情報セキュアド 平成15年度試験 問題(午後2 問2)
問2 企業情報ネットワークの構築におけるセキュリティ対策に関する次の記述を読んで，設問1〜5に答えよ。
N社は，従業員400名，年商100億円の中規模なコンピュータ周辺機器のメーカである。都心にある本社と郊外にある組立工場及び部品製造工場では，それぞれLANに接続されたサーバとパソコン（以下，PCという）を利用して，生産計画，生産管理及び在庫管理（以下，業務APという）を行っていた。N社では，本社と各工場間を必要の都度ISDNで接続して，各サーバを参照していた。しかし，リアルタイムで頻繁に参照しようとすると，通信費が高くなるという問題があった。また，インターネットには，本社の限られたPCだけでしかアクセスできず，他社情報の収集に支障を来していた。そのため，本社と各工場間を通信事業者のIP-VPNで接続して，業務APを利用するN社企業情報ネットワークシステム（以下，Nネットという）を導入することにした。さらに，インターネットを利用して，取引先などとの電子メールの交換，Webでの他社情報の収集，N社の企業情報や新製品情報の発信及び部品材料の購入手配（以下，新規APという）を行うことにした。
〔Nネットの基本検討〕
N社では，本社情報システム部のW部長をリーダとしたNネットの構築を行うプロジェクトチーム（以下，チームという）が，情報システム技術者，情報ネットワーク技術者のU君，情報ネットワーク管理者のX君及び情報セキュリティ管理者のY君で編成された。チームは，図1に示すNネットの技術要件をまとめた。
|
U君は，図1の技術要件を基にして，図2に示すNネットの構成（案）の検討を行った。さらに，Nネットの業務APのトラフィックが，これまでの2倍に増加すると想定して設計条件を決定した。新規APのトラフィック条件については，類似した事例からベンダに推定してもらうことにした。
〔N社の情報セキュリティポリシと情報セキュリティ対策の検討〕
N社では，部品の設計や生産計画のために，5年前にPCを導入した。当時は，PCを利用する社員が限られていたので，情報セキュリティポリシを策定するほどではなかった。現在では，PCを利用する社員も増えてきたので，電子メールの私的利用，誤操作によって重要情報が流出する懸念及び残業時の不適切なホームページの閲覧という問題が指摘され，組織的な対応が必要になってきた。そこで，社長は，Nネットの導入に併せて，情報セキュリティポリシを策定することを指示した。
情報セキュリティ環境がNネットの導入によって大きく変わるので，W部長は，Y君に情報セキュリティポリシの作成及び情報セキュリティ対策要件の取りまとめを指示した。図3に，Y君がW部長の指示の下で起案し，社長の承認を得たN社の情報セキュリティ基本方針，対策基準を示す。また，表1に，Y君が取りまとめたNネットの情報セキュリティ対策要件（案）を示す。
|
情報セキュリティ基本方針，対策基準 社長 I．基本方針社員など（派遣社員を含む）は，常に，N社の重要な資産である企業情報の機密漏えい の防止に努める。 （省略） II．対策基準
以上 |
| 項目 | 情報セキュリティ対策要件 |
| 〔1〕FWのフィルタリング | パケットの流入出を制御する。 |
| 〔2〕本人認証 | 利用者IDとパスワードで認証する。 |
| 〔3〕データべースのアクセス制御 | データベース管理者が業務APのユーザに対し，適切なアクセス権を付与して管理する。 |
| 〔4〕不正侵入，DoS攻撃の検知 | 不正侵入やDoS攻撃などを検知するシステムを導入する。 |
| 〔5〕ウイルス対策 | 各PC，各サーバに定期的に最新のウイルス定義ファイルを配付する。 |
| 〔6〕ネットワーク管理 | 本社で一元的にFW，ルータ及び各サーバの管理を行う。 |
| 〔7〕コンテンツフィルタリング | 電子メールとWebサイトへのアクセスに適用する。 |
| 〔8〕トラフィック監視 | インターネットとIP-VPNのトラフィックを監視する。 |
| 〔9〕資産管理 | 重要な資産のライフサイクル管理を行う。 |
| 〔10〕ネットワーク監査 | ログ情報（上記〔1〕〜〔9〕で採取）をネットワーク管理サーバに転送した後，保存して定期的にチェックを行う。 |
〔Nネットの情報セキュリティ対策の検討〕
