午後問1(情報セキュリティ)についての投稿を受け付けるスレッドです。

試験お疲れ様ですー！

皆様どのようにご回答しましたかー？

参考にならないかもしれませんが
長い記述以外書いてみます
aオ
bイ
2-2ア
3-1デジタルフォレンジックス
3-2利用者認証

klさん
デジタルフォレンジックス以外同じです
(デジタルフォレンジックスがなかなか出てこなくて諦めました…)

デジタルフォレンジックスって警察とかがやるイメージだったので合ってるかわからないですが、自分の頭の中にはもうこれしかなかったので苦し紛れに書きました笑

「デジタルフォレンジックス」は
「ディジタルフォレンジックス」ではダメですか？

ディジタルフォレンジックって解答してしまいました、、、
ディジタルフォレンジクスと何が違うんでしょうか？

デジタルフォレンジックスなの！？
ディジタルフォレンジックって書いてしまった。

ググると両方ともあるんですよね。、

英語では最後にsがついてるので、
スをつける人もいれば、このsは発音しないsとしてフォレンジックという人もいるのでどちらでも大丈夫だと思います。pingをピンともピングとも呼べるのと同じかと（というかそうであってほしいです笑）

「フォレンジクス」と回答しました。デジタルと付けてないです。正直これは本当に思いつきませんでした。

この投稿は投稿者により削除されました。(2020.10.18 16:57)

次のように回答しましたが、どうですかね、、、
設1：aオ、bイ
設2：(1)予め許可されている可搬型記憶媒体以外は認識しないようにする
    （2）ア
    （3）利用目的を明示した許可願を提出する
設3：（1）ディジタルフォレンジック
      （2）利用者認証
      （3）不正のトライアングルのうち、動機が低減されるから
設2(3)、設3(3)は勘です笑

動機じゃなくて機会にしました。。。

設問２(3)は似たような感じで
上司を通して情報システム部に申請する的なこと書きました

機会が問題文ですでに示されていたため、苦し紛れに動機にしました、、、

情報システム部じゃなくて情報セキュリティ委員会に申請って書いちゃった。
確かに最後は動機を入れた方がいいですね。
悪意のある利用者に対して特定可能である旨の警告となるから
って書いたので部分点くらいもらえないかなと期待してます。
あとaって秘密なんですね、その後のbの手前に機能って書いてあったから同じように機能かと思ってしまいました。

自分は正当化にしました。
社内に対策案を告知することで、不正行為を正当化できなくなるので。

動機って、恐らくなぜ不正をしようとしたかに繋がるものだと思うので、
ここでは関係ないのかなーと思いました。
正当化は不正をしなくてはいけない状況を言い訳にする？
（あれ？動機と何が違うんだっけ）

問題文の中の対策することで不正をする機会が減るのではとおもいました

セキュリティ委員会を通さずにシステム部に申請するんですか？
システムが勝手に許可したら委員会が認定する意味なくなっちゃうような…

3（3）は社員が対策を知ることで正当化の抑制に繋がると書きましたね…
やってはいけないことを知っておけば不正の正当化はできなくなるかと

3（3）は動機とか機会とか言うより具体的に書いた方がいいと思い、次のようにしました。
監視されているという意識が不正を思いとどまらせるから

3(3)は  正当化を選び、『不正が働ける状態にあるから働くという正当化要因を排除できる為』としました。
どうですかね。。

僕もしあのさんと同意見で、3（3）は「社員間で不正の相互監視が行えるから」と答えました。

最後の記述は

「不正を働いた場合の操作ログが証拠が残ることを周知する」

みたいなかんじにしました。

1. オ, イ
2. 
(1)許可した媒体以外にはPCからデータを移動できない設定にする
(2)ア

3. 
(1)デジタルフォレンジック
(2)名前解決(全然わからなかった)
(3)不正のトライアングルの機会を減らすことができるから

他のスレにも同じこと書いちゃったけど、情報セキュリティマネジメント試験のサンプル問題に「ディジタルフォレンジックスの活動に含まれるものはどれか。」ってのがあったから、"ディジタルフォレンジックス"は確実に正解になると思う。

ディジタルフォレンジクスって書いた少数派はおらぬか？

3(1)
フォレンジック調査って書いた人はいないのか…

3(3)
最後の記述は周知しないでも、システムで不正を働く機会は減らせるから動機だと思った。
周知することで精神的抑制を狙ってるんじゃないのかな。

設問1 a:オ b:イ
設問2
 (1) PCのコネクタのデバイスの接続やデータの読み書きを制御・記録する。
 (2) ア
 (3) 情報セキュリティ委員会への認定の申請
設問3
 (1) フォレンジック
 (2) 利用者認証
 (3) 内部不正の機会について追跡できることが周知されるから。

限られた時間で書いたやつは振り返るとやや意味不明ですね...

