメールサーバからの通信を遮断する。
エ

メール不正中継の脆弱性をもつメールサーバからの通信を遮断する。

いることで，会員が ISP の外部ネットワークに存在するメールサーバを使用して，スパムメールを送信することを防止することが可能となる。

011

春H28 春期 SC 午前Ⅱ

012

問 14

平成 28 年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ

正解

直前
チェック

完璧

問 14
解説

ディジタルフォレンジックスに該当するものはどれか。

エディジタルフォレンジックスは，パソコンやサーバなどのコンピュータ機器が犯罪や裁判での証拠となり得るときに，データを保全し賠償などに備えることや，内容を分ア

画像や音楽などのディジタルコンテンツに著作権者などの情報を埋め込む。

析，鑑定するための手段や技術を指す。

イ

コンピュータやネットワークのセキュリティ上の弱点を発見するテスト手法の一つ

ア：電子透かしの説明である。

であり，システムを実際に攻撃して侵入を試みる。
ウ

ネットワークの管理者や利用者などから，巧みな話術や盗み聞き，盗み見などの手

イ：擬似アタックテストの説明である。
ウ：ソーシャルエンジニアリングの説明である。

段によって，パスワードなどのセキュリティ上重要な情報を入手する。
エ

犯罪に関する証拠となり得るデータを保全し，その後の訴訟などに備える。

問 15
解説

問 15

正解

直前
チェック

完璧

DMZ 上のコンピュータがインターネットからの ping に応答しないようにしたいとき，ファイアウォールのルールで 通過禁止 に設定するものはどれか。

アping は ICMP（Internet Control Message Protocol）を使用するため，ICMP を通過禁止にする。ping を使用することで，攻撃者は DMZ 上のサーバの有無を知ることができる。
イ：TCP ポート番号 21 は，FTP（File Transfer Protocol：ファイル転送プロトコル）の制御に使用される。FTP を禁止にする場合には，FTP（データ）の TCP ポート番号 20 も通過禁止にする必要がある。
ウ：TCP ポート番号 110 は，一般的に POP3（Post Office Protocol version3 : メール受信用

アICMP

イ

TCP のポート番号 21

ウ

TCP のポート番号 110エ

UDP のポート番号 123

問 16

正解プロトコル）に使用される。
エ：UDP ポート番号 123 は，NTP（Network Time Protocol）に使用される。
直前
チェック

完璧

認証にクライアント証明書を用いるプロトコルはどれか。
ア

EAP-FASTイ

EAP-MD5

ウ

EAP-TLS

問 16
解説

エ

EAP-TTLSウ
EAP（Extensible Authentication Protocol）は，PPP（Point to Point Protocol）用 の認証プロトコルであり，認証にクライアント証明書を用いる方式である。EAP では，各種の拡張認証方式を利用することができる。無線 LAN では，Ether（データリンク層）のユーザ認証の規格である IEEE 802.1x が採用されている。
ア，イ：認証に ID とパスワードを用いる方式である。証明書は使用しない。
エ：認証に証明書を用いるが，サーバ側でのみ証明書を用いる。

013

春

H28 春期 SC 午前Ⅱ

014

問 17

平成 28 年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ

正解

完璧直前
チェック

電子メールを暗号化する三つのプロトコルについて，公開鍵を用意する単位の適切な

問 17

ア

解説
PGP（Pretty Good Privacy）：ファイルやメールを暗号化するためのソフトウェアである。

組合せはどれか。

メールアドレスごとに公開鍵を用意する。
PGP

S/MIMEア

メールアドレスごと

メールアドレスごと

メールサーバごとイ

メールアドレスごと

メールサーバごと

メールアドレスごとウ

メールサーバごと

メールアドレスごと

メールアドレスごとエ

メールサーバごと

メールサーバごと

メールサーバごと

S/MIME（Secure / Multipurpose Internet Mail Extensions）：MIME（電子メールの機能をSMTP over TLS拡張する規格）に暗号化とディジタル署名の機能を追加した規格のことである。メールアドレスごとに公開鍵を用意する。
SMTP over TLS：メールの送信・転送を行う SMTP（Simple Mail Transfer Protocol）に，転送路を暗号化する TLS（Transport Layer Security）を組み合わせたプロトコルである。
SMTP はメールサーバ間のプロトコルであるため，メールサーバごとに公開鍵を用意する。

問 18

正解

完璧直前
チェック

問 18

無線 LAN で用いられる SSID の説明として，適切なものはどれか。

ウ解説
ア

48 ビットのネットワーク識別子であり，アクセスポイントの MAC アドレスと一致SSID（Service Set Identifier）：アクセスポイント内で同じグループ識別子をもつ端末同士だけが通信できるように，アクセスを制限する ID である。

する。
イ

48 ビットのホスト識別子であり，有線 LAN の MAC アドレスと同様の働きをする。

ア：BSSID（Basic Service Set Identifier）の説明である。

ウ

最長 32 オクテットのネットワーク識別子であり，接続するアクセスポイントの選

イ：SSID はアクセスポイントのグループであるため，有線 LAN のように自端末を識別す択に用いられる。
エ最長 32 オクテットのホスト識別子であり，ネットワーク上で一意である。

