情報セキュリティ対策を，"技術的セキュリティ対策"，"人的セキュリティ対策"及び"物理的セキュリティ対策"に分類したとき，"物理的セキュリティ対策"の例として，適切なものはどれか。

• ア Webサーバへのアクセスログを取得し、必要に応じて通信を遮断する。
• イ セキュリティレベルごとのICカードで入退室管理を行う。
• ウ 従業員と守秘義務契約を結び、教育を実施する。
• エ 退職時にアカウントを削除する。

スマートフォンを利用するときに，ソーシャルエンジニアリングに分類されるショルダーハックの防止策として，適切なものはどれか。

• ア OSを常に最新の状態で利用する。
• イ 位置情報機能をオフにする。
• ウ スクリーンにのぞき見防止フィルムを貼る。
• エ 落下，盗難防止用にストラップを付ける。

ウイルスの感染に関する記述のうち，適切なものはどれか。

• ア OSやアプリケーションだけではなく，機器に組み込まれたファームウェアも感染することがある。
• イ PCをネットワークにつなげず，外部記憶媒体だけを利用すれば感染することはない。
• ウ 感染したPCはネットワークにつなげたままアップデートを実施する。
• エ 電子メールの添付ファイルを開かなければ，感染することはない。

ランサムウェアによる損害を受けてしまった場合を想定して，その損害を軽減するための対策例として，適切なものはどれか。

• ア PC内の重要なファイルは，PCから取外し可能な外部記憶装置に定期的にバックアップしておく。
• イ Webサービスごとに，使用するIDやパスワードを異なるものにしておく。
• ウ マルウェア対策ソフトを用いてPC内の全ファイルの検査をしておく。
• エ 無線LANを使用するときには，WPA2を用いて通信内容を暗号化しておく。

受信した電子メールに添付されていた文書ファイルを開いたところ，PCの挙動がおかしくなった。疑われる攻撃として，適切なものはどれか。

• ア SQLインジェクション
• イ クロスサイトスクリプティング
• ウ ショルダーハッキング
• エ マクロウイルス

サイバー攻撃の例ではないものはどれか。

• ア 機密情報の取得を目的として，オフィスから廃棄された記録メディアをあさる。
• イ サーバの脆弱性を利用して，Webサイトに侵入してデータを改ざんする。
• ウ 大量のアクセスを集中させて，サービスを停止させる。
• エ バックドアを利用して，他人のPCを遠隔操作する。

攻撃対象とは別のWebサイトから盗み出すなどによって，不正に取得した大量の認証情報を流用し，標的とするWebサイトに不正に侵入を試みるものはどれか。

• ア DoS攻撃
• イ SQLインジェクション
• ウ パスワードリスト攻撃
• エ フィッシング

マルウェアに感染した多数のIoT機器が特定のWebサイトへ一斉に大量のアクセスを行い，Webサイトのサービスを停止に追い込んだ。このWebサイトが受けた攻撃はどれか。

• ア DDoS攻撃
• イ クロスサイトスクリプティング
• ウ 辞書攻撃
• エ ソーシャルエンジニアリング

オンラインバンキングにおいて，マルウェアなどでブラウザを乗っ取り，正式な取引画面の間に不正な画面を介在させ，振込先の情報を不正に書き換えて，攻撃者の指定した口座に送金させるなどの不正操作を行うことを何と呼ぶか。

• ア MITB(Man In The Browser)攻撃
• イ SQLインジェクション
• ウ ソーシャルエンジニアリング
• エ ブルートフォース攻撃

Webサイトなどに不正なソフトウェアを潜ませておき，PCやスマートフォンなどのWebブラウザからこのサイトにアクセスしたとき，利用者が気付かないうちにWebブラウザなどの脆弱性を突いてマルウェアを送り込む攻撃はどれか。

