【どこよりも詳しく】令和6年度公開問題科目Bの解説（情報セキュリティマネジメント試験, SG, 午後）

このNoteでは「情報セキュリティマネジメント試験（SG）」令和6年度科目Bを”解説し尽くし"ます。

ご存じの通り、CBT後のSGは、年に1回だけ科目Aで21問。Bで3問しか過去問公開されません。

限られた公開問題を、単に解いて”正解した!””合格点超えた!”で終わっては勿体ないです。正答と不正答選択肢の理解でも、Iパスレベルで浅いです。

もっと、過去問をしゃぶり尽くしましょう。

選択肢をどう絞っていくか、他に学ぶべき点があるか、もし次ここが違って出てきたらどうだったか、などなど、噛めばしっかり味がでます。

新SGの過去問をちょろっと解いただけで受験して、合格すりゃ良いですが、しなかったらサイアクで。

圧倒的な実力で安全に合格したい方、過去問全部解いたのに不合格になって学びを深める手立てに困っている方にお薦めです。

AP/SCレベルで書いてる箇所もあるので、深追いはせず適宜スキップしてください。無理せず周回するイメージで。

それでは始めましょう！

＞全Noteへのリンク（SG節）
※新SG科目A/Bも、旧SG午前/午後も網羅！

問13 | 変化に応じた設定変更

正答はア。

クラウドサービスを”社内から”利用してる状況に、”社外から”の利用を追加した時の配慮/変更点の問題でしたね。AP問5（ネットワーク）でも、よくあるストーリーです。

解くポイントは、
❶表1”無効”→”有効”への変更が必要か
もし2つ見つからなければ
❷表1”有効”の設定”値”を変える必要あるか
でした。

正答の解説❶ | 「無効」→「有効」

8頁末「利用者認証を強化」が、機能4, 5の「無効」→「有効」にして成せるか考えます。

結論。
・機能4（OTP）は認証強化。
・機能5（CAPTCHA）はならず。

機能4のワンタイムパスワード（OTP）は、ID/PWDが正しく入力された後に、追加入力させる”使い捨てのパスワード”。

ID/PWDに、OTP入力が2段目として追加されたので「2段階認証」と云えます。

認証要素視点でも見ると、PWDは”知識”、OTPは（発行がアプリ/トークンなら）”所有物”になるため「2要素認証」とも云えます。＞【Iパス】2要素/段階/経路の認証Note

正答の解説❷ | 変更点

「無効」だった機能4, 5のうち1つ（機能4）は正答でした。8頁末「必要な変更を二つ実施」なので、残り1個を選ばねばなりません。

既に「有効」な機能1, 2, 3で変更できる設定はあるか。

設問文を見ると「設定変更」なので、無効→有効の変更だけでなく、有効の設定値変更もあるって視点で考えます。

結論。機能1（送信元IPアドレスの制限）の変更が正答。

機能1。クラウドがアクセスを受け入れる通信の、送信元IPアドレス。

設定値は、表1注1「A社～グローバルIPドレス」なので、A社内からのアクセスだけを受ける設定。

8頁末「テレワーク制度の導入～社外からもXサービスを利用できるようにしたい」ので、社内からに限定した現設定の変更が必要。
※機能1の変更内容は後節で考察しましょう。

送信元グローバルIPアドレスの制限は出題実績あり。＞【SG】平成29年度秋午後問3設問1(1)a補強の解説Note＊

機能2。IP/PWDによる認証は変更の余地なし。表1に設定に関する記述もないし。

機能3は「パスワードポリシ」。「英字, 数字, 記号の3種類全てを含む8文字以上」は充分。更に長くしては利便性が悪くなる。
＞【SG】平成29年度秋午後問2の解説Note（19頁図1-2-(3)保護者PWD）＊

やるとしたら、英字の大文字/小文字を両方含めるようにする、程度。”英小大字/数字/記号を全て含めて8文字”が、たぶん現実的で一番強い設定かな。google垢はこれぐらいだったはず。

