Worksheets11_2 情報セキュリティ管理
Total questions: 27
Worksheet time: 14mins
Name
Class
Date
1.
リスク対応のうち，リスクファイナンシングに該当するものはどれか。
平成31年春期 問40
a)
システムが被害を受けるリスクを想定して，保険を掛ける。
b)
システムの被害につながるリスクの顕在化を抑える対策に資金を投入する。
c)
リスクが大きいと評価されたシステムを廃止し，新たなセキュアなシステムの構築に資金を投入する。
d)
リスクが顕在化した場合のシステムの被害を小さくする設備に資金を投入する。
2.
JIS Q 27000:2014(情報セキュリティマネジメントシステム−用語)における"リスクレベル"の定義はどれか。
平成31年春期 問41
a)
脅威によって付け込まれる可能性のある，資産又は管理策の弱点
b)
結果とその起こりやすさの組合せとして表現される，リスクの大きさ
c)
対応すべきリスクに付与する優先順位
d)
リスクの重大性を評価するために目安とする条件
3.
JIS Q 27000:2019(情報セキュリティマネジメントシステム−用語)における真正性及び信頼性に対する定義a〜dの組みのうち，適切なものはどれか。
〔定義〕
a.意図する行動と結果とが一貫しているという特性
b.エンティティは，それが主張するとおりのものであるという特性
c.認可されたエンティティが要求したときに，アクセス及び使用が可能であるという特性
d.認可されていない個人，エンティティ又はプロセスに対して，情報を使用させず，また，開示しないという特性
平成30年秋期 問39
a)
ア
b)
イ
c)
ウ
d)
エ
4.
組織的なインシデント対応体制の構築や運用を支援する目的でJPCERT/CCが作成したものはどれか。
平成30年秋期 問40
a)
CSIRTマテリアル
b)
ISMSユーザーズガイド
c)
証拠保全ガイドライン
d)
組織における内部不正防止ガイドライン
5.
JIS Q 27000:2019(情報セキュリティマネジメントシステム−用語)において，"エンティティは，それが主張するとおりのものであるという特性"と定義されているものはどれか。
平成30年春期 問39
a)
真正性
b)
信頼性
c)
責任追跡性
d)
否認防止
6.
CSIRTの説明として，適切なものはどれか。
平成29年秋期 問42
a)
IPアドレスの割当て方針の決定，DNSルートサーバの運用監視，DNS管理に関する調整などを世界規模で行う組織である。
b)
インターネットに関する技術文書を作成し，標準化のための検討を行う組織である。
c)
企業内・組織内や政府機関に設置され，情報セキュリティインシデントに関する報告を受け取り，調査し，対応活動を行う組織の総称である。
d)
情報技術を利用し，宗教的又は政治的な目標を達成するという目的をもつ者や組織の総称である。
7.
リスクアセスメントを構成するプロセスの組合せはどれか。
平成29年秋期 問43
a)
リスク特定，リスク評価，リスク受容
b)
リスク特定，リスク分析，リスク評価
c)
リスク分析，リスク対応，リスク受容
d)
リスク分析，リスク評価，リスク対応
8.
経済産業省とIPAが策定した"サイバーセキュリティ経営ガイドライン(Ver1.1)"が，自社のセキュリティ対策に加えて，実施状況を確認すべきとしている対策はどれか。
平成29年春期 問39
a)
自社が提供する商品及びサービスの個人利用者が行うセキュリティ対策
b)
自社に出資している株主が行うセキュリティ対策
c)
自社のサプライチェーンのビジネスパートナが行うセキュリティ対策
d)
自社の事業所近隣の地域社会が行うセキュリティ対策
9.
情報の"完全性"を脅かす攻撃はどれか。
平成28年秋期 問37
a)
Webページの改ざん
b)
システム内に保管されているデータの不正コピー
c)
システムを過負荷状態にするDoS攻撃
d)
通信内容の盗聴
10.
