자격증 · Information Security Management (SG) 합격 랩
문제와 해설을 한국어(으)로 읽을 수 있습니다. 강의(해설 기사)는 일본어판에만 있습니다.
신입사원을 대상으로 하는 정보보안 교육의 실시 시기와 내용으로 가장 적절한 것은 어느 것인가?
규정을 모른 채 업무를 시작하면 위반을 피할 수 없으므로, 업무 개시 전에 방침과 지켜야 할 규정을 전달하는 것이 원칙이다. 1년 후나 연례 교육까지 기다리는 안은 그 사이에 공백 기간이 생긴다는 점에서 부적절하다. 설정 절차 설명은 담당자용 추가 교육이며, 정보에 접하는 전원에게 필요한 기초 교육을 대신할 수 없다.
표적형 공격 메일 훈련을 실시하는 목적으로 가장 적절한 것은 어느 것인가?
훈련의 목표는 열지 않기·즉시 보고하기라는 행동의 정착과, 보고 창구가 실제로 기능하는지의 확인에 있다. 처분에 사용하면 보고하기 어려운 분위기를 만들어 역효과이다. 훈련 메일은 무해한 모의 메일이며 검체 수집 수단이 아니다. 방화벽 규칙 검증은 설정 내용을 확인하는 작업으로, 사람의 행동을 측정하는 훈련과는 목적이 다르다.
직원과 체결하는 비밀유지계약(NDA)에 관한 서술 중 적절한 것은 어느 것인가?
비밀은 퇴직 후에도 계속 가치를 가지므로 퇴직 후에도 일정 기간 의무가 계속된다고 정하는 것이 일반적이며, 퇴직 시에 다시 확인한다. 고용 형태와 관계없이 정보에 접하는 사람에게는 서약을 요구할 필요가 있으므로 파견이나 아르바이트를 제외하는 것은 부적절하다. 계약은 약속에 불과하며 실시 상황 확인을 그만둘 근거가 되지 않는다.
직원의 퇴직에 따른 정보보안상의 절차로 가장 적절한 것은 어느 것인가?
퇴직자의 계정이 사용 가능한 상태로 남으면 제3자가 사용해도 정규 이용으로 기록되어 탐지가 어려우므로, 최종 출근일까지의 비활성화와 대여품 회수가 원칙이다. 문의 대응이 필요하다면 인수인계처를 정하면 된다. 회수를 본인에게 맡기는 것도, 퇴직 후 비밀유지 의무를 부정하는 것도 오류이다.
정보보안 대책은 인적 대책·기술적 대책·물리적 대책으로 나누어 정리할 수 있다. 이 중 인적 대책으로 분류되는 것은 어느 것인가?
인적 대책은 교육·훈련이나 규정·계약 등 사람의 행동에 작용하는 대책이며, 훈련의 실시가 이에 해당한다. IC카드에 의한 출입 관리는 장소와 설비를 지키는 물리적 대책, 방화벽에 의한 통신 차단과 파일 암호화는 기기나 소프트웨어의 기능으로 지키는 기술적 대책이다.
업무를 외부에 위탁하여 위탁처의 종업원이 자사의 개인데이터를 다루는 경우의 대응으로 가장 적절한 것은 어느 것인가?
위탁하더라도 정보를 맡긴 쪽의 책임은 남으므로, 계약으로 비밀유지·재위탁 가부와 조건·사고 시 보고·종료 시 데이터 반환 또는 소거를 정하고, 보고나 방문으로 실시 상황을 확인할 필요가 있다. 계약 후 확인하지 않는 것, 구두로 재위탁을 인정하는 것, 위탁처 종업원을 교육 대상에서 제외하는 것은 모두 관리가 미치지 않게 된다는 점에서 부적절하다.
내부 부정의 억제로 효과가 기대되는 시책은 어느 것인가?
