‹ ぱすてく

情報セキュリティスペシャリスト試験

平成21年度 秋期 科目A-2（午前Ⅱ）

平成21年度 秋期に実施された情報セキュリティスペシャリスト試験 午前Ⅱ（2026年度からの科目A-2）の全25問に，運営者が独自に書いた解説を付けています。正解の理由に加えて，多くの問題でほかの選択肢がなぜ誤りなのかも説明しています。

この試験について：情報処理安全確保支援士試験について

この年度を解いてみる

問1

チャレンジレスポンス方式として，適切なものはどれか。

正解　エ

解説

チャレンジレスポンス認証では，サーバが毎回異なるランダムなデータ（チャレンジ）をクライアントに送り，クライアントはチャレンジと利用者が入力したパスワードからハッシュ関数などで計算した値（レスポンス）を返す。サーバも登録されたパスワードで同じ計算をして結果を照合する。パスワードそのものはネットワークに流れず，レスポンスも毎回変わるので，盗聴や再送攻撃に強い。エが適切である。

アは SSL で固定パスワードを暗号化して送るだけで，チャレンジを使っていない。イはトークンを使うワンタイムパスワード方式（時刻同期方式など）の説明である。ウはハッシュ関数そのものの説明である。

チャレンジレスポンス認証 サーバは毎回違うランダムな値（チャレンジ）を送り，クライアントはチャレンジとパスワードからハッシュ値（レスポンス）を計算して返す。サーバも同じ計算をして一致すれば認証する。パスワードそのものはネットワークに流れず，チャレンジが毎回違うので，盗聴したレスポンスを使い回しても通らない。 クライアント サーバ ① チャレンジ（毎回違う乱数） ② レスポンス＝hash(チャレンジ＋パスワード) ③ サーバも同じ計算をして一致すれば認証 パスワードそのものは流れない
パスワードは流れない。チャレンジが毎回違うので，盗んだ値は使い回せない

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問1（表記を一部改変）

用語解説：ハッシュ関数　TLS（SSL）

問2

ブラウザが Web サーバとの間で SSL で通信する際，ディジタル証明書に関する警告メッセージが表示される原因となり得るものはどれか。

正解　エ

解説

ブラウザは，Web サーバのディジタル証明書をたどって，ブラウザがあらかじめ信頼して保持しているルート CA の証明書に行き着くかを検証する。証明書の発行元のルート CA が，ブラウザの保持するどのルート CA 証明書とも一致しなければ，信頼できる証明書であることを確認できないので，警告メッセージが表示される。エが該当する。

アのハンドシェイク終了後に共通鍵暗号方式で通信するのは SSL の通常の動作である。イの OCSP や SCVP は証明書の失効状態や有効性を問い合わせるための正規のプロトコルで，用いられたこと自体は警告の原因にならない。ウの証明書の検証に成功した後にセッションを確立するのも正常な手順である。

証明書の連鎖 サーバ証明書は中間 CA が署名し，中間 CA の証明書はルート CA が署名している。受け取った側は，サーバ証明書から中間 CA，ルート CA へと署名をたどって検証し，ブラウザや OS に組み込まれているルート CA に行き着けば信頼できると判断する。署名の検証には，署名した CA の公開鍵を使う。 ルート CA の証明書 ブラウザ・OS に組み込み済み 中間 CA の証明書 ルート CA が署名 サーバ証明書 中間 CA が署名 署名 たどって 検証 署名は，署名した CA の公開鍵で確かめる
上の CA が下の証明書に署名し，受け取った側は下から上へたどって検証する

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問2（表記を一部改変）

用語解説：PKI（認証局・CRL・OCSP）　共通鍵暗号と公開鍵暗号　TLS（SSL）

問3

SMTP-AUTH 認証はどれか。

正解　イ

解説

SMTP-AUTH は，クライアントが SMTP サーバにメールを送るときに，その場で利用者 ID とパスワードなどによる利用者認証を行い，認証に成功した利用者からだけメールを受け付ける仕組みである。第三者による不正中継やなりすまし送信を防げる。イが該当する。

アは，メール受信時の POP 認証に成功した IP アドレスからの送信を一定時間許可する POP before SMTP の説明である。ウはクライアント証明書による認証，エは POP3 の APOP のように，パスワードからハッシュ値を計算して認証情報を秘匿する受信時の認証方式の説明である。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問3（表記を一部改変）