問 19

正解

完璧

直前
チェック

IPv4 ネットワークで IP アドレスを割り当てる際に，DHCP クライアントと DHCP サーバ間でやり取りされるメッセージの順序として，適切なものはどれか。

るものではない。
エ：SSID はホスト識別子ではない。ネットワーク識別子である。

問 19

イ

解説
DHCP（Dynamic Host Configuration Protocol）：IP アドレスなど各種設定の自動割当てを行うプロトコルである。ほかに設定できる項目として，デフォルトゲートウェイ，サブネットマスク，DNS サーバなどがある。

ア

DHCPDISCOVER ，DHCPACK ，DHCPREQUEST ，DHCPOFFER

DHCP が IP アドレスを割り当てる際には，以下の順序でメッセージをやり取りする。

イ

DHCPDISCOVER ，DHCPOFFER ，DHCPREQUEST ，DHCPACK

DHCPDISCOVER：DHCP クライアントが DHCP サーバに対して情報の取得要求を行う。

ウ

DHCPREQUEST ，DHCPACK ，DHCPDISCOVER ，DHCPOFFER

エDHCPREQUEST ，DHCPDISCOVER ，DHCPOFFER ，DHCPACK

送信先は，ブロードキャストアドレスである。
DHCPOFFER：DISCOVER メッセージを受信した DHCP サーバは，DHCP クライアント
に対して，IP アドレスなどの情報を送信（OFFER）する。
DHCPREQUEST：DHCP クライアントは DHCP サーバから提示された IP アドレスなどの情報に問題がなければ，正式に情報の要求（REQUST）を行う。
DHCPACK：DHCP サーバは，DHCP クライアントに対して応答（ACK）を返し，DHCP クライアントは ACK を受信することで完了となる。

015

春H28 春期 SC 午前Ⅱ

016

問 20

平成 28 年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ

正解

完璧直前
チェック

TCP のサブミッションポート（ポート番号 587）の説明として，適切なものはどれか。

問 20
解説エ
TCP のサブミッションポートは，ポート番号 587 を使用したメール送信専用ポートのことである。従来利用されてきた SMTP のポート番号 25 の代わりに使用する。SMTPア

FTP サービスで，制御用コネクションのポート番号 21 とは別にデータ転送用に使てきている。そのためメールを送信するプロバイダは，サブミッションポートを使用し，用する。
イのポート番号 25 は迷惑メールで使用されるといったセキュリティ上のリスクが高くなっ

Web アプリケーションで，ポート番号 80 の HTTP 要求とは別に，サブミットボタ認証技術などを組み合わせてメール送信を行い，迷惑メールの送信を回避している。

ンをクリックした際の入力フォームのデータ送信に使用する。
ウ

コマンド操作の遠隔ログインで，通信内容を暗号化するために TELNET のポート番号 23 の代わりに使用する。

エ

電子メールサービスで，迷惑メール対策として SMTP のポート番号 25 の代わりに使用する。

問 21

ア

解説

SQL の SELECT 文で，特定の行を選択するときに WHERE 句を用いる。

ア：WHERE ユーザ名 = ' ' OR '--' = '--' ; となる。OR の右 ' -- ' が等しいた
め，全ての行が選択される。よって，正解。

イ：WHERE ユーザ名 = ' ' OR ユーザ名 = ' ユーザ名 '; となる。ユーザ名という文

問 21

正解

完璧直前
チェック

アカウント 表に対して，SQL 文を実行したとき， アカウント 表の全ての行が取得される入力パラメタはどれか。ここで，入力パラメタのエスケープ処理は行わない。
また， ; は SQL 文の終端として解釈されるものとする。
アカウントID

ユーザ名

メールアドレス

A001

TARO JOHOt-joho@email.org.jp

A002

JIRO JOHO

j-joho@email.org.jp

A003

HANAKO JOHO

h-joho@email.org.jp〔SQL 文〕

SELECT ID, ユーザ名 , メールアドレス FROM アカウント
WHERE ユーザ名 = ' 入力パラメタ ';' OR'--' = '-イ ' OR ユーザ名 = ' ユーザ名
ウ ' -- OR 1 = 1エ ¥' OR 1 = 1 ';-ア字列を比較しているため，OR の右が一致しない。よって，選択されない。

