解説

• 〔aについて〕
  予想される不正アクセスの例は、パスワードクラックの手法であるブルートフォース攻撃（総当たり攻撃）に該当します。この攻撃は、主にオフラインで用いられ、すべての文字種の組み合わせを順番に繰り返し試すことで正しいパスワードを探る手法です。
  この攻撃では、ログインの失敗が無数に発生するため、一定回数の失敗を繰り返した時点でアカウントをロックすることが有効な対策となります。「アカウントをロックする」とは、アカウントへの一切の操作を受け付けないようにするセキュリティ上の措置です。アカウントのロックによりログイン試行も制限されます。
  
  選択肢以外の対策としては、パスワード長を長くする、パスワードとして設定する文字種を多くするなどの対策が考えられます。
  • ブルートフォース攻撃は通信を盗み見る手法ではないため、通信の暗号化は予防策とはなりません。通信の暗号化は、中間者攻撃などに代表される盗聴に対する予防策として有効です。
  • 不正ログインの早期発見に対して有効な対策となります。しかし、これは検知・追跡に該当する対策であり、不正ログインを行うこと自体についての予防策には当たらないため不適切です。
  • 正しい。アカウントのロックは、ブルートフォース攻撃が成立することを防止するために有効な対策です。
  • メール通知は、ブルートフォース攻撃が成立するかしないかにかかわらず行われます。そのため、攻撃の対象になったということが判明するだけで、攻撃を成立させないための予防策とはなりません。また、メールの通知は「後日」行われるため、攻撃に検知してその場で防ぐこともできません。
  ∴a＝ウ
  
  
• 〔bについて〕
  S社のログインIDは従業員IDであるため、IDについては誰でもわかる状態であると言えます。正しいIDがわかっている状態であれば、パスワードさえ合えば不正ログインが可能です。攻撃者がターゲットの個人情報に関する知識からパスワードを推測し、不正ログインを試みる攻撃を類推攻撃といいます。本問は社内システムのセキュリティが問題となっており、他の従業員の個人情報が入手しやすい状況下にあるので類推攻撃の脅威レベルも通常より高くなると考えられます。
  
  類推攻撃に対しては、容易に類推できるパスワードを設定しないことが予防策となります。容易に推測されてしまうパスワードとしては、氏名、ID、生年月日、電話番号、車のナンバー、ペットの名前、住所の一部、及びそれらの情報の組合せなどが挙げられます。
  • 正しい。従業員IDそのまま、又は従業員IDに少しだけ文字を加えたようなパスワードでは類推攻撃による攻撃が成立しやすくなります。このようなパスワードの登録を制限することは類推攻撃の成立を防ぐことにつながるため、有効な対策となります。
  • 正しい。英字・数字・記号の混在をパスワードポリシーとすることで、単純な英単語や意味のある数字の並びを設定しにくくなります。これにより類推攻撃への有効な対策となります。
  • 類推攻撃は、正しいパスワードがわからない状態で推測を行うため、他人のパスワードを知らなくても攻撃が成立し得ます。他人とのパスワード共有は禁止すべき事項ではありますが、類推攻撃への対策とはなりません。
  • パスワードのヒントは他の従業員も知ることができることや、パスワードの一部がヒントに基づくことが分かると、類推される危険性がかえって高まります。そのため対策とはなりません。
  ∴b＝ア、イ

解説

• LDAP(エルダップ)は、Lightweight Directory Access Protocolの略で、ディレクトリサービスに対するアクセスを提供するプロトコルです。ディレクトリサービスとは、LANなどの コンピュータネットワーク上にあるユーザ情報、接続されているプリンターなどの資源を記憶し、検索しやすいようにまとめたものです。
• 正しい。
• SSL/TLSでもクライアント認証の仕組みがありますが、認証にはクライアント証明書を使用するので、やはりPKIの導入が必要です。
• 通常のプロキシがクライアントの代わりとしてサーバにアクセスするのに対し、リバースプロキシはクライアントからの要求をサーバとして受け付け、Webサーバへ転送します。認証の仕組みとして利用する場合、シングルサインオンが実現できますが本問では複数のサーバへのログインについては言及されていないため必要とはいえません。

解説

• 〔導入製品の決定〕に記載されている特徴を読むと、マニューシャ方式では指紋の特徴点が登録され、指紋特徴点だけでは元の指紋全体を再現できないとされています。つまり、万が一漏えいが発生したとしても、漏えいした情報だけでは生体認証を突破できないということになります。
  それに対してパターンマッチング方式は、指紋全体をスキャンしたものをデータ化するため、データから指紋全体を復元することが可能と考えられます。3Dプリンターなどを駆使することにより、認証を突破するアイテムを作成されてしまう恐れがあります。
  
  この違いがマニューシャ方式の方が実害が少ない理由となります。
  
  なお、生体認証の認証情報は変更や交換ができません。このため、情報が漏えいした場合は、他のサービスの認証方式としても利用不能になるため、管理には細心の注意が求められます。
  
  ∴漏えいしても元の指紋全体を再現できないから
  
  
• 指紋情報の格納場所がPC内であるA及びCを除外し、B、D、Eの製品の特徴を考察します。
  
  まず、指紋情報の格納場所についてですが、B、Dが専用の認証サーバ内であるのに対し、Eは従来の認証サーバ内の拡張領域となっています。〔生体認証システムの導入〕の最後に、「個人情報と指紋情報を物理的に分けた上で一括管理を行う方針」と記載されていますが、従来の認証サーバ内には氏名などの個人情報とIDが格納されており、拡張領域に指紋情報を格納する場合、物理的に分けるという方針に合いません。このためEは選択から除外されます。
  
  残ったBとDについては他人受入率と本人拒否率に違いがあります。本人拒否率はどちらも0.002で同じですが、他人受入率はBの方が低くなっています。他人受入率とは、他人を本人と間違えて認証してしまう確率ですので低い方が優秀です。この点でBに分があります。
  
  以上の理由により、Bが選択されることとなります。T君がBを選択したのは、上記の説明の通り「個人情報と指紋情報を物理的に分けて管理できること」および、Dと比べて「他人受入率が低いこと」という2点が理由となります。
  
  ∴de＝個人情報と指紋情報を物理的に分けて管理できる、誤って他人を本人と認識する確率が低い（順不同）
  　f＝B