用語解説：ハッシュ関数　電子メールのプロトコル（SMTP・POP・IMAP）

問4

コンティンジェンシープランにおける留意点はどれか。

正解　ア

解説

コンティンジェンシープラン（緊急時対応計画）は，災害や障害などの緊急事態が起きたときに，業務への影響を最小限にとどめて復旧するための対応手順をあらかじめ定めた計画である。全てのシステムを同時に復旧することは難しいので，業務への影響から復旧の重要性と緊急性を評価し，対象や優先順位を決めることが大切である。アが適切である。

イのバックアップデータをコンピュータ室やセンタ内に保存すると，災害時に本番データと同時に失われるので，遠隔地に保管する。ウのバックアップの対象は，機密度ではなく業務の継続や復旧に必要かどうかで選ぶ。エの“予防策策定手順”は，緊急事態が発生した後の対応を定めるコンティンジェンシープランの中心ではなく，緊急時の対応手順や復旧手順を策定する。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問4（表記を一部改変）

問5

企業の DMZ 上で1台の DNS サーバをインターネット公開用と社内用で共用している。この DNS サーバが，DNS キャッシュポイズニングの被害を受けた結果，引き起こされ得る現象はどれか。

正解　ウ

解説

DNS キャッシュポイズニングは，DNS サーバのキャッシュに偽の名前解決情報を注入する攻撃である。この DNS サーバは社内からの名前解決にも使われているので，キャッシュが汚染されると，社内の利用者がインターネット上の Web サーバを参照したときに偽の IP アドレスが返され，本来とは異なる Web サーバに誘導される。ウが正しい。

アの自社の公開 Web サーバの情報は，DNS サーバに直接設定されたゾーン情報で，キャッシュの汚染によって書き換えられるものではない。イのワームの常駐やエのメールサーバの不正中継は，キャッシュポイズニングによって引き起こされる現象ではない。

公開用と社内用の DNS サーバを分ける 1台の DNS サーバで，外部に自社ドメインの情報を答える役（コンテンツサーバ）と，社内の利用者の問合せを代わりに引く役（キャッシュサーバ）を兼ねると，外部からの再帰的な問合せに答えてしまったり，キャッシュポイズニングで偽の情報が社内の利用者に返されたりする。公開用のコンテンツサーバと社内用のキャッシュサーバを分け，キャッシュサーバは社内からの問合せだけに答える。 兼用（危ない） DNS（兼用） 答える＋代わりに引く 外から再帰問合せができる 偽の情報が社内に返る 分ける コンテンツサーバ（DMZ） 自社ドメインを外に答えるだけ キャッシュサーバ（社内） 社内からの問合せだけに答える 役割ごとにサーバを分け，答える相手を絞る
外向けは「自社の情報を答えるだけ」，社内向けは「社内からの問合せだけ」

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問5（表記を一部改変）

用語解説：DNS のセキュリティ（DNSSEC・キャッシュポイズニング）　ファイアウォールと DMZ

問6

NIDS（ネットワーク型 IDS）を導入する目的はどれか。

正解　ア

解説

NIDS（ネットワーク型侵入検知システム）は，ネットワークを流れるパケットを監視し，攻撃のパターン（シグネチャ）との照合や通常と異なる通信の検出によって，管理下のネットワークへの不正侵入の試みを検知し，管理者に通知する。アが正しい。

イのサーバ上のファイルの改ざんの判定は，ホストに導入するホスト型 IDS（HIDS）やファイル改ざん検知ツールの機能である。ウの実際に攻撃して侵入できるかを検査するのはペネトレーションテスト，エの攻撃を防御できないときの損害の大きさを判定するのはリスク分析である。

IDS・IPS・WAF の置き場所と，誤検知・見逃し IPS は通信の通り道（インライン）に置き，不正な通信を見つけたら止める。IDS はスイッチのミラーポートから通信のコピーを受け取って監視し，見つけたら知らせる。WAF は Web サーバの手前に置き，HTTP の中身を見て Web アプリケーションへの攻撃を防ぐ。正常な通信を攻撃と判定するのが誤検知（フォールスポジティブ），攻撃を見逃すのがフォールスネガティブ。 インターネット FW IPS スイッチ IDS コピー 通り道に置く 止められる コピーを見る 知らせるだけ WAF Web HTTP の中身を見る 検知した 検知しない 実際は攻撃 正しく検知 見逃し フォールスネガティブ 実際は正常 誤検知 フォールスポジティブ 正しく通す
IPS は止められるが，誤検知すると正常な通信まで止まる