デジタルフォレンジック、フォレンジックが思い出せなくてをデジタル鑑識って書いたんですが実際どうでしょうかね？

機会を減らせるとかよく分からなかったので、牽制できるようにって書いちゃいました、、

IPAが午前と午後の解答例同時に公開してくれたら助かるんですけどね、、、

そもそも解答って用意しておくのが普通じゃないんですかね？
受験者の解答みて公式解答いじってるんだろうな、と、ちょっと不信感・・・

問1  オ  イ
問2
(1)  管理者である上司の承認を得た後に記憶媒体へのダウンロードを可能とする。
(2)  ア
(3)  情報セキュリティ委員会に認定を依頼する
問3
(1)  思い出せなかった・・・
(2)  利用者認証
(3)  内部不正への取り組みによって不正機会の低減を告知するため


デジタルフォレンジックくやまれる！

今回の題材ってベネッセの事件ですよね？
調べたらIPAが内部不正のガイドラインを改訂させる要因になったみたいなんだけど。

正解は動機ですよ。

皆さんは各門の配点はどこが何点になると予想されますか？

機会だとゼロ点になりますかね？

ディジタルフォレンジクスって書いてしまいました、、、部分点も貰えませんかね？

問題１の設問３(3)で気になったのが、「内部不正を抑止することが期待できるのはなぜか」
という問いに対して、問題文中(問題用紙p.5 下の3行)で書かれてあった「不正のトライアングルの要因の一つである機会が低減されるから」とそのまま書いたのですが、まずかったですかね…？
午後試験の記述問題は、問題文に書かれている情報からそのまま記述を作ったりした部分が多く、こちらも非常に不安です…

>vegeta さん
機会で〇です

>あ さん
ディジタルフォレンジクス
多分〇つきます

>M さん
部分点～満点はつくかと

内部不正の動機って「会社の給与が低いから」とか「会社に不満があるから」とか不正を行うきっかけですよね。
給与を上げるとか社内環境の整備とかの方が動機への対策っぽい気がしますが…

問2
(3)  情報セキュリティ委員会に許可申請を提出する

ここは情報セキュリティ委員会が正しそうですね。
ホワイトリストに入れるかどうかは委員会が判定しているので
情報システム部ではなさそう。

設問1 (a) オ (b) イ
設問2 (1) 許可されていない可搬型媒体を識別しない (2)ア (3) 情報セキュリティ委員会に認定を要求する
設問3 (1) 電子証明 (2) DNSで照会 (3) 管理規定を知らない社員も知ることができる

10点くらいはほしいですね…

システム部に申請
システム部がセキュリティ委員会に許可とる
認定されたらシステム部がホワイトリストに登録
みたいな流れで捉えてしまいました…
うーん部分点なしかなぁ。

動機はそもそも「不正行為をしたい理由」であって、「不正行為への対策をしてないからせっかくだし不正行為しよう！」とはならないはず。もっと根本的なところで不正行為による利益が理由(=動機)になってるんじゃない？

「不正行為への対策をしてないから不正行為しても問題ない！だって会社が抑制してないんだからね！」だと正当化になる。こっちの方が違和感がないので正当化かな～と

３－（２）の利用者認証のところ自信満々で「否認防止」と書いてしまった。プロキシサーバーで実施する処理の答えとしてはおかしいとなぜ気づかなかったのか。情けない。。

３－（３）に関しては単純に「不正行為を行った者の特定が可能であることを認識させられるから（30字）」としたんですが、やはり言葉足らずですかねぇええ（泣）

2-2はウとアで迷ったんですけど「添付ファイル付きメールに対して」っていう部分が気になってウにしてしまいました。
アだったらすべてのメールに対して行うべきではないですか？

まず、パスワード付きメールなんて全然安全性ないよ。。。
盗聴されるということは他のも見られるから意味ないよね。

メールの利用が管理規定通り行われていない  ことへの対策なので暗号化では意味がないかと。
最後の問題は正当化がしっくりくると思いますけどね、防止策が周知されたところで動機は残るし、機会は減らないし…

>メールの利用が管理規定通り行われていない  ことへの対策なので暗号化では意味がないかと。
あ～確かに、腑に落ちました。考えすぎでしたね。

この投稿は投稿者により削除されました。(2020.10.19 10:53)

2-2の問題、イにしました...最初はアにしてたんですけど深読みしすぎましたかね...

