关联领域（技术・管理・战略）

只想通过防火墙允许公司内部以HTTPS方式连接外部网站的通信。应予放行的目标端口号是以下哪一项?

1. 80
2. 443
3. 23
4. 25

将公司内网按部门划分为多个子网,并用路由器控制子网间通信。这一对策的主要目的是以下哪一项?

1. 对跨子网通信的内容全部加密,即使在线路上被窃听也无法读取内容
2. 给公司内所有终端统一分配相同的IP地址,大幅减轻地址管理的工作量
3. 在边界处将来自外部互联网的非法访问全部阻断,使公司内部任何终端都不会被入侵
4. 即使一台终端感染恶意软件,也能将损害范围限制在该区域内,并可在边界处阻断通信

给公司内终端分配私有IP地址,通过NAPT转换为公网IP地址后接入互联网。关于这一构成的说明,以下哪一项最恰当?

1. NAPT的主要目的是节约公网IP地址,来自外部通信的控制需另行通过防火墙进行
2. 使用NAPT后通信内容会自动加密,因此不再需要VPN
3. NAPT是隐藏发送方地址的机制,因此从公司内部发往外部的非法通信也会被自动全部阻断
4. 只要公司内终端使用私有IP地址,由于外部无法直接到达,终端就不会感染恶意软件

居家办公人员从自宅通过VPN连接公司内部系统。关于VPN的说明,以下哪一项最恰当?

1. VPN对通信线路加密加以保护,但不能保证接入终端本身是安全的,因此终端侧也需要采取对策
2. 使用VPN会自动对接入端终端中保存的文件进行加密
3. 只要用VPN对通信线路加密后连接,即使接入端的终端已感染恶意软件,也不会影响到公司内部系统
4. VPN是不使用互联网的物理专线,不经由通信运营商的设施

关于办公场所无线局域网的安全对策,以下哪一项最恰当?

1. 加密和认证采用WPA2或WPA3,将隐藏SSID或MAC地址过滤定位为辅助性对策
2. 只要设置了MAC地址过滤,包括加密在内的其他对策均可不做
3. 将访客用无线局域网与公司业务用无线局域网接入同一网络,统一集中管理接入点设备和设置
4. 只要启用SSID隐身功能使SSID无法从外部看到,即便加密方式仍为WEP也已足够安全

为减少本公司域名被冒用发送的冒充邮件所造成的损害,拟引入发送域认证。关于SPF、DKIM、DMARC的说明,以下哪一项最恰当?

1. DMARC是对邮件正文加密、使其在通信线路上无法被第三方读取内容的机制
2. SPF是验证电子签名的机制,DKIM是将获准发送的服务器IP地址通过DNS公开并加以核对的机制,DMARC是由发送方公开认证失败邮件处理方针的机制
3. SPF是将获准发送的服务器IP地址通过DNS公开并加以核对的机制,DKIM是验证电子签名的机制,DMARC是公开认证失败邮件处理方针的机制
4. 三者都只需在接收方邮件服务器上设置即可,发送方域名无需做任何设置

公司内部的服务器和网络设备均与NTP服务器同步以对准时间。从信息安全角度看,这一做法之所以重要,原因以下哪一项最恰当?

1. 可以按时间顺序对照多台设备的日志,从而准确追溯事件经过,并保持其作为审计证据的价值
2. 时间对准后,通信会自动加密而不再被窃听
3. 时间对准后,便能够预先预测恶意软件开始动作的时刻,从而提前阻断该时刻的通信
4. 时间对准后,各设备输出的日志文件容量会变小,从而能够延长同一设备可保存日志的期限

利用IaaS构建了本公司的业务服务器。依据责任共享模型的思路,以下哪一项是使用者应当履行的事项?