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問6（表記を一部改変）

用語解説：WAF・IDS・IPS

問7

クロスサイトスクリプティングによる攻撃へのセキュリティ対策に該当するものはどれか。

正解　イ

解説

クロスサイトスクリプティングは，利用者の入力データをそのまま表示する Web アプリケーションの脆弱性を突いて，悪意のあるスクリプトを埋め込み，閲覧者のブラウザで実行させる攻撃である。対策は，入力データを表示するときに“<”“>”“&”“"”などの特殊文字をエスケープして無効にし，スクリプトとして解釈されないようにすることである。イが該当する。

アの OS のセキュリティパッチの適用は OS の脆弱性への対策，ウの SNMP エージェントは機器の監視のための仕組み，エの許容範囲を超えた大きさのデータの書込みの禁止はバッファオーバフロー攻撃への対策である。

XSS・CSRF・クリックジャッキング XSS（反射型）は，スクリプトを含む罠のリンクを利用者に開かせ，脆弱なサイトがそのスクリプトをそのままページに埋めて返すので，利用者のブラウザで実行される。CSRF は，ログイン中の利用者に罠のページを開かせ，その利用者の Cookie 付きで意図しない要求（書込み・送金など）を正規のサイトに送らせる。クリックジャッキングは，透明にした正規サイトを罠のページに重ね，別のボタンだと思わせて押させる。 XSS（反射型） 攻撃者 利用者のブラウザ 脆弱なサイト ① 罠のリンク ② 開く ③ そのまま返す 埋め込まれたスクリプトが利用者のブラウザで動く（Cookie を盗むなど） 対策：出力時のエスケープ，Cookie の HttpOnly 属性 CSRF 罠のページ 利用者のブラウザ 正規のサイト ログイン中 ① 開く ② 送信させる ③ Cookie 付き 本人が操作したものとして，書込みや送金が行われる 対策：推測できないトークンを埋めて確かめる，SameSite 属性 クリックジャッキング プレゼント 上に透明な正規サイト（「退会する」など）を 重ねて，下のボタンだと思わせて押させる 対策：X-Frame-Options，CSP の frame-ancestors
XSS はサイトの出力が汚される，CSRF は要求が偽造される，クリックジャッキングは画面が重ねられる

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問7（表記を一部改変）

用語解説：XSS・CSRF・クリックジャッキング

問8

ウイルスの検出手法であるビヘイビア法を説明したものはどれか。

正解　エ

解説

ビヘイビア法（動的ヒューリスティック法）は，検査対象のプログラムの振る舞いを監視し，ウイルスの感染や発病によって生じるファイルの書込み動作の異常や通信量の異常な増加などの変化を検知して感染を検出する手法である。未知のウイルスも検出できる可能性がある。エが正しい。

アのウイルス定義ファイルのパターンと比較するのはパターンマッチング法。イの感染していないことを保証する情報をあらかじめ付加しておき不整合を検出するのはチェックサム法（インテグリティチェック法）。ウの安全な場所に保管した原本と比較するのはコンペア法である。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問8（表記を一部改変）

用語解説：マルウェア（ルートキット・ポリモーフィック型・ビヘイビア法）

問9

コンピュータフォレンジクスの説明として，適切なものはどれか。

正解　ウ

解説

コンピュータフォレンジクス（ディジタルフォレンジクス）は，不正アクセスや情報漏えいなどのコンピュータに関する事件・事故が起きたときに，法的な証拠として使えるように，ログや記憶媒体などの情報を改変しない形で保全・収集し，分析して原因を究明する技術や手続である。ウが適切である。

アはメールフィルタリング，イは記憶媒体を廃棄・再利用する前のデータ消去（上書き消去），エはファイアウォールや IPS などによる防御の説明である。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問9（表記を一部改変）

問10

ステガノグラフィの機能はどれか。

正解　ア

解説

ステガノグラフィは，画像や音声などのデータに，見た目や聞こえ方ではほとんど分からないようにメッセージを埋め込み，メッセージが存在すること自体を隠す技術である。アが該当する。

