情報セキュリティ アドミニストレータ(セキュアド)過去出題問題

 平成15年 午後2 問2

最終更新日 2006/05/02
webmaster@tomnetwork.net

Tomのネットワーク勉強ノート
 過去問(午後)
   情報セキュリティ アドミニストレータ過去問(午後)
     情報セキュリティ アドミニストレータ過去問 平成15年 午後2 問2

問2

企業情報ネットワークの構築におけるセキュリティ対策に関する次の記述を読んで,
設問1〜5に答えよ。

 N社は,従業員400名,年商100億円の中規模なコンピュータ周辺機器のメーカで
ある。都心にある本社と郊外にある組立工場及び部品製造工場では,それぞれLANに
接続されたサーバとパソコン(以下,PCという)を利用して,生産計画,生産管理及
び在庫管理(以下,業務APという)を行っていた。N社では,本社と各工場間を必
要の都度ISDNで接続して,各サーバを参照していた。しかし,リアルタイムで頻繁
に参照しようとすると,通信費が高くなるという問題があった。また,インターネッ
トには,本社の限られたPCだけでしかアクセスできず,他社情報の収集に支障を来
していた。そのため,本社と各工場間を通信事業者のIP-VPNで接続して,業務APを
利用するN社企業情報ネットワークシステム(以下,Nネットという)を導入するこ
とにした。さらに,インターネットを利用して,取引先などとの電子メールの交換,
Webでの他社情報の収集,N社の企業情報や新製品情報の発信及び部品材料の購入手
配(以下,新規APという)を行うことにした。
〔Nネットの基本検討〕
 N社では,本社情報システム部のW部長をリーダとしたNネットの構築を行うプロ
ジェクトチーム(以下,チームという)が,情報システム技術者,情報ネットワーク
技術者のU君,情報ネットワーク管理者のX君及び情報セキュリティ管理者のY君で
編成された。チームは,図1に示すNネットの技術要件をまとめた。

(1)インターネットの利用には,インターネットサービスプロバイダと専用線で接続する。
(2)外部のWebには,Webプロキシサーバを介してアクセスする。
(3)N社のPCから本社や各工場のサーバにアクセスして,業務APを実行する。業務AP
  は,既存のものを移植して使用する。
(4)資産管理には,資産管理サーバを設置する。
(以下省略)

図1 Nネットの技術要件

 U君は,図1の技術要件を基にして,図2に示すNネットの構成(案)の検討を行
った。さらに,Nネットの業務APのトラフィックが,これまでの2倍に増加すると
想定して設計条件を決定した。新規APのトラフィック条件については,類似した事
例からベンダに推定してもらうことにした。


図2 Nネットの構成(案)

〔N社の情報セキュリティポリシと情報セキュリティ対策の検討〕

 N社では,部品の設計や生産計画のために,5年前にPCを導入した。当時は,PC
を利用する社員が限られていたので,情報セキュリティポリシを策定するほどではな
かった。現在では,PCを利用する社員も増えてきたので,電子メールの私的利用,誤
操作によって重要情報が流出する懸念及び残業時の不適切なホームページの閲覧とい
う問題が指摘され,組織的な対応が必要になってきた。そこで,社長は,Nネットの
導入に併せて,情報セキュリティポリシを策定することを指示した。
 情報セキュリティ環境がNネットの導入によって大きく変わるので,W部長は,Y
君に情報セキュリティポリシの作成及び情報セキュリティ対策要件の取りまとめを指
示した。図3に,Y君がW部長の指示の下で起案し,社長の承認を得たN社の情報セ
キュリティ基本方針,対策基準を示す。また,表1に,Y君が取りまとめたNネット
の情報セキュリティ対策要件(案)を示す。

           情報セキュリティ基本方針,対策基準
                                         社長
T.基本方針
 社員など(派遣社員を含む)は,常に,N社の重要な資産である企業情報の機密漏えい
 の防止に努める。
(省略)