機能1, 2, 3を見たら、機能1しか選べないのが解法の実情でした。

そもそも機能2, 3で、どんな設定かが書いてないし。機能1だけが、注1で設定値が書かれてますからね。＞長文問題を解く６つのテクニックNote（２）

補強❶ | ワンタイムパスワードの方式

機能4「ワンタイムパスワード（OTP）」による追加認証は強化。

OTPの作り方/伝え方は色々。

• サーバから別の通信手段（SMS, 電話, メール）でOTPを通知する方式。SBI証券の認証で使われてます。

• 利用者はアプリでOTPを生成する方式。生成手法はサーバでも同じ。利用者が入力したOTPとサーバで生成したOTPが同じならOK。大抵は時刻を種にして生成するの「TOTP」とも云われます。三井住友銀行の振込で使われます。
  ＞【SG】令和5年度科目B問15補強❹の解説Note
  ＞【SG】平成30年度秋午後問1の解説Note（TOTP）

補強❷ | CAPTCHAの定義が広がった

機能5「CAPTCHA」は、認証強化ではないかなぁ。ロボットか人間かの判別が目的の技術です。

最近は、パズル画像をはめ込んだり、写真から信号機を選ばせたりなどさせるのもCAPTCHAに分類されます。
＞【SG】サンプル問25のNote
＞【SG】令和元年秋問11のNote
＞【SG】平成31年春問21のNote
＞【SG】平成30年秋問24のNote
＞【SG】平成29年秋問17のNote
＞【SG】平成28年秋問20のNote

解釈 | 送信元IPアドレス制限

機能1でSaaS（Xサービス）が受け入れる通信は、送信元IPアドレスで制限されてました。

表1注1「A社～グローバルIPアドレス」。大抵はFWのグローバルIPアドレス。FWじゃないならプロキシサーバ@DMZですね。

社内PC@社内LAN（プライベートIPアドレス）がインターネット（グローバルIPアドレス）と通信する経路上にある機器で、アドレス変換をします。＞【FE】NW２：NATとNAPTのNote

以上より、表1機能1+注1より、A社FWからの通信だけを、SaaS（Xサービス）は受け入れます。A社以外からの通信=攻撃ですから。

8頁末「テレワーク制度の導入」で「社外からもXサービスを利用できるように」するには、表1機能1+注1を変更する必要があります。

私は3案考えました。次節で解説します。

たぶん案❶ですけど、正直危なめなので問題文に明記ない理由なんだろうなぁと。個人的/試験的には案❸ですが機能1の変更が不要なので、解答を否定しちゃいます🤣

機能1変更案❶  | ”無効”にする

案❶：機能1を”無効”にする。
➡なしではない、けど…。

すぐに実現できる策。

しかし、攻撃者による通信を弾けなくなります。だから機能4（OTP）で利用者認証を強化したんでしょうね。

でも個人的/試験的には、せっかく"有効"にした対策を、"無効"にしたくないですね。セキュリティ策を削る行為なので。

機能1変更案❷  | グローバルIPアドレス→【別解】クライアント証明書

案❷：社外利用者のグローバルIPアドレスを機能1に追加する。
➡ありだけど、現実的ではないかも。

テレワークする社員の回線は私的契約。グローバルIPアドレスはいつも同じとは限りません。

会社と同じく特別な契約が必要です。料金負担もありますし。社員の数を考えると現実的ではないかなぁと。

テレワーク社員にポケットWi-Fiを渡し、会社がグローバルIPアドレス固定の契約をするテ。

やはり社員の数が…。SCあたりで採用された出題ありました＊。

表1に明記がないですが、認証に「クライアント証明書」を使えると強固。

「クライアント証明書」は、当該PCしか持てないので。機能1を無効にしても余りある強固さです。
＞【SG】令和元年度秋午後問1設問1(3)cの解説Note
＞【SG】平成30年度秋午後問1おまけ❷の解説Note
＞【SG】平成31年度春午後問3おまけ❷の解説Note
＞【SG】平成28年度秋午後問2設問2(4)fの解説Note＊