イの改ざんやなりすましの検出及び否認の防止はデジタル署名，ウのメッセージの認証による改ざんの有無の検査はメッセージ認証符号（MAC），エのメッセージを決まった手順で変換して盗聴を防ぐのは暗号化の機能である。暗号化はメッセージがあることは分かるが内容を読めなくするもので，存在そのものを隠すステガノグラフィとは異なる。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問10（表記を一部改変）

問11

パケットフィルタリング型ファイアウォールのフィルタリングルールを用いて，本来必要なサービスに影響を及ぼすことなく防げるものはどれか。

正解　ア

解説

パケットフィルタリング型ファイアウォールは，パケットのヘッダにある IP アドレスやポート番号などを見て通過の可否を判断する。外部に公開しないサービスのポート番号宛てのパケットを遮断すれば，公開している必要なサービスに影響を与えずに，そのサービスへのアクセスを防げる。アが適切である。

イの脆弱性を突く攻撃は，公開しているサービスの正規のポートへの通信に紛れて届くので，ヘッダの情報だけでは区別できない。ウのマクロウイルスは電子メールの添付ファイルの中身にあり，パケットのヘッダでは判断できない。エの電子メール爆弾も正規のメールの通信として届くので，メールサービスを止めずに遮断することはできない。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問11（表記を一部改変）

用語解説：ファイアウォールと DMZ

問12

ブルートフォース攻撃に該当するものはどれか。

正解　ア

解説

ブルートフォース攻撃（総当たり攻撃）は，パスワードとして考えられる文字のあらゆる組合せを順に試して，ログインを試みる攻撃である。アが該当する。

イのキー入力を記録して外部に送信するのはキーロガー。ウの正当な利用者のログインシーケンスを記録してそのまま送信するのはリプレイ攻撃。エの認証後のセッション情報を盗むのはセッションハイジャックである。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問12（表記を一部改変）

問13

レイヤ2スイッチや無線 LAN アクセスポイントで接続を許可する仕組みはどれか。

正解　ウ

解説

認証 VLAN は，レイヤ2スイッチや無線 LAN アクセスポイントに接続してきた端末や利用者を IEEE 802.1X などで認証し，認証に成功した場合だけ接続を許可して，利用者に応じた VLAN に所属させる仕組みである。ウが該当する。

アの DHCP は端末に IP アドレスなどを自動的に割り当てるプロトコル，イの Web シングルサインオンは一度の認証で複数の Web システムを利用できるようにする仕組み，エのパーソナルファイアウォールは PC 上で動作して通信を制御するソフトウェアで，スイッチやアクセスポイントでの接続の許可を行うものではない。

認証 VLAN スイッチや無線 LAN アクセスポイントにつないだ端末・利用者を認証し，成功したときだけ接続を許す。さらに認証の結果に応じて，所属させる VLAN を決める。席が日によって変わっても，幹部なら幹部用の VLAN（IP セグメント）に入る。ポートで VLAN を固定するスタティック VLAN とは違う。 スイッチ 認証サーバ 幹部の PC 幹部用 VLAN 一般の PC 一般用 VLAN 認証が通らなければつながらない
どのポートにつないでも，認証の結果で VLAN が決まる

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問13（表記を一部改変）

用語解説：ファイアウォールと DMZ　シングルサインオン（SAML・OAuth）　スパニングツリー・VLAN・リンクアグリゲーション　無線 LAN（WPA2・WPA3・CSMA/CA）

問14

SQL インジェクション対策について，Web アプリケーションの実装における対策と Web アプリケーションの実装以外の対策の組合せとして，適切なものはどれか。

正解　ウ

解説

SQL インジェクションの根本的な対策は，Web アプリケーションプログラムの実装でプレースホルダ（バインド機構）を利用して SQL 文を組み立てることである。実装以外の対策としては，攻撃を受けた場合の被害を抑えるため，プログラムが利用するデータベースのアカウントの権限を必要最小限にしておくことが有効である。この組みのウが適切である。

アのシェルを起動しないことと chroot 環境での実行は OS コマンドインジェクションへの対策，イのセッション ID を複雑にすることと SSL による秘匿はセッションハイジャックへの対策，エのパス名やファイル名をパラメタとして受け取らないことと重要なファイルを公開領域に置かないことはディレクトリトラバーサルへの対策である。

