サンプル問題（2022年12月） 問51
事例
A社は，金属加工を行っている従業員50名の企業である。同業他社がサイバー攻撃を受けたというニュースが増え，A社の社長は情報セキュリティに対する取組が必要であると考え，新たに情報セキュリティリーダーをおくことにした。
社長は，どのような取組が良いかを検討するよう，情報セキュリティリーダーに任命されたB主任に指示した。B主任は，調査の結果，IPAが実施しているSECURITY ACTIONへの取組を社長に提案した。
SECURITY ACTIONとは，中小企業自らが，情報セキュリティ対策に取り組むことを自己宣言する制度であるとの説明を受けた社長は，SECURITY ACTIONの一つ星を宣言するために情報セキュリティ5か条に取り組むことを決め，B主任に，情報セキュリティ5か条への自社での取組状況を評価するように指示した。
B主任の評価結果は表1のとおりであった。
| 情報セキュリティ5か条 | 評価結果 |
|---|---|
| 1 OSやソフトウェアは常に最新の状態にしよう！ | 一部のPCについて実施している |
| 2 （省略） | （省略） |
| 3 パスワードを強化しよう！ | （省略） |
| 4 共有設定を見直そう！ | （省略） |
| 5 脅威や攻撃の手口を知ろう！ | （省略） |
表1中の1の評価結果についてB主任は，次のとおり説明した。
・A社が従業員にPCを貸与する時に導入したOSとA社の業務で利用しているソフトウェア（以下，標準ソフトという）は，自動更新機能を使用して最新の状態に更新している。
・それ以外のソフトウェア（以下，非標準ソフトという）はどの程度利用されているか分からないので，試しに数台のPCを確認したところ，大半のPCで利用されていた。最新の状態に更新されていないPCも存在した。
A社では表1中の1について評価結果を“実施している”にするために新たに追加すべき対策として2案を考え，どちらかを採用することにした。
表1中の1の評価結果を“実施している”にするためにA社で新たに追加すべき対策として考えられるものは次のうちどれか。考えられる対策だけを全て挙げた組合せを，解答群の中から選べ。
- (一) PC上のプロセスの起動・終了を記録するEndpoint Detection and Response（EDR）の導入
- (二) PCのOS及び標準ソフトを最新の状態に更新するという設定ルールの導入
- (三) 全てのPCへの脆弱性修正プログラムの自動適用を行うIT資産管理ツールの導入
- (四) 非標準ソフトのインストール禁止及び強制アンインストール
- (五) ログデータを一括管理，分析して，セキュリティ上の脅威を発見するためのSecurity Information and Event Management（SIEM）の導入
正解：ク (三)，(四)
ポイント
情報セキュリティ5か条の1番を「実施している」にするための追加対策を選ぶ事例です。
考え方と解き方
表1の1番の評価と、B主任の説明を読みます。標準ソフトは自動更新で最新ですが、非標準ソフトが多くのPCで使われ、更新されていないPCがあります。決め手は、非標準ソフトの更新漏れを直接なくせる対策かどうかです。検知する対策を選んでしまう所が間違えやすい点です。
- 表1の1番は、OSとソフトウェアを常に最新にする項目で、評価は一部のPCだけ実施です。説明で、更新漏れの原因は非標準ソフトです。
- (一)のEDRと(五)のSIEMは、不審な動きやログから脅威を見つける対策で、ソフトを最新にする対策ではありません。(二)は、すでに自動更新ができている OS と標準ソフトの設定なので、非標準ソフトの更新漏れが残ります。
- (三)は全PCに修正プログラムを自動で適用し、(四)は更新されない非標準ソフトをなくします。本文のとおり2案のどちらかを採用するので、(三)と(四)は、それぞれ単独で更新漏れをなくせる別の案です。考えられる対策は (三)、(四) の全てで、ク です。
ほかの選択肢
- ア (一)は検知の対策で、更新の対策ではありません。(二)も標準ソフトが対象で、非標準ソフトの更新漏れに効きません。
- イ (三)は考えられる対策ですが、(一)は検知の対策で、更新の対策ではありません。(四)が抜けています。
- ウ (四)は考えられる対策ですが、(一)は検知の対策で、更新の対策ではありません。(三)が抜けています。
- エ (一)も(五)も、見つけるための対策で、ソフトを最新にする対策ではありません。
- オ (三)は考えられる対策ですが、(二)は標準ソフトが対象で、すでに自動更新されています。(四)が抜けています。
- カ (四)は考えられる対策ですが、(二)は標準ソフトが対象で、すでに自動更新されています。(三)が抜けています。
- キ (二)は標準ソフトが対象で、(五)は脅威を見つける対策です。どちらも非標準ソフトの更新漏れをなくせません。
- ケ (三)は考えられる対策ですが、(五)は脅威を見つける対策です。(四)が抜けています。
- コ (四)は考えられる対策ですが、(五)は脅威を見つける対策です。(三)が抜けています。
覚えておくこと
- 「最新の状態にする」ことが目的の対策は、更新の漏れが生じる原因（対象外のソフトなど）に届くかで選ぶ
- 検知や記録の対策は被害を見つけるためのもので、脆弱性を残さない対策の代わりにならない
出典：情報セキュリティマネジメント試験 サンプル問題 科目B 問51