令和6年度 問13
事例
A 社は，従業員 100 名の食品製造・販売会社である。A 社では，営業部が取り扱う顧客情報を X 社の SaaS である X 顧客管理サービス（以下，X サービスという）を利用して管理している。また，A 社は，X サービスの不正アクセス対策として，X サービスへのログインは，A 社の社内ネットワークからだけ許可しており，A 社の社外からはできないように設定している。
X サービスに備わっている不正ログインを防止するための機能と，A 社が X サービスに適用している現在の設定を表 1 に示す。
| 不正ログインを防止するための機能 | 現在の設定 | |
|---|---|---|
| 機能 1 | 指定した IP アドレスからアクセスした場合だけ，ログインできるよう制限する。 | 有効 ア |
| 機能 2 | 利用者 ID とパスワードによって認証する。 | 有効 |
| 機能 3 | 英字，数字，記号の 3 種類全てを含む 8 文字以上のパスワードを強制する。 | 有効 |
| 機能 4 | ワンタイムパスワードによって認証する。 | 無効 |
| 機能 5 | ログイン画面に CAPTCHA を表示し，回答させる。 | 無効 |
注 ア A 社が使用しているグローバル IP アドレスを指定している。
A 社では，昨今の社会情勢を鑑みて，営業部員を対象にテレワーク制度の導入を検討することにした。社外からも X サービスを利用できるようにしたい。また，社外から不正アクセスされるリスクを低減するために，利用者認証を強化したい。そこで，機能 1～5 の設定について，必要な変更を二つ実施することにした。
A 社が実施することにした設定変更の組合せはどれか。解答群のうち，最も適切なものを選べ。
正解：ア 有効から無効に変更する機能：機能 1／無効から有効に変更する機能：機能 4
ポイント
テレワーク導入に合わせて、不正ログイン防止の機能の設定をどう変えるかを判断する事例です。
考え方と解き方
表1で、現在の設定が有効か無効か、その機能がどんな制限をしているかを読みます。社外から使えない原因と、認証を強くするための機能を分けて考えるところで間違えやすいです。
- 本文では、ログインを社内ネットワークからだけに許可しています。表1で、これを実現しているのは、指定した IP アドレスからだけログインを許可する機能1（有効）です。社外から使うには、これを無効にします。
- 社外からのアクセスのリスクを減らすため、利用者認証を強化します。表1で無効の機能のうち、認証を強くするのはワンタイムパスワードによる機能4です。機能5の CAPTCHA は機械的なログインの試行を防ぐもので、認証の強さを上げるものではありません。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ 機能1を無効にするのは合っていますが、機能5の CAPTCHA は機械による試行対策で、利用者認証の強化になりません。
- ウ 機能4を有効にするのは合っていますが、機能2を無効にすると、利用者 ID とパスワードの認証がなくなってしまいます。社外から使えない原因も機能1です。
- エ 機能2を無効にすると基本の認証がなくなり、機能5も利用者認証の強化になりません。
- オ 機能4を有効にするのは合っていますが、機能3は、パスワードを複雑にする機能です。社外からのログインを妨げている機能ではなく、無効にするとパスワードが弱くなります。
- カ 機能3を無効にするとパスワードが弱くなり、機能5も認証を強くしません。社外から使えない原因の機能1も残ります。
覚えておくこと
- 社外から使えるようにする時は、場所の制限を外した分、認証を強くして補う
- 認証を強くするには、知っていること（パスワード）に加えて、持っているもの（ワンタイムパスワードを表示する端末）など別の種類を足す。CAPTCHA は機械的な試行への対策である
出典：令和6年度 情報セキュリティマネジメント試験 公開問題 科目B 問13