HOME»情報セキュリティマネジメント»午後問3

情報セキュリティマネジメント 午後問3

⇄問題文と設問を画面2分割で開く⇱問題PDF

問3　

スマートデバイスの業務利用における情報セキュリティ対策に関する次の記述を読んで，設問1，2に答えよ。

　J社は，従業員数150名の消費者向け化粧品販売会社である。J社は，自社で構築したECサイトを通して商品を販売している。J社には営業企画部，情報システム部，人事総務部，ロジスティック部などがある。
　J社では，情報セキュリティ委員会(以下，委員会という)を毎月末に開催しており，最高情報セキュリティ責任者(CISO)が委員長を，各部の部長が委員を務めている。各部の部長は，自部署の情報セキュリティ責任者を兼ねている。また各部には，情報セキュリティの推進者として，情報セキュリティリーダーを配置している。委員会では，情報セキュリティ関連規程の整備，情報セキュリティ対策の強化などが検討される。CISOは，委員会に提案する規程，マニュアル，対策などは提案前に十分に検証するように提案者に指示している。
　J社は，取引先訪問中など，いつでも，どこでも仕事ができる制度(以下，モバイルワークという)を，主に営業企画部の従業員を対象に，1年前から導入している。営業企画部のモバイルワークは，営業企画部の情報セキュリティリーダーであるR課長が中心となって管理することになっており，情報システム部のG主任がモバイルワークのシステム運用担当者(以下，運用担当者という)として支援している。
　現在，モバイルワークを利用する従業員(以下，モバイルワーカという)は20名おり，モバイルワークについて改善点や問題点などを発見した場合は，R課長に連絡することになっている。J社はモバイルワーク用に許可した機器(以下，モバイル端末という)としてノートPCを一人1台貸与している。
　モバイルワーク利用規程を図1に，モバイルワークで使用が認められているソフトウェア及びその用途を表1に示す。
　J社では，取引先や社外の関係者とのファイル共有のためにB社のファイル共有サービスを用意している。B社のファイル共有サービスは法人向けのクラウドサービスである。モバイルワーカが社外からインターネットにアクセスする場合は，必ずJ社のDMZ上のVPNサーバからプロキシサーバを経由してアクセスする。プロキシサーバには利用者認証機能はあるが，その機能は現在使用していない。一方，J社からインターネット上のWebサイト及びファイル共有サービスへのアクセスは，ホワイトリスト方式によって制御している。B社のファイル共有サービスには，アクセス元に対するIPアドレス制限機能が実装されているが，その機能は現在使用していない。
　営業企画部は，モバイルワーカを対象にモバイルワークに関する満足度調査を実施した。調査では，ノートPCは大きく重いのでスマートフォンやタブレット(以下，スマートデバイスという)に替えてほしいという要望が多かった。また，他社では個人所有のスマートデバイスを業務で活用することによって業務の生産性が向上したという事例があるので，併せて検討してほしいという要望もあった。

〔情報セキュリティ上のリスクと対策〕
　営業企画部の情報セキュリティ責任者であるK部長は，スマートデバイスを人数を限定して試験的に利用させることにし，スマートデバイスの利用案をG主任と検討して，報告するようR課長に指示した。
　利用案の検討に当たり，G主任は，スマートデバイスの一般的な機能を図2のとおりまとめた。G主任はR課長に，モバイルワークで使用する表1のソフトウェアはスマートデバイス用のアプリケーションソフトウェア(以下，アプリという)としてもB社から提供されている(以下，B社から提供されているアプリをB社アプリという)と伝えた。
　R課長がスマートデバイスの利用案をまとめ，K部長に報告したところ，モバイルワークにスマートデバイスを利用した場合の情報セキュリティ上のリスクと対策についても検討し，報告するよう指示を受けた。
　早速，R課長とG主任は，リスクと対策案を表2のとおりまとめ，さらにR課長はG主任に，表2の対策を実現する方法を調査するよう依頼した。
〔対策の実現に向けた調査〕
　G主任が調査したところ，表2の対策を実現する上で利用可能な機能をもつクラウドサービスが複数のベンダから提供されていた。G主任はその中でも，市場シェアが高いE社のクラウドサービスMM1及びMM2を対策の候補とし，それぞれが提供している機能を図3のとおりまとめ，R課長に報告した。
　MM1とMM2の機能を比較すると，MM1はe1を保護対象にすることによって，情報漏えいを防ぐ。MM2はe2を保護対象にすることによって情報漏えいを防ぐ。
　R課長は，MM1又はMM2を個人所有のスマートデバイスで使用する場合，幾つかの課題があることに気付いた。そこで，R課長はG主任の協力を得て，課題とその解決案を表3のとおりまとめた。
　R課長は，G主任と一緒に検討した案をまとめ，K部長に報告した。
　後日，検討した案は委員会で説明され，モバイルワークでのスマートデバイスの人数を限定した試験的な利用が承認された。試験的な利用はモバイルワーカに好評であり，情報セキュリティインシデントも起きていないことから，モバイルワークでのスマートデバイスの全社利用へと発展した。

