资格考试 · Information Security Management (SG) 合格实验室
可以用简体中文阅读题目和解说。讲义（解说文章）仅有日文版。
关于信息安全三要素中“完整性”的说明,最恰当的是哪一项?
完整性指的是信息的准确性以及未被篡改。第1项是机密性的说明,第3项是可用性的说明,第4项不属于CIA,而是附加特性“真实性”的说明。首先不要在CIA这三个词的定义上产生混淆,这一点很重要。
公司自有网站的首页被不明人士篡改,显示了完全不同的内容。以下哪一项是被损害的特性,最恰当?
由于内容被未经授权篡改,完整性受到损害。信息并未泄露到外部,因此不是机密性问题;网站本身仍可正常显示、并未停止服务,因此也不是可用性问题。抗抵赖性是指事后无法否认已实施行为的特性,与本事件的说明无关。
遭受大量通信集中的攻击,公司的接单网站在半天内无法响应。以下哪一项是被损害的特性,最恰当?
由于在需要时无法使用,可用性受到损害。由于没有数据外泄的事实,不是机密性问题;保存的信息也未被篡改,因此也不是完整性问题。真实性是与确认本人、本物有关的特性。
客户名册文件被带出公司外,并公开在互联网上。文件内容本身未被篡改,公司内部业务也未受到影响。以下哪一项是被损害的特性,最恰当?
由于未获授权的一方得以看到信息,机密性受到损害。内容未被篡改,因此完整性得以保持;公司内部仍可正常使用,因此可用性也得以保持。可靠性是指系统按预期运行的特性,与本事件无关。
感染勒索软件,导致业务文件被加密无法打开。此外,攻击者还发出警告称:“在加密之前已窃取了数据,如果不支付赎金就将其公开”。以下哪一项最恰当地说明了在此事件中被损害的(或有被损害风险的)特性组合?
由于加密导致文件无法使用,属于对可用性的侵害;数据被窃取并被以公开相要挟,属于对机密性的侵害。完整性指内容未被篡改,可问责性指能够追溯是谁的行为,可靠性指按预期运行,抗抵赖性指防止对行为的否认,这些特性都不是本事件的核心。
负责人在编辑汇总表时操作失误,用错误的数值覆盖保存了已确定的数据。文件仍可正常打开、业务也能继续进行,但记载内容与事实不符。以下哪一项是被损害的特性,最恰当?
由于信息的准确性已丧失,这是完整性的问题。是否为攻击行为与特性的判定无关,即使是过失,完整性同样会受到损害。文件仍可打开,因此可用性得以保持;信息也未外泄,因此不是机密性问题。可问责性是指能够追溯是谁的行为的特性。
某部门的所有成员都使用部门共用的ID登录业务系统。这种运用方式最容易损害以下哪一项特性?
即使留下了操作日志,也无法确定是谁的操作,因此可问责性受到损害。由于仍可正常登录,不是可用性问题;系统按预期运行(可靠性)或数据的准确性(完整性)也不会因此直接受损。ID原则上应按个人分配。
以电子方式下单的交易对象,事后主张“没有下过那份订单”。为防止这种情况发生,以下哪一项特性与手段的组合最恰当?
使事后无法否认行为的特性是抗抵赖性,数字签名和时间戳是其代表性手段。冗余化是为防止中断而采取的可用性对策,加密是为防止被窥看而采取的机密性对策,输入值检查是为使系统正确运行而采取的对策,均无法应对事后否认的问题。
希望确认自称为交易对象负责人的联系人,是否真的就是该负责人本人发来的联系。这一目的对应信息安全的哪一项特性?
确保对方确实是其所声称的本人、本物,这就是真实性,防范冒充正是与此相关的对策。可用性指可以使用,完整性指内容正确,抗抵赖性指不允许否认已实施的行为,均不是表示确认对方是否为本人这一特性本身。
在威胁、脆弱性、风险三者的关系中,以下哪一项最适合作为脆弱性的例子?
脆弱性是指可能被威胁利用的弱点,未应用补丁正是其典型例子。地震和非法访问的尝试属于来自外部的威胁,可能造成损失的情形则属于风险。威胁通常难以由本公司自行消除,但脆弱性可以通过组织自身的努力来减少,这是实务上的要点。
有一种观点认为,风险的大小可用“威胁×脆弱性×信息资产价值”来把握。作为业务部门信息安全负责人,运用这一观点时,以下哪一项说明最恰当?