1. 将自己引入的客户操作系统及中间件的补丁应用,作为使用者的责任加以有计划地实施
2. 虚拟化平台(hypervisor)本身的脆弱性对策和补丁应用,作为使用者的责任加以有计划地实施
3. 数据中心的出入管理和设施警卫,由使用者亲自前往现场进行,并保管相关记录
4. 物理服务器硬件发生故障时的部件更换作业,由使用者亲自前往数据中心进行

在业务中使用SaaS文件共享服务时,负责人将共享范围设置为“知道链接的所有人”,导致机密文件可从公司外部被查看。依据责任共享模型的思路,以下哪一项说明最恰当?

1. SaaS由服务提供商负责保护一切,因此这一事态也属于提供商的责任
2. SaaS使用中的共享范围设置由服务提供商自动优化,使用者和提供商均无责任
3. 访问权限及共享范围的设置,以及存放于其中数据的管理,属于使用者的责任范围,是使用者一方的责任
4. SaaS中使用者没有共享设置的权限,因此不会发生这种情况

在PaaS之上运行本公司自行开发的业务应用程序。若发现该应用程序存在SQL注入脆弱性,以下哪一项应对最恰当?

1. 由于这是操作系统本身的脆弱性,应由使用者对客户操作系统应用修正程序来处理
2. 本公司自行开发的应用程序属于使用者的责任范围,应由本公司自行修正程序
3. 在PaaS中使用者无法开发应用程序,因此不会出现这种脆弱性
4. 由于这是PaaS提供商所提供执行环境一侧的问题,应等待提供商提供修正

将可用率0.95的装置A与可用率0.90的装置B串联连接,只有当A和B都在运行时,系统整体才运行。系统整体的可用率是多少?此处假设A和B的故障相互独立。

1. 0.990
2. 0.855
3. 0.900
4. 0.925

准备两台可用率为0.90的装置,只要其中一台在运行,系统整体即可运行,构成冗余结构。系统整体的可用率是多少?此处假设两台装置的故障相互独立。

1. 0.90
2. 0.95
3. 0.81
4. 0.99

文件服务器的磁盘采用RAID1(镜像)构成。作为勒索软件对策的评价,以下哪一项最恰当?

1. RAID1对磁盘故障有效,但加密会同时反映到两块磁盘上,因此仍需将分代管理的备份保存在离线或异地位置
2. 只要将RAID1的磁盘增加到5块构成,就能够防止勒索软件造成的损害
3. RAID1是始终禁止对磁盘写入的机制,因此即使勒索软件试图加密文件也无法改写,不会造成损害
4. 只要采用RAID1,即使文件被加密,也能从另一块磁盘的内容自动恢复,因此无需另行采取备份等额外对策

人事数据库的员工表中有员工编号、姓名、所属、职务、薪资、个人编号等列。希望让普通员工作为员工名录仅可查阅姓名、所属、职务。以下哪一项方法最恰当?

1. 只提取姓名、所属、职务列定义一个视图,只授予普通员工对该视图的查阅权限
2. 给全体员工授予对员工表本身的查阅权限,同时在公司内部告知不要查看薪资和个人编号列
3. 将员工表的权限改为全体员工均可更新,同时将薪资和个人编号列的值全部清空后运用
4. 将员工表的备份放在共享文件夹中,由各自从中查找所需信息使用

数据库服务器的磁盘因故障无法使用,已更换为另一块磁盘。留有前一晚的备份及此后取得的更新后日志。以下哪一项方法可以将系统恢复到故障发生前一刻的状态?

1. 只恢复备份,以前一晚备份取得时点的状态重新开始运用
2. 恢复备份后,执行反映更新后日志的前滚(roll forward)
3. 只执行回滚(撤销处理过程中中断的事务)来进行恢复
4. 仅使用更新前日志,回退到比备份取得时点更早的状态

在开发新业务系统时,以下哪一项做法符合“安全设计”(security by design)理念?

1. 只有在测试阶段发现脆弱性时才返回设计阶段,逐一研究并追加所需的安全对策
2. 安全是运维人员的工作,因此在开发阶段无论是需求还是设计都完全不予考虑
3. 在企划、需求定义阶段就确定访问权限的划分方式、日志采集范围、加密、认证方式等安全需求
4. 优先推进功能实现进行开发,待正式上线运行后再依次追加所需的安全功能

在Web系统上线前实施渗透测试。以下哪一项是对其的恰当说明?