SQL インジェクションとプレースホルダ 入力を文字列としてつなげて SQL 文を作ると，入力の「' OR '1'='1」が文の一部になり，条件が常に真になって全員の行が返る。プレースホルダを使うと SQL 文の形が先に決まり，入力はまるごと1つの値として当てはめられるので，命令として解釈されない。 文字列をつなげて SQL 文を作ると 入力：' OR '1'='1 SELECT * FROM 会員 WHERE id = '' OR '1'='1' 入力の引用符で文が閉じ，OR 以下が条件に加わる → 常に真で全員分が返る プレースホルダを使うと SELECT * FROM 会員 WHERE id = ? 形が先に決まる ' OR '1'='1 ← 1つの値として入る 入力 「id が ' OR '1'='1 の会員」を探すだけになる
根本の対策は，SQL 文の形を先に確定させるプレースホルダ

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問14（表記を一部改変）

用語解説：インジェクション攻撃（SQL・OS コマンド）　TLS（SSL）

問15

SLCP（共通フレーム）に従いシステム開発の要件定義の段階で実施することとして，適切なものはどれか。

正解　ア

解説

共通フレーム（SLCP）の要件定義では，システムに求められる機能や性能などとともに，必要なセキュリティ機能と，その機能が達成すべき保証の程度（セキュリティ要件）を決定する。アが適切である。

イのチェックリストを用いたソースコードのレビューは，ソフトウェアの構築（コーディング）の段階で行う。ウの組織に必要なセキュリティ機能を含むシステム化計画の立案は，要件定義より前の企画の段階で行う。エの第三者による定期的なセキュリティ監査は，運用の段階で行う。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問15（表記を一部改変）

用語解説：JIS X 0160 と共通フレーム（ソフトウェアライフサイクルプロセス）

問16

ネットワークの QoS で使用されるトラフィック制御方式に関する説明のうち，適切なものはどれか。

正解　ア

解説

アドミッション制御は，通信を開始する前に，ネットワークに対して必要な帯域などのリソースを要求し，確保できる場合は通信を受け入れ，確保できない場合は通信を拒否するなど，リソースの確保の状況に応じて通信を制御する方式である。アが適切である。

イの規定の最大速度を超えたパケットを破棄したり優先度を下げたりする制御はポリシング，ウのパケットの送出間隔を調整してトラフィックを平準化する制御はシェーピングで，用語と説明が入れ替わっている。エの種類や宛先に応じて優先度を変えて中継するのは優先制御で，ベストエフォートは品質を保証せずにできる限り転送する方式である。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問16（表記を一部改変）

問17

電源オフ時に IP アドレスを保持することができない装置が，電源オン時に自装置の MAC アドレスから自装置に割り当てられている IP アドレスを知るために用いるデータリンク層のプロトコルで，ブロードキャストを利用するものはどれか。

正解　エ

解説

RARP（Reverse ARP）は，自装置の MAC アドレスを基に，自装置に割り当てられた IP アドレスを問い合わせるプロトコルである。問合せはブロードキャストで送信され，RARP サーバが IP アドレスを応答する。電源を切ると IP アドレスを保持できない装置が起動時に使う。エが正しい。

アの ARP は，IP アドレスから MAC アドレスを求めるプロトコルで，方向が逆である。イの DHCP も IP アドレスを自動設定するが，UDP を使うアプリケーション層のプロトコルで，データリンク層のプロトコルではない。ウの DNS はドメイン名と IP アドレスを対応付けるプロトコルである。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問17（表記を一部改変）

用語解説：ARP

問18

ネットワークに接続されているホストの IP アドレスが 212.62.31.90 で，サブネットマスクが 255.255.255.224 のとき，ホストアドレスはどれか。

正解　イ

解説

サブネットマスク 255.255.255.224 は，第4オクテットの 224 が 2 進数で 11100000 なので，第4オクテットの上位3ビットまでがネットワーク部，下位5ビットがホスト部になる。IP アドレスの第4オクテット 90 は 2 進数で 01011010 である。

下位5ビットは 11010 で，10 進数にすると 16＋8＋2＝26 となる。したがって，ホストアドレスは 26 で，イが正しい。アの 10 は下位4ビット（1010）だけを取り出した値である。