• ア DDoS攻撃
• イ SQLインジェクション
• ウ ドライブバイダウンロード
• エ フィッシング攻撃

Webサービスを狙った攻撃に関する記述と攻撃の名称の適切な組合せはどれか。
a Webサービスが利用しているソフトウェアに脆弱性の存在が判明したとき，その修正プログラムが提供される前に，この脆弱性を突いて攻撃する。
b 複数のコンピュータから大量のパケットを一斉に送り付けることによって，Webサービスを正常に提供できなくさせる。
c 理論的にあり得るパスワードのパターンを順次試すことによって，正しいパスワードを見つけ，攻撃対象のWebサービスに侵入する。

• ア a:DDoS, b:ゼロデイ, c:ブルートフォース
• イ a:DDoS, b:ブルートフォース, c:ゼロデイ
• ウ a:ゼロデイ, b:DDoS, c:ブルートフォース
• エ a:ゼロデイ, b:ブルートフォース, c:DDoS

HTML形式の電子メールの特徴を悪用する攻撃はどれか。

• ア DoS攻撃
• イ SQLインジェクション
• ウ 悪意のあるスクリプトの実行
• エ 辞書攻撃

情報セキュリティの脅威に関する説明①～③と，用語の適切な組合せはどれか。
1 Webページに，利用者の入力データをそのまま表示するフォーム又は処理があるとき，第三者が悪意あるスクリプトを埋め込み，訪問者のブラウザ上で実行させることによって，cookieなどのデータを盗み出す攻撃
2 多数のPCに感染し，ネットワークを介した指示に従ってPCを不正に操作することによって，一斉攻撃などを行うプログラム
3 利用者に有用なプログラムと見せかけて，インストール及び実行させることによって，利用者が意図しない情報の破壊や漏えいを行うプログラム

• ア 1:クロスサイトスクリプティング, 2:トロイの木馬, 3:ボット
• イ 1:クロスサイトスクリプティング, 2:ボット 3:トロイの木馬
• ウ 1:標的型攻撃, 2:クロスサイトスクリプティング, 3:トロイの木馬
• エ 1:標的型攻撃, 2:トロイの木馬, 3:クロスサイトスクリプティング

ISMSのリスクアセスメントにおいて，最初に行うものはどれか。

• ア リスク対応
• イ リスク特定
• ウ リスク評価
• エ リスク分析

情報セキュリティにおけるリスクアセスメントの説明として，適切なものはどれか。

• ア PCやサーバに侵入したウイルスを，感染拡大のリスクを抑えながら駆除する。
• イ 識別された資産に対するリスクを分析，評価し，基準に照らして対応が必要かどうかを判断する。
• ウ 事前に登録された情報を使って，システムの利用者が本人であることを確認する。
• エ 情報システムの導入に際し，費用対効果を算出する。

情報セキュリティのリスクマネジメントにおけるリスク対応を，リスクの移転，回避，受容及び低減の四つに分類するとき，リスクの低減の例として，適切なものはどれか。

• ア インターネット上で，特定利用者に対して，機密に属する情報の提供サービスを行っていたが，情報漏えいのリスクを考慮して，そのサービスから撤退する。
• イ 個人情報が漏えいした場合に備えて，保険に加入する。
• ウ サーバ室には限られた管理者しか入室できず，機器盗難のリスクは低いので，追加の対策は行わない。
• エ ノートPCの紛失，盗難による情報漏えいに備えて，ノートPCのHDDに保存する情報を暗号化する。

ISMSにおけるリスク分析に関する記述として，適切なものはどれか。

• ア 異なる情報資産について，脅威と脆弱性のレベルが同じであれば，その資産価値が小さいほどリスク値は大きくなる。
• イ システムの規模や重要度にかかわらず，全てのリスクを詳細に分析しなければならない。
• ウ 電子データは分析の対象とするが，紙媒体のデータは対象としない。
• エ リスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。

ISMSにおける情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。

• ア a
• イ a，b
• ウ b
• エ c

情報セキュリティのリスクマネジメントにおいて，リスク移転，リスク回避，リスク低減，リスク保有などが分類に用いられることがある。これらに関する記述として，適切なものはどれか。