SaaS(Software as a Service)を利用するときの企業のセキュリティ管理についての記述のうち，適切なものはどれか。
平成28年春期 問41
a)
システム運用を行わずに済み，障害時の業務手順やバックアップについての検討が不要である。
b)
システムのアクセス管理を行わずに済み，パスワードの初期化の手続や複雑性の要件を満たすパスワードポリシの検討が不要である。
c)
システムの構築を行わずに済み，アプリケーションソフトウェア開発に必要なセキュリティ要件の定義やシステムログの保存容量の設計が不要である。
d)
システムのセキュリティ管理を行わずに済み，情報セキュリティ管理規定の策定や管理担当者の設置が不要である。
11.
BYODの説明，及びその情報セキュリティリスクに関する記述のうち，適切なものはどれか。
平成28年春期 問42
a)
従業員が企業から貸与された情報端末を，客先などへの移動中に業務に利用することであり，ショルダハッキングなどの情報セキュリティリスクが増大する。
b)
従業員が企業から貸与された情報端末を，自宅に持ち帰って私的に利用することであり，機密情報の漏えいなどの情報セキュリティリスクが増大する。
c)
従業員が私的に保有する情報端末を，職場での休憩時間などに私的に利用することであり，セキュリティ意識の低下などに起因する情報セキュリティリスクが増大する。
d)
従業員が私的に保有する情報端末を業務に利用することであり，セキュリティ設定の不備に起因するウイルス感染などの情報セキュリティリスクが増大する。
12.
ISMS適合性評価制度の説明はどれか。
平成27年秋期 問40
a)
ISO/IEC 15408に基づき，IT関連製品のセキュリティ機能の適切性・確実性を評価する。
b)
JIS Q 15001に基づき，個人情報について適切な保護措置を講じる体制を整備している事業者などを認定する。
c)
JIS Q 27001に基づき，組織が構築した情報セキュリティマネジメントシステムの適合性を評価する。
d)
電子政府推奨暗号リストに基づき，暗号モジュールが適切に保護されていることを認証する。
13.
リスクアセスメントに関する記述のうち，適切なものはどれか。
平成26年秋期 問39
a)
以前に洗い出された全てのリスクへの対応が完了する前にリスクアセスメントを実施することは避ける。
b)
将来の損失を防ぐことがリスクアセスメントの目的なので，過去のリスクアセスメントで利用されたデータを参照することは避ける。
c)
損失額と発生確率の予測に基づくリスクの大きさに従うなどの方法で，対応の優先順位を付ける。
d)
リスクアセスメントはリスクが顕在化してから実施し，損失額に応じて対応の予算を決定する。
14.
会社や団体が，自組織の従業員に貸与するスマートフォンに対して，セキュリティポリシに従った一元的な設定をしたり，業務アプリケーションを配信したりして，スマートフォンの利用状況などを一元管理する仕組みはどれか。
平成26年春期 問40
a)
BYOD(Bring Your Own Device)
b)
ECM(Enterprise Contents Management)
c)
LTE(Long Term Evolution)
d)
MDM(Mobile Device Management)
15.
リスク共有(リスク移転)に該当するものはどれか。
平成25年秋期 問39
a)
損失の発生率を低下させること
b)
保険への加入などで，他者との間でリスクを分散すること
c)
リスクの原因を除去すること
d)
リスクを扱いやすい単位に分解するか集約すること
16.
BYOD(Bring Your Own Device)の説明はどれか。
平成25年秋期 問40
a)
従業員が企業から貸与された情報端末を，客先などへの移動中に業務に利用することであり，ショルダハッキングなどのセキュリティリスクが増大する。
b)
従業員が企業から貸与された情報端末を，自宅に持ち帰って私的に利用することであり，機密情報の漏えいなどのセキュリティリスクが増大する。
c)
従業員が私的に保有する情報端末を，職場での休憩時間などに私的に利用することであり，社内でのセキュリティ意識の低下などのセキュリティリスクが増大する。
d)
従業員が私的に保有する情報端末を業務に利用することであり，セキュリティ設定の不備に起因するウイルス感染などのセキュリティリスクが増大する。
17.
システム障害を想定した事業継続計画(BCP)を策定する場合，ビジネスインパクト分析での実施事項はどれか。
平成24年春期 問42
a)
BCPの有効性を検証するためのテストを実施する。
b)
情報システム障害時の代替手順と復旧手順について関係者を集めて教育する。
c)
情報システムに関する内外の環境の変化を踏まえてBCPの内容を見直す。
d)
情報システムに許容される最大停止時間を決定する。
18.