1. 调查程序内部结构,确认所有条件分支至少被执行一次的测试,以覆盖程度衡量质量
2. 以攻击者的立场实际尝试入侵,确认防御是否会被突破的测试,实施时需要事先取得目标系统管理者的同意
3. 不查看程序内部结构,从外部确认输入是否按规格返回相应输出的测试,兼作上线前最终确认中侵入可能性的评估
4. 让用户实际操作,评估画面是否易懂、是否易用的测试

关于服务管理中事件管理与问题管理区别的说明,以下哪一项最恰当?

1. 事件管理以查明根本原因、防止再发为目的,问题管理以尽快使服务恢复正常状态为目的
2. 事件管理以尽快使服务恢复正常状态为目的,问题管理以查明根本原因、防止再发为目的
3. 事件管理只处理信息安全相关事故,问题管理处理除此之外的所有故障或事故,这是按处理对象范围的区分
4. 事件管理与问题管理指的是完全相同的活动,对象、目的、流程均相同,只是在报告书中所用称呼不同

将业务系统的运维外包给外部时,须签订SLA。关于SLA的表述,以下哪一项最恰当?

1. SLA是提供方与使用者就服务质量水平以数值达成一致的文件,除可用率、恢复目标时间外,也应约定事件发生时的报告期限、日志保存期限等安全事项
2. SLA是服务提供方内部的规程,规定不向使用者披露
3. SLA只应记载可用率、恢复目标时间等与可用性相关的目标,绝不能记载事件发生时的报告期限、日志保存期限等安全相关事项
4. SLA一旦达成一致就不得再审视,合同期间也不进行达成情况的测量

关于服务管理中变更管理与配置管理说明的组合,以下哪一项最恰当?

1. 变更管理是接受用户咨询或故障联络的统一窗口活动,配置管理是以尽快从故障中恢复服务为目的的活动
2. 变更管理是查明故障根本原因的活动,配置管理是确保业务所需处理能力的活动
3. 变更管理是评估对系统变更的影响、取得批准后再实施并记录的活动,配置管理是持续、准确掌握设备、软件、设置等构成要素及其相互关系的活动
4. 变更管理是审计人员向被审计部门指示改进的活动,配置管理是经营者判断投资可行与否的活动

公司内部即将实施系统审计。从系统审计人员独立性的角度看,以下哪一项最恰当?

1. 由组织上独立于被审计部门的内部审计部门人员,或外部审计人员实施审计
2. 被审计部门的部门长,亲自审计本部门业务并编写、提交审计报告书
3. 信息系统部门的运维负责人,亲自审计自己日常运维的业务系统
4. 负责该系统开发的项目负责人,亲自审计该系统

关于系统审计中审计证据与后续跟进的说明,以下哪一项最恰当?

1. 审计证据是指审计人员编写的审计报告书本身,为保持独立性不向被审计部门披露,后续跟进由被审计部门自行评估改进情况后即告完成
2. 审计证据是指能够通过记录追溯何时、由谁、以何种方式实施处理的机制或记录,后续跟进是由审计人员确认所指出事项的改进情况
3. 审计证据只在审计期间采集,常规运用中可以省略采集
4. 后续跟进是由审计人员自行制定改进方案并加以实施,以解决问题

关于企业中CISO职责的说明,以下哪一项最恰当?

1. 制定本公司产品的销售战略和价格战略,并对销售目标的达成负责
2. 编制财务报表,并在股东大会上就会计事项进行说明,承担相应责任
3. 负责制定信息安全方针、决定风险应对方针、指挥事件应对,以及向经营层报告
4. 亲自进行公司内PC和网络设备的安装及布线作业,并负责设备的日常维护及故障应对

从内部控制的角度看,以下哪一项运用方式符合职责分离的理念?