地震或恶意软件流行等威胁的发生本身,本公司难以减少,资产价值在业务上也难以降低。通过应用补丁和开展教育来减少脆弱性,是现实可行的风险降低对策。风险评估用于确定对策的优先顺序,并非毫无意义;既然是乘法关系,只要其中一个要素变小,整体风险也会随之变小。
将威胁分为人为威胁、物理性威胁、技术性威胁时,以下哪一项属于物理性威胁?
雷击、停电等灾害或事故属于物理性威胁。误发邮件是因人为过失导致的人为威胁,非法访问是利用信息技术手段的技术性威胁,骗取密码的行为属于社会工程学手法,归类为人为威胁。
经查明,公司内部发生最多的信息泄露原因是邮件收件人搞错而导致的误发。作为信息安全负责人,以下哪一项应对最恰当?
由于原因在于人为过失,通过建立流程和检查机制来防止再次发生才是恰当做法。加强防火墙是针对外部攻击的措施,与该原因不对应。公开个人信息会招致萎缩情绪并诱使瞒报,反而适得其反;全面禁止使用邮件会使业务无法运转,并非现实可行的对策。
用于说明内部舞弊发生原因的“舞弊三角理论”由哪三个要素构成,以下哪一项组合是正确的?
舞弊三角理论认为,当机会、动机、正当化这三个要素同时具备时就会发生舞弊。威胁、脆弱性、资产价值是把握风险大小的要素,机密性、完整性、可用性是信息安全的三要素,人、技术、物理是威胁与管理措施的分类维度,这些都是不同的概念。
在舞弊三角理论的三个要素中,以下哪一项管理措施最适合用于减少“机会”?
机会是指“只要想做就能够做到”的环境,最小权限原则与日志检查正是直接减少这一环境的手段。咨询窗口和改善待遇是作用于动机,培训提高意识是作用于正当化,均不是直接减少机会本身的对策。机会正是组织最能够可靠管理的要素。
带走客户名册的员工辩称:“这份资料是我自己制作的,所以我以为是我自己的东西”。这句话对应舞弊三角理论中的哪一个要素?
为自己的行为做出有利于己的解释、以此消除罪恶感的托辞属于正当化。机会是指权限或检查松懈等环境层面的因素,动机是指经济困难或不满等个人情况。威胁并非舞弊三角理论的构成要素,而是构成风险的概念。对正当化可通过教育和签署保证书等方式加以约束。
在社会工程学的手法中,以下哪一项是对垃圾搜寻(trashing / scavenging)的恰当说明?
垃圾搜寻是从废弃物中收集信息的手法,使用碎纸机处理以及对机密文件上锁回收是相应对策。第2项是肩窥(shoulder hacking),第3项是尾随(piggybacking),第4项是通过冒充进行的诈骗,均为不同的手法。
销售人员经常在外出时于咖啡馆打开笔记本电脑处理客户信息。针对肩窥(shoulder hacking)的对策,以下哪一项最恰当?
肩窥是直接窥视屏幕或输入内容的手法,因此在物理上使其无法被看见的对策以及离席时锁屏才是有效手段。更新病毒库是防范恶意软件的措施,通信加密是防范线路窃听的措施,均无法防止被窥视。更改密码可以减少被窥视后造成的影响,但无法防止被窥视这件事本身。
发现员工把业务文件保存在公司未掌握的免费在线存储服务中,并在部门内共享。以下哪一项最恰当地说明了这种状态的问题所在?
这属于影子IT,其本质问题在于管理和监控均无法触及。速度、费用、劳务管理并非主要的信息安全议题。仅仅加以禁止会使业务上的实际需要无处安放,因此对策应是由组织提供可用的服务,并建立申请与记录机制。
某负责人将于下周正式离职。针对离职人员风险的应对措施中,以下哪一项优先级最高?
离职人员的账号在离职后仍保持有效,是典型的脆弱性,因此在离职当天停用账号并收回借用物品的优先级最高。以交接为由保留账号会留下被滥用的空间。离职后请本人自行申报缺乏实效性,而ID的直接沿用会导致可问责性丧失,均不恰当。
本公司自身的对策已经加强,但受托处理业务的外部企业的计算机感染了恶意软件,导致寄存在该处的本公司客户数据泄露。以下哪一项关于此类威胁的名称与应对思路的组合最恰当?