設問1

〔情報セキュリティ上のリスクと対策〕について，(1)～(3)に答えよ。
(1) 表2中のa～cに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
a に関する解答群
  • B社のファイル共有サービスのIPアドレス制限機能を有効化
  • VPNサーバへの接続時に利用者を認証
  • プロキシサーバでの利用者認証を有効化
  • プロキシサーバのアクセス管理をブラックリスト方式に変更
b に関する解答群
  • J社の内部ネットワークのファイルサーバに業務データを保存
  • スマートデバイス内にフォルダを作成し，そこに業務データをバックアップ
  • スマートデバイスに常に装着されている外部記憶媒体に業務データをバックアップ
  • モバイルワーカが個人で契約しているファイル共有サービスに業務データをバックアップ
c に関する解答群
  • J社が指定したアプリストアだけを利用
  • J社が指定した携帯電話事業者の無線LANサービスだけを利用
  • J社が指定した時間帯だけにアプリストアを利用
  • J社が指定したプログラム言語だけでアプリを開発

解答選択欄

  • a:
  • b:
  • c:

解答

  • a=イ
  • b=ア
  • c=ア

解説

それぞれのリスクへ対策案を考えます。小さく書かれているので見落としてしまうそうですが、空欄に入る対策にはJ社で実施中の対策を含みます。
pm03_8.gif/image-size:523×93
〔aについて〕
モバイルワーカ以外に使用されるリスクに対しては"パスワードの変更"で対処可能ですが、内部ネットワークへの侵入についてはこれだけでは対処できません。したがってaに入る対策は内部ネットワークへの侵入を防げるものでなければなりません。

モバイルワーカは、内部ネットワークのファイルサーバと業務データをやり取りするなどのために内部ネットワークに接続します。社外から内部ネットワークへの接続はVPNサーバ経由で行われるため、VPNサーバで認証を行えば第三者が内部ネットワークのファイルサーバに侵入するリスクは少なくなります。その他の選択肢の対策を施したとしても、VPNサーバでの認証を行わなければ内部ネットワークへの侵入を容易に許してしまいます。

∴a＝イ：VPNサーバへの接続時に利用者を認証

〔bについて〕
現在の"モバイルワーク利用規定"では、モバイルワーカは業務データをモバイル端末に保存したままにせずに、内部ネットワークのファイルサーバに保存することになっています。
スマートデバイス利用に係るリスクへの対策案では、紛失・盗難時に遠隔操作でスマートデバイスの内部／外部記憶領域を初期化することになっているため、スマートデバイス内だけに存在する業務データがあった場合には情報が消失してしまいます。このためスマートデバイスの利用についても現状の運用方法と同じく、内部ネットワークのファイルサーバに業務データを保存するのが適切です。
なお、「エ」個人のファイル共有サービスへのバックアップは情報消失には有効かもしれませんが、情報漏えいのリスクが高く利用規定で許可されていないため不適切です。

∴b＝ア：J社の内部ネットワークのファイルサーバに業務データを保存

〔cについて〕
スマートデバイスではマーケット(アプリストア)よりアプリを選んでインストールできますが、図2の注記にはマーケットの中には「アプリの安全性審査を行っていないところがある」と記載されています。
pm03_9.gif/image-size:525×244
原則として業務にはJ社の指定したアプリを利用することになっています。しかし任意のアプリストアの利用を許せば、モバイルワーカが安全性審査の行われていないアプリストアを利用し、悪意のあるアプリをインストールしてしまうことになりかねません。このためモバイルワーカの使用するアプリストアは、J社が安全性を確認した場所だけに限定すべきです。