機能1変更案❸  | 【別解】VPNサーバの設置

案❸：社内にVPNサーバを設置する。
➡たぶん現実的。でも機能1の変更不要。

社外からVPNサーバ@DMZにアクセスし、利用者認証を得て、VPNサーバ経由でプロキシも経由してFWから出てSaaSへ接続。社内PCと同じ通信経路になります。

さらにVPNサーバ経由で社内のメールサーバやファイルサーバへのアクセスもできるので、社内PCと全く同じ業務環境になります。

＞12サーバの配置まとめNote（VPN）

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞長文問題を解く６つのテクニックNote（３－２）
＞【Iパス】2要素/段階/経路の認証Note
＞長文問題を解く６つのテクニックNote（２）

パスワードポリシ/パスワード強度
＞【SG】平成29年度秋午後問2の解説Note（19頁図1-2-(3)保護者PWD）＊

OTP（ワンタイムパスワード）
＞【SG】令和5年度科目B問15補強❹の解説Note
＞【SG】平成30年度秋午後問1の解説Note（TOTP）

CAPTCHA
＞【SG】サンプル問25のNote
＞【SG】令和元年秋問11のNote
＞【SG】平成31年春問21のNote
＞【SG】平成30年秋問24のNote
＞【SG】平成29年秋問17のNote
＞【SG】平成28年秋問20のNote

グローバルIPアドレスの制限
＞【FE】NW２：NATとNAPTのNote
＞【SG】平成29年度秋午後問3設問1(1)a補強の解説Note＊

クライアント証明書
＞【SG】令和元年度秋午後問1設問1(3)cの解説Note
＞【SG】平成30年度秋午後問1おまけ❷の解説Note
＞【SG】平成31年度春午後問3おまけ❷の解説Note
＞【SG】平成28年度秋午後問2設問2(4)fの解説Note＊