図のようなサーバ構成の二重化によって期待する効果はどれか。
平成24年春期 問43
a)
可用性の向上
b)
完全性の向上
c)
機密性の向上
d)
責任追跡性の向上
19.
入力パスワードと登録パスワードを用いて利用者を認証する方法において，パスワードファイルへの不正アクセスによる登録パスワードの盗用防止策はどれか。
平成23年秋期 問42
a)
パスワードに対応する利用者IDのハッシュ値を登録しておき，認証時に入力された利用者IDをハッシュ関数で、変換して参照した登録パスワードと入力パスワードを比較する。
b)
パスワードをそのまま登録したファイルを圧縮しておき，認証時に復元して，入力されたパスワードと比較する。
c)
パスワードをそのまま登録しておき，認証時に入力されたパスワードと登録内容をともにハッシュ関数で変換して比較する。
d)
パスワードをハッシュ値に変換して登録しておき，認証時に入力されたパスワードをハッシュ関数で変換して比較する。
20.
災害を想定した事業継続計画(BCP)を策定する場合に行うビジネスインパクト分析での実施事項はどれか。
平成22年秋期 問42
a)
BCPの有効性を検証するためのテストを実施する。
b)
許容される最大停止時間を決定する。
c)
代替手順や復旧手順について関係者を集め教育する。
d)
内外の環境の変化を踏まえBCPの内容を見直す。
21.
リスク移転に該当するものはどれか。
平成22年秋期 問43
a)
損失の発生率を低下させること
b)
保険に加入するなどで他者と損失の負担を分担すること
c)
リスクの原因を除去すること
d)
リスクを扱いやすい単位に分解するか集約すること
22.
リスク移転を説明したものはどれか。
平成21年春期 問41
a)
損失の発生率を低下させること
b)
保険に加入するなど資金面での対策を講じること
c)
リスクの原因を除去すること
d)
リスクを扱いやすい単位に分解するか集約すること
23.
Webサーバが外部から侵入され，コンテンツが改ざんされた。その後の対応の順序のうち，適切なものはどれか
平成20年秋期 問67
a)
①→②→③→④
b)
①→③→②→④
c)
②→③→①→④
d)
③→①→②→④
24.
JIS Q 27001:2006におけるISMSの確立に必要な事項①～③の順序関係のうち，適切なものはどれか。
１．適用宣言書の作成
２．リスク対応のための管理目的及び管理策の選択
３．リスクの分析と評価
平成20年春期 問69
a)
①→②→③
b)
①→③→②
c)
②→③→①
d)
③→②→①
25.
ISMSプロセスのPDCAモデルにおいて，PLANで実施するものはどれか。
平成19年秋期 問69
a)
運用状況の管理
b)
改善策の実施
c)
実施状況に対するレビュー
d)
情報資産のリスクアセスメント
26.
システム障害の監視対象に関する記述のうち，最も適切なものはどれか。
平成17年秋期 問47
a)
監視ソフトウェアで監視できない項目は，すべて人間が監視する必要がある。
b)
監視ソフトウェアは，システムコンソールに表示されるメッセージを監視している。
c)
システムオペレータは，業務処理の遅延もシステム障害の原因となりうるので，監視の対象とする。
d)
システムオペレータは，障害が発生する可能性のあるすべての対象を常時監視する。
27.
リスク分析に関する記述のうち，適切なものはどれか。
平成17年春期 問69
a)
考えられるすべてのリスクに対処することは時間と費用がかかりすぎるので，損失額と発生確率を予測し，リスクの大きさに従って優先順位を付けるべきである。
b)
リスク分析によって評価されたリスクに対し，すべての対策が完了しないうちに，繰り返しリスク分析を実施することは避けるべきである。
c)
リスク分析は，将来の損失を防ぐことが目的であるから，過去の類似プロジェクトで蓄積されたデータを参照することは避けるべきである。
d)
リスク分析は，リスクの発生による損失額を知ることが目的であり，その損失額に応じて対策の費用を決定すべきである。
100 %
