技術的・物理的対策とインシデント対応

技術的対策の出発点は、単一の防御に依存しない多層防御（Defense in Depth）の考え方である。ネットワークの境界にはファイアウォールを設置し、パケットフィルタリング型はIPアドレスとポート番号で、アプリケーションゲートウェイ型（プロキシ型）はアプリケーション層の内容まで検査して通信を制御する。外部に公開するWebサーバやメールサーバは、内部ネットワークから分離したDMZ（非武装地帯）に配置するのが定石であり、公開サーバが侵害されても内部ネットワークへの被害拡大を防げる。本試験では「DMZに置くべきサーバはどれか」という形で繰り返し出題されている。加えて、入口対策だけでなく、侵入を前提とした内部対策（ログ監視、アクセス制御）と出口対策（外部への不正通信の遮断）を組み合わせる設計思想が、標的型攻撃対策として科目Bの事例問題でも問われる。

侵入検知・防御の仕組みでは、IDS（侵入検知システム）とIPS（侵入防止システム）の機能差が最頻出である。IDSは不正な通信を検知して管理者に通知するまでを行い、通信の遮断はしない。遮断まで自動で行うのがIPSである。検知方式には、既知の攻撃パターンと照合するシグネチャ型と、正常時の振る舞いからの逸脱を検出するアノマリ型があり、前者は未知の攻撃に弱く、後者は誤検知が多くなりやすい。また、ファイアウォールやIDS/IPSでは防ぎにくいWebアプリケーション層への攻撃（SQLインジェクション、クロスサイトスクリプティング等）には、HTTP/HTTPS通信の内容を検査するWAF（Web Application Firewall）を用いる。複数のセキュリティ機能を1台に統合したUTM、各機器のログを集約して相関分析するSIEMも、IPA公式シラバスに掲載された用語として押さえておくべきである。

暗号技術は、共通鍵暗号方式と公開鍵暗号方式の対比で整理する。共通鍵暗号（代表例AES）は暗号化と復号に同じ鍵を使い高速だが、通信相手の組合せごとに鍵が必要で、n人が相互に秘匿通信するにはn(n-1)/2個の鍵を要し、鍵配送問題も抱える。公開鍵暗号（代表例RSA）は公開鍵と秘密鍵のペアを使い、鍵管理は容易だが処理は低速である。そこで実務では、データ本体は共通鍵で暗号化し、その共通鍵を相手の公開鍵で暗号化して安全に受け渡すハイブリッド暗号が使われ、TLS（HTTPSの基盤）がその代表である。機密性目的の暗号化は「受信者の公開鍵で暗号化し、受信者の秘密鍵で復号する」という鍵の使い分けが誤答肢の定番であり、確実に区別する。ハッシュ関数（SHA-256等）は任意長のデータから固定長のハッシュ値を生成し、一方向性と衝突発見困難性をもち、改ざん検知に用いられる。

デジタル署名は、送信者が自身の秘密鍵で署名を生成し、受信者が送信者の公開鍵で検証する。これにより改ざんの検知と、送信者による否認の防止（真正性・否認防止）が実現できる。機密性のための暗号化とは鍵の使い方が逆になる点が最大のひっかけどころである。公開鍵の正当性は認証局（CA）が発行する電子証明書によって担保され、この仕組み全体をPKI（公開鍵基盤）と呼ぶ。失効した証明書はCRL（証明書失効リスト）やOCSPで確認する。利用者認証では、記憶（パスワード）・所持（ICカード、スマートフォン）・生体（指紋、顔）の3要素のうち2つ以上を組み合わせる多要素認証が推奨される。生体認証には、他人を誤って受け入れる他人受入率（FAR）と本人を誤って拒否する本人拒否率（FRR）のトレードオフがあり、判定のしきい値を厳しくするとFARは下がりFRRは上がる。この関係は科目Aの定番論点である。

マルウェア対策ソフトは、定義ファイル（シグネチャ）とのパターンマッチングを基本とし、未知のマルウェアには振る舞いを監視するビヘイビア法や、隔離された仮想環境で実行させて挙動を解析するサンドボックスで補完する。定義ファイルとOS・ソフトウェアの修正プログラム（パッチ）を常に最新に保つことが管理策の基本であり、脆弱性情報はJVN（Japan Vulnerability Notes）等で収集する。社内規程を満たさないPCを接続時に検査・隔離する検疫ネットワークも有効である。データ保護の要はバックアップであり、フル・差分・増分の各方式の特徴、世代管理、複数媒体・遠隔地保管の考え方（3-2-1ルール）、リストア（復元）訓練の実施までが問われる。ランサムウェア対策としては、ネットワークから切り離したオフラインバックアップの確保が科目Bの事例で頻出である。

物理的対策では、まず建物・執務室・サーバ室を重要度に応じて区分するゾーニングを行い、区域ごとに入退室管理を実施する。ICカードや生体認証に加え、認証済みの者に続いて未認証者が入室する共連れ（ピギーバック）への対策として、一人ずつしか通過できないサークルゲートや、アンチパスバック（入室記録のない者の退室・再入室を拒否する制御）が出題される。JIS Q 27002（ISO/IEC 27002:2022対応）の管理策には、机上に書類や媒体を放置しないクリアデスク、離席時に画面をロックするクリアスクリーンが明記されている。設備面では、停電対策のUPS（無停電電源装置）と自家発電装置、火災対策のガス系消火設備、地震対策の耐震・免震、遠隔地へのバックアップ保管を押さえる。ノートPCや記憶媒体の施錠保管、持出し管理、廃棄時のデータ完全消去も物理的・環境的セキュリティの範囲である。

情報セキュリティインシデント管理は、検知・連絡受付→トリアージ（優先順位付け）→対応（封じ込め・根絶・復旧）→事後レビュー（再発防止）という流れで整理される。組織内の対応専門チームがCSIRTであり、外部組織との調整窓口としてJPCERT/CCと連携し、ウイルスや不正アクセスの被害はIPAへの届出制度も活用する。マルウェア感染が疑われるPCへの初動対応は、LANケーブルの抜去や無線LANの無効化による「ネットワークからの隔離」が原則であり、電源を切るとメモリ上の揮発性の証拠が失われるため、安易な電源断や即時のウイルス駆除は避ける。法的証拠となる電磁的記録を収集・保全・分析する技術がデジタルフォレンジックスである。個人データの漏えい等では、個人情報保護法第26条により、要配慮個人情報の漏えいや1,000人超の漏えい等の場合、個人情報保護委員会への報告（速報は概ね3〜5日以内、確報は30日以内）と本人への通知が義務となる。経営層の関与はサイバーセキュリティ経営ガイドラインVer3.0が求めており、科目Bでは初動判断の適否が事例形式で問われる。