经由委托方或交易对象而波及的损害属于供应链风险,仅靠本公司自身的对策无法防范。委托方的遴选标准、合同中的安全管理措施与再委托约定,以及实施情况的确认,是应对的核心。内部舞弊是指本公司相关人员的故意行为,物理性威胁是指灾害或盗窃,影子IT是指未掌握的设备或服务使用情况,均不是本案例的本质所在。
以下哪一项最适合作为因运用疏漏而导致脆弱性的例子?
未进行清查、无法掌握实际情况,是运用流程疏漏导致的脆弱性。实现失误属于软件缺陷,使用者设置容易被猜到的密码属于因人的疏忽而产生的脆弱性,暴雨导致的水淹并非脆弱性,而属于物理性威胁。需要注意的是,脆弱性并不仅仅指软件方面的缺陷。
以下哪一项是对零日(zero-day)脆弱性的恰当说明?
零日是指尚不存在修正程序的状态,其本质在于无法通过应用补丁来防范。它并非以修正所需天数来定义,也不限于已终止支持的产品。密码管理属于由人的疏忽引起的另一类脆弱性,与零日无关。
业务中使用的软件被公开了一项严重的脆弱性,开发商的说明是:“修正程序仍在调查中,提供时间未定,已公开临时的规避方案”。作为信息安全负责人,以下哪一项应对最恰当?
即使尚无补丁,也可以通过应用规避方案、隔离、加强监控,以及基于备份的恢复准备等多层次防备来抑制损害。仅仅等待属于毫无防备,更新防病毒软件主要针对已知恶意软件的检测,无法防止脆弱性本身被利用。不向相关人员通报而加以隐瞒,只会延误应对。
针对构成业务系统的多台服务器,公开了大量修正程序。以下哪一项应用方式最恰当?
补丁管理是围绕掌握对象、评估危险程度与业务影响、验证、应用、记录这一循环开展的运用工作。未经验证便一次性全部应用可能招致业务中断,而拖延至更新换代则会使脆弱性持续存在。交由各人自行判断,组织将无法掌握应用状况,容易产生遗漏。
以下哪一项是对CVE的恰当说明?
CVE是为使相关人员能够准确指代同一脆弱性而设置的识别编号,本身并不表示严重程度。严重程度的评价基准是CVSS,面向国内的脆弱性对策信息门户网站是JVN,验证能否入侵的是渗透测试,各自的作用互不相同。
某已公开脆弱性的CVSS基本值非常高。以下哪一项对这一信息的处理方式最恰当?
CVSS是以通用尺度表示脆弱性严重程度的指标,本身并非本组织的优先顺序。处于隔离状态的设备与对外公开的设备,紧急程度并不相同,这类情况应通过环境评估标准加以体现。数值高却仅以监控应对并不恰当,并且该数值与价格无关。
由JPCERT/CC与IPA共同运营,以日语提供国内使用产品的脆弱性信息及对策的是以下哪一项?
JVN是面向国内的脆弱性对策信息门户网站。CVSS是严重程度的评价方法,CVE是脆弱性的通用识别编号,均不是信息提供网站本身。ISMS是指信息安全管理体系,属于与脆弱性信息提供不同的概念。
关于脆弱性诊断与渗透测试的区别,以下哪一项说明最恰当?
脆弱性诊断如同健康体检一样全面找出弱点,渗透测试则是实地验证能否实际突破的检验,二者目的不同,不能互相替代。说明内容颠倒的选项是错误的,并且无论实施哪一种,都需要取得目标系统管理者的许可以及范围上的一致同意。
部门使用的业务用计算机中,有几台即将迎来操作系统支持结束(EOL)。运行状态稳定,现场也要求继续使用。作为信息安全负责人,以下哪一项判断最恰当?
支持结束之后,即使发现脆弱性也不会再提供修正,风险会随时间增加。运行稳定并不能作为安全性的依据,防病毒软件也无法弥补操作系统本身的脆弱性。断开网络可作为减少影响的临时对策,但通过外部介质等途径感染的风险依然存在,并不意味着脆弱性已经消失。
以下哪一项是对蠕虫(worm)的恰当说明?