U.対策基準
 1.適用範囲
  (1)本基準は,すべての社員などに適用される。
  (2)本基準は,N社で利用するすべての資産(電子媒体及び紙を含む情報資産,ソフト
    ウェア資産及び物理的資産)に適用される。
 2.資産の分類及び資産管理
  (1)資産には,重要度に応じてA〜Dのランクを付ける。設計情報,部品材料などの
    技術情報は,すべて重要性の高いランクAとして扱う。
  (2)社員などによる資産の利用は,職務遂行に必要な範囲に制限される。
  (3)資産のライフサイクル管理のために,資産に関する情報をデータベース化する。
 3.社内ネットワークとインターネットの利用
  (1)社員などが社内ネットワークやインターネットを新たに利用する場合や利用条件を
    変更する場合には,所属長の許可を得て情報システム部に申請し,各サーバの利用者
    IDと仮パスワードを得る。社員などは,仮パスワードを受領した後,【 a 】す
    る。パスワードの長さは,特殊記号を含む英数字8文字以上とする。
  (2)インターネットの利用は,電子メールとWebサイトヘのアクセスに限定される。
    所属長又は管理者が内容を確認することがある。
 4.社内ネットワークの運用
  (1)インターネットからの不正侵入と攻撃に対する防御対策及びウイルス対策を行う。
  (2)本社のネットワーク管理サーバで集中監視と運用管理を行う。
  (3)情報セキュリティ管理者は,情報セキュリティマネジメントを適正に行う。
  (4)情報ネットワーク管理者は,ネットワークの設定変更や管理を適正に行う。
 5.外部委託
  (1)請負事業者による資産へのアクセスは,社員の立会いの下で行い,社外への持ち出
    しを禁ずる。
  (2)請負事業者との契約書には,守秘義務,情報セキュリティ及びリスクマネジメント
    に関する条項を盛り込む。
 6.入退室管理
  (1)ランクAの資産を扱うサーバやネットワーク管理サーバは,施錠された部屋に設置
    する。入室は,情報ネットワーク管理者,情報セキュリティ管理者及び特別に許可さ
    れた者に限定する。入退室の際には,すべての記録をログに残す。
 (省略)

 9.罰則
   本規定に違反する行為を行った場合には,就業規則によって懲罰を受ける。
                                          以上

図3 N社の情報セキュリティ基本方針,対策基準

表1 Nネットの情報セキュリティ対策要件(案)

項目 情報セキュリティ対策要件
@FWのフィルタリング パケットの流入出を制御する。
A本人認証 利用者IDとパスワードで認証する。
Bデータべースのアクセス制御 データベース管理者が業務APのユーザに対し,適切なアクセス権を付与
して管理する。
C不正侵入,DoS攻撃の検知 不正侵入やDoS攻撃などを検知するシステムを導入する。
Dウイルス対策 各PC,各サーバに定期的に最新のウイルス定義ファイルを配付する。
Eネットワーク管理 本社で一元的にFW,ルータ及び各サーバの管理を行う。
Fコンテンツフィルタリング 電子メールとWebサイトへのアクセスに適用する。
Gトラフィック監視 インターネットとIP-VPNのトラフィックを監視する。
H資産管理 重要な資産のライフサイクル管理を行う。
Iネットワーク監査 ログ情報(上記@〜Hで採取)をネットワーク管理サーバに転送した後,
保存して定期的にチェックを行う。

〔Nネットの情報セキュリティ対策の検討〕

 チームは,Nネットを自社で設計及び運用することができるように,表1を基に検
討を行った。まず,Nネットの監視と運用管理は,本社に業務を集中させて効率的に
行うことにした。また,PCを利用する社員など(以下,PCユーザという)がNネッ
トの各サーバに同じ利用者IDでアクセスできるようにした。
 X君は,PCユーザに対して,申請のあったサーバヘの仮パスワードを文書で連絡す
ることにした。ただし,PCユーザの多くが複数のサーバの利用を申請するようになっ
た場合には,一つのアクセス制御サーバでPCユーザを認証する【 b 】の適用
を検討することにした。
 次に,X君は,情報漏えいを防止し,不適切な情報を遮断するために,社外との間
で送受される情報に対して,ワードブロック方式によるコンテンツフィルタリングを
行うことにした。フィルタリングのソフトウェアでは,電子メールの文中で禁止字句
を検出した場合,関連先(所属長など)にコピーを送信することにした。一方,Web
サーバからダウンロードされたファイル中に禁止字句を検出した場合,URLとPCユ
ーザのIPアドレスをログ情報に残し,その旨のメッセージを情報セキュリティ管理者
に送信することにした。情報セキュリティ管理者は,禁止字句のもつべき特徴を定義
し,各部と協議して禁止字句を決定した。
 以上の検討を基に,チームは,Nネットの機能要件をまとめ,N社と取引のあるベ
ンダのV社と請負契約を結び,機器の調達,PCとサーバへのOSと業務APの導入及
び設置を発注した。V社は,仕様を検討し,詳細な内容についてN社に問い合わせた。
 しかし,チームは,V社への発注において,機器の調達などが中心であると考えたの
で,情報セキュリティポリシに従って,セキュリティ関連情報を開示せず,V社に提
案を求めた。V社は,Nネットの機能要件とN社へのヒアリングで得た情報に基づい
て,N社のセキュリティ関連情報を経験から推測し,機器をリストアップしてN社に
 提示した。

