情報セキュリティマネジメントクイズ

情報セキュリティの三要素のうち「機密性」の説明として適切なものはどれですか？

答え：

機密性は認可された者だけがアクセスできる状態を指します。完全性は正確性、可用性は利用可能性です。

情報セキュリティの三要素のうち「完全性」を脅かす事象はどれですか？

答え：

完全性は情報が正確で改ざんされていない状態です。不正な書き換えは完全性への脅威です。

情報セキュリティの三要素のうち「可用性」を高める対策はどれですか？

答え：

可用性は必要なときに使える状態です。冗長化やバックアップで障害時の継続性を高めます。

リスクアセスメントの説明として最も適切なものはどれですか？

答え：

リスクアセスメントはリスク特定・分析・評価からなり、対応の優先順位付けの基礎になります。

リスク対応のうち「リスク移転」の例として適切なものはどれですか？

答え：

リスク移転は保険や委託で損失負担を第三者へ移す対応です。回避・低減・受容とは区別します。

組織が情報セキュリティを継続的に管理する仕組みを示す用語はどれですか？

答え：

ISMSはISO/IEC 27001に基づき、PDCAで情報セキュリティを継続的に維持・改善する管理の仕組みです。

組織の情報セキュリティに関する基本方針や規程をまとめた文書体系はどれですか？

答え：

情報セキュリティポリシーは基本方針・対策基準・実施手順などからなり、組織の取り組みの基礎になります。

内部不正が発生しやすくなる「不正のトライアングル」の3要素はどれですか？

答え：

不正のトライアングルは動機・機会・正当化の3要素がそろうと不正が起きやすいとする考え方です。

セキュリティインシデントに対応するために組織内に設ける専門チームはどれですか？

答え：

CSIRTはインシデントの検知・対応・再発防止を担う専門チームで、被害の最小化と復旧を目指します。

離席時に書類を片付け、画面をロックする習慣を表す対策はどれですか？

答え：

クリアデスク・クリアスクリーンは離席時に情報をのぞき見・持ち出しされないようにする基本的な物理・運用対策です。

ファイルを暗号化して使用不能にし、復号と引き換えに金銭を要求するマルウェアはどれですか？

答え：

ランサムウェアはデータを暗号化し、復号鍵と引き換えに身代金を要求します。バックアップが有効な対策です。

他のプログラムに寄生せず、自己複製してネットワーク経由で感染を広げるマルウェアはどれですか？

答え：

ワームは単独で自己複製し、ネットワークを通じて自動的に感染を拡大します。

正規のソフトに見せかけて侵入し、裏で不正な動作を行うマルウェアはどれですか？

答え：

トロイの木馬は有用なソフトを装ってインストールされ、内部で情報窃取やバックドア設置などを行います。

特定の組織を狙い、業務関係者を装ったメールなどで侵入を試みる攻撃はどれですか？

答え：

標的型攻撃は特定組織を狙い、業務を装った巧妙なメールなどで段階的に侵入を図ります。

技術的手段ではなく、人の心理や行動の隙を突いて情報を聞き出す手口はどれですか？

答え：

ソーシャルエンジニアリングは電話やなりすまし、のぞき見などで人を欺き情報を入手します。

入力値の検査不備を突き、データベースを不正に操作する攻撃はどれですか？

答え：

SQLインジェクションは入力欄に不正なSQLを混入させ、データ窃取や改ざんを狙います。入力値検証やプレースホルダで防ぎます。

考えられるパスワードを片端から試して認証突破を狙う攻撃はどれですか？

答え：

ブルートフォース攻撃は総当たりでパスワードを試します。アカウントロックや長く複雑な認証情報が対策になります。

大量のリクエストを送りつけ、サービスを停止に追い込む攻撃はどれですか？

答え：

DoS/DDoSは過剰なアクセスでサービスを停止させ、可用性を侵害します。DDoSは多数の機器から行われます。

共通鍵暗号方式の課題として適切なものはどれですか？

答え：

共通鍵暗号は高速ですが、相手ごとに鍵を安全に配送・管理する鍵配送の課題があります。

公開鍵暗号方式で、受信者あてのメッセージを暗号化するときに使う鍵はどれですか？

答え：

公開鍵暗号では受信者の公開鍵で暗号化し、受信者だけが秘密鍵で復号できます。

ディジタル署名で確認できることとして適切なものはどれですか？

答え：

ディジタル署名は送信者の真正性、内容の完全性、否認防止を提供します。

公開鍵が確かに本人のものであることを証明書で保証する仕組み（基盤）はどれですか？

答え：

PKIでは認証局（CA）が電子証明書を発行し、公開鍵の正当な所有者を保証します。

知識・所持・生体など複数の異なる要素で本人確認する認証方式はどれですか？

答え：

多要素認証は異なる種類の要素を組み合わせ、片方が漏れても突破されにくくします。

利用者に業務上必要な最小限の権限だけを与える原則はどれですか？

答え：

最小権限の原則は必要最小限の権限のみ付与し、漏えいや誤操作時の被害範囲を抑えます。

外部に公開するサーバを、内部ネットワークから隔離して配置する区画はどれですか？

答え：

DMZは公開サーバを内部網から分離する緩衝区画で、内部への被害波及を抑えます。

ネットワークやホストへの不正侵入の兆候を検知する仕組みはどれですか？

答え：

IDSは不正侵入の兆候を検知して通知します。検知に加え遮断まで行うのがIPSです。

無線LANの通信を保護する暗号化方式として、現在推奨されるものはどれですか？

答え：

無線LANではWPA2/WPA3が推奨されます。WEPは脆弱で容易に解読されるため使用すべきではありません。

他人のIDやパスワードを無断で利用してログインする行為を禁じる法律はどれですか？

答え：

不正アクセス禁止法は、他人の識別符号の無断利用やセキュリティホールを突く侵入などを禁止します。