最後の問題に関しては、常に睨みを利かせてることを伝えることによって、
不正を行う機会がないと従業員に認識させることによる抑止効果ってのがあるんです
支援士(旧セキスペ)で何度か取り上げられたことのある論点
恐らくけん制って単語を使っても〇になります

>気になるさん
部分点～満点は入ると思います
回答の中に、目的語(従業員に)を含めるとよかった

>Kさん
4ページの「送信者によって、宛先、メール本文、及び添付ファイルに間違いがないことの確認操作が行われる」
6ページの「導入済みのメール管理システムの未使用の機能」
イだとこの2つの文言が矛盾するかと

>毒なすびさん
私の場合は、逆にイ以外は「導入済みのメール管理システム」に当てはまらないのではないかと考えてました...なるほど

最後の問題は正当化だと思います。

動機は「会社に不満がある」や「不正に対する見返りがある」ですので、不正対策を周知されても動機は全く軽減されません。
機会は対策そのもので対応済みです。
「ルールを知らなかった」という正当化を防ぐためにも周知したと考えるのが妥当です。

ただ、不正のトライアングルに関連付けて答えよとは書いてないので、同等のことが記述できていれば問題ないと思われます。

最後の問題ですが、問題文には「その一つの理由を答えよ」とあるので皆さんが出された意見のように効果としてはいくつかあるなかで、一つ書ければOKということなのかと試験中に思ったのですがどうなんでしょうね、結構ラッキー問題だったりして

問3（2）利用者認証をログインと書いてしまったのですがどうでしょうか

設問２（２）は「ウ」ではないですか？
問われているのは図２にある「メール管理システムの未使用の機能」なので、運用対応であるア、イは除外されて、ウ、エのどちらかになると思うのですが。

次こそ合格さん

私も同様に「ウ」にしましたね。
私の場合は、問題文で(暗号化してないのはまずいでしょ)という先入観から選んでしまいましたが。。

メール管理システムの機能として、上司への通知と承認の機能があるのでは？
管理サーバに一旦保留する機能は使ってるみたいですし、別の人が確認→転送を行う機能もあるでしょう。

本文から、管理サーバに一旦保留する機能は送信者によって間違いがないかの確認をするためだとわかるので、上司の承認はなかったといえます。

アは運用対処ではないでしょ

以下の点から、ウのファイル暗号化だと考えました。他の選択肢は、下の条件を使っていない、一般論的な内容になっていると思います。

○問題文で、「A社の業務内容を考慮した場合」とわざわざ指定されている(A社は大量の生徒の個人情報を扱っている)

○下線中に「添付ファイル付きメールに対」する処理とある

ゲストさん、夏目漱石さん

コメントありがとうございます。

初めは「ア」を選択していたのですが、あくまで人手を介さない方法を問われているのかと思い「ウ」に変更しちゃいました。

私もウにしました・・・・間違いですか？

私の考えですが、そもそも下線②は「問題の（２）（メールやWebサイトの利用が管理規定通りではない問題）についての対処」であると本文から読み取れます。
管理規定ではメールの私的利用を禁止していて、それが守られていないと５ページ前半から読み取れます。
つまり、ウで暗号化してそれを同じ宛先に送っても、それが私的利用であれば意味がありません。
私的利用を防ぐには送信者以外の上司や責任者にメールの内容を確認させるべきだと思います。
よってアにしました。

＞＞つまり、ウで暗号化してそれを同じ宛先に送っても、それが私的利用であれば意味がありません。
訂正：
つまり、ウで暗号化してそのパスワードを同じ宛先に送っても、それが私的利用であれば意味がありません。