〔V社による納入とN社での試験〕

 V社とチームは,Nネットで使用する機器を決定し,N社への搬入,受入れ及び試
験について打合せを行って,情報セキュリティ試験を含むNネットの受入プロセス
(表2)について合意した。

表2 Nネットの受入プロセス

@受入基準の文書化 ・搬入,受入時の検査項目及び試験項目の文書化
A移行に関する準備 (省略)
BPCユーザへの説明 ・Nネットの新機能及び切替スケジュールの説明
C類似環境での試験 ・ベンダの環境における新規設備全体の搬入前試験
Dパイロット試験 ・ハードウェアの搬入と資産管理サーバへの機器の登録
・ネットワーク機器の設定とインターネットの接続試験
・試験データを用いた各サーバヘのアクセス試験
E結合試験 ・納入機器をすべて動作させ,機能と性能の確認
資産管理データベースヘのデータの登録
F総合試験 ・Nネットで想定されるトラフィックに基づいて作成した総合試験データによる,N
 ネット上での本人認証,アクセス制御,業務AP及び新規APの試験
G運用試験 ・Nネットに既存の業務APと関連するファイルをコピーして並行運転
・Nネットの情報セキュリティ対策要件(表1)の項目の確認
・ネットワーク管理サーバを利用したネットワークの管理と監視
・操作手順書の確認と修正
・一定期間の安定稼働の確認
H本番への切替え ・運用試験での問題点を解決して,検収を終了

 表2中の@〜Dのプロセスに,一部スケジュールの遅れがあったものの,表2中の
CとDの試験結果が良好であったので,V社は,N社にこの状態のままで機器を納入
したいと申し出た。Y君は,情報セキュリティ確保の観点から,V社がPCとサーバ
のOSと業務APの再インストールを行うべきであると主張した。しかし,V社は,こ
れから再インストールを行うと納期が遅延すると回答した。W部長は,V社との契約
書の条項を精査し,リスクに対応できると判断したので,社長にその旨を報告して,
V社の申出どおり納入を認めた。社長には,V社との契約書にリスクマネジメントに
関する条項が盛り込まれていると説明した。
 V社とチームは,表2中のEの結合試験に移行し,納入機器をすべて動作させて,
機能と性能を確認した。確認作業が終了した機器については,図4に示す資産管理
ータベースの項目に従って,データを登録した。

資産管理番号
1.資産情報
 (1)管理情報
   PCユーザ名,設置場所,IPアドレス
 (2)本体情報
  PC型名,製造ベンダ名,シリアル番号,ハードウェア構成,導入時期,利用期間
 (3)ネットワーク情報
  LANカード,製造者名,インタフェース速度,MACアドレス,導入時期
 (4)OS情報
   OS名,【 ア 】,製造者名,シリアル番号,導入時期
 (5)汎用アプリケーションソフトウェア情報
   ソフトウェア名,製造者名,導入時期,(省略)
 (6)業務AP情報
   生産管理クライアントプログラム名,稼働開始時期,(省略)
(以下省略)

        図4 資産管理データベースの項目(PCの場合)

 その後,チームは,結合試験を終えて,V社の立会いの下で表2中のFの総合試験
を行った。Nネットで想定されるトラフィックに基づいて作成した総合試験データを
用いて,PCと各サーバが情報セキュリティ環境に適合するように設定を行った。チー
ムが想定したとおりの結果が得られたので,N社は,X君,Y君及び各工場から本社
に異動させた情報システム運用担当者(各1名)で編成されたネットワーク管理課に
よる表2中のGの運用試験に移行し,V社は,電話で応対することにした。

