情報セキュリティマネジメント

問題

1. JIS Q 27001ISMS認証の取得を検討している部門で、社内の文書を整備することになった。認証の審査で、組織のISMSが適合しているか…
2. 人的管理策情報セキュリティ担当者が、自社の対策を JIS Q 27002 の4つのテーマ（組織的・人的・物理的・技術的）に振り分…
3. 脆弱性関連情報の届出制度社内の担当者が、業務で使っている市販のソフトウェア製品に、ログインせずに他の利用者のデータを閲覧できてしまう脆弱性があ…
4. NISTサイバーセキュリティフレームワーク（CSF）取引先から、NISTサイバーセキュリティフレームワーク（CSF）2.0 の機能ごとに対策状況を答える質問票が届いた。社…
5. 責任追跡性経理部の会計システムでは、伝票の修正を部員3名が共通のIDで行っていた。承認後の伝票が書き換えられていたが、誰の修正か…
6. クラウドサービスの責任共有モデル営業部が、IaaSで仮想サーバを借りて顧客向けの資料請求サイトを構築したいと申し出た。部内では「事業者はISMS認証を…
7. サプライチェーンリスク自社の情報システムには被害がなかったが、主要な部品を納めている取引先がランサムウェアに感染して操業を停止し、自社も製品…
8. リスクの定量的分析情報セキュリティ担当者が、ノートPCの紛失による情報漏えいのリスクを「影響：大、発生可能性：中」と分析して経営会議に報…
9. 残留リスク顧客情報を扱うWebサービスで、リスク対応計画に沿って対策を実施した。再評価すると、リスクはリスク受容基準を下回ったが…
10. 例外の規程社内規程では会社が指定したもの以外のファイル共有サービスの利用を禁じているが、取引先から、先方が指定するサービスでの資…
11. PSIRTネットワークカメラを製造・販売している企業が、自社製品の脆弱性を外部の研究者から指摘された。社内で影響の調査、修正版の…
12. 証拠の収集退職予定の従業員が顧客データを不正に持ち出した疑いがあり、会社は法的措置も視野に入れて調べることにした。その従業員が使…
13. 物理的セキュリティ境界オフィス移転の計画で、来客用の会議室を執務エリアの奥に置く案が出た。この配置では、来訪者が顧客情報を扱う社員の席の間を…
14. 特権的アクセス権部門のファイルサーバを担当者3人で運用している。3人は1つの管理者アカウントを共有し、日常のファイル整理もそのアカウン…
15. 情報のラベル付けある部門では、作成者が文書ごとに「社外秘」などの区分を判断して台帳に記録している。しかし文書そのものには何も表示がなく…
16. 委託先管理顧客データの入力業務を委託していた契約が終了した。委託先のサーバに顧客データが残っているかを尋ねたが、契約に定めがない…
17. 認証情報ある部門では、新しく配属された部員のアカウントに、全員共通の初期パスワードを設定してメールで知らせている。初期パスワー…
18. 規則更新の規程5年前に定めた情報セキュリティ対策基準が、その後のテレワーク導入やクラウドサービスの利用拡大に合わせて一度も改定されず…
19. 対外説明の規程顧客情報の漏えいの疑いが生じた際、取引先や報道機関からの問合せに、受けた従業員がそれぞれ答えたため、説明の内容が食い違…
20. ISMS適用範囲全社のうち、顧客データを扱うデータセンター運用部だけでISMS認証の取得を目指すことになった。担当者が適用範囲の決め方…
21. マネジメントレビューISMSを運用している企業で、年に1回、トップマネジメントが内部監査の結果、情報セキュリティ目的の達成状況、利害関係者…
22. 管理策タイプ部門のマルウェア対策を管理策タイプ（予防・検知・是正）で整理したところ、添付ファイルの実行制限、標的型メール訓練、感染…
23. 多層防御標的型攻撃メールが入口のメールフィルタをすり抜けて端末で開かれたが、端末のEDRが不審な動作を検知して隔離し、外部の不…
24. ゼロトラストゼロトラストの考え方で、クラウドサービスへのアクセス制御を設計している。利用者が多要素認証でログインした後、その端末で…
25. MITRESOCの担当者が、攻撃者が侵入後に使う戦術と技術を体系的に整理したナレッジベース「ATT&CK」と自社の検知ルールを突…
26. エシカルハッカー自社の会員向けWebサービスの弱点を攻撃者と同じ手法で探してもらうため、外部のエシカルハッカーに調査を依頼する。依頼に…
27. データマスキングシステム改修のテスト用に、開発委託先から本番に近いデータがほしいと依頼された。本番の顧客データには氏名・電話番号・カー…
28. データ漏えい防止顧客リストや従業員のマイナンバーを含むファイルが、メールの添付やWebサービスへのアップロードで社外に送られるのを、送…
29. 構成管理部門のサーバとネットワーク機器は、担当者がそれぞれのやり方で設定してきた。点検で、使っていないサービスが有効な機器や、…
30. リスク所有者営業部が業務で使う顧客管理システムは、情報システム部が運用し、保守を外部に委託している。情報システム部の担当者がこのシ…
31. リスク源部門のリスク特定で「外部の攻撃者が標的型メールを送り、顧客情報が外部に送信されて、損害賠償と信用の低下を招く」というリ…
32. リスク選好経営層が「新規事業では収益の機会を優先し、顧客情報を扱わない範囲であれば、新しいクラウドサービスの利用に伴う一定のリス…
33. リスク基準各部門が独自にリスクアセスメントを行った。発生可能性と影響を、ある部門は3段階、別の部門は5段階で見積もり、「影響：大…
34. リスクの定性的分析初めてリスクアセスメントを行う部門で、対象の情報資産が約150件ある。過去の事故件数や損失額の記録はほとんどなく、まず…
35. リスクファイナンシング部門のリスク対応策の一覧を、リスクコントロールとリスクファイナンシングに分けて整理している。リスクファイナンシングに当…
36. リスク対応計画部門のリスクアセスメントで、ファイルサーバへの不正アクセスのリスクを「低減する」と決めた。しかし半年たっても対策は何も…
37. リスクコミュニケーション部門で新しいクラウドストレージを導入することになり、対策後も一部のリスクが残ると分かった。このリスクについて、利用者で…
38. リスク回避部門で、来場者の氏名と連絡先をWebで集める販促キャンペーンを計画した。分析の結果、取れる対策を重ねてもリスクはリスク…

この中分類の出題範囲

シラバスの小分類と項目です。数字は収録している問題数。

情報セキュリティの考え方

• 情報セキュリティの考え方3問
• 情報セキュリティマネジメントの考え方1問

リスクマネジメント

• 情報資産とリスク1問
• 情報セキュリティリスクアセスメント6問
• 情報セキュリティリスク対応5問

情報セキュリティ諸規程

• 情報セキュリティポリシーを含む組織内規程3問

情報セキュリティ関連組織・関連制度

• 情報セキュリティに関する組織・機関3問
• 情報セキュリティに関する制度・基準2問

情報セキュリティマネジメントシステム

• 情報セキュリティマネジメントシステム4問

情報セキュリティ管理策

• 組織的管理策4問
• 人的管理策1問
• 物理的管理策1問
• 技術的管理策4問