억제란 부정을 저지르려는 마음을 단념하게 하는 작용으로, 감시받고 있다는 의식을 만드는 주지가 유효하다. 취득 사실을 숨기면 억제가 되지 않고 발각 후의 불신도 초래한다. 직책을 이유로 권한을 넓히는 것은 최소 권한에 반하여 피해를 키운다. 창구를 마련하지 않고 당사자 간에 처리하게 하면 조기 발견과 기록 확보를 할 수 없다.
관리직을 대상으로 한 정보보안 교육에서 다룰 내용으로 가장 적절한 것은 어느 것인가?
관리직은 부하의 권한 부여를 승인하고 부하로부터의 보고를 최초로 받는 입장에 있으므로, 승인하는 쪽의 책임과 정해진 기준에 따라 상위자나 CSIRT로 올리는 에스컬레이션 절차를 다룰 필요가 있다. 기기 설정 절차는 정보시스템 부문 담당자용 내용이다. 훈련 결과를 처분에 사용하면 보고를 주저하게 만들어 오히려 발각이 늦어진다. 입장에 따라 요구되는 판단이 다르므로 전 사원용과 같은 내용만으로는 부족하다.
다음 세 가지 대책을 인적 대책·기술적 대책·물리적 대책으로 분류한 조합으로 적절한 것은 어느 것인가? 가. 직원과 비밀유지계약을 체결한다 나. 노트북을 보안 와이어로 책상에 고정한다 다. 파일 서버와의 통신을 TLS로 암호화한다
가는 계약으로 사람의 행동을 약속시키는 인적 대책, 나는 도난이라는 물리적 위협에 대해 기기를 고정하는 물리적 대책, 다는 통신을 암호화하는 소프트웨어·기기의 기능에 의한 기술적 대책이다. 나를 기술적, 다를 물리적로 보는 조합이나, 가를 기술적·물리적으로 보는 조합은 모두 대책의 성질과 일치하지 않는다.
패킷 필터링형 방화벽이 통신을 허용할지 거부할지를 판단하는 데 사용하는 정보는 어느 것인가?
패킷 필터링은 패킷 헤더에 있는 IP 주소, 포트 번호, 프로토콜을 보고 규칙과 대조하는 방식이다. 메일 본문의 어구는 메일 필터, 웹 앱에 대한 입력값은 WAF, 단말기의 프로세스 동작은 EDR이 다루는 영역으로, 어느 것도 패킷 필터링형 방화벽의 판단 자료가 아니다.
방화벽의 스테이트풀 인스펙션에 대한 설명으로 적절한 것은 어느 것인가?
스테이트풀 인스펙션은 연결(커넥션)의 상태를 유지하여 내부에서 나간 통신의 반환을 동적으로 허용하므로, 반환 통신을 위해 포트를 미리 넓게 열어 둘 필요가 없다. 발신 도메인 검증은 SPF 등의 발신 도메인 인증, 단말기 행동 감시는 EDR, 요청 내용 검사는 WAF의 역할로, 어느 것도 방화벽의 상태 관리와는 다르다.
DMZ에 설치할 서버로 가장 적절한 것은 어느 것인가?
DMZ는 인터넷으로부터도 사내 LAN으로부터도 방화벽으로 격리된 완충 지대로, 외부에 공개할 필요가 있는 웹서버나 메일 서버를 둔다. 여기에 두면 공개 서버가 침해당하더라도 사내 LAN으로 직접 침입당하기 어려워진다. 인사 DB, 인증 서버, 회계 시스템은 사내에서만 이용하므로 사내 측에 두어 외부에서 도달할 수 없게 한다.
표는 어느 방화벽의 통신 허용 규칙이다. 규칙은 번호가 작은 것부터 순서대로 평가되며 처음 일치한 규칙의 동작이 적용된다. 또한 어느 규칙에도 일치하지 않는 통신은 마지막에 거부된다(암묵적 거부). 사내 LAN의 PC에서 인터넷상의 웹사이트로 TCP/443으로 접속할 때, 적용되는 규칙 번호와 결과의 조합은 어느 것인가?