• ア リスク対応において，リスクへの対応策を分類したものであり，リスクの顕在化に備えて保険を掛けることは，リスク移転に分類される。
• イ リスク特定において，保有資産の使用目的を分類したものであり，マルウェア対策ソフトのような情報セキュリティ対策で使用される資産は，リスク低減に分類される。
• ウ リスク評価において，リスクの評価方法を分類したものであり，管理対象の資産がもつリスクについて，それを回避することが可能かどうかで評価することは，リスク回避に分類される。
• エ リスク分析において，リスクの分析手法を分類したものであり，管理対象の資産がもつ脆弱性を客観的な数値で表す手法は，リスク保有に分類される。

次の作業a～dのうち，リスクマネジメントにおける，リスクアセスメントに含まれるものだけを全て挙げたものはどれか。

• ア a，b
• イ a，b，c
• ウ b，c，d
• エ c，d

PDCAモデルに基づいてISMSを運用している組織において，A(Act)で実施することの例として，適切なものはどれか。

• ア 業務内容の監査結果に基づいた是正処置として，サーバの監視方法を変更する。
• イ サーバ管理者の業務内容を第三者が客観的に評価する。
• ウ サーバ室内の情報資産を洗い出す。
• エ サーバの動作を定められた運用手順に従って監視する。

PDCAモデルのA(Act)に相当するプロセスで実施するものとして，適切なものはどれか。

• ア 運用状況の監視や運用結果の測定及び評価で明らかになった不備などについて，見直しと改善策を決定する。
• イ 運用状況の監視や運用結果の測定及び評価を行う。
• ウ セキュリティポリシーの策定や組織内の体制の確立，セキュリティポリシーで定めた目標を達成するための手順を策定する。
• エ セキュリティポリシーの周知徹底やセキュリティ装置の導入などを行い，具体的に運用する。

運用しているサーバのソフトウェアに対する最新の修正プログラムの有無を，定められた運用手順に従って毎日調べる業務は，PDCAのどのフェーズか。

• ア P(Plan)
• イ D(Do)
• ウ C(Check)
• エ A(Act)

情報セキュリティポリシー策定で行う作業の実施順序として，適切なものはどれか。
a 責任者決定, b 基本方針策定, c 資産洗い出し, d リスク分析

• ア a → b → c → d
• イ a → b → d → c
• ウ b → a → c → d
• エ b → a → d → c

基本方針，対策基準，実施手順に関する説明のうち，適切なものはどれか。

• ア 基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。
• イ 実施手順は，基本方針と対策基準を定めるために実施した作業の手順を記録したものである。
• ウ 対策基準は，ISMSに準拠した情報セキュリティポリシーを策定するための文書の基準を示したものである。
• エ 対策基準は，情報セキュリティ事故が発生した後の対策を実施手順よりも詳しく記述したものである。

基本方針，対策基準及び実施手順の説明のうち，適切なものはどれか。

• ア 基本方針は，経営者が作成した対策基準や実施手順に従って，従業員が策定したものである。
• イ 基本方針は，情報セキュリティ事故が発生した場合に，経営者が取るべき行動を記述したマニュアルのようなものである。
• ウ 実施手順は，対策基準として決められたことを担当者が実施できるように，具体的な進め方などを記述したものである。
• エ 対策基準は，基本方針や実施手順に何を記述すべきかを定めて，関係者に周知しておくものである。

ISMSにおける情報セキュリティ方針に関する記述として、適切なものはどれか。

• ア 企業の現状とは切り離して，目標とする理想形を記述するのがよい。
• イ 周知は情報セキュリティ担当者だけに限定するのがよい。
• ウ トップマネジメントが確立しなければならない。
• エ 適用範囲が企業全体であっても，部門単位で制定するのがよい。

情報セキュリティ方針に関する記述として，適切なものはどれか。

• ア 一度定めた内容は，運用が定着するまで変更してはいけない。
• イ 企業が目指す情報セキュリティの理想像を記載し，その理想像に近づくための活動を促す。
• ウ 企業の情報資産を保護するための重要な事項を記載しているので，社外に非公開として厳重に管理する。
• エ 自社の事業内容，組織の特性及び所有する情報資産の特徴を考慮して策定する。