チームは，Nネットを自社で設計及び運用することができるように，表1を基に検討を行った。まず，Nネットの監視と運用管理は，本社に業務を集中させて効率的に行うことにした。また，PCを利用する社員など（以下，PCユーザという）がNネットの各サーバに同じ利用者IDでアクセスできるようにした。
X君は，PCユーザに対して，申請のあったサーバヘの仮パスワードを文書で連絡することにした。ただし，PCユーザの多くが複数のサーバの利用を申請するようになった場合には，一つのアクセス制御サーバでPCユーザを認証する［ b ］の適用を検討することにした。
次に，X君は，情報漏えいを防止し，不適切な情報を遮断するために，社外との間で送受される情報に対して，ワードブロック方式によるコンテンツフィルタリングを行うことにした。フィルタリングのソフトウェアでは，電子メールの文中で禁止字句を検出した場合，関連先（所属長など）にコピーを送信することにした。一方，Webサーバからダウンロードされたファイル中に禁止字句を検出した場合，URLとPCユーザのIPアドレスをログ情報に残し，その旨のメッセージを情報セキュリティ管理者に送信することにした。情報セキュリティ管理者は，禁止字句のもつべき特徴を定義し，各部と協議して禁止字句を決定した。
以上の検討を基に，チームは，Nネットの機能要件をまとめ，N社と取引のあるベンダのV社と請負契約を結び，機器の調達，PCとサーバへのOSと業務APの導入及び設置を発注した。V社は，仕様を検討し，詳細な内容についてN社に問い合わせた。しかし，チームは，V社への発注において，機器の調達などが中心であると考えたので，情報セキュリティポリシに従って，セキュリティ関連情報を開示せず，V社に提案を求めた。V社は，Nネットの機能要件とN社へのヒアリングで得た情報に基づいて，N社のセキュリティ関連情報を経験から推測し，機器をリストアップしてN社に提示した。
〔V社による納入とN社での試験〕
V社とチームは，Nネットで使用する機器を決定し，N社への搬入，受入れ及び試験について打合せを行って，情報セキュリティ試験を含むNネットの受入プロセス（表2）について合意した。
| 〔1〕受入基準の文書化 |
|
||||||||||
| 〔2〕移行に関する準備 | （省略） | ||||||||||
| 〔3〕PCユーザへの説明 |
|
||||||||||
| 〔4〕類似環境での試験 |
|
||||||||||
| 〔5〕パイロット試験 |
|
||||||||||
| 〔6〕結合試験 |
|
||||||||||
| 〔7〕総合試験 |
|
||||||||||
| 〔8〕運用試験 |
|
||||||||||
| 〔9〕本番への切替え |
|
表2中の〔1〕〜〔5〕のプロセスに，一部スケジュールの遅れがあったものの，表2中の〔4〕と〔5〕の試験結果が良好であったので，V社は，N社にこの状態のままで機器を納入したいと申し出た。Y君は，情報セキュリティ確保の観点から，V社がPCとサーバのOSと業務APの再インストールを行うべきであると主張した。しかし，V社は，これから再インストールを行うと納期が遅延すると回答した。W部長は，V社との契約書の条項を精査し，リスクに対応できると判断したので，社長にその旨を報告して，V社の申出どおり納入を認めた。社長には，V社との契約書にリスクマネジメントに関する条項が盛り込まれていると説明した。
V社とチームは，表2中の〔6〕の結合試験に移行し，納入機器をすべて動作させて，機能と性能を確認した。確認作業が終了した機器については，図4に示す資産管理データベースの項目に従って，データを登録した。
資産管理番号
|
その後，チームは，結合試験を終えて，V社の立会いの下で表2中の〔7〕の総合試験を行った。Nネットで想定されるトラフィックに基づいて作成した総合試験データを用いて，PCと各サーバが情報セキュリティ環境に適合するように設定を行った。チームが想定したとおりの結果が得られたので，N社は，X君，Y君及び各工場から本社に異動させた情報システム運用担当者（各1名）で編成されたネットワーク管理課による表2中の〔8〕の運用試験に移行し，V社は，電話で応対することにした。
〔ネットワークの運用試験〕