∴c＝ア：J社が指定したアプリストアだけを利用
(2) 表2中のd1，d2に入れる，次の(ⅰ)～(ⅴ)の組合せはどれか。dに関する解答群のうち，最も適切なものを選べ。
  1. 営業企画部は，参照先としてスマートデバイス及びB社アプリの設定方法が掲載されているインターネット上のSNSやブログなどのURLを利用マニュアルに記載
  2. 営業企画部は，実際に手順の検証を行い，スマートデバイス及びB社アプリの利用マニュアルを作成
  3. 営業企画部は，モバイルワーカが自分専用の利用マニュアルを独自に作成できるようにインターネット上のSNSやブログへのアクセスを許可
  4. 営業企画部は，モバイルワーカがスマートデバイス及びB社アプリの利用マニュアルに不備を発見した場合，直ちにモバイルワーカが修正することを推奨
  5. 営業企画部は，モバイルワーカにスマートデバイス及びB社アプリの正しい設定，利用手順，注意事項などについて定期的に教育を実施
d に関する解答群
pm03_6.gif/image-size:244×184

解答選択欄

  • d:

解答

  • d=エ

解説

d1とd2には"知識不足による誤操作"への対策が入ります。
  1. 誤り。モバイルワークで使用するB社ブラウザでは業務でのWebサイトへのアクセスしか認められていません。SNSやブログへのアクセスを許可すると業務外での使用リスクが高まるため不適切です。
  2. 正しい。
  3. 誤り。(ⅰ)と同じ理由で不適切です。
  4. 誤り。モバイルワークについての改善点や問題点などを発見した場合は、R課長に報告することになっているため不適切です。
  5. 正しい。
正しい組合せは「(ⅱ)，(ⅴ)」なので「エ」が正解です。
(3) 表2中の下線①が原因で起こり得る事象はどれか。解答群のうち，最も適切なものを選べ。
解答群
  • OSの脆弱性を悪用されて，バックドアを仕掛けられる。
  • 公衆無線LANの電波と携帯電話回線の電波が干渉したときに，通話とインターネット通信ができなくなる。
  • スマートデバイスの利用者が出荷時のセキュリティ設定を解除できるようになる。
  • 不正なショートメッセージサービスがスマートデバイスに送られたとき，架空の未払料金を請求されて支払うことになる。
  • 不正な電子メールがスマートデバイスに送られたときに，フィッシングサイトに誘導されて，個人情報が漏えいする。

解答選択欄

  • 　

解答

  • 　ウ

解説

Jailbreak(ジェイルブレイク／脱獄)やroot化は、利用者がシステムへの最高権限(いわゆるroot権限)を使用することに制限を課しているコンピュータに対して、セキュリティホールを突くなどの不正な方法を用いてその制限を取り除いてしまう行為です。
これを行うことにより、システム上の全てにアクセスできるようになるため高度なカスタマイズが可能になりますが、制限により保護されていた部分があらわになってしまったり、通常であれば変更できないセキュリティ設定を無効にできたりするためセキュリティリスクが大幅に増大します。

∴ウ：スマートデバイスの利用者が出荷時のセキュリティ設定を解除できるようになる

設問2

〔対策の実現に向けた調査〕について，(1)～(4)に答えよ。
(1) 本文中のe1，e2に入れる，次の(ⅰ)～(ⅴ)の組合せはどれか。eに関する解答群のうち，最も適切なものを選べ。
  1. エージェントアプリ
  2. 公衆無線LAN及び携帯電話回線
  3. スマートデバイスに保存されている全てのデータ
  4. スマートデバイスの業務フォルダ内に保存されているデータ
  5. スマートデバイスの操作ログ
e に関する解答群
pm03_7.gif/image-size:244×211

解答選択欄

  • e:

解答

  • e=イ

解説

MM1とMM2の機能を比較したのが以下の表です。
pm03_10.gif/image-size:481×152
MM1ではスマートデバイス全体を保護するのに対して、MM2だけは業務用に作成したフォルダ内だけを保護します。したがって「イ」の組合せが適切です。
(2) 表3項番1に示したクレームを避けるために，端末データの閲覧に先立ち実施しておくべき措置として，表3中のfに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
f に関する解答群
  • モバイルワーク利用前に口頭で説明する
  • モバイルワーク利用前に書面で同意を得る
  • モバイルワーク利用前に説明し，その日時を記録する
  • モバイルワーク利用前に電子メールで通知し，開封通知を保存する

解答選択欄

  • f:

解答

  • f=イ

解説

口頭やEメールなどによって得られた同意であっても法律上は有効な同意として扱われます。ただ口頭やEメールの開封通知だけでは証拠が残らず、後々"見た・見ない"、"聞いた、聞いていない"などの紛争に発展する可能性があるので、書面で同意を得るのが確実です。

