教科書に対する演習を、こちらの過去問道場を利用させていただきました。
ありがとうございました。おかげさまで合格することができそうです。

午後問題は、問題の出題の仕方自体になれておかなくてはいけなかった部分が多く時間が足りませんでしたが、午前演習の繰り返しと実務も多少あってか、８５％以上獲得となりました。

次はゆったり１年ぐらいかけて情スペ問題をやっていこうかなと思っています。
また情スペサイトでお世話になります。

午後 問２  設問２  （３）  の正答ですが

イ  アクセスを試みた形跡    本日0:00～15:30  となっておりました。

図２の時系列表をみると 11:20には LシステムにおいてFさんのアクセス権が無効化されていることがわかるのになぜLシステムのログの確認対象時間が 上記正答の時間なのか、お分かりになる方いらっしゃいましたら、ご教授いただけないでしょうか。 11:20以降はアクセス権剥奪済みなので調査する必要がないと思っている次第で、私は解答を、  ア  アクセスを試みた形跡    本日0:00～11:20 としてしまいました…。

アクセス権が無効化されていてもアクセスを試みることは可能です。
不正アクセスが何時まで試みられていたか確認するためにもNPCが発見されるまでの「本日0:00～15:30」で正しいのではないかと思います。

アクセス権無効後のアタックのログ解析の必要があるのか、それとも、無効後まで必要以上にログ解析しなくてもいいのかなと、
この問題  迷いました。

自己採点の結果は大丈夫でした。
こちらのサイトのお陰です。  ありがとうございました。

私も迷わず  ア  にしましたよ。
実務で運用しているクラウドシステムはアクセス権無効化したユーザのログなんて取らないですからね・・
Lシステムは高機能なんですねww

皆様、お忙しいところお返事をいただきありがとうございます。
資格試験的には１５：３０という明確な時間がどこにも記載が無く、逆に１１：２０は明確な記載があり、アクセス権停止という根拠がありましたのでアかと思いました。しかしイが正解なのであれば、ななしさんがおっしゃる通り、手元にNPCが戻るまでの間はちゃんと見ておくべきであった、というのが見解なのかもしれませんね。（もしかして午後一番の難問だったりして。）

私も、午後 問２  設問２  （３）  については同感です。。
迷わず「ア」にしましたよ。問題中に１５：３０を裏付ける記述がないですからね。
推定できるのは、「１４：５０にカバンを受領」との記述のみ。
もちろん、アクセス無効化した後でもアタックはできるでしょうけれど、それなら
「１５：３０」ではなくて「１４：５０」とするべきでしょう。
「１４：５０に受け取ったけど、４０分余裕を見て１５：３０」というのが
回答の根拠なんですかね。。。それは、試験問題としては如何なものかと。。。（笑）

 現場で、日々情報インシデントに対応していると、例えば、アクセス無効化した後も、しばらく時間的余裕をとって、その後の状況を確認するというのは、通常行っていることですので、そういったより実践的・現実的な対応を問題にしているのかもしれませんね。

証明書はエクスポートができるとの記述があったので、そのためではないでしょうか。
別のPCから試せるかも、ということです。
後の設問にもありますが、証明書を無効にせずアカウント回復させるとアタック可能ですからね。
また、15:30という時間は、会議の前ギリギリまでという意味と解釈しました。

kureさん
なるほど！ご解説でよく分かりました。ご説明の点  試験時間内に考察できませんでした。納得です。ありがとうございました。