VPN
＞【Iパス】通信プロトコル９個のNote
＞12サーバの配置まとめNote（VPN）

問14 | バックアップの考慮点

正答はエ。

再発防止した課題、は13頁中盤。バックアップテープが「物理的に破損」しちゃっても、復旧できるようにしたい。

なかなかクライシスな状況への対策ですね。

過去問経験から、パッと思い付くのは以下。

• 故障率の少ないバックアップ機器/媒体への変更
  ＞【SG】平成31年度春午後問3おまけ❷の解説Note

• バックアップデータが正常か確認
  ＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（ア）

• バックアップを２重に取る
  ＞【SG】平成30年度秋午後問2設問1(6)dの解説Note（キ）

• バックアップを頻繁に取る
  ＞【SG】サンプル問題科目B（その１）問54の解説Note（ア）
  ※出題実績から1問だけ引用。全出題は最後の節へ。

次節から各選択肢（ア～オ）をみていきましょう。

選択肢ア | 再発防止って言われると微妙

自社でのアプリ不具合/バックアップ不具合を、外部に移転はしてますが。リスク移転=リスク共有=リスク転嫁。＞【Iパス】リスク対応のNote

自社より外部のプロにお任せってのはアリかもですが。完璧ではないし、外部依存だからこそ損害起きたら目も当てられないので。

再発防止かって言われると微妙。△保留かなぁ。

選択肢イ | 最新の技術用語

アプリ不具合の「論理破壊」も即座に複製されちゃうので、論理破壊前に戻せません。

なんか最新技術な言葉なので、ついつい勘で賭けたくなりますよね。一旦落ち着きましょ。

RAID5やレプリケーションはバックアップ問題で仲良く出てました。＞【SG】平成29年度春午後問1設問3(2)の解説Note＊

選択肢ウ | データ破損の対策にはならない

イと同じく「論理破壊」が起きたらそれまで。ストレージの障害/破損の対策にはなります。

RAIDは3つは最低限覚えて下さい。

• RAID0（ストライピング）：分散保存

• RAID1（ミラーリング）：複製保存

• RAID5：パリティビットで復元可
  ＞【AP】バックアップ・RAIDのNote

RAID5やレプリケーションはバックアップ問題で仲良く出てました。＞【SG】平成29年度春午後問1設問3(2)の解説Note＊

選択肢エ | NAS=ネットワーク接続ストレージ

「NAS」は、ネットワーク対応のストレージ機器。USBハードディスクがLAN対応になったようなイメージで。

テープに不具合があっても、NASへのバックアップはうまくいってるかもなので、対策になります。

選択肢オ | そもそもポリシー違反

毎日「フルバックアップ」すれば、テープ不具合が直近だけ起きれば、1つ前のテープから復旧できそう。

でも図1-3のRPO=24時間を護れるか微妙。1日1回のバックアップなので、ギリギリかアウトか。

1日1回フルバックアップも作業時間的に手間ですね。データ量にも依りますが、現実的な運用ではないかなぁ…。

そもそも図1-6「システムを停止せず」に違反してるので採用できません。システム停止を辞さない記述もありません。

候補にエがあるので、敢えて蹴って、システム停止を要するオを採用する理由もないかなぁと。

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

最初の節で考えた、バックアップの考慮点の全出題。

• 故障率の少ないバックアップ機器/媒体への変更
  ★＞【SG】平成31年度春午後問3おまけ❷の解説Note
  👆テープのご利益を特集しました
  ＞【SG】令和05年度科目B問14の解説Note（四）
  ＞【SG】サンプル問題科目B（その１）問54の解説Note（エ）
  ＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（ウ, エ, カ）
  ＞【SG】平成30年度秋午後問2設問1(6)f考察の解説Note
  ＞【SG】平成30年度春午後問1おまけ❹の解説Note

• バックアップデータが正常か確認
  ＞【SG】令和05年度科目B問14の解説Note（二, 三）
  ＞【SG】サンプル問題科目B（その１）問54の解説Note（イ）
  ★＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（ア）

• バックアップを２重に取る
  ＞【SG】令和05年度科目B問14の解説Note（五）
  ＞【SG】サンプル問題科目B（その１）問54の解説Note（オ）
  ★＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（キ）

• バックアップを頻繁に取る
  ＞【SG】令和05年度科目B問14の解説Note（一）
  ★＞【SG】サンプル問題科目B（その１）問54の解説Note（ア）
  ＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（イ）

各選択肢の検討
＞【Iパス】リスク対応のNote
＞【Iパス】データベース❶：基本用語のNote（H30秋問75）
＞【SG】平成29年度春午後問1設問3(2)の解説Note＊
＞【AP】バックアップ・RAIDのNote
＞【Iパス】英単語で覚える２つの意味Note
＞【SG】平成29年度春午後問1設問3(2)の解説Note＊

問15 | 公式でさえ疑おう

正答はイ。

セキュリティ的リスクが絡んだ、Webブラウザの表示/メール内容/PC表示全般でさえ、疑って無視/相談するのが良いです。

特に、電話やツール購入は嘘ですね。

私はPC画面のあらゆる通知は無視します。自分でセキュリティソフトを立ち上げて、メッセージがホンモノだったのか確認します。

イだろうけど、他選択肢を消去して自信もつ

ア：「警告画面に、急いで対応する必要があると表示」は、攻撃者が利用者を焦らせ、考える時間を与えず行動してもらう手口。＞【Iパス】ソーシャルエンジニアリング

イ：正しい。けど一発引きできないですね。他選択肢を見て、”やっぱりイしかないな”と確認してください。

ウ：マルウェア対策ソフト「Xソフトをアンインストール」ってダメすぎ。会社組織が採用したセキュリティ策を勝手に無効化はダメ。

エ：「警告画面に表示された電話番号に直ちに連絡」はダメ。会社なので、上司や専門部署に報告/相談しましょう。個人対応はダメです。

オ：「警告画面に表示されている～ロゴが～正規の～ロゴと同じである場合は、警告画面に表示された指示に従って」はダメ。ロゴなんてただの画像。コピーできちゃいます。本物/偽物の判別に使えません。