番号 送信元 宛先 サービス 動作------------------------------------------------------1 社内LAN DMZ:Webサーバ TCP/443 許可2 社内LAN インターネット TCP/80,443 許可3 インターネット DMZ:Webサーバ TCP/443 許可4 インターネット 社内LAN すべて 拒否5 すべて すべて すべて 拒否
1번은 수신지가 DMZ의 웹서버이며, 수신지가 인터넷인 본 통신과는 일치하지 않는다. 2번은 발신지가 사내 LAN, 수신지가 인터넷, 서비스가 TCP/80,443이므로 일치하여 여기서 허용되고 평가가 끝난다. 3번은 발신지가 인터넷이므로 일치하지 않으며, 5번까지 도달하지 않으므로 거부되지도 않는다.
표의 규칙을 가진 방화벽이 있다. 규칙은 위에서부터 순서대로 평가되며 처음 일치한 규칙의 동작이 적용된다. 어느 규칙에도 일치하지 않는 통신은 거부된다. 인터넷상의 단말기에서 사내 LAN의 파일 서버로 TCP/445로 접속을 시도한 경우 어떻게 처리되는가?
番号 送信元 宛先 サービス 動作------------------------------------------------------1 社内LAN DMZ:Webサーバ TCP/443 許可2 社内LAN インターネット TCP/80,443 許可3 インターネット DMZ:Webサーバ TCP/443 許可4 インターネット 社内LAN すべて 拒否5 すべて すべて すべて 拒否
1번과 2번은 발신지가 사내 LAN이므로 일치하지 않는다. 3번은 수신지가 DMZ의 웹서버이며, 수신지가 사내 LAN인 본 통신과는 일치하지 않는다. 4번은 발신지 인터넷, 수신지 사내 LAN, 서비스 모두 일치하므로 거부가 된다. 설령 4번이 없더라도 5번의 포괄적인 거부로 통과하지 못하며, 일치하지 않는 통신이 기본값으로 허용되는 일은 없다.
공격 발신지로 판명된 IP 주소 203.0.113.9에서 DMZ의 웹서버로의 통신을 차단하기 위해 표의 3번 규칙을 추가했다. 규칙은 번호가 작은 것부터 순서대로 평가되며 처음 일치한 규칙의 동작이 적용된다. 그러나 추가 후에도 해당 주소로부터의 접속이 계속되고 있다. 원인과 대처로 적절한 것은 어느 것인가?
番号 送信元 宛先 サービス 動作------------------------------------------------------1 すべて DMZ:Webサーバ TCP/443 許可2 社内LAN インターネット TCP/443 許可3 203.0.113.9 DMZ:Webサーバ すべて 拒否4 すべて すべて すべて 拒否
규칙은 위에서부터 순서대로 평가되어 처음 일치한 시점에서 처리가 정해지므로, 발신지가 모든 것인 DMZ 앞 허용인 1번에 일치해 버려 뒤에 있는 3번은 평가되지 않는다. 따라서 거부 규칙을 1번보다 앞에 두어야 한다. 조건의 구체성에 의해 우선되는 일은 없으며, 먼저 허용된 통신이 맨 끝의 거부로 차단되는 일도 없다. 2번은 사내 LAN에서 외부로의 통신이며 이 건과는 무관하다.
WAF(Web Application Firewall)가 주로 막는 대상은 어느 것인가?
WAF는 웹서버 앞단에서 HTTP 통신의 내용을 검사하여 SQL 인젝션이나 크로스사이트 스크립팅처럼 앱의 구조를 노리는 공격을 막는다. 첨부파일의 악성코드는 메일 필터나 백신, 무선의 도청은 WPA2나 WPA3에 의한 암호화, 외부인의 침입은 출입 관리라는 물리적 대책이 담당하는 영역이다.
IDS와 IPS의 차이를 설명한 것으로 적절한 것은 어느 것인가?
