情報セキュアド午後対策(平成１８年度編）

今年の問題です、問題お手元に無い方はＩＰＡの以下のページから入手してください。
http://www.jitec.jp/1_04hanni_sukiru/mondai_kaitou.html
解答例も入手できます。
ただこのリンク１年ぐらいしか有効ではないかもしれません。
いつも使用している、示現塾はまだ掲載されていませんが、そのうち掲載されると思います。

#追記
上記リンク切れしていました。
示現塾18年の問題掲載されたので、こちら↓ご覧ください。
http://zigen.cosmoconsulting.co.jp/#SS

春に新区分のテクニカルエンジニア情報セキュリティが実施されたことに伴い、
今年の試験から、情報セキュリティアドミニストレータの略語、
ＳＳからＳＵに変更になっています。
それに応じて試験問題もテクニカル面の出題午後は少なくなって、
ＩＳＯ・情報セキュリティポリシ・監査などマネジメント系の出題が多くなりそうな雰囲気ありまた。
実際私はあまり変わったとは思いませんでした。
午後Ⅰの４問では、問３なんかテクニカル情報セキュリティで出しても良さそうな問題だと思いました。
ＩＰＡの解答例、問３に、

情報セキュリティアドミニストレータとして知っておくべきネットワーク運用上のリスク分析と脅威に対応するための技術的対策を主題としている。

と書かれています。
難易度もこの問題高かったと思います。
「技術的対策、今後もしっかり出しますよ」
そんな強い意思を感じました。
私は、試験会場で、問１・問４の順に解いて、
最後の１問、今回の午後Ⅰで１番記述量の多い問２選択か？
ネットワークを含む技術的要素が高い問３を選択か？
迷いました。
今までは、私字が汚いので、書く量の多い問題避けてきましたが、
問３は、問題解くのに時間かかりそうな気がしたので、
今回初めて、書く量の多い問題選択しました。
この作戦成功でした。
今回の午後Ⅰの４問中で１番問題文しっかり読めばできるのが問２でした。
後で問３やってみましたがＩＰアドレスはできましたが、
記述が私にはかなり難しかったです。

午後Ⅱですが、落ちた４回すべて問２選択していました。
今回問１、始めてやりました。
問２の方がマネジメント性の高い問題だったのですが、
問題文読まずに設問だけ読んだときに、
設問３（１）のプリンタの機能全く思いつかないのでやめました。
解答例は、

個人認証後に印刷する機能

全く私には思いつかない解答でした。
実は「認証機能のあるプリンタ」って見たことないです。
一般人はほとんど見たことないと思いますよ。
認証機能のあるプリンタの市場占有率知りたいものです。
午後Ⅱは問１・問２共に、当然知識もそれなりに要求されてきますね。

問１ではＳＱＬインジェクション出されていて、
これでＳＱＬ文か、何かのプログラム書かれていたら、
完全にテクニカル情報セキュリティの問題。
そんな感じですね。
しかしこの問題、
設問２（１）に、
事故発生時にサーバの電源切ると原因究明にどのような支障があるか？（３０字）
という問題があって、
本文読まなくてもなんとなく書けそうだったのが、選択理由になりました。
「スナップショット」なる専門用語も思いついたので、
スナップショットが残せなくなり、原因究明が困難になる。（２７字）
そんなようなこと書いてきました。
模範解答は、

メモリ上に記録されたデータからの原因推測ができない。

そうですね。
「メモリ」この一言あった方が断然良いですね。

技術的要素が難易度を上げている問題ですが、
問題文から解答を導ける設問後半に用意されています。

設問４（３）ですが下線③（機種依存文字ですね。丸３です）のすぐ上に、

Ｃ主任はインターネットの上のＷｅｂサイトや専門書籍に記載されている一般的な対策事項を抜き出して、

とあります。
この部分気付くと解答可能です。
必要な作業（２０字）
私こんな感じの解答です。
一般的ではなくＡ社の実情に合わせた作業。（２０字）
模範解答

受注システムのリスクアセスメント

ン〜参りました。
「リスクアセスメント」
知ってはいましたが、こういうところでキッチリ使わないとダメですね。
続いて、
生じる問題（３０字）
Ａ社固有の問題が発生した時に仕様書で対応することができない。（３０字）
模範解答

Ａ社のリスクに対応した適切なセキュリティ対策ができない。

これは模範解答に近いような。ネ。
ただこの問題解答速報出していた会社の内の１社が、
問題中の文章に気付いていないような解答（特に「作業」の方）だったので、
模範解答が出たとき正直ホットしました。
「ギリギリで落ちるのはもうたくさん」そんな気持ちです。
実際午後２のスコア６２０だったので余裕そんなに無いですね。

私の解答模範解答に比べるとまだまだですが、
これでも以前より方向性は模範解答に近くなっています。
以前は方向違いが多かったです。
それでは点数伸びないですね。
問題文よく読んで「気付く」事の大切さわかりますね。
あと、的確な表現力はまだまだ磨かないとだめですね。

設問５も問題文読んでいると解答見えてきますよ。
お試しください。

今日のまとめ。
ＳＳ→ＳＵになっても、
技術的な問題は出されそうですね。
技術的な問題チョット。
そんな場合、今回なら
午後Ⅰは１・２・４
午後Ⅱは２
をやればまだ何とかなったかもしれませんね。
春にテクニカルセキュリティ受けるのも秋のセキュアド合格に結びつくかもしれません。
私今回のＳＱＬインジェクション、春に受けて落ちましたが、
テクニカルセキュリティ受けて勉強した知識が役に立ちました。
無駄は無いですね。
試験までまだ時間があるので、
ネットワーク系の入門書は一冊読んでおいて損はないと思います。
セキュアドの技術的な問題っていうと、やっぱり「ネットワーク」そんな気がします。
私はネットワーク入門書は以前にも書いた。
マスタリングTCP/IP 入門編を読みました。
今売っている第３版が出たばかりのとき買っています。
定番の入門書みたいですよ。

マスタリングTCP/IP 入門編

この世界日進月歩なので、最近書かれた本で、
自分がわかりやすい本を購入するのもいいと思います。
私はレベルを高めるためにいきなり難しい本を読むのも一つの方法として正解だと思いますが。
自分に理解できる本からスッテップアップして、わかる領域を増やしていく方法も良いと思います。
そう考えると自分が目指すレベルの本をまず買ってしまう。
その本が読めるようになるために、別の自分に合ったレベルの本を買ってステップアップする。
こういう方法も目標がはっきりして良いかも知れませんね。

しかし今回久々にＩＥが閉じてしまい途中まで書いた文書飛ばしました。
でもはてなの「バックアップ」機能利用して復元しました。
イヤーほんと助かりました。