運用試験に移行した後は，リアルタイムでの各サーバヘのアクセス，電子メールの利用及びWebサイトへのアクセスが好評で，PCユーザ数や利用頻度が急速に増え続け，顧客によるWebサイトへのアクセス数も増え続けた。そのため，ネットワーク管理サーバに大量のログ情報が収集されるようになった。しかし，ネットワーク管理課では，経験が不足していたので，これらの大量のログ情報の分析や対処が十分にできなかった。その結果，各サーバやネットワーク機器からの重要な警告を見落とし，障害が回避できない事態も起きた。障害には，外部からのDoS攻撃の見落とし（外部へのアクセスができないというPCユーザからの申告があるまでDoS攻撃が検出できなかった）やデータベースの設定ミスによるPCユーザのアクセス権違反の見落とし（ログ情報には警告が残っていたが，ほかのログに紛れてしまい検出できなかった）などがあった。このような障害が頻発したので，PCユーザの不安や不満が増えてきた。
W部長は，情報セキュリティマネジメントが十分でないと考え，V社に対処を要請した。V社では，ログ情報のデータ量を削減して，重要なログだけを通報するように設定し，見落としによる障害が起きないように改善した。
その後，2か月の運用試験を経て，W部長は，Nネットが安定稼働していると判断し，スキルのあるV社の要員によって一連の問題が解決したことと，本番運用へ切り替えることを社長に報告して検収を終え，チームを解散させた。
〔ネットワークの本番運用の開始〕
本番運用に入って，新たにNネットを利用するようになったPCユーザから，社内ネットワークやインターネットを利用する際のPCの設定や不具合，各サーバのアクセス権限の付与や変更，コンテンツフィルタリングなどについて，問合せがネットワーク管理課に集中した。しかし，運用担当者が本社から各工場に出向いて運用業務を行っていたので，問合せに対して早急な対応ができなかった。このような状態が続いたので，ネットワーク管理課では解散したチームのメンバに協力を依頼したが，PCユーザの不満は収まらなかった。
社長は，今後の安定した運用や障害の対策には運用管理体制の見直しが必要であると考えた。そこで，W部長に，運用試験の段階までに障害が予見できなかった原因の究明と，外部の派遣社員を活用した運用管理体制の改善を指示した。これを受けて，W部長は，PCユーザからの問合せに対して，社内ネットワークのWebサーバに［ c ］を用意し，頻繁にある問合せを削減して，個別対応が必要な不具合に対応できるようにした。また，異動させた情報システム運用担当者を各工場に戻し，本社に経験のある派遣社員1名を配置することにした。
設問1 図3及び本文中の［ a ］〜［ c ］に入れる適切な字句を答えよ。
［ a ］,［ b ］については，それぞれ10字以内で答えよ。
［ c ］については，5字以内で答えよ。
設問1の正解例へ
設問2 資産管理データベースに関する次の問いに答えよ。
| (1) | 図4中の［ ア ］に入れる適切な字句を二つ挙げ，それぞれ7字以内で答えよ。 |
| (2) | 図4中の(1)〜(6)のほかに，情報セキュリティマネジメントのために必要となるPCの資産情報の名称を，20字以内で述べよ。また，その情報が必要になる理由を，45字以内で述べよ。 |
設問2の正解例へ
設問3 コンテンツフィルタリングに関する次の問いに答えよ。
| (1) | 禁止字句のもつべき特徴を二つ挙げ，それぞれ20字以内で述べよ。 |
| (2) | コンテンツフィルタリングを導入する前に，プライバシ保護の観点から，社員などに対して，どのような措置を行うべきか。40字以内で述べよ。 |
設問3の正解例へ
設問4 Y君が，情報セキュリティ確保の観点から，PCとサーバのOSと業務APの再インストールを行うべきであると主張した理由は何か。40字以内で述べよ。また，W部長が，リスクに対応できていると判断し社長に報告したのは，契約書にリスクマネジメントに関する条項としてどのような内容が盛り込まれていたからか。25字以内で具体的に述べよ。
設問4の正解例へ
設問5 Nネットの運用に関する次の問いに答えよ。
| (1) | 運用試験では，大量のログ情報が収集され，警告の見落としが起きた。このような見落としを防ぐためには，表2のNネットの受入プロセスにおいて，どの段階でどのような試験をしておけばよかったか。60字以内で述べよ。 |
| (2) |
社長の指示に従って，外部の派遣社員を活用して業務を遂行するには，情報セキュリティに関する運用管理の観点から，どのような対策を実施すればよいか。二つ挙げ，それぞれ60字以内で具体的に述べよ。 |
設問5の正解例へ
メニューへ戻る