둘의 차이는 탐지에 그치는지 차단까지 하는지에 있다. IDS는 징후를 탐지하여 관리자에게 통지하고, IPS는 통신 경로상에 두어 탐지한 통신을 그 자리에서 차단한다. 설치 장소는 용도에 따라 다르며 단말기 전용·네트워크 전용이라는 구별이 아니다. 암호화나 복호화를 하는 구조도 아니며, 대상을 특정 용도로 한정하는 장치도 아니다.
EDR에 대한 설명으로 적절한 것은 어느 것인가?
EDR은 단말기(엔드포인트)의 동작을 상시 기록하여, 침입당한 후의 의심스러운 행동을 탐지해 격리와 원인 조사를 돕는 내부 대책의 대표이다. 경계에서의 통신 차단은 방화벽, 격리 환경에서의 실행 판정은 샌드박스, 클라우드 이용의 가시화와 제어는 CASB에 대한 설명으로, 어느 것도 EDR과는 대상과 목적이 다르다.
다층 방어에서는 대책을 입구 대책·내부 대책·출구 대책으로 나누어 생각한다. 이 중 입구 대책에 해당하는 것은 어느 것인가?
입구 대책은 외부로부터의 침입이나 부정한 메일을 조직 안에 들이지 않기 위한 대책으로, 수신 메일 첨부파일의 검사가 이에 해당한다. 발신 메일의 내용 검사는 정보를 밖으로 나가지 못하게 하는 출구 대책, 네트워크의 분할과 조작 로그 취득·확인은 침입당했음을 전제로 피해 확산을 억제하는 내부 대책이다.
표적형 공격으로 사내에 침입당하는 것을 전제로 할 때, 내부 대책으로 가장 적절한 것은 어느 것인가?
내부 대책은 침입당한 후 공격자가 옆으로 확산되는 것을 억제하고 조기에 알아채기 위한 대책이다. 네트워크의 분할, 중요 서버에 대한 다요소 인증, 단말기의 행동 감시가 이에 해당한다. 스팸 메일 차단과 방화벽에 의한 차단은 입구 대책, 발신 통신의 제한과 차단은 정보를 유출시키지 않는 출구 대책이다.
악성코드에 감염된 단말기가 사내 정보를 외부 공격자의 서버로 내보내려는 사태에 대비하는 출구 대책으로 가장 적절한 것은 어느 것인가?
출구 대책은 훔친 정보를 밖으로 내보내지 않고 외부의 명령서버와 통신하지 못하게 하는 대책으로, 발신 통신의 집약·기록과 의심스러운 수신지로의 차단이 이에 해당한다. 수정프로그램 적용과 발신 도메인 인증 검증은 침입을 막는 입구 쪽 대책, 출입 기록 확인은 물리적 대책으로, 어느 것도 정보의 반출을 직접 막는 것은 아니다.
사내에서 이용하는 무선랜의 안전성에 관한 서술 중 적절한 것은 어느 것인가?
WPA3은 WPA2보다 새로우며 암호화와 인증이 강화된 방식이다. WEP는 해독 방법이 널리 알려져 있어 사용해서는 안 된다. SSID를 숨겨도 전파 자체는 나가고 있으며 암호화되어 있지 않으면 내용을 읽어낼 수 있다. MAC 주소 필터링은 접속할 수 있는 단말기를 제한할 뿐이며 통신 암호화와는 무관하다.
출입 관리에서 미행 출입(피기백)에 대한 설명과 그 대책의 조합으로 적절한 것은 어느 것인가?
미행 출입은 인증받은 사람 뒤를 따라 인증받지 않은 사람이 들어와 버리는 것으로, 기록상으로는 한 명만 입실한 것으로 되어 위험하다. 대책은 입실 기록이 없는 사람을 퇴실시키지 않는 안티패스백, 한 명씩 통과시키는 문, 감시, 그리고 교육의 조합이 된다. 다른 선택지는 카드 위조, 기록 누락, 동시 로그인에 대한 설명으로 미행 출입이 아니다.
다음 대책 중 물리적 대책으로 분류되는 것은 어느 것인가?