212.62.31.90/27 のネットワークアドレスの求め方 IP アドレス 212.62.31.90 とマスク 255.255.255.224（/27）。境目は第4オクテットで，90 は 01011010，マスクは 11100000。先頭27ビットがネットワーク部，残り5ビットがホスト部。ネットワークアドレスは 212.62.31.64。 第1 第2 第3 第4（境目） IP アドレス 212 . 62 . 31 . 0 1 0 1 1 0 1 0 （90） マスク 255 . 255 . 255 . 1 1 1 0 0 0 0 0 （224） 論理積 212 . 62 . 31 . 0 1 0 0 0 0 0 0 （64） ネットワーク部 27ビット ／ ホスト部 5ビット ネットワークアドレスは 212.62.31.64
境目のある第4オクテットだけを2進数にして考える

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問18（表記を一部改変）

用語解説：サブネットマスク・CIDR

問19

イーサネットのレイヤ2で使用されるプロトコルで，ネットワークを冗長化させる際にループの発生を防ぐものはどれか。

正解　エ

解説

スパニングツリープロトコル（IEEE 802.1D）は，レイヤ 2 スイッチ（ブリッジ）の間で情報を交換して論理的な木構造を作り，冗長な経路上のポートの一部を通信しないブロッキング状態にすることで，イーサネットフレームのループを防ぐ。データリンク層，すなわち TCP/IP のネットワークインタフェース層で動作するプロトコルであり，エが該当する。

アの IGMP はマルチキャストグループへの参加・離脱を管理するインターネット層のプロトコル，イの RIP はルータ間で経路情報を交換するルーティングプロトコル，ウの SIP は IP 電話などでセッションの確立・終了を制御するアプリケーション層のプロトコルであり，いずれもレイヤ 2 のループ防止には使わない。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問19（表記を一部改変）

用語解説：ルーティングプロトコル（RIP・OSPF・BGP）　スパニングツリー・VLAN・リンクアグリゲーション

問20

暗号化や認証機能をもち，リモートからの遠隔操作の機能をもったプロトコルはどれか。

正解　エ

解説

SSH（Secure Shell）は，遠隔のコンピュータにログインして操作するためのプロトコルで，通信路の暗号化，サーバとクライアントの認証，利用者の認証を備える。平文のまま通信する telnet や rlogin を置き換えるものとして使われる。エが正しい。

アの IPsec は IP 層で暗号化や認証を行うプロトコルで，遠隔操作の機能はもたない。イの L2TP は PPP のフレームをトンネリングして運ぶプロトコルで，それ自体は暗号化の機能をもたない。ウの RADIUS は認証，認可，アカウンティングを行うプロトコルで，遠隔操作の機能はもたない。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問20（表記を一部改変）

用語解説：IEEE 802.1X・RADIUS（ネットワークの利用者認証）　VPN・IPsec

問21

Web サーバを使ったシステムにおいて，インターネットから受け取ったリクエストを Web サーバに中継する仕組みはどれか。

正解　エ

解説

リバースプロキシは，インターネットからのリクエストを Web サーバの手前で受け取り，内部の Web サーバに中継する仕組みである。Web サーバを直接インターネットに公開せずに済み，負荷分散や認証，キャッシュなどにも使われる。エが正しい。

アの DMZ は，インターネットと内部ネットワークの間に設けて公開サーバを置くネットワーク領域である。イのフォワードプロキシは，内部の利用者からインターネットへのリクエストを中継する仕組みで，中継の向きが逆である。ウのプロキシ ARP は，ルータなどが別のネットワークのホストの代わりに ARP に応答する仕組みである。

フォワードプロキシとリバースプロキシ フォワードプロキシは，組織内のクライアントの代わりにインターネット上のサーバへアクセスする（クライアント側の代理）。リバースプロキシは，インターネットから来た要求をサーバの手前で受け，内部の Web サーバに振り分ける（サーバ側の代理）。負荷分散や TLS の終端，キャッシュに使う。 フォワードプロキシ 社内 PC プロキシ 外の Web クライアント側の代理 リバースプロキシ 外の利用者 リバースプロキシ 社内 Web サーバ側の代理（振り分け・TLS 終端）
どちら側の代理か。フォワードはクライアント側，リバースはサーバ側