したがって「イ」が正解です。

∴イ：モバイルワーク利用前に書面で同意を得る
(3) 表3中のg，hに入れる適切な字句を，解答群の中から選べ。
g，h に関する解答群
  • 業務データと私的データの両方のデータが消える
  • 業務データと私的データは残り，B社アプリは消える
  • スマートデバイスがロックされるので，自動で初期化される
  • スマートデバイスのロックを解除するためのパスワードが変更されるので，スマートデバイスを発見した場合，モバイルワーカ本人はロックを解除できず，利用することができない

解答選択欄

  • g:
  • h:

解答

  • g=ア
  • h=エ
※gとhは順不同

解説

  • 正しい。MM1では、データ暗号化および緊急時の初期化の範囲が端末の全領域です。個人所有のスマートデバイスを業務で活用した場合、端末内に業務データと私的データが共存することになるため、初期化を行うと両方のデータが消失します。業務データはバックアップから回復できる可能性が高いですが、私的データについては個人の管理に委ねられるため問題になる可能性があります。
  • 誤り。初期化が実施されるとその端末は工場出荷時の状態に戻ります。したがって業務データ、私的データ、B社アプリの全てが消えます。
  • 誤り。ロックと初期化は別の管理機能です。ロックを行っても自動で初期化が行われるわけではありません。
  • 正しい。スマートデバイスの紛失・盗難時には、担当者がMM1の機能を用いてロックを行い、ロック解除するためのパスワードを変更します。その後、モバイルワーカ自身が端末を発見した場合でもパスワードが変更されているため直ぐに利用することはできません。管理部門にパスワードを教えてもらうまでの間、一時的に業務ができない状態になってしまうことが問題です。
正しい組合せは「ア、エ」です。
(4) 表3中の下線②及び下線③について，修正内容と運用手順を，次の(ⅰ)～(ⅴ)の中から一つずつ挙げた組合せはどれか。解答群のうち，最も適切なものを選べ。

[モバイル端末利用申請書の修正内容]
  1. モバイルワークで使用する可能性がある全ての個人所有のスマートデバイスの機種名及びOS名を記入できるように修正する。
  2. モバイルワークで使用する個人所有のスマートデバイスの電話番号及び機種名を記入できるように修正する。
  3. モバイルワークで使用する個人所有のスマートデバイスの電話番号及び国際移動体装置識別番号を記入できるように修正する。
[運用手順]
  1. MM1又はMM2の管理画面上で，端末データが全項目とも収集されていることを複数の運用担当者が一緒に目視で確認した後，B社アプリをMM1又はMM2を利用して配布する。
  2. MM1又はMM2の管理画面上の端末データと，モバイル端末利用申請書を運用担当者が目視で突合し，一致した場合にだけB社アプリをMM1又はMM2を利用して配布する。
解答群
  • (ⅰ)，(ⅳ)
  • (ⅰ)，(ⅴ)
  • (ⅱ)，(ⅳ)
  • (ⅱ)，(ⅴ)
  • (ⅲ)，(ⅳ)
  • (ⅲ)，(ⅴ)

解答選択欄

  • 　

解答

  • 　カ

解説

〔モバイル端末利用申請書の修正内容について〕
電話番号は、端末に固有の情報ではなくSIMカードに付属する情報です。電話番号と機種名だけでは、同じ種類の機種にSIMカードを移せば許可されていない端末での利用ができてしまいます。
国際移動体装置識別番号は、スマートデバイスなどの情報端末ごとに割り当てられた固有の識別番号であり、MM1およびMM2で自動収集されるデータの1つです。申請項目として国際移動体装置識別番号を追加することで、管理者は許可されていない端末が使用されていることに気付けます。

選択肢のうち、国際移動体装置識別番号を申請項目としている(ⅲ)が適切な修正内容です。

〔運用手順について〕
スマートデバイスへのB社アプリの配布はMM1およびMM2の管理画面から行います。利用申請書の項目には電話番号と(端末に固有の)国際移動体装置識別番号が加えられるので、ある端末が許可されているか否かは、管理画面に表示される端末データと利用申請書を照合すればわかります。この手順により、許可されていない端末を発見するとともにライセンスの順守ができます。したがって(ⅴ)が適切な運用手順です。

∴カ：(ⅲ)，(ⅴ)
© 2015-2024　情報セキュリティマネジメント試験ドットコム　All Rights Reserved.
▲
Pagetop