물리적 대책은 정보자산이 놓인 장소나 설비를 지키는 대책으로, 잠금과 출입 기록이 이에 해당한다. 교육의 실시는 사람의 행동에 작용하는 인적 대책, 비밀번호 설정과 패턴 파일 업데이트는 기기나 소프트웨어의 기능으로 지키는 기술적 대책이다.
IC카드 등에 요구되는 내탬퍼성에 대한 설명으로 적절한 것은 어느 것인가?
내탬퍼성은 분해나 해석 같은 물리적 공격을 받았을 때 내부 정보를 읽어낼 수 없게 하는 성질이다. 낙뢰나 정전에 대한 대비는 UPS나 서지 대책, 도청 방지는 통신 암호화, 예비 계통으로의 전환은 결함 허용(fault tolerance)에 관한 성질로, 어느 것도 내탬퍼성과는 의미가 다르다.
USB 메모리 등 휴대 매체의 관리로 가장 적절한 것은 어느 것인가?
휴대 매체는 분실·도난에 의한 유출 경로가 되므로 신청과 승인, 대장에 의한 기록, 데이터의 암호화와 최소화, 반납 시의 확실한 소거를 갖추어 운영한다. 개인 매체의 자유로운 이용은 악성코드 반입과 무단 반출을 초래한다. 반납 후에도 데이터를 남기는 것은 유출 기회를 늘리며, 암호화는 신청을 생략할 이유가 되지 않는다.
개인정보가 기재된 종이 서류를 폐기하는 방법으로 가장 적절한 것은 어느 것인가?
폐기물에서 정보를 얻는 스캐빈징을 막기 위해 복원할 수 없는 형태로 만든 후 버려야 하며, 절단이나 용해 처리가 적절하다. 뒷면지로서의 재사용은 사내에서의 의도치 않은 열람이나 반출로 이어진다. 그대로 버리는 방법이나 절단하지 않고 모아 가연 쓰레기로 내놓는 방법은 모두 제3자가 내용을 읽을 수 있는 상태를 남긴다.
어느 회사에서는 다음 가~라의 대책을 실시하고 있다. 이 중 물리적 대책에 해당하는 것만을 모두 든 것은 어느 것인가? 가 집무실에 감시 카메라를 설치한다 나 중요 서류를 잠글 수 있는 캐비닛에 보관한다 다 USB 메모리 내 데이터를 암호화한다 라 출입 기록을 일정 기간 보존한다
감시 카메라 설치, 잠금 캐비닛에서의 보관, 출입 기록 보존은 모두 장소나 설비에 대한 물리적 대책이다. 다의 데이터 암호화는 소프트웨어의 기능으로 내용을 보호하는 기술적 대책이며, 매체를 반출당하는 것 자체를 막는 것은 아니므로 물리적 대책에는 포함하지 않는다.
사무실을 접수처, 집무실, 서버실처럼 구획으로 나누어 관리하는 사고방식으로 가장 적절한 것은 어느 것인가?
구획 나누기의 요점은 중요도에 따라 층을 만들어 안쪽 구획일수록 인증을 엄격히 하여 출입할 수 있는 사람을 좁히는 것이다. 방문객과 직원의 동선을 나누지 않으면 외부인이 집무실에 들어올 수 있다. 서버실 위치를 널리 알리는 것은 침입을 돕는다. 집무실에도 정보자산이 있으므로 잠금이나 출입 관리를 생략해도 되는 것은 아니다.
표는 어느 회사 업무 시스템의 접근 권한 설정이다. 인사 담당자는 인사 정보의 등록과 갱신, 급여 담당자는 급여 계산(이를 위해 인사 정보의 열람이 필요), 영업 담당자와 영업 사무(파견사원)는 수주 입력을 담당하고 있으며 영업 부문은 인사 정보도 급여 정보도 다루지 않는다. 최소 권한 원칙에 비추어 재검토해야 할 설정은 어느 것인가?