ウはよくネタにされる意味がない行為だけど、
これが正解になったらIPAをちょっと疑う…

問題文に「資産価値または重要度の高い情報の社外への持ち出しは・・・・管理者である上司の承認を得た後に持ち出すことができる」とあるのでメールでもそれが適応されると思いました。。
重要度の高い情報を社外に送る際に「内部不正」を防ぐために適用すべきなのは「ア」じゃないでしょうか？問題文の項にも「内部不正に対する技術面での対策」とあります。「ウ」だと自分で悪意ある相手に情報もパスワードも一緒に送信できてしまいます。それを防ぐのは「管理者である上司の承認（チェック）」だと思います

現状調査の問題2（メールの利用が管理規定通り行われていない）への対処を聞かれているので
暗号化したところで管理規定が守られるわけではなくおかしいかと思います。
上司への承認を通せば重要度の高い情報の流出を防げます。
内部不正の問題なので暗号化じゃ内部不正は防げないでしょう。

設問２の（１）で、可搬型記憶媒体に証明書をインストールし利用可能な媒体を限定する。
と書いたのですが、これではだめですかね？

可搬型記憶媒体に保存情報をインストールできない設定にする。は部分点くれますか？

設問2 (1) 許可されていない可搬型記憶媒体からのアクセスをブロックする
設問3 (3) セキュリティの強化を認知させ、内部不正を行う意欲を抑制する
と答えました。

3-(2)
「利用者認証」を「ログイン処理」って書いてしまったんですけどダメですよね、、

設問3
(3)ですが、時間が無くて下記のように書いたのですが0点でしょうか？
「内部チェックシートで洗い出した問題に対する対策を検討したため」
よろしくお願い致します。

設問2(2) 問題文に「A社の業務内容を考慮した場合」とあり、A社では「受講生の個人情報」を扱っているので「添付ファイルを暗号化」した方がいいと思ったのですが。どうでしょうか？

私も2-2をウにしたのですが
現実的にメール管理システムの機能にウみたいなものってあるんですかね。

>aceさん
全然意味が違うからダメでしょう

問3-2を認証機能とかいてしまったんですけど部分点はもらえますかね？

2(2)について解説を書いてみました。間違えていたらごめんなさい。

ア:○:現状では「上司の承認を得た後に持ち出すことができる」とされていますが、ルールでしかないので、無視して承認を得ずに外部に添付ファイルを送信できてしまいます。これを「添付ファイルは上司経由でないと外部に送信できないようにする」機能で防ぎます。これで添付ファイルを無断で外部に送信できなくなるため、有効です。
(人手であった「上司に承認を依頼する」部分を自動・強制化することで内部不正の難易度を上げる)

ただ、添付ファイルに対する処理なので、機密情報の文字列をメール本文に直接貼り付ければ回避できてしまいます。それでも形式がバラバラの添付ファイルと比べ、文字列のメール本文は機械的にチェックしやすいので、別途メール本文をチェックする機能も有効にしたのかもしれません。

また、「宛先が外部のメールを全て上司経由にする」対策も考えられますが、メール管理システムに機能がなかったか、上司が忙殺されることを懸念して有効にしなかった…というところまで考えられているかはわかりません。

イ:×:内部不正者が外部に添付ファイル付きメールを送ることに関して、何ら障害とならないため不適切です。(内部不正者が送信ボタンと確認ボタンを両方押せてしまう)

ウ:×:暗号化は外部からの盗聴には有効ですが、設問2は内部不正対策に関するものなので、この特徴は関係ありません。
また内部不正対策としても、内部不正者が外部メールアドレスに対して添付ファイル付きメールを送信した際に、同じ外部メールアドレスに対してパスワードメールが送られるだけで、持ち出しを防げないため不適切です。

エ:×:添付ファイルの持出しを防ぐ意味では最も効果がありますが、A社は「社員は,社外の関係者との間で,添付ファイル付きメールを送受信している」ため、それに支障が出るエの対策は「A社の業務内容を考慮した場合」不適切です。

最後の問題、TACも大原も不正を行えば発覚することを認識させれるからといった趣旨の内容でしたが、問題にはその理由の一つを答えよとあったので正解は一つではないのかなと思いました。
確かに4つの対策には不正を行ったらばれるようにしているような対策が含まれていますが、問題文にもあるように、そもそもこれらの対策は不正のトライアングルの一つである機会を低減させることから抑止につながると考え、検討を行ったと書いてあります。
不正をしたらばれるようにするだけでなく、不正そのものができなくするような対策も取っているわけですね
なのでそのことを周知させるということは、従業員が内部不正を行うことが難しいと考えるようになるからとかこんな感じの解答も許されるのではないかなと思いました。