ISMSにおける情報セキュリティ方針の説明として，適切なものはどれか。

• ア 個人情報を取り扱う事業者が守るべき義務を規定するものである。
• イ 情報管理者が情報セキュリティを確保するために実施する具体的な手順を示すものである。
• ウ 情報セキュリティに対する組織の意図を示し，方向付けをするものである。
• エ 保護すべき情報を管理しているサーバのセキュリティの設定値を規定するものである。

機密性，完全性及び可用性に関する記述のうち，最も適切なものはどれか。

• ア 可用性を確保することは，利用者が不用意に情報漏えいをしてしまうリスクを下げることになる。
• イ 完全性を確保する方法の例として，システムや設備を二重化して利用者がいつでも利用できるような環境を維持することがある。
• ウ 機密性と可用性は互いに反する側面をもっているので，実際の運用では両者をバランスよく確保することが求められる。
• エ 機密性を確保する方法の例として，データの滅失を防ぐためのバックアップや誤入力を防ぐための入力チェックがある。

機密性，完全性及び可用性のうち，特に完全性の向上を目的とした取組として，最も適切なものはどれか。

• ア サーバをデュプレックスシステムで構成して運用する。
• イ システムの稼働率の向上策を検討する。
• ウ システムの利用開始時にユーザー認証を求める。
• エ 情報の改ざんを防止する対策を施す。

3要素（機密性，完全性，可用性）と対策a～cの適切な組合せはどれか。
a:アクセス制御, b:デジタル署名, c:ディスク二重化

• ア a:可用性, b:完全性, c:機密性
• イ a:可用性, b:機密性, c:完全性
• ウ a:完全性, b:機密性, c:可用性
• エ a:機密性, b:完全性, c:可用性

情報セキュリティとは，情報の機密性，完全性及び 「a」 を維持することである。さらに，真正性，責任追跡性，否認防止， 「b」 などの特性を維持することを含める場合もある。

• ア a:可用性, b:信頼性
• イ a:可用性, b:保守性
• ウ a:保全性, b:信頼性
• エ a:保全性, b:保守性

シャドーITの例として，適切なものはどれか。

• ア 会社のルールに従い，災害時に備えて情報システムの重要なデータを遠隔地にバックアップした。
• イ 他の社員がパスワードを入力しているところをのぞき見て入手したパスワードを使って，情報システムにログインした。
• ウ 他の社員にPCの画面をのぞかれないように，離席する際にスクリーンロックを行った。
• エ データ量が多く電子メールで送れない業務で使うファイルを，会社が許可していないオンラインストレージサービスを利用して取引先に送付した。

公開鍵暗号方式で4人が相互に通信する場合、全部で8個の鍵が必要。非公開にする鍵は何個か。

• ア 1
• イ 2
• ウ 4
• エ 6

公開鍵暗号方式を利用した処理と使用する鍵の組合せとして適切なものはどれか。

• ア a, b
• イ a, c
• ウ b
• エ b, c

Aさんが受け取ったメッセージのうち、復号して読めるものはどれか。

• ア a, b, d
• イ a, c, d
• ウ b, d
• エ c, d

電子メールの内容が改ざんされていないことの確認に利用するものはどれか。

• ア IMAP
• イ SMTP
• ウ 情報セキュリティポリシー
• エ デジタル署名

CRL（証明書失効リスト）に掲載される条件として適切なものはどれか。

• ア 有効期間が満了している。
• イ 有効期間が無期限である。
• ウ 有効期間内に失効している。
• エ 有効期間を延長している。

秘密鍵が漏えいした場合の対処として適切なものはどれか。

• ア そのまま再発行する
• イ 認証局に失効を申請する
• ウ 有効期限切れを待つ
• エ そのまま使用する

PKIにおけるCA（認証局）の役割はどれか。

• ア 代理アクセスの実施（プロキシ）
• イ 不正アクセス防止（FW）
• ウ ドメイン名の対応付け（DNS）
• エ 公開鍵証明書の発行や失効

メッセージダイジェストを利用したデジタル署名の記述として適切なものはどれか。

• ア 不正なメールサーバかを判別できる
• イ 送信側サーバ証明書でなりすまし検知
• ウ 本文の暗号化も行われる
• エ 改ざんが行われたことを検知できる

ハッシュ関数の特徴に関する記述のa, bに入る字句はどれか。
「同じデータは [ a ] ハッシュ値に変換され、変換後のハッシュ値から元のデータを復元することが [ b ]。」