利用者（役割） 人事DB 給与DB 受注DB 全社共有--------------------------------------------------------人事担当者 更新可 不可 不可 参照可給与担当者 参照可 更新可 不可 参照可営業担当者 不可 不可 更新可 参照可営業事務（派遣） 参照可 不可 更新可 参照可
영업 사무가 담당하는 것은 수주 입력이며 인사 정보를 볼 필요가 없으므로, 인사 DB의 열람 가능은 업무상 불필요한 권한으로 삭제 대상이 된다. 인사 담당자의 인사 DB 갱신 가능, 급여 담당자의 급여 계산에 따른 인사 DB 열람 가능, 영업 담당자의 수주 DB 갱신 가능은 모두 담당 업무 수행에 필요한 최소한의 권한이다.
표는 인사부의 다나카 씨에게 현재 부여된 접근 권한이다. 다나카 씨는 이번 달 자로 영업부로 이동하며 영업부에서는 수주 입력과 영업부 내 자료 작성을 담당한다. 이동 후 접근 권한 설정으로 가장 적절한 것은 어느 것인가?
対象システム 現在の権限--------------------------------人事DB 更新可給与DB 参照可受注DB 不可部内共有（人事部） 更新可部内共有（営業部） 不可
이동 후에는 새 업무에 필요한 권한만을 가져야 하므로 이전 부서의 권한을 삭제한 후 새 부서의 권한을 부여한다. 인수인계를 이유로 이전 권한을 오래 남기는 안이나 추가만 하는 안은 권한의 누적을 초래하여 최소 권한 원칙에 반한다. 신청을 기다리면 불필요한 권한을 가진 채 새 업무에 종사하는 기간이 생기므로 부적절하다.
표는 급여 DB에 대한 접근 권한 목록이다. 급여 DB는 급여 계산을 담당하는 인사부 담당자만이 업무에서 이용한다. 연 1회의 전수조사에서 삭제 대상으로 해야 할 권한만을 모두 든 것은 어느 것인가?
利用者 所属・担当 給与DBの権限 最終ログイン----------------------------------------------------------A 人事部（給与計算） 更新可 08-18B 営業部（受注入力） 参照可 01-10C 人事部（給与計算） 参照可 08-15D 退職済み 参照可 03-20
B는 영업부이며 급여 DB를 이용할 업무가 없으므로 업무상 불필요한 권한으로 삭제한다. D는 이미 퇴직했으므로 계정째 비활성화·삭제 대상이다. A와 C는 인사부에서 급여 DB를 다루는 입장이며 최근에도 이용하고 있으므로 권한을 남긴다. 최종 로그인이 오래되었다는 것만을 이유로 필요한 권한을 삭제하는 판단도, 반대로 퇴직자를 남기는 판단도 오류이다.
시스템의 특권 ID(관리자 권한을 가진 ID)의 관리로 가장 적절한 것은 어느 것인가?
특권 ID는 영향 범위가 크므로 사용할 때마다 신청과 승인, 대여·반납 기록, 조작 로그 취득을 통해 누가 무엇을 했는지 추적할 수 있게 한다. 공용하여 비밀번호를 공유하면 개인 특정이 불가능하다. 통상 업무에서의 상용은 오조작이나 악성코드 감염 시의 피해를 키운다. 신뢰를 이유로 로그를 생략하면 사고 시 사실을 확인할 수 없다.
접근 로그의 취득과 보관 운영으로 가장 적절한 것은 어느 것인가?
로그는 사실을 확인하기 위한 증적이므로 변조나 삭제가 불가능한 형태로 보전하고 정기적으로 확인해야 비로소 억제와 조기 발견으로 이어진다. 편집 가능한 상태는 증적으로서의 가치를 잃게 한다. 로그인 실패는 부정접속의 징후 그 자체이므로 반드시 남긴다. 시각이 어긋나면 여러 기기의 로그를 대조할 수 없으므로 시각 동기가 필요하다.
다수의 시스템에 대한 수정프로그램(패치) 적용에 있어 우선순위를 정하는 방법으로 가장 적절한 것은 어느 것인가?