1. 负责采购下单的人员与负责验收货物的人员分设不同的人
2. 出于业务效率的考虑,将生产环境的变更权限也授予系统开发人员
3. 给全体员工授予管理员权限,使任何人都能进行所需作业
4. 由一名负责人一贯完成从申请到批准、执行、记录的全过程,以明确责任归属

将业务系统外包给外部时的采购流程,以下哪一项最恰当?

1. 信息征询书(RFI)→提案邀请书(RFP)→提案书的接收与评估→签约
2. 签约→提案邀请书(RFP)→提案书的接收与评估→信息征询书(RFI)
3. 提案邀请书(RFP)→信息征询书(RFI)→签约→提案书的接收与评估
4. 提案书的接收与评估→信息征询书(RFI)→签约→提案邀请书(RFP)

将处理客户个人数据的业务外包给外部。关于委托方选定与管理的表述,以下哪一项最恰当?

1. 即使委托方进一步将业务再委托给其他业者,也无需告知委托元
2. 只需选定价格和交货期最有优势的供应商即可,认证取得情况、安全相关事项、事故时的约定等留到签约后再商谈
3. 一旦委托,个人数据的管理责任便全部转移给委托方,委托元在选定后完全不再介入管理和监督
4. 将认证取得情况、再委托的处理方式、事故时的报告义务、接受审计、结束时的数据消除等明确写入选定基准和合同,委托后也定期接受报告并加以监督

员工提出希望在业务中使用生成式AI服务。从防止信息泄露的角度看,组织应制定的规则以下哪一项最恰当?

1. 由于输入内容必定会被服务提供商删除,即使是机密信息也可以自由输入
2. 由于生成式AI存在风险,一律禁止在公司内终端上使用,而使用私人终端或个人账号则交由各自判断
3. 允许员工各自根据个人判断自由选择所喜欢的生成式AI服务,对业务中处理的数据也可不受限制自由输入
4. 将可使用的服务限定为组织已批准的范围,并在规则中明确规定不得输入客户个人信息或未公布的经营信息等

让生成式AI起草一份面向公司外部的说明资料草案。关于这份草案的处理方式,以下哪一项最恰当?

1. 生成式AI有时会煞有介事地输出并非事实的内容,生成物也可能与既有作品相似,因此应由人核实内容事实并确认权利关系后再予以公布
2. 只要注明出处,即可在不核实内容事实的情况下直接公布
3. 生成式AI的输出基于海量学习数据生成,内容必然准确,也不会与既有作品相似,因此可不经确认直接公布
4. 生成式AI创作的文章不会产生著作权问题,因此无需确认权利关系

对于某项信息资产,估计一旦发生事故,单次损失金额为2,000万日元,年发生概率为10%。关于防范该事故对策费用的经营判断思路,以下哪一项最恰当?

1. 预计年度预期损失额为200万日元,应将其与对策的年度费用进行比较以判断投资的合理性;不过涉及人命或法令遵守的事项不能仅凭成本效益判断
2. 预计年度预期损失额为200万日元,但无论金额多少,对策费用都应始终投入与单次损失额相同的2,000万日元全额,不考虑成本效益
3. 只要发生概率不是100%,就视为不会发生事故,判断为无需对策
4. 安全对策是不产生营收的费用,因此完全不投入费用了事

为向经营层以数值形式报告信息安全工作的开展情况,设定KGI、CSF、KPI。以下哪一项组合最恰当?

1. KPI是仅供经营层掌握的秘密指标,不向负责部门公开
2. 将KGI设为“重大事件发生件数为零”,CSF设为“全体员工安全意识的提升”,KPI设为“演练打开率”或“脆弱性平均修复天数”
3. KGI、CSF、KPI都是最终成果指标,写出相同内容重复三次即可
4. 将KGI设为“定向攻击邮件演练打开率5%以下”,CSF设为“每年反复实施演练”,KPI设为“将重大事件发生件数降为零”