• ア a:都度異なる, b:できない
• イ a:都度異なる, b:できる
• ウ a:常に同じ, b:できない
• エ a:常に同じ, b:できる

a～dのうち，ファイアウォールの設置によって実現できる事項として，適切なものだけを全て挙げたものはどれか。
a 外部に公開するWebサーバやメールサーバを設置するためのDMZの構築
b 外部のネットワークから組織内部のネットワークへの不正アクセスの防止
c サーバルームの入り口に設置することによるアクセスを承認された人だけの入室
d 不特定多数のクライアントからの大量の要求を複数のサーバに動的に振り分けることによるサーバ負荷の分散

• ア a，b
• イ a，b，d
• ウ b，c
• エ c，d

ネットワークやホストを監視することによって，不正アクセスや不審な通信を発見し，報告する仕組みはどれか。

• ア DMZ
• イ IDS
• ウ アンチパスバック
• エ ボット

外部と通信するメールサーバをDMZに設置する理由として，適切なものはどれか。

• ア 機密ファイルが添付された電子メールが，外部に送信されるのを防ぐため
• イ 社員が外部の取引先へ送信する際に電子メールの暗号化を行うため
• ウ メーリングリストのメンバーのメールアドレスが外部に漏れないようにするため
• エ メールサーバを踏み台にして，外部から社内ネットワークに侵入させないため

セキュリティ対策として使用されるWAFの説明として適切なものはどれか。

• ア ECなどのWebサイトにおいて，Webアプリケーションソフトウェアの脆弱性を突いた攻撃からの防御や，不審なアクセスのパターンを検知する仕組み
• イ インターネットなどの公共のネットワークを用いて，専用線のようなセキュアな通信環境を実現する仕組み
• ウ 情報システムにおいて，機密データを特定して監視することによって，機密データの紛失や外部への漏えいを防止する仕組み
• エ ファイアウォールを用いて，インターネットと企業の内部ネットワークとの間に緩衝領域を作る仕組み

HTTPSで接続したWebサーバとブラウザ間の暗号化通信に利用されるプロトコルはどれか。

• ア SEO
• イ SPEC
• ウ SQL
• エ SSL/TLS

PCやスマートフォンのブラウザから無線LANのアクセスポイントを経由して，インターネット上のWebサーバにアクセスする。このときの通信の暗号化に利用するSSL/TLSとWPA2に関する記述のうち，適切なものはどれか。

• ア SSL/TLSの利用の有無にかかわらず，WPA2を利用することによって，ブラウザとWebサーバ間の通信を暗号化できる。
• イ WPA2の利用の有無にかかわらず，SSL/TLSを利用することによって，ブラウザとWebサーバ間の通信を暗号化できる。
• ウ ブラウザとWebサーバ間の通信を暗号化するためには，PCの場合はSSL/TLSを利用し，スマートフォンの場合はWPA2を利用する。
• エ ブラウザとWebサーバ間の通信を暗号化するためには，PCの場合はWPA2を利用し，スマートフォンの場合はSSL/TLSを利用する。

無線LANの暗号化方式であり，WEPでは短い時間で暗号が解読されてしまう問題が報告されたことから，より暗号強度を高めるために利用が推奨されているものはどれか。

• ア ESSID
• イ HTTPS
• ウ S/MIME
• エ WPA2

次の記述a～cのうち，VPNの特徴として，適切なものだけを全て挙げたものはどれか。
a アクセスポイントを経由しないで，端末同士が相互に無線通信を行うことができる。
b 公衆ネットワークなどを利用するが，あたかも自社専用ネットワークのように使うことができる。
c ネットワークに接続することによって，PCのセキュリティ状態を検査することができる。