〔ネットワークの運用試験〕

 運用試験に移行した後は,リアルタイムでの各サーバヘのアクセス,電子メール
利用及びWebサイトへのアクセスが好評で,PCユーザ数や利用頻度が急速に増え続
け,顧客によるWebサイトへのアクセス数も増え続けた。そのため,ネットワーク管
理サーバに大量のログ情報が収集されるようになった。しかし,ネットワーク管理課
では,経験が不足していたので,これらの大量のログ情報の分析や対処が十分にでき
なかった。その結果,各サーバやネットワーク機器からの重要な警告を見落とし,障
害が回避できない事態も起きた。障害には,外部からのDoS攻撃の見落とし(外部へ
のアクセスができないというPCユーザからの申告があるまでDoS攻撃が検出できな
かった)やデータベースの設定ミスによるPCユーザのアクセス権違反の見落とし
(ログ情報には警告が残っていたが,ほかのログに紛れてしまい検出できなかった)
などがあった。このような障害が頻発したので,PCユーザの不安や不満が増えてきた。
 W部長は,情報セキュリティマネジメントが十分でないと考え,V社に対処を要請
した。V社では,ログ情報のデータ量を削減して,重要なログだけを通報するように
設定し,見落としによる障害が起きないように改善した。
 その後,2か月の運用試験を経て,W部長は,Nネットが安定稼働していると判断
し,スキルのあるV社の要員によって一連の問題が解決したことと,本番運用へ切り
替えることを社長に報告して検収を終え,チームを解散させた。

〔ネットワークの本番運用の開始〕

 本番運用に入って,新たにNネットを利用するようになったPCユーザから,社内
ネットワークやインターネットを利用する際のPCの設定や不具合,各サーバのアク
セス権限の付与や変更,コンテンツフィルタリングなどについて,聞合せがネットワ
ーク管理課に集中した。しかし,運用担当者が本社から各工場に出向いて運用業務を
行っていたので,問合せに対して早急な対応ができなかった。このような状態が続い
たので,ネットワーク管理課では解散したチームのメンバに協力を依頼したが,PCユ
ーザの不満は収まらなかった。
 社長は,今後の安定した運用や障害の対策には運用管理体制の見直しが必要である
と考えた。そこで,W部長に,運用試験の段階までに障害が予見できなかった原因の
究明と,外部の派遣社員を活用した運用管理体制の改善を指示した。これを受けて,
W部長は,PCユーザからの問合せに対して,社内ネットワークのWebサーバに
【 c 】を用意し,頻繁にある問合せを削減して,個別対応が必要な不具合に対応
できるようにした。また,異動させた情報システム運用担当者を各工場に戻し,本社
に経験のある派遣社員1名を配置することにした。


設問1 

図3及び本文中の【 a 】〜【 c 】に入れる適切な字句を答えよ。
【 a 】,【 b 】については,それぞれ10字以内で答えよ。
【 c 】については,5字以内で答えよ。


設問2 

資産管理データベースに関する次の問いに答えよ。


(1)図4中の【 ア 】に入れる適切な字句を二つ挙げ,それぞれ7字以内で
  答えよ。

(2)図4中の(1)〜(6)のほかに,情報セキュリティマネジメントのために必要とな
  るPCの資産情報の名称を,20字以内で述べよ。また,その情報が必要になる
  理由を,45字以内で述べよ。

設問3 

コンテンツフィルタリングに関する次の問いに答えよ。

(1)禁止字句のもつべき特徴を二つ挙げ,それぞれ20字以内で述べよ。

(2)コンテンツフィルタリングを導入する前に,プライバシ保護の観点から,社
  員などに対して,どのような措置を行うべきか。40字以内で述べよ。

設問4 

Y君が,情報セキュリティ確保の観点から,PCとサーバのOOSと業務APの再
インストールを行うべきであると主張した理由は何か。40字以内で述べよ。また,
W部長が,リスクに対応できていると判断し社長に報告したのは,契約書にリス
クマネジメントに関する条項としてどのような内容が盛り込まれていたからか。
25字以内で具体的に述べよ。

設問5 

Nネットの運用に関する次の問いに答えよ。

(1)運用試験では,大量のログ情報が収集され,警告の見落としが起きた。この
  ような見落としを防ぐためには,表2のNネットの受入プロセスにおいて,ど
  の段階でどのような試験をしておけばよかったか。60字以内で述べよ。

(2)社長の指示に従って,外部の派遣社員を活用して業務を遂行するには,情報
  セキュリティに関する運用管理の観点から,どのような対策を実施すればよい
  か。二つ挙げ,それぞれ60字以内で具体的に述べよ。

Tomのネットワーク勉強ノート
 過去問(午後)
   情報セキュリティ アドミニストレータ過去問(午後)
     情報セキュリティ アドミニストレータ過去問 平成15年 午後2 問2