情報セキュリティ
基本情報技術者試験｜L社はテレワークと社外からのクラウド業務システム利用を進めており、社内網を経由しないアクセスが増えている。社内網…
L社はテレワークと社外からのクラウド業務システム利用を進めており、社内網を経由しないアクセスが増えている。社内網に入っているか否かではなく、アクセスしてくる端末が安全な状態(OSやマルウェア対策が最新で、会社の管理下にあるか)を都度確認したうえで、クラウド業務システムへの利用可否を制御したい。この要件に最も適した仕組みはどれか。
アクラウドへの通信を社内のVPNにいったん集約し、社内網を経由して届いた通信だけ利用を許す。
イ利用者の認証に多要素認証を必須とし、本人であることを複数の要素で確かめてから利用を許す。
ウ会社が配布した証明書を持つ端末だけを登録し、証明書の有無で接続元の端末を識別して利用を許す。
エアクセスのたびにOS更新やマルウェア対策と管理対象かを調べ、条件を満たす端末だけ利用を許す。
正解
エ．アクセスのたびにOS更新やマルウェア対策と管理対象かを調べ、条件を満たす端末だけ利用を許す。
要件は『社内網にいるかで判断せず、アクセスしてくる端末の安全な状態を都度確認して利用可否を制御する』ことである。アクセスのたびに端末のOS更新状況・マルウェア対策の有無・会社の管理対象か(デバイスポスチャ)を調べ、条件を満たす端末だけクラウド業務システムの利用を許す仕組みは、ネットワーク位置に依存せず端末状態に基づいて動的に認可するゼロトラストの考え方そのもので、要件に直接合致する。
?選択肢ごとの解説
ア ×VPN経由・社内網通過を条件とするのは『社内網にいるか否か』で判断する境界型の発想であり、社内網を経由しないアクセスを前提とする要件と、端末状態で判断する趣旨に…
イ ×多要素認証は利用者本人かを強く確かめる手段だが、アクセス元端末がOS未更新やマルウェア対策無効でないかという安全状態を確認するものではなく、要件の核心を満たさな…
ウ ×証明書による端末識別は会社配布端末かの判定にはなるが、その端末が現にOS更新やマルウェア対策を満たす安全な状態かまでは都度評価しないため、要件の端末状態検証には…
エ ○要件は『社内網にいるかで判断せず、アクセスしてくる端末の安全な状態を都度確認して利用可否を制御する』ことである。アクセスのたびに端末のOS更新状況・マルウェア対策の有無・会社の管理対象か(デバイスポスチャ)を調べ、条件を満たす端末だけクラウド業務システムの利用を許す仕組みは、ネットワーク位置に依存せず端末状態に基づいて動的に認可するゼロトラストの考え方そのもので、要件に直接合致する。
情報セキュリティの他の問題
B社では、社内ネットワークに接続された端末は信頼できるものとして、いったん社内網に入れば各業務システムへ追加の確認なしにアク…A社の経理担当者が、取引先を装ったメールに添付された請求書ファイルを業務PCで開いたところ、見慣れない画面が一瞬表示されて消…B社のWebサービスで、複数の利用者アカウントに対し正しいIDとパスワードの組合せによるログインが短時間に外部から成立する事…C社では、退職予定者や異動者のアカウント権限の見直しが滞り、業務上不要になった共有フォルダへのアクセス権が残り続けている。情…D社のファイルサーバがランサムウェアに感染し、業務ファイルが暗号化された。D社は日次でバックアップを取得しているが、バックア…E社の従業員に、取引先銀行を名乗る『口座情報の更新が必要』というメールが届いた。本文中のリンク先URLにアクセスすると、銀行…F社は社外の従業員が、カフェなどの公衆無線LANを利用して社内システムへアクセスしている。通信内容が経路上で第三者に盗聴・改…G社では情報セキュリティインシデントが発生した際、各部署が個別に対応し、被害状況の集約や対外的な情報発信が混乱した経緯がある…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0192