情報セキュリティマネジメント試験（SG）のサンプル問題（本番形式・解説付き）

情報セキュリティマネジメント試験（SG）（経済産業省（IPA）・情報セキュリティマネジメント試験（SG））の出題形式を、実際の問題で確かめられます。ここに掲載する5問は、無料の会員登録で解ける模試第1回（60問）の冒頭から抜粋したオリジナル問題です。当サイトは全600問を本番CBT準拠の形式で収録しており、この5問はそのごく一部にあたります。

設問1

割れ窓理論の考え方を情報セキュリティに当てはめた説明として、最も適切なものはどれか。

違反が起きた部署だけを対象に、点検の頻度を上げるのが効率的である
書類の出しっぱなしのような小さな緩みの放置が、重大な不正を許す土壌になる（正解）
重大な違反だけを取り締まり、軽微な違反は現場の判断に任せるのが効率的である
規程は最小限にとどめ、細かい決まりを設けないほうが遵守されやすくなる

解説

割れ窓理論は、割れた窓のような小さな乱れを放置すると、秩序が失われて大きな犯罪を招くという考え方です。情報セキュリティに置き換えると、机の上に書類が出しっぱなしでも誰も注意しない、規程違反が黙認されている、という小さな緩みが、やがて重大な不正を許す土壌になるという警告になります。細かい違反を放置しないことが、大きな事故を防ぐという主張です。

他の選択肢が誤りである理由

「違反が起きた部署だけを対象に、点検の頻度を上げるのが効率的である」対象を限る発想であり、小さな乱れを全体で放置しないという主張とは結び付きません。
「重大な違反だけを取り締まり、軽微な違反は現場の判断に任せるのが効率的である」軽微な違反の放置がやがて大きな乱れを招くというのがこの理論の主張であり、向きが逆になります。
「規程は最小限にとどめ、細かい決まりを設けないほうが遵守されやすくなる」決まりの数を減らす発想であり、違反を黙認しないというこの理論の主張とは別の話です。

設問2

攻撃用のツールを、中身を理解しないまま入手して使う攻撃者を指す呼び名はどれか。

ボットハーダー
ハクティビスト
産業スパイ
スクリプトキディ（正解）

解説

スクリプトキディは、攻撃用のツールやプログラムを中身を理解しないまま入手して使う者です。技術力は低い一方、手軽さゆえに数は多く、目的を絞らず脆弱なところを手当たり次第に狙います。この層に対しては、修正プログラムの適用、既定パスワードの変更、不要なサービスの停止といった基本的な対策を徹底するだけで、狙われる確率が大きく下がります。ボットハーダーは、多数の機器を乗っ取ってボットネットを統率する者で、技術力は高い側にいます。ハクティビストは、政治的・社会的な主張のために攻撃を行う者です。産業スパイは、競合企業などの依頼を受けて技術情報や営業情報を盗む者です。

他の選択肢が誤りである理由

「ボットハーダー」多数の機器を乗っ取ってボットネットを統率・運用する者を指し、技術力は高い側にあります。
「ハクティビスト」政治的・社会的な主張のために攻撃を行う者を指し、目的が主張の表明にあります。
「産業スパイ」競合企業などの依頼を受け、技術情報や営業情報を盗むことを狙う者を指します。

設問3

国家の支援を受けた組織による攻撃の特徴として、最も適切なものはどれか。

目立たないことを最優先し、数か月から年単位で潜伏する（正解）
攻撃対象を絞らず、脆弱な相手を手当たり次第に狙う
短時間で最大の被害を出すため、侵入直後に破壊を実行する
身代金の要求を目的とし、被害者に要求画面を表示して支払を迫る

解説

国家背景の攻撃者は、潤沢な資金と人員を持ち、長い時間をかけられます。目立たないことを最優先し、数か月から年単位で潜伏するため、派手な破壊が起きず、被害に気づくのが遅れます。「異常が起きていないから安全だ」という判断が通用しない相手であり、入口の対策だけでは足りず、侵入された後に気づいて止める備えが必要になります。