補強 | マルウェア感染時の初動対応

マルウェア感染時の初動対応は以下が基礎。問題文に特別なアレンジが指示されてない限りは、確定です。

• 電源を切らない：メモリ保持

• ネットワークから切る：感染拡大の防止

• 上司か担当部署に連絡：対応や指示

組織的に対応すべきなので、個人で勝手に調査/対応を進めるのは良くないです。指示があれば進める場合も出愛されましたが…。＞【SG】サンプル問題科目B（その２）問03の解説Note

電源を切らないのは、メモリの情報を失われないように。＞【SC】令和元年度秋期午後1問3設問1(1)の解説Note

プログラムが動くにはメモリを必ず使います。

最近は「ファイルレスマルウェア」もあるので尚更です。＞【SC】令和4年度秋期午後2問1設問1(1)の解説Note

ここから少し特例も触れておきます。

またメモリには、ネットワークの接続情報もあるみたい。＞【SC】平成30年度秋期午後2問2設問3(3)の解説Note

ネットワークの接続状態は、netstatコマンドでも確認できます。
SCは勿論、FE/AP午前にすら出ていますね。
＞【SC】平成28年秋午後1問1の解説Note
＞【AP】令和7年春午後問5設問2(1)cの解説Note
＞【AP】令和6年秋午前問3
＞【FE】平成30年春問33

さらにランサムウェアだと確定してるなら、コンセントとバッテリーを切れって規約。OSの修了処理すらせず強制的に電源OFF。＞【SG】平成31年度春午後問1補強❷の解説Note

問題文に特記なければ、”電源は切らない、が鉄則”、もし記述があったら従ってください。

難しい部分まで踏み込みましたが、初動3点だけは必ず知っておいてください。

• 電源を切らない：メモリ保持

• ネットワークから切る：感染拡大の防止

• 上司か担当部署に連絡：対応や指示

以上の掲載元の問題では、調査の詳細/事後処理まで扱うので、触れとくと良いですよ。＞【SG】令和元年度秋午後問2設問3補強の解説Note

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞【Iパス】ソーシャルエンジニアリング

マルウェア感染の初動対応
＞【SG】サンプル問題科目B（その２）問03の解説Note
＞【SC】令和元年度秋期午後1問3設問1(1)の解説Note
＞【SC】令和4年度秋期午後2問1設問1(1)の解説Note
＞【SC】平成30年度秋期午後2問2設問3(3)の解説Note
＞【SC】平成28年秋午後1問1の解説Note
＞【AP】令和7年春午後問5設問2(1)cの解説Note
＞【AP】令和6年秋午前問3
＞【FE】平成30年春問33
＞【SG】平成31年度春午後問1補強❷の解説Note
＞【SG】令和元年度秋午後問2設問3補強の解説Note

まとめ

お疲れでした！

SG科目Bの公開問題は、年1回・3問だけです。

しかも、問題の作り方が、重厚な長文問題の一部を切り取るようなケースが多かったですね。肉料理のケバブのような。

よって、扱われたシステム/比較表には、実はまだまだ奥行/広がりがあります。そんなとこまで思いを馳せてみました。

こういう学習って初見受験じゃ難しいんですよね。

私みたく過去問を全部解いて、教えた経験が活きる場面かなぁと思っています。

今後もSG科目Bの解説を作っていきますので、気が向いたら覗きに来て頂ければ嬉しいです。でわでわ。

＞全Noteへのリンク（SG）