不正のトライアングルの正当化を減らす、と書きました。
機会を減らしたら動機か正当化が残るわけで、動機は本人の問題なので、残るのは正当化かと思いました。

設問2-(3)を問題下線部の「当該サイトを希望する者をとるべき手段」から希望する者はホワイトリストへの登録は委員会を通さないと行えないから行えないと考えてしまい、どう答えて良いのか迷った結果
「ウイルス対策ソフトを最新状態にする。」
と解答しました。
危険性のあるサイトを閲覧する際に行う手段としては間違ってはいないと個人的には考えているのですが、この解答では点は0点ですかね？

>パターンさん
ウイルス対策ソフトを最新にしてもサイトの閲覧はできません。
0点です。

最後の問題ですが、
会社として内部不正を許さないという姿勢を示すため的なことを書いたのですが、部分点ぐらいはあるでしょうか。

本番中に「利用者認証」って言葉がなぜか出てこなくて3－2の答えに「利用者の照合」と書いてしまいすごく後悔しています…
おそらく一点ももらえませんよね

やはり予備校の回答を見ても、機会なのか動機なのかというのは論点でないみたいですね。
設問でもトライアングルで答えよと言われているわけではないですから、シンプルに理由を説明すればいいということです。

気になりすぎていろいろ調べました

IPAの内部不正ガイドラインには、基本原則として以下のものが挙げられています。
以下、IPAの内部不正ガイドラインより引用
・犯行を難しくする（やりにくくする）：
対策を強化することで犯罪行為を難しくする
・捕まるリスクを高める（やると見つかる）：
管理や監視を強化することで捕まるリスクを高める
・犯行の見返りを減らす（割に合わない）：
標的を隠したり、排除したり、利益を得にくくすることで犯行を防ぐ
・犯行の誘因を減らす（その気にさせない）：
犯罪を行う気持ちにさせないことで犯行を抑止する
・犯罪の弁明をさせない（言い訳させない）：
犯行者による自らの行為の正当化理由を排除する

今回行った対策を従業員に周知させることで得られる効果というのは、これの4つ目なのではないでしょうか。IPAが欲しい解答としては、やると見つかることや、やることが難しいということが従業員が認識し、「不正を行おうとする気持ちをなくさせるから」というもの部分なのではないかと思いました。

5つ目の正当化理由を排除するという点も気になりますが、行った対策を周知しているわけで、不正はだめですよという規律を周知したわけではないので、微妙なラインだと思いました。
規律を知らなかったとか言うならまだしも対策してるなんて知らなかったなんて理由で正当化なんてできないと思いますし・・・

デジタルフォレンジクスだとだめですかね、、、？

>>94
その資料の3ページ上くらい？に
この内対策できるのは「動機」「機会」のみと書いてあったので
もし不正のトライアングルを用いて答えるなら動機が正解っぽいですね。

付録VIを読むと正当化ではないでしょうか。
不正防止の5原則、なので、防止策が５つあって、その内の１つが正当化かと。
良心に警告する、の内容が、設問の対策を告知すること、と同じ感じですし。

しあのさんの言ってることで正しいです
従業員に不正が行える余地がないことを知らしめて認識させる事を狙うってのが理解できてるかが論点
三要素の単語使う必要がない

あえて入れるなら「不正をする機会がないことを従業員に伝える」みたいな書き方になるけどこれも日本語として不自然だからやっぱり不要

機会が減るみたいな書き方は論点ズレてるから×か良くて減点
そもそも三要素のリスクを直接的に減らすことが狙いではない
合理化と動機はさらに×寄り
これらの単語がそもそも不正のトライアングルの中でどういう意味・用例で使われてるのか調べてる？

最後の問題
色々と考えすぎてまとまらくなり、最終的には、「社内全体のコンプライアンス意識を向上させる」としました。
これって的外れだと思わますか？

あああさん

これがもし50字以内でという問題なら、トライアングルの要素を含めつつ理由を説明することもできるのでしょうが、30字では理由を説明するだけでいっぱいいっぱいでしたからね。

機会がないことを認識とか、動機を奪うとか、そういう書き方だとどうしても具体性に欠けるので、出題者の求めてる答えからはズレてしまうと思います。

あああさん
他人を蹴落とそうという気持ちが言葉の端々から垣間見えますね。
いい感じです。