【セキュマネ】平成31年度春午後問3の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成31年度春午後（科目B）問3を解説します。

設問6(1), 1, 2は基本。エグイのは設問3のCVSS、まさかSGで出るとは…。設問4, 5は正解できますが、不正解の用語まで復習を拡げて下さい。

CVSSは昨今のセキスペ（SC）にも出ています。詳細を覚えすぎるのはリスキーなので、このNoteで力加減を調整して下さいね。

またNote末尾に、問題文から更に学べるポイントを【12個】ピックアップしました。SG合格は勿論、より高度な資格まで使える知識です。今後のステップアップの布石になったら嬉しいです。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

このNoteが過去問演習の品質を高め、少しでも合格や学びの役に立ったら嬉しいです。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1 | ID共用はダメ代表

正答は、ウ（i, ii, iii）。
（i）：NPC操作者を特定できない
（ii）：異動者/退職者に不正利用される
（iii）：PWD変更のメモが漏えいして不正利用される

下線①は、複数名でID, メアドを共用しているリスクの話。

ダメダメセキュリティの代表ですね。

各選択肢でのリスクを考えます。

• （i）：〇：複数人で1つのIDで操作してると、システムのログから「操作した者を特定できない」のはリスク。内部不正があっても調査が進みません。

• （ii）：〇：ID, メアドは変わらないし、PWDも変えなければ、異動/退職後もログインできますね。

• （iii）：〇：「メモを書き～パスワードが漏えい」はありますね。メモをデスクに置いたらダメ。PWDを変更したら口伝えかなぁ。

• （iv）：×：共用IDとは無関係なので。
  「クリアスクリーン」は、離席中に画面から情報漏えいしないように、スクリーンセイバー（PWDロック）にするなどの対策。メールや文書アプリも閉じておくと良いです。机の上をキレイにする「クリアデスク」も一緒に。

管理者と云えども、IDやメールの複数人の共用はリスクですね。

せめてPWDは、定期的or異動/退職者が発生した時点で、即座な変更が必要ですね。

一番良いのは、各自にIDを作る。管理者権限を持ったロールを付ければ、管理者権限を持ったIDになります。

メールは複数人で交代勤務/情報共有/窓口の一元化を考えると、どうするのが正解か難しいですね。システムと設定の組合せが色々るでしょう。

設問2(1)a | 監査

正答は、キ。
a1：独立性
a2：情報セキュリティ関連規定
a3：監査対象部署

【空欄a1】は、監査人と監査対象部署の関係について。

「独立性」：客観的, 忖度なしな監査に必要です。
「機密性」：データ/システムにアクセスすべき者だけアクセスできること。＞【Iパス】CIAの３点セットNote
「責任追跡性」：誰が/いつ/何をしたかが、後からも分かること。

【空欄a2】は、ISMSのために遵守するもの。

「情報セキュリティ関連規約」：ISMSは組織におけるセキュリティ体制のことなので適切でしょう。
「文書管理規定」は文書に限定してるので×かなと。

両方とも覚えなく良いかなと思います。

【空欄a3】は、評価のために質問・閲覧・観察をする先。

「監査部」：評価をする方（監査人が属す）
「監査対象部署」：評価される方（＝評価対象）。

監査人が監査対象部署にヒアリングすることはあります。誤解もあり得るので、事実確認せずに指摘はできません。＞【Iパス/FE/AP】監査Note（Iパス後もずっと使える）

補強 | 監査のまとめ

「監査」は、大変奥深いです。組織体制、監査手順など多岐に渡るのでまとめて学習するのが効果的ですよ。

以下を見ただけで理解できてればOK。

• 立場の独立性：社外or社長直轄にし、関係者以外にする

• 手続き：予備調査・本調査・評価や報告

• 指摘：監査報告書と監査証拠

• 改善：モニタはするが、計画・指示・実施はしない

＞【Iパス/FE/AP】監査Note（Iパス後もずっと使える）

設問2(2) | ランサムウェアは長らく流行語

正答は、イ（3, 4, 8）。
3：OSの自動更新の正常確認を確認した。
4：ソフトが最新かをメニューで確認した。
8：重要なデータをNPCではなく、共有ファイルサーバにも保管した。

• 3：〇：OS。マルウェアに付け込まれる脆弱性の対策なので。

• 4：〇：ソフト。バージョンが最新なら脆弱性対策は最善なので。

• 5：×：「セキュリティケーブル」は物理的な対策。知っておきましょう。

• 6：×：文書の物理的な対策。機密文書を”機密ラベル”を貼って”施錠キャビネット”に保管するのはOK。ラベルを貼ると"機密/重要だとバレる"面もありますが、"機密/重要だと知らなかった"と言い訳させないため。

• 7：×：印刷物の物理的な対策。プリンタは共用なので、見るつもりなくても見ちゃうことあります。
  ソーシャルエンジアリング対策かな。「ショルダーハッキング」と「トラッシング（スキャベンジング）」も一種でしたね。＞【Iパス】ソーシャルエンジニアリングのNote

• 8：〇：NPCがランサムウェア感染で暗号化されても、別サーバにも保管してたら無事。でも感染が広がったらアウトなので、サーバデータのバックアップも必要ですよね。

全部大事な対策でした。特に8はよく出るのでしっかり理解しておいてください。

設問3(1)b | CVE/CWE/CVSS→CVSS3+1種類

正答は、イ（基本値）。

CVSSは脆弱性の「深刻」度。33頁「時間の経過や利用環境の差異によって変化せず～」で「基本値」だち判断します。

まずFEレベルから。CVSSの仲間は3種類。

• CVE：脆弱性識別子。つまりID

• CWE：脆弱性の種類。つまりカテゴリ

• CVSS：脆弱性の深刻度
  ※4文字なので一番「深い」と覚えてます。

SCでも出るので長く役立つ知識ですね。
＞【SC】平成30年秋午後1問3設問2aの解説Note
＞【SC】令和元年度秋期午後2問2設問1(2)aの解説Note

CVSSの種類は、SGやSCならではの出題。どんどんマニアックになってきてます…💦

• CVSS基本値：脆弱性の特性の評価値。変更されない。

• CVSS現状値：脆弱性への現在の対応状況に応じた評価値。時間的に変化していく。外部機関が算出してれば情報収集の手間が省ける。算出されていない場合が多い。

• CVSS環境値：利用環境も含めて最終的な深刻度を評価する。ユーザごとに変化する値。算出に専門知識が必要。

• CVSS補足評価基準
  ※v4.0で追加。いずれ補足値と呼ばれるかも？