• ア a
• イ a，c
• ウ b
• エ c

シングルサインオンの特徴として，適切なものはどれか。

• ア データの処理や保存などがサーバ側で行われ，端末内にデータが残らないので，情報漏えい対策として効果的である。
• イ データを保存するときに，データは複数のディスクに自動的に分散配置されるので，可用性が高い。
• ウ パスワードに加えて指紋や虹彩による認証を行うので，機密性が高い。
• エ 利用者は最初に1回だけ認証を受ければ，許可されている複数のサービスを利用できるので，利便性が高い。

IoTデバイスにおけるセキュリティ対策のうち，耐タンパ性をもたせる対策として，適切なものはどれか。

• ア サーバからの接続認証が連続して一定回数失敗したら，接続できないようにする。
• イ 通信するデータを暗号化し，データの機密性を確保する。
• ウ 内蔵ソフトウェアにオンラインアップデート機能をもたせ，最新のパッチが適用されるようにする。
• エ 内蔵ソフトウェアを難読化し，解読に要する時間を増大させる。

IoTシステムなどの設計，構築及び運用に際しての基本原則とされ，システムの企画，設計段階から情報セキュリティを確保するための方策を何と呼ぶか。

• ア セキュアブート
• イ セキュリティバイデザイン
• ウ ユニバーサルデザイン
• エ リブート

複数の取引記録をまとめたデータを順次作成するときに，そのデータに直前のデータのハッシュ値を埋め込むことによって，データを相互に関連付け，取引記録を矛盾なく改ざんすることを困難にすることで，データの信頼性を高める技術はどれか。

• ア LPWA
• イ SDN
• ウ エッジコンピューティング
• エ ブロックチェーン

従業員に貸与するスマートフォンなどのモバイル端末を遠隔から統合的に管理する仕組みであり，セキュリティの設定や，紛失時にロックしたり初期化したりする機能をもつものはどれか。

• ア DMZ
• イ MDM
• ウ SDN
• エ VPN

システムの利用者認証に関する記述のうち，適切なものはどれか。

• ア 1回の認証で，複数のサーバやアプリケーションなどへのログインを実現する仕組みを，チャレンジレスポンス認証という。
• イ 指紋や声紋など，身体的な特徴を利用して本人認証を行う仕組みを，シングルサインオンという。
• ウ 情報システムが利用者の本人確認のために用いる，数字列から成る暗証番号のことを，PINという。
• エ 特定の数字や文字の並びではなく，位置についての情報を覚えておき，認証時には画面に表示された表の中で，自分が覚えている位置に並んでいる数字や文字をパスワードとして入力する方式を，多要素認証という。

バイオメトリクス認証に関する記述として，適切なものはどれか。

• ア 指紋や静脈を使用した認証は，のぞき見行為によって容易に認証情報が漏えいする。
• イ 装置が大型なので，携帯電話やスマートフォンには搭載できない。
• ウ 他人を本人と誤って認証してしまうリスクがない。
• エ 筆跡やキーストロークなどの本人の行動的特徴を利用したものも含まれる。

バイオメトリクス認証で利用する身体的特徴に関する次の記述中のa，bに入れる字句の適切な組合せはどれか。
バイオメトリクス認証における本人の身体的特徴としては，aが難しく，bが小さいものが優れている。

• ア a：偽造　b：経年変化
• イ a：偽造　b：個人差
• ウ a：判別　b：経年変化
• エ a：判別　b：個人差

バイオメトリクス認証の他人受入率と本人拒否率に関する次の記述中のa，bに入れる字句の適切な組合せはどれか。
バイオメトリクス認証の認証精度において，他人受入率を低く抑えようとするとaが高くなり，本人拒否率を低く抑えようとするとbが高くなる。

• ア a：安全性　b：可用性
• イ a：本人拒否率　b：他人受入率（※設問の文脈により解答）
• ウ a：利便性　b：安全性
• エ a：利便性　b：可用性

個人の認証に用いる要素を，知識，所有物及びバイオメトリクスの三つに分類したとき，所有物を要素として用いた認証の例はどれか。

• ア SMSを用いた認証
• イ 虹彩の特徴を用いた認証
• ウ 筆跡や筆圧，スピードなど，文字を書くときの特徴を用いた認証
• エ 本人が事前に設定した質問とそれに対する答えを用いた認証

