応用情報技術者試験 - Applied Information Technology Engineer Information Security Management Questions and Answers — Questions and Answers
Question 1: ISMS（情報セキュリティマネジメントシステム）の確立、導入、維持、及び継続的改善で用いられるPDCAモデルにおいて、「Check（評価）」のフェーズで実施される活動として、最も適切なものはどれか。
- 策定した情報セキュリティ方針を組織内に周知し、必要な教育・訓練を実施する。
- 評価結果に基づき、是正処置及び予防処置を実施する。
- ISMSのパフォーマンスを監視、測定し、その有効性を評価する。 (Correct answer)
- 情報セキュリティリスクアセスメントを実施し、リスク対応計画を策定する。
Correct answer: ISMSのパフォーマンスを監視、測定し、その有効性を評価する。
PDCAモデルにおいて、「Check（評価）」は、ISMSのパフォーマンスや有効性を監視・測定・レビュー・評価するフェーズです。選択肢Cがこの活動に該当します。 Aは「Plan（計画）」、Bは「Act（処置）」、Dは「Plan（計画）」の活動です。
Question 2: ある企業の元従業員が、退職後も利用可能であった同僚のIDとパスワードを無断で使用して、社内ネットワーク上のサーバにアクセスし、顧客情報を閲覧した。この行為を直接的に規制する法律はどれか。
- 個人情報保護法
- 不正アクセス行為の禁止等に関する法律（不正アクセス禁止法） (Correct answer)
- 特定電子メールの送信の適正化等に関する法律
- サイバーセキュリティ基本法
Correct answer: 不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）
他人のIDとパスワードを許可なく使用して、アクセス制御機能を持つコンピュータに不正にログインする行為は、「不正アクセス行為の禁止等に関する法律」（通称：不正アクセス禁止法）によって禁止されています。 したがって、Bが正解です。個人情報保護法は情報の取り扱いを、特定電子メール法は迷惑メールを、サイバーセキュリティ基本法は国の施策等を定めた法律であり、本件の行為を直接規制するものではありません。
Question 3: 組織内における情報セキュリティインシデントへの対応を専門に行うチームであるCSIRT（Computer Security Incident Response Team）の役割として、最も適切なものはどれか。
- 情報セキュリティインシデントの発生時に、その検知、分析、対応、報告など中心的な役割を担う。 (Correct answer)
- 従業員に対する情報セキュリティ教育の計画と実施のみを専門に行う。
- 組織の情報システム全体の企画、開発、運用を統括する。
- 新たな情報セキュリティ製品や技術の導入を決定し、その調達を担当する。
Correct answer: 情報セキュリティインシデントの発生時に、その検知、分析、対応、報告など中心的な役割を担う。
CSIRTは、情報セキュリティインシデント（例：マルウェア感染、不正アクセス、情報漏えい等）が発生した際に、迅速かつ効果的に対応するための専門チームです。その主な役割は、インシデントの検知、影響範囲の分析、封じ込めや復旧といった対応、そして関係各所への報告などです。 したがって、Aが最も適切です。
Question 4: ある企業が事業継続計画（BCP）を策定するにあたり、基幹システムに障害が発生した場合、「障害発生直前の状態までデータを復旧させる必要がある」とし、そのための目標を「最大でも1時間分のデータ損失まで許容する」と定めた。この目標を示す用語として、最も適切なものはどれか。
- RTO（目標復旧時間）
- RPO（目標復旧時点） (Correct answer)
- BIA（事業影響度分析）
- SLA（サービスレベル合意書）
Correct answer: RPO（目標復旧時点）
RPO（目標復旧時点）は、インシデント発生時に、過去のどの時点までのデータを復旧させるかという目標値です。 問題文の「最大でも1時間分のデータ損失まで許容する」というのは、障害発生時点から1時間前までのデータが復旧できればよい、という目標復旧時点を定めていることに他なりません。したがって、Bが正解です。RTO（目標復旧時間）はシステムを復旧させるまでの時間、BIAは事業への影響を分析するプロセス、SLAはサービス提供者と利用者の間の合意です。
Question 5: 企業などの組織が定める情報セキュリティポリシーの階層構造に関する記述として、最も適切なものはどれか。
- 情報セキュリティポリシーは、具体的な手順書のみで構成される。
- 最上位の「基本方針」では、個別の情報機器の具体的な設定手順を定める。
- 「基本方針」「対策基準」「実施手順書」の3階層で構成されるのが一般的であり、「対策基準」は基本方針を実現するためのルールを定めるものである。 (Correct answer)
- 「実施手順書」は、情報セキュリティに関する組織の理念や目的を示す最上位の文書である。
Correct answer: 「基本方針」「対策基準」「実施手順書」の3階層で構成されるのが一般的であり、「対策基準」は基本方針を実現するためのルールを定めるものである。
情報セキュリティポリシーは、一般的に①情報セキュリティ基本方針（組織の理念や目的を宣言）、②情報セキュリティ対策基準（基本方針を実現するための遵守事項やルールを規定）、③情報セキュリティ実施手順書（対策基準を具体的に実行するための手順を記述）の3階層で構成されます。 選択肢Cはこの階層構造と各文書の役割を正しく説明しています。A, B, Dは各文書の役割や階層を誤って説明しています。
Question 6: 独立行政法人情報処理推進機構（IPA）の活動内容として、適切なものはどれか。
- 日本国内のドメイン名（.jp）の登録管理とDNSの運用を行う。
- 内閣に設置され、日本のサイバーセキュリティに関する政策の企画立案及び総合調整を行う。
- インターネット上で発生したセキュリティインシデントに関する報告の受付、対応の支援、情報公開などを行うJPCERT/CCを運営する。
- 「情報セキュリティ10大脅威」を選出し、手口や対策を解説する文書を公開することで、社会全体のセキュリティ意識向上に貢献している。 (Correct answer)
Correct answer: 「情報セキュリティ10大脅威」を選出し、手口や対策を解説する文書を公開することで、社会全体のセキュリティ意識向上に貢献している。
独立行政法人情報処理推進機構（IPA）は、日本のIT国家戦略を技術面・人材面から支える組織です。 その活動の一つとして、前年に発生した社会的に影響が大きかったセキュリティ事案から「情報セキュリティ10大脅威」を選出し、その脅威の手口や対策を解説する資料を毎年公開しています。 これにより、国民や組織のセキュリティ意識向上に寄与しています。したがって、Dが正解です。AはJPRS、Bは内閣サイバーセキュリティセンター（NISC）、CのJPCERT/CCはIPAとは別の一般社団法人です。
応用情報技術者試験 - Applied Information Technology Engineer Information Security Management Questions and Answers
ISMS（情報セキュリティマネジメントシステム）の確立、導入、維持、及び継続的改善で用いられるPDCAモデルにおいて、「Check（評価）」のフェーズで実施される活動として、最も適切なものはどれか。