他の選択肢が誤りである理由

「攻撃対象を絞らず、脆弱な相手を手当たり次第に狙う」手当たり次第に狙うのはスクリプトキディや愉快犯の側の傾向で、この攻撃者は標的を定めます。
「短時間で最大の被害を出すため、侵入直後に破壊を実行する」発覚を避けるために潜伏する性質があり、侵入直後に破壊を行うことを特徴とはしません。
「身代金の要求を目的とし、被害者に要求画面を表示して支払を迫る」身代金の要求は金銭目的の犯罪組織の手口であり、この攻撃者の主な狙いは機密情報の窃取です。

設問4

「脆弱性を発見して提供元へ知らせる目的であれば、他社のシステムを無断で調査してよい」という考え方に対する評価として、最も適切なものはどれか。

調査の結果を報告する意思があれば、事前の許可は不要である
無断の調査は、目的が善意であっても不正アクセスにあたりうる（正解）
調査の対象が公開されているサーバであれば、許可を得る必要はない
報奨制度を設けている企業のシステムなら、範囲の定めにかかわらず調査できる

解説

ホワイトハッカー（バグハンター）と攻撃者の違いは、技術ではなく許可の有無と目的です。組織の依頼や公開された報奨制度の枠内で、あらかじめ定められた範囲を調査し、見つけた脆弱性を提供元へ報告するのがホワイトハッカーです。許可のない調査は、目的が善意であっても不正アクセスにあたりうるという線引きは、法務の章にもつながる重要な論点です。

他の選択肢が誤りである理由

「調査の結果を報告する意思があれば、事前の許可は不要である」報告の意思の有無は判断の基準にならず、あらかじめ許可された範囲であることが要件になります。
「調査の対象が公開されているサーバであれば、許可を得る必要はない」公開されているサーバであっても、管理者の許可なく調査を行えば問題になりえます。
「報奨制度を設けている企業のシステムなら、範囲の定めにかかわらず調査できる」報奨制度があっても、調査が認められるのは制度が定める対象と方法の範囲内に限られます。

設問5

コンピュータを用いる監査手続の区別として、最も適切なものはどれか。

コンピュータ支援監査技法は対象システムに監査用の機能を組み込み、監査モジュール法は監査人の側でデータを分析する
いずれも対象システムに監査用の機能を組み込むもので、分析を行う時期だけが異なっている
コンピュータ支援監査技法は監査人の側でデータを取り出して分析し、監査モジュール法は対象システムに監査用の機能を組み込む（正解）
いずれも監査人の側でデータを取り出して分析するもので、用いる道具だけが異なっている

解説

コンピュータ支援監査技法（CAAT）は、監査用のソフトウェアを使ってデータを直接分析し、異常や例外を検出する手続で、大量データの全件確認や重複・欠番・異常値の抽出に向きます。監査モジュール法は、監査用のプログラムを対象システムに組み込んでおき、稼働中の処理データを継続的に採取・監視する手続です。後者はシステムに手を入れる必要があるため、設計段階から組み込むのが前提になります。コンピュータ支援監査技法を組み込む側、監査モジュール法を監査人の側で分析する手続とする説明は、対応が入れ替わっています。いずれも対象システムに監査用の機能を組み込み分析の時期だけが違うという説明は誤りで、コンピュータ支援監査技法は監査人の側でデータを分析します。いずれも監査人の側でデータを取り出して分析し用いる道具だけが違うという説明も誤りで、監査モジュール法は対象システムに組み込みます。

他の選択肢が誤りである理由

「コンピュータ支援監査技法は対象システムに監査用の機能を組み込み、監査モジュール法は監査人の側でデータを分析する」監査用の機能を組み込むのは監査モジュール法であり、対応が入れ替わっています。
「いずれも対象システムに監査用の機能を組み込むもので、分析を行う時期だけが異なっている」コンピュータ支援監査技法は監査人の側で分析する手続で、対象システムへ組み込むものではありません。
「いずれも監査人の側でデータを取り出して分析するもので、用いる道具だけが異なっている」監査モジュール法は対象システムへ監査用の機能を組み込む手続で、監査人の側で分析するものではありません。

続きは、会員登録なしでそのまま50問解けます。採点と解説つきで、上と同じ本物の問題です。

登録なしで50問解く

← 情報セキュリティマネジメント試験（SG）の資格ページへ