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問21（表記を一部改変）

用語解説：ARP　ファイアウォールと DMZ

問22

ブラックボックステストのテストデータの作成方法のうち，最も適切なものはどれか。

正解　イ

解説

ブラックボックステストは，プログラムの内部構造を考慮せず，仕様に基づいて入力と出力の関係を確かめるテストである。機能仕様から，同じ処理になる入力の範囲（同値クラス）や，その境目の値（限界値）を識別してテストデータを作るのが代表的な方法で，イが最も適切である。

エのプログラムの流れ図の分岐条件に基づくテストデータの作成は，内部構造に着目するホワイトボックステストの方法。アの実データの無作為抽出やウのデータの発生頻度の分析では，仕様の境界や例外条件を網羅的に確認できない。

同値分割と限界値分析 1ページに30件ずつ印字するプログラムの例。印字件数を，0件，1〜30件（1ページ），31件以上（2ページ以上）の同値クラスに分ける。同値分割では各クラスから代表の値（例えば15件，45件）を1つずつ選ぶ。限界値分析では誤りの多い境目の値，0件・1件・30件・31件を選ぶ。 1〜30件（1ページ） 31件〜（2ページ以上） 0件 0 1 30 31 15 45 限界値分析：境目の両側 0・1・30・31 同値分割：各グループの代表（15，45 など） 印字する件数
同値分割は各グループの代表，限界値分析は境目の両側を選ぶ

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問22（表記を一部改変）

用語解説：テスト技法（ブラックボックス・ホワイトボックス）

問23

開発した製品で利用している新規技術に関して特許の出願を行った。日本において特許権の取得が可能なものはどれか。

正解　イ

解説

特許を受けるには，出願前に発明が公然と知られていないこと（新規性）が必要である。顧客と守秘義務を確認した上で技術内容を説明しても，秘密を守る義務のある者に知られただけなので公然と知られたことにはならず，製品発表前に出願すれば新規性は失われていない。イが特許権を取得できる。

アの学会発表とエの製品の販売は，発明を公然と知られた状態にする行為である。出題当時（平成21年）の特許法第30条では，新規性喪失の例外は学会での文書発表などから6か月以内の出願に限られ，販売は対象外だったので，どちらも新規性を失って取得できなかった。ウの暗号の生成式は数学的な公式で，自然法則を利用した技術的思想の創作ではないので発明に当たらない。

なお，現行の特許法第30条第2項では，特許を受ける権利を有する者の行為によって公知になった発明は，1年以内に出願し，証明書を提出するなどの手続を取れば新規性を失わなかったものとみなされる。現在は，アの11か月目の出願やエの販売後1年以内の出願でも，この手続によって特許を受けられる場合がある。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問23（表記を一部改変）

用語解説：著作権と知的財産権（特許・営業秘密・ライセンス）

問24

雷サージによって通信回線に誘起された異常電圧から通信機器を防護するための装置はどれか。

正解　ウ

解説

アレスタ（避雷器）は，雷サージによって通信回線や電源線に誘起された異常電圧を大地に逃がし，接続された通信機器などを過電圧から保護する装置である。ウが該当する。

アの IDF（中間配線盤）は，建物のフロアなどで配線を中継・分岐する配線盤である。イの MCCB（配線用遮断器）は，過電流が流れたときに電路を遮断する装置で，雷サージの異常電圧から機器を守るものではない。エの避雷針は，建物への直撃雷を受けて大地に流す設備であり，通信回線に誘起された異常電圧から通信機器を守るものではない。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問24（表記を一部改変）

問25

IT に係る内部統制を評価し検証するシステム監査の対象となるものはどれか。

正解　エ

解説

IT に係る内部統制を評価・検証するシステム監査では，情報システムを利用した業務処理が正確かつ網羅的に行われているかを確かめる。販売部が行っているデータベースへの入力・更新の正確性を確保する方法は，業務処理統制として監査の対象になる。エが適切である。

アの中期経営計画の策定の経緯，イの人事考課の結果，ウの生産設備の見直しの状況は，いずれも情報システムを通じた処理の統制に関するものではなく，IT に係る内部統制の評価の対象ではない。

出典：平成21年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25（表記を一部改変）

用語解説：内部統制（全般統制・業務処理統制）　システム監査（監査手続・監査証拠・フォローアップ）