우선순위는 악용 여부, 외부 공개 여부, 심각도, 대상 자산의 중요도로 판단하므로 실제로 공격이 관측되고 있으며 외부 공개 서버에 영향을 미치는 것이 최우선이 된다. 공표일 순이나 이용자 수 순은 위험도와 대응하지 않는다. 검증을 생략한 일괄 적용은 업무 중단의 위험이 있으며, 적용할 수 없는 경우에는 통신 제한 등의 대체책을 취한다.
비밀번호가 걸린 ZIP 파일을 전자메일에 첨부하여 보내고, 그 직후 같은 상대에게 별도의 메일로 비밀번호를 보내는 방식(이른바 PPAP)의 문제점으로 가장 적절한 것은 어느 것인가?
같은 메일 경로로 보내기 때문에 경로를 도청당하면 둘 다 넘어가고, 수신처를 잘못 지정하면 암호화된 파일도 비밀번호도 같은 잘못된 상대에게 전달된다. 게다가 암호화된 ZIP은 게이트웨이나 백신 소프트웨어가 내용을 검사할 수 없어 악성코드의 침입을 허용한다. 압축률이나 전용 소프트웨어, 문자 수 제한은 이 방식의 본질적인 문제가 아니다.
전자메일의 오발송에 의한 정보 유출을 막는 대책으로 가장 적절한 것은 어느 것인가?
발송 보류는 알아챈 시점에 취소할 수 있어 오발송 대책으로 유효하며, 수신처와 첨부파일 확인과 조합한다. 서로 모르는 다수의 수신처를 TO에 나열하면 메일 주소가 전원에게 유출되므로 BCC를 사용한다. 자동완성에 맡기면 비슷한 주소의 착오를 초래한다. 알아챈 오발송을 방치하는 것은 피해 확대로 이어진다.
업무에서 이용하는 클라우드 스토리지의 공유 범위 관리로 가장 적절한 것은 어느 것인가?
클라우드 설정 실수에 의한 의도치 않은 공개는 대표적인 유출 원인이므로, 작성 시 확인과 정기적인 전수조사를 갖출 필요가 있다. 기본값 그대로 사용하거나 문제가 생긴 후에 재검토하는 것으로는 늦다. 링크를 아는 모든 사람에 대한 공유는 URL이 전달되면 누구나 열람할 수 있으며, 규정의 존재는 실제 설정이 올바름을 보증하지 않는다.
정보 유출 대책으로 다음 가~다를 실시했다. 각각을 인적 대책·기술적 대책·물리적 대책으로 분류한 조합으로 적절한 것은 어느 것인가? 가 개인 소유 USB 메모리의 업무 이용을 금지하도록 규정에 정하여 전 직원에게 알렸다 나 업무용 PC의 USB 포트를 설정으로 사용할 수 없게 했다 다 중요 서류를 잠글 수 있는 캐비닛에 보관하기로 했다
가는 규정과 주지로 사람의 행동을 규율하는 인적 대책, 나는 단말기 설정이라는 기기·소프트웨어의 기능으로 제한하는 기술적 대책, 다는 서류라는 실물을 잠가서 지키는 물리적 대책이다. 같은 ‘USB 메모리 반출 방지’라는 목적이라도 규정으로 정하는지 설정으로 막는지에 따라 분류가 달라진다는 점에 주의한다.
이용자가 자신의 비밀번호를 관리하는 방법으로 가장 적절한 것은 어느 것인가?
비밀번호는 길이가 강도에 가장 크게 영향을 미치며, 재사용하지 않음으로써 하나의 유출이 다른 서비스로 연쇄되는 것을 막을 수 있다. 다 관리하지 못할 경우에는 허가된 관리 소프트웨어를 사용한다. 재사용은 비밀번호 리스트 공격으로 단번에 피해가 확산된다. 기호를 섞어도 짧으면 강도가 부족하며, 포스트잇 게시는 제3자에게 쉽게 노출된다.
은행을 사칭하는 전자메일이 도착하여 “계정을 정지합니다. 즉시 아래 링크에서 확인해 주십시오”라고 적혀 있었다. 이용자의 대응으로 가장 적절한 것은 어느 것인가?
