セキュリティとマネジメント・ストラテジ

情報セキュリティの三要素は機密性(Confidentiality)・完全性(Integrity)・可用性(Availability)であり、JIS Q 27000ではこれに真正性・責任追跡性・否認防止・信頼性を加えた特性を定義している。リスクマネジメントでは、リスクアセスメント(リスク特定→リスク分析→リスク評価)を経てリスク対応を選択する。対応は、リスク回避(原因の除去)、リスク低減(管理策による発生確率・影響の縮小)、リスク共有(保険加入や外部委託による第三者との分担。従来のリスク移転を含む)、リスク保有(受容)の四類型で整理され、本試験では具体例との対応付けが頻出である。組織的な枠組みとしてはISMS(情報セキュリティマネジメントシステム)があり、要求事項はJIS Q 27001(ISO/IEC 27001)に規定される。情報セキュリティポリシーは基本方針・対策基準・実施手順の階層で構成し、経営陣が基本方針を確立して組織全体で運用する。なお科目Bは20問中、情報セキュリティが約4問を占めるため、本章の理解は科目A・科目B双方の得点に直結する。

暗号技術は共通鍵暗号方式と公開鍵暗号方式に大別される。共通鍵暗号(代表はAES)は処理が高速だが、n人が相互に通信するにはn(n-1)/2個の鍵が必要となり、鍵配送問題を抱える。公開鍵暗号(代表はRSA)は受信者の公開鍵で暗号化し受信者の秘密鍵で復号するため鍵配送問題を解決できるが、処理は低速である。実用上は共通鍵の受渡しのみを公開鍵暗号で行うハイブリッド暗号が用いられ、TLS(HTTPS)がその代表例である。ハッシュ関数(SHA-256等)は一方向性と衝突発見困難性をもち、改ざん検知に用いる。デジタル署名は送信者の秘密鍵でメッセージのハッシュ値に署名し、受信者が送信者の公開鍵で検証することで、完全性と真正性(および否認防止)を保証する。機密性の確保は署名の目的ではない点がひっかけとして問われる。公開鍵の正当性は認証局(CA)が発行するデジタル証明書で担保され、この基盤がPKIである。失効した証明書はCRLやOCSPで確認する。利用者認証では知識・所有・生体の要素を二つ以上組み合わせる多要素認証が重要である。

攻撃手法は科目A・Bともに最頻出領域である。標的型攻撃は特定組織を狙い、業務を装ったメールの添付ファイル等から侵入する。ランサムウェアはデータを暗号化して身代金を要求し、IPA『情報セキュリティ10大脅威』の組織向け脅威で上位の常連である。Webアプリケーションへの攻撃では、SQLインジェクション(対策はプレースホルダの利用)、クロスサイトスクリプティング=XSS(対策は出力時のエスケープ処理)、CSRF(対策は秘密情報=トークンの埋込み確認)を対策とセットで区別して覚える。認証への攻撃には、辞書攻撃、総当たり(ブルートフォース)攻撃、他サイトから流出した認証情報を使い回すパスワードリスト攻撃がある。ほかにDoS/DDoS攻撃、修正プログラム提供前の脆弱性を突くゼロデイ攻撃、人の心理の隙を突くソーシャルエンジニアリングも問われる。防御側は、ファイアウォールとDMZによる境界防御、IDS/IPSによる侵入検知・防御、WAFによるWebアプリケーション防御を層状に組み合わせる多層防御が基本であり、組織面ではインシデント対応を担うCSIRTの設置やSOCによる常時監視が出題される。

セキュリティ関連法規は確実な得点源にできる。サイバーセキュリティ基本法は国のサイバーセキュリティ施策の基本理念を定める法律である。不正アクセス禁止法は、他人の識別符号(ID・パスワード)の無断入力やセキュリティホール攻撃による不正アクセス行為に加え、他人の識別符号を無断で第三者に提供する助長行為(第5条)、識別符号の不正取得・不正保管、フィッシングサイト開設等による識別符号の入力要求(第7条)も禁止する。マルウェアの作成・提供は刑法第168条の2(不正指令電磁的記録に関する罪)で処罰される。個人情報保護法は令和2年改正で漏えい等報告・本人通知が義務化され、仮名加工情報が新設された。不正競争防止法は営業秘密を保護し、秘密管理性・有用性・非公知性の三要件を満たす必要がある。著作権法ではプログラムは著作物として保護される一方、プログラム言語・規約・解法(アルゴリズム)は保護対象外であり(第10条第3項)、職務上作成したプログラムの著作者は別段の定めがない限り法人となる(第15条第2項)。労働者派遣では指揮命令関係は派遣先と、雇用関係は派遣元との間に生じ、請負では注文者に指揮命令権がない点の区別が頻出である。

マネジメント系はプロジェクトマネジメント、ITサービスマネジメント、システム監査の三本柱である。プロジェクトマネジメントの規格はJIS Q 21500(ISO 21500)で、統合・スコープ・スケジュール・コスト等の対象群で整理される。WBSは成果物を階層的に分解して管理単位を明確にする技法であり、アローダイアグラムでは所要日数が最長でスケジュールの余裕が全くない経路=クリティカルパスの算出が頻出である。進捗と費用はEVM(アーンドバリューマネジメント)で管理し、EV−PVがスケジュール差異、EV−ACがコスト差異である。ITサービスマネジメントの規格はJIS Q 20000で、ベストプラクティス集としてITILが広く用いられる。サービス提供者と顧客はSLAでサービスレベルを合意し、SLMで維持・改善する。迅速なサービス復旧を目的とするインシデント管理と、根本原因を究明し再発防止を図る問題管理の区別は定番である。可用性の指標では稼働率=MTBF÷(MTBF+MTTR)の計算が出題される。システム監査は経済産業省『システム監査基準』(令和5年改訂)に基づき、監査人には外観上・精神上の独立性が求められ、監査証拠に裏付けられた監査報告と改善提案(勧告)を行う。

ストラテジ系では経営戦略のフレームワークが中心となる。SWOT分析は内部環境の強み・弱みと外部環境の機会・脅威を整理する。PPM(プロダクトポートフォリオマネジメント)は市場成長率と相対的市場占有率の二軸で事業を花形・金のなる木・問題児・負け犬に分類し、低成長・高シェアの金のなる木が資金源となる。ほかにコアコンピタンス、アンゾフの成長マトリクス、バランススコアカード(財務・顧客・内部ビジネスプロセス・学習と成長の四つの視点)、マーケティングの4Pを押さえる。会計では損益分岐点売上高=固定費÷(1−変動費率)の計算が頻出である。システム戦略の分野では、共通フレームが企画・要件定義・開発・運用・保守のプロセスを共通の物差しとして定義し、調達ではRFI(情報提供依頼書)とRFP(提案依頼書)の順序と役割を区別する。要件定義では業務要件・機能要件・非機能要件を利害関係者間で合意する。なお本試験は2023年4月から通年実施のCBT方式となり、科目A(四肢択一60問)・科目B(20問)の各1,000点満点中600点以上で合格である。この制度理解も学習計画に組み込みたい。