ウ：WHERE ユーザ名 = ' ' -- OR 1 = 1 ; となる。-- と OR が構文として扱われないため選択されない。

エ：WHERE ユーザ名 = '¥' OR 1 = 1' となる。¥' により，' が区切りではなく文字列として扱われ一致しないため，選択されない。

017

春H28 春期 SC 午前Ⅱ

018問 22平成 28 年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ

正解

完璧

直前
チェック

問 22
解説

フェールセーフの考えに基づいて設計したものはどれか。

イ
フェールセーフとは，システムの障害や誤操作が発生することを想定し，発生した際の影響を最小限にするようにシステムを設計することである。踏み切りを例とする

ア

乾電池のプラスとマイナスを逆にすると，乾電池が装塡できないようにする。と，踏み切りが故障した場合には，電車との衝突事故を回避するため，自動的に遮断機をイ

交通管制システムが故障したときには，信号機に赤色が点灯するようにする。

下ろし，事故を未然に防ぐ方向に動作することである。

ウ

ネットワークカードのコントローラを二重化しておき，故障したコントローラの方を切り離しても運用できるようにする。

エ

ハードディスクに RAID1 を採用して，MTBF で示される信頼性が向上するようにする。

問 23

ア：極を逆にした乾電池が入らないようにすることは，誤操作が発生しないようにする考え方（フールプルーフ）である。
ウ：故障した部分を切り離してシステムの運用を継続するという考え方は，フォールトトレランスの考え方である。
エ：RAID1（ミラーリング）することは，故障率を低下させる考え方である。

正解

完璧

直前
チェック

アジャイルソフトウェア開発などで導入されている ペアプログラミング の説明は

問 23

エ

解説

どれか。

アジャイルソフトウェア開発：ソフトウェア要求仕様の変更に対して機敏に対応し，顧客

ア

ペアプログラミング：2 人のプログラマがペアになって，コーディング担当とチェックやに価値あるソフトウェアを迅速に提供することを目的とするソフトウェア開発方法論。

開発工程の初期段階に要求仕様を確認するために，プログラマと利用者がペアとなり，試作した画面や帳票を見て，相談しながらプログラムの開発を行う。

イ

効率よく開発するために，2 人のプログラマがペアとなり，メインプログラムとサブプログラムを分担して開発を行う。

ウ

短期間で開発するために，2 人のプログラマがペアとなり，作業と休憩を交代しながら長時間にわたって連続でプログラムの開発を行う。

エ

品質の向上や知識の共有を図るために，2 人のプログラマがペアとなり，その場で相談したりレビューしたりしながら，一つのプログラムの開発を行う。

アドバイスをする担当に分かれて，相談したりレビューしたりしながら，一つのプログラムの開発を行うこと。

019

春H28 春期 SC 午前Ⅱ

020

問 24

平成 28 年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ

正解

完璧直前
チェック

IT サービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1 が

問 24

ウ

解説
ア：JIS Q 20000-1 9.1 構成管理に要求事項が定義されている。

要求している事項はどれか。

イ：JIS Q 20000-1 8.3 問題管理に要求事項が定義されている。

ア

CMDB に記録されている CI の原本を，物理的又は電子的にセキュリティが保たれた書庫で管理しなければならない。

イ

潜在的な問題を低減させるために，予防処置をとらなければならない。

ウ

変更要求が情報セキュリティ基本方針及び管理策に与える潜在的影響を評価しなければならない。

エ

変更要求の受入れについての意思決定では，リスク，事業利益及び技術的実現可能性を考慮しなければならない。

ウ：JIS Q 20000-1 6.6 情報セキュリティ管理に要求事項が定義されている。
エ：JIS Q 20000-1 9.2 変更管理に要求事項が定義されている。

問 25
解説

イ
システム管理基準とは，組織体が情報システムにまつわるリスクに対するコントロールを適切に整備・運用する目的として経済産業省が策定したガイドラインである。具体的には以下がある。
・情報システムが，組織体の経営方針及び戦略目標の実現に貢献するため

問 25

正解

完璧

直前
チェック

組織体が情報システムにまつわるリスクに対するコントロールを適切に整備・運用する目的として， システム管理基準 に示されているものはどれか。

・情報システムが，組織体の目的を実現するように安全，有効かつ効率的に機能するため・情報システムが，内部又は外部に報告する情報の信頼性を保つように機能するため・情報システムが，関連法令，契約又は内部規程等に準拠するようにするため
システム監査基準：情報システムを適切に管理・運用することを目的とした基準。具体的には以下がある。

アシステム監査業務の品質を確保し，有効かつ効率的に監査を実施するため

イ

情報システムが，組織体の目的を実現するように安全，有効かつ効率的に機能するため

ウ情報セキュリティに係るリスクのマネジメントが効率的に実施されるよう，リスクマネジメントに基づくコントロールの整備・運用の状況を評価するため

エ

リスクに対するコントロールをシステム監査人が評価し，保証又は助言を行い，ITガバナンスの実現に寄与するため・システム監査基準の品質を確保し，有効かつ効率的に監査を実施する
・リスクコントロールがリスクアセスメントに基づいて整備・運用されているかをシステ
ム監査人が評価し，保証・助言を行い，IT ガバナンスの実現に寄与するため
情報セキュリティ監査基準：情報資産を適切に管理・運用することを目的とした基準。具
体的には以下がある。
・情報セキュリティに係るリスクマネジメントが効果的に実施されるように，リスクマネジメントに基づくコントロールの整備・運用の状況を評価する
ア，エ：システム監査基準に示されている。
ウ：情報セキュリティ監査基準に示されている。

021

春