蠕虫最大的特征在于无需寄生对象,可单独进行自我增殖。第1项是特洛伊木马,第2项是狭义的病毒,第4项是勒索软件的说明。病毒与蠕虫的区别在于“是否需要寄生对象”。
以下哪一项最适合作为狭义病毒的特征?
狭义病毒需要寄生对象的程序或文件,并通过该对象被执行而增殖。第2项是僵尸程序(bot)的特征,第3项是间谍软件的特征,第4项是特洛伊木马的特征,均属于不同种类。需注意这与将“病毒”用作恶意软件统称时的区别。
某员工将被介绍为便利业务工具的软件从互联网获取并运行,表面上按说明正常运行,但在背后将公司内部文件发送到了外部。未发现其向其他终端自我增殖的迹象。以下哪一项最适合作为这种恶意软件的分类?
伪装成有用软件诱使用户亲自执行、且不进行自我增殖,这是特洛伊木马的特征。若是蠕虫,则会在无寄生对象的情况下自我增殖;宏病毒是利用文档文件的宏功能进行增殖。若是勒索软件,则会伴随加密与金钱要求,均不符合本案例。
以下哪一项是对勒索软件的恰当说明?
勒索软件是通过加密等手段使系统无法使用、进而索要金钱的恶意软件。第1项是键盘记录器,第2项是后门,第4项是僵尸程序(僵尸网络)的说明,其目的和行为方式均不相同。近年来还出现了在此基础上加以窃取数据并以公开相要挟的双重勒索。
正在研究应对勒索软件受害的方针。以下哪一项方针最恰当?
即使支付赎金,也不保证能够解密,反而会成为对犯罪组织的资金提供。在双重勒索的情况下,即便恢复了数据,信息泄露的损害依然存在,因此仅靠备份并不足够,还需要准备报告与通知机制。若不留证据便直接初始化,将无法查明原因、也无法防止再次发生,对外说明也会受到影响。
以下哪一项是对间谍软件的恰当说明?
间谍软件不进行破坏或加密,其特征是潜伏并收集信息后发送到外部。第2项是蠕虫,第3项是勒索软件,第4项是狭义病毒的说明。由于不会出现明显症状,因此难以察觉感染,这是管理上的一大课题。
发现公司内多台计算机持续与业务上不会用到的外部服务器进行定期通信。经调查,这些终端已感染恶意软件,并按照来自外部的指令参与了对其他公司的攻击。以下哪一项关于这种恶意软件与通信对象名称的组合最恰当?
使受感染设备按照外部指令运行的恶意软件称为僵尸程序(bot),下达指令的服务器称为C&C服务器。将大量受感染设备集结而成的即为僵尸网络,常被用于DDoS攻击或发送垃圾邮件。需要注意的是,受感染的组织既是受害者,同时也可能成为加害者,其余组合在行为与角色上均不一致。
关于键盘记录器与后门的说明组合,以下哪一项最恰当?
键盘记录器记录输入内容以窃取ID和密码,后门则留下便于日后再次入侵的通道。加密与解密属于勒索软件或加密技术的说明,自我增殖是蠕虫的特征。一旦留有后门,即便表面上已经清除感染,仍可能被再次入侵,因此需要切断入侵路径并进行全面检查。
以下哪一项最适合说明无文件(fileless)恶意软件难以被传统恶意软件对策发现的原因?
无文件恶意软件不会留下作为检测对象的文件,因此以扫描文件为基础的特征码比对方式难以捕捉到它。这既不是因为运行速度慢,也不是因为没有造成损害。利用宏功能的是宏病毒,不同之处在于宏病毒会留下文档文件这一实体。
尽管恶意软件对策软件的病毒库始终保持最新,仍然发生了因未知恶意软件造成的损害。以下哪一项对这一情况的理解与应对最恰当?
特征码比对方式(签名法)是与已知特征进行比对,原理上无法应对未知恶意软件或变种。提高更新频率仍存在同样的局限,单纯叠加部署产品也无法解决该问题。需要结合观察运行时行为的行为检测,以及在隔离环境中运行的沙箱,并进一步建立感染后的应对体制。
这是随机出题的练习工具（在启用 JavaScript 时运行）。即使不使用此工具，也可以阅读上方的全部题目和解说。
※ 解说是供学习用的信息。考试的出题范围和制度每年可能变化，请务必确认主办机构的官方公告。
本页面译自日文原文。如译文与原文内容不一致，以日文版为准。 查看日文原文