認証に用いられる情報a～dのうち，バイオメトリクス認証に利用されるものだけを全て挙げたものはどれか。
a PIN(Personal Identification Number)
b 虹彩
c 指紋
d 静脈

• ア a，b，c
• イ b，c
• ウ b，c，d
• エ d

二要素認証の説明として，最も適切なものはどれか。

• ア 所有物，記憶及び生体情報の3種類のうちの2種類を使用して認証する方式
• イ 人間の生体器官や筆跡などを使った認証で，認証情報の2か所以上の特徴点を使用して認証する方式
• ウ 文字，数字及び記号のうち2種類以上を組み合わせたパスワードを用いて利用者を認証する方式
• エ 利用者を一度認証することで二つ以上のシステムやサービスなどを利用できるようにする方式

情報セキュリティにおける認証要素は3種類に分類できる。認証要素の3種類として，適切なものはどれか。

• ア 個人情報，所持情報，生体情報
• イ 個人情報，所持情報，知識情報
• ウ 個人情報，生体情報，知識情報
• エ 所持情報，生体情報，知識情報

情報セキュリティ対策を，技術的対策，人的対策及び物理的対策の三つに分類したとき，物理的対策の例として適切なものはどれか。

• ア PCの不正使用を防止するために，PCのログイン認証にバイオメトリクス認証を導入する。
• イ サーバに対する外部ネットワークからの不正侵入を防止するために，ファイアウォールを設置する。
• ウ セキュリティ管理者の不正や作業誤りを防止したり発見したりするために，セキュリティ管理者を複数名にして，互いの作業内容を相互チェックする。
• エ セキュリティ区画を設けて施錠し，鍵の貸出し管理を行って不正な立入りがないかどうかをチェックする。

重要な情報を保管している部屋がある。この部屋への不正な入室及び室内での重要な情報への不正アクセスに関する対策として，最も適切なものはどれか。

• ア 警備員や監視力メラによって，入退室確認と室内での作業監視を行う。
• イ 室内では，入室の許可証をほかの人から見えない場所に着用させる。
• ウ 入退室管理は有人受付とはせず，カード認証などの電子的方法だけにする。
• エ 部屋の存在とそこで保管している情報を，全社員に周知する。

情報セキュリティにおける物理的及び環境的セキュリティ管理策であるクリアデスクを職場で実施する例として，適切なものはどれか。

• ア 従業員に固定された机がなく，空いている机で業務を行う。
• イ 情報を記録した書類などを机の上に放置したまま離席しない。
• ウ 机の上のLANケーブルを撤去して，暗号化された無線LANを使用する。
• エ 離席時は，PCをパスワードロックする。

サーバ室など，セキュリティで保護された区画への入退室管理において，一人の認証で他者も一緒に入室する共連れの防止対策として，利用されるものはどれか。

• ア アンチパスバック
• イ コールバック
• ウ シングルサインオン
• エ バックドア

CSIRTとして行う活動の例として，最も適切なものはどれか。

• ア OSやアプリのパッチ定期適用
• イ BCPの策定
• ウ 事故発生時の影響調査・対策支援
• エ 入退出記録の監査

J-CRATに関する記述として適切なものは？

• ア 24時間監視サービス (SOC)
• イ 主体となって対応方針策定
• ウ 情報共有の場 (J-CSIP)
• エ 標的型サイバー攻撃の被害低減支援

個人情報保護法で同意なし提供が許される行為は？
a: 意識不明者の家族連絡（緊急）
b: 保険勧誘のためのリスト提供
c: 捜査機関への法令に基づく提供

• ア a
• イ a, c
• ウ b, c
• エ c

PCI DSSの説明として適切なものは？

• ア クレジットカード業界のセキュリティ基準
• イ セキュリティチップ (TPM)
• ウ 事故対応組織 (CSIRT)
• エ 侵入検知・防止 (IDS/IPS)