11_2 情報セキュリティ管理

リスク対応のうち，リスクファイナンシングに該当するものはどれか。 平成31年春期　問40

• システムが被害を受けるリスクを想定して，保険を掛ける。
• システムの被害につながるリスクの顕在化を抑える対策に資金を投入する。
• リスクが大きいと評価されたシステムを廃止し，新たなセキュアなシステムの構築に資金を投入する。
• リスクが顕在化した場合のシステムの被害を小さくする設備に資金を投入する。

JIS Q 27000:2014(情報セキュリティマネジメントシステム−用語)における"リスクレベル"の定義はどれか。 平成31年春期　問41

• 脅威によって付け込まれる可能性のある，資産又は管理策の弱点
• 結果とその起こりやすさの組合せとして表現される，リスクの大きさ
• 対応すべきリスクに付与する優先順位
• リスクの重大性を評価するために目安とする条件

JIS Q 27000:2019(情報セキュリティマネジメントシステム−用語)における真正性及び信頼性に対する定義a〜dの組みのうち，適切なものはどれか。 〔定義〕 a.意図する行動と結果とが一貫しているという特性 b.エンティティは，それが主張するとおりのものであるという特性 c.認可されたエンティティが要求したときに，アクセス及び使用が可能であるという特性 d.認可されていない個人，エンティティ又はプロセスに対して，情報を使用させず，また，開示しないという特性 平成30年秋期　問39

• ア
• イ
• ウ
• エ

組織的なインシデント対応体制の構築や運用を支援する目的でJPCERT/CCが作成したものはどれか。 平成30年秋期　問40

• CSIRTマテリアル
• ISMSユーザーズガイド
• 証拠保全ガイドライン
• 組織における内部不正防止ガイドライン

JIS Q 27000:2019(情報セキュリティマネジメントシステム−用語)において，"エンティティは，それが主張するとおりのものであるという特性"と定義されているものはどれか。 平成30年春期　問39

• 真正性
• 信頼性
• 責任追跡性
• 否認防止

CSIRTの説明として，適切なものはどれか。 平成29年秋期　問42

• IPアドレスの割当て方針の決定，DNSルートサーバの運用監視，DNS管理に関する調整などを世界規模で行う組織である。
• インターネットに関する技術文書を作成し，標準化のための検討を行う組織である。
• 企業内・組織内や政府機関に設置され，情報セキュリティインシデントに関する報告を受け取り，調査し，対応活動を行う組織の総称である。
• 情報技術を利用し，宗教的又は政治的な目標を達成するという目的をもつ者や組織の総称である。

リスクアセスメントを構成するプロセスの組合せはどれか。 平成29年秋期　問43

• リスク特定，リスク評価，リスク受容
• リスク特定，リスク分析，リスク評価
• リスク分析，リスク対応，リスク受容
• リスク分析，リスク評価，リスク対応

経済産業省とIPAが策定した"サイバーセキュリティ経営ガイドライン(Ver1.1)"が，自社のセキュリティ対策に加えて，実施状況を確認すべきとしている対策はどれか。 平成29年春期　問39

• 自社が提供する商品及びサービスの個人利用者が行うセキュリティ対策
• 自社に出資している株主が行うセキュリティ対策
• 自社のサプライチェーンのビジネスパートナが行うセキュリティ対策
• 自社の事業所近隣の地域社会が行うセキュリティ対策

情報の"完全性"を脅かす攻撃はどれか。 平成28年秋期　問37

• Webページの改ざん
• システム内に保管されているデータの不正コピー
• システムを過負荷状態にするDoS攻撃
• 通信内容の盗聴

SaaS(Software as a Service)を利用するときの企業のセキュリティ管理についての記述のうち，適切なものはどれか。 平成28年春期　問41

• システム運用を行わずに済み，障害時の業務手順やバックアップについての検討が不要である。
• システムのアクセス管理を行わずに済み，パスワードの初期化の手続や複雑性の要件を満たすパスワードポリシの検討が不要である。
• システムの構築を行わずに済み，アプリケーションソフトウェア開発に必要なセキュリティ要件の定義やシステムログの保存容量の設計が不要である。
• システムのセキュリティ管理を行わずに済み，情報セキュリティ管理規定の策定や管理担当者の設置が不要である。