平成24年度秋期科目A-2（午前Ⅱ）

平成24年度秋期に実施された情報セキュリティスペシャリスト試験午前Ⅱ（2026年度からの科目A-2）の全25問に，運営者が独自に書いた解説を付けています。正解の理由に加えて，多くの問題でほかの選択肢がなぜ誤りなのかも説明しています。

問1

特定の CA が発行した CRL（Certificate Revocation List）に関する記述のうち，適切なものはどれか。

アCRL には，失効された公開鍵証明書に対応する秘密鍵が登録される。
イCRL には，有効期限内の公開鍵証明書のうち破棄されている公開鍵証明書と破棄された日時の対応が提示される。正解
ウCRL は，鍵の漏えい，破棄申請の状況をリアルタイムに反映するプロトコルである。
エ有効期限切れで無効になった公開鍵証明書は，所有者が新たな公開鍵証明書を取得するまでの間，CRL に登録される。

正解　イ

解説

CRL（証明書失効リスト）は，認証局が発行するもので，有効期限内であるにもかかわらず秘密鍵の漏えいなどの理由で失効させた公開鍵証明書のシリアル番号と，失効した日時を載せたリストである。証明書を受け取った側は，CRL を見てその証明書が失効していないかを確かめる。イが正しい。

アの秘密鍵は証明書の所有者だけが保持するもので，CRL に登録されることはない。ウの CRL は定期的に発行されるリストで，失効の状況をリアルタイムに問い合わせるプロトコルは OCSP である。エの有効期限切れの証明書は，期限によって無効であることが分かるので CRL には登録しない。

CRL は一覧を取ってきて自分で調べる，OCSP はその都度問い合わせる

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問1（表記を一部改変）

用語解説：PKI（認証局・CRL・OCSP）

問2

IEEE 802.1X で使われる EAP-TLS によって実現される認証はどれか。

アCHAP を用いたチャレンジレスポンスによる利用者認証
イあらかじめ登録した共通鍵によるサーバ認証と，時刻同期のワンタイムパスワードによる利用者認証
ウディジタル証明書による認証サーバとクライアントの相互認証正解
エ利用者 ID とパスワードによる利用者認証

正解　ウ

解説

EAP-TLS は，IEEE 802.1X で使われる EAP の認証方式の一つで，TLS の仕組みを使い，認証サーバとクライアントの双方がディジタル証明書を提示して相互認証を行う。クライアントにも証明書が必要なので導入の手間はかかるが，パスワードを使わない強固な認証ができる。ウが正しい。

アの CHAP を用いたチャレンジレスポンスによる利用者認証は EAP-MD5 などに近い方式である。エの利用者 ID とパスワードによる利用者認証は，サーバだけを証明書で認証する PEAP や EAP-TTLS で使われる。イのような共通鍵によるサーバ認証とワンタイムパスワードの組合せは EAP-TLS の認証ではない。

認証が済むまでポートを閉じておき，成功した端末だけを通す

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問2（表記を一部改変）

用語解説：IEEE 802.1X・RADIUS（ネットワークの利用者認証）　共通鍵暗号と公開鍵暗号　 TLS（SSL）

問3

SEO（Search Engine Optimization）ポイズニングの説明はどれか。

アWeb 検索サイトの順位付けアルゴリズムを悪用して，キーワードで検索した結果の上位に，悪意のあるサイトを意図的に表示させる。正解
イウイルス検索エンジンのセキュリティ上の脆弱性を悪用して，システム権限で不正な処理を実行させる。
ウ車などで移動しながら，無線 LAN のアクセスポイントを探し出して，ネットワークに不正侵入する。
エネットワークを流れるパケットから，不正侵入のパターンに合致するものを検出して，管理者への通知や，検出した内容の記録を行う。

正解　ア

解説

SEO ポイズニングは，検索エンジンの検索結果の順位付けの仕組み（SEO）を悪用し，話題のキーワードなどで検索したときに，マルウェアを配布するサイトなどの悪意のあるサイトが検索結果の上位に表示されるようにして，利用者を誘導する攻撃である。アが正しい。

イはウイルス対策ソフトの検索エンジンの脆弱性を悪用する攻撃，ウは車などで移動しながら無線 LAN のアクセスポイントを探すウォードライビング，エは不正侵入のパターンを検出する IDS の説明である。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問3（表記を一部改変）

問4

2011 年に経済産業省が公表した“クラウドサービス利用のための情報セキュリティマネジメントガイドライン”が策定された目的について述べたものはどれか。

アJIS Q 27002 の管理策を拡張し，クラウドサービス利用者が情報セキュリティ対策を円滑に行えるようにする。正解
イクラウドサービス提供事業者に対して情報セキュリティ監査を実施する方法を利用者に提示する。
ウクラウドサービスの利用がもたらすセキュリティリスクをサービス提供事業者の視点で提示する。
エセキュリティリスクの懸念の少ないクラウドサービス提供事業者を利用者が選択できるような格付け基準を提供する。

正解　ア

解説

経済産業省が 2011 年に公表した“クラウドサービス利用のための情報セキュリティマネジメントガイドライン”は，JIS Q 27002 の管理策をクラウドサービスの利用に合わせて拡張し，クラウドサービスの利用者が，事業者との役割分担を踏まえて情報セキュリティ対策を円滑に行えるようにすることを目的としている。アが該当する。

イの事業者に対する監査の方法の提示，ウの事業者の視点でのリスクの提示，エの事業者を選ぶための格付け基準の提供は，このガイドラインの目的ではない。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問4（表記を一部改