피싱 가짜 사이트는 진짜와 똑같이 만들어지므로 외관이나 문면의 자연스러움으로는 판단할 수 없다. 메일 안의 링크나 연락처는 공격자가 준비한 것일 가능성이 있으므로 사용하지 말고, 자신이 평소 사용하는 경로로 확인하는 것이 옳다. 서두르게 하는 문면은 판단력을 빼앗는 전형적인 수법이며, ID 입력은 절대 피해야 한다.
외근지에서 공공 무선랜(공공 Wi-Fi)을 업무에 이용할 때의 주의사항으로 가장 적절한 것은 어느 것인가?
공공 Wi-Fi는 통신이 암호화되어 있지 않은 경우가 있으며, 정규의 것을 흉내낸 가짜 액세스 포인트도 존재하므로 VPN으로 통신을 보호하거나 테더링을 사용하는 것이 안전하다. SSID의 이름은 자유롭게 붙일 수 있으므로 진짜의 증명이 되지 않는다. 자동 접속은 가짜 액세스 포인트에 멋대로 연결될 위험을 높이며, 접속 시간의 길고 짧음은 위험성을 바꾸지 않는다.
업무에서 이용하는 스마트폰의 관리로 가장 적절한 것은 어느 것인가?
분실에 대비한 화면 잠금, 제공처를 확인할 수 있는 공식 스토어에서의 도입, 기능에 걸맞지 않은 권한 요구를 허용하지 않는 것이 기본이다. 계산기에 연락처 권한은 부자연스러우며 정보 반출이 의심된다. 공식 스토어 이외의 앱은 제공처와 안전성을 확인할 수 없다. 업데이트를 미루는 것은 알려진 취약점을 노리는 공격을 계속 받는 것이 된다.
현장에서 “정보보안 규정이 너무 엄격해 업무가 돌아가지 않는다”는 목소리가 나왔다. 정보보안 리더의 대응으로 가장 적절한 것은 어느 것인가?
지킬 수 없는 규정은 현장에서 무시되어 개인 클라우드 이용이나 비밀번호 공유 같은 우회로를 낳아 오히려 위험해진다. 따라서 실태를 듣고 리스크 수준을 낮추지 않으면서 절차를 실행하기 쉽게 하며 필요하면 규정 자체를 재검토한다. 철저 지시만으로는 실태가 바뀌지 않으며, 현장에 맡긴 적용 제외나 벌칙의 형해화는 규정을 유명무실하게 만든다.
재택근무에 있어 다음 가~다를 실시했다. 인적 대책·기술적 대책·물리적 대책으로 분류한 조합으로 적절한 것은 어느 것인가? 가 자택 무선랜 공유기의 관리자 비밀번호를 초기값에서 변경했다 나 디스플레이에 엿보기 방지 필터를 붙였다 다 업무용 PC를 가족에게 사용하게 하지 않는다는 것을 규정에 정하여 전 직원에게 알렸다
가는 기기 설정을 변경해 부정한 조작을 막는 기술적 대책, 나는 시선을 물리적으로 차단하는 기구에 의한 물리적 대책, 다는 규정과 주지로 사람의 행동을 규율하는 인적 대책이다. 나를 인적이나 기술적으로 보는 조합, 가를 인적이나 물리적으로 보는 조합은 각각 대책의 수단과 일치하지 않아 오류이다.
무작위로 출제하는 연습 도구입니다(JavaScript가 활성화된 경우에 작동합니다). 위의 문제와 해설은 그대로 모두 읽을 수 있습니다.
※ 해설은 학습용 정보 제공입니다. 시험 출제 범위와 제도는 연도에 따라 바뀌므로, 반드시 시행 기관의 공식 발표를 확인하십시오.
이 페이지는 일본어 원문을 번역한 것입니다. 번역과 원문의 내용이 다를 경우 일본어판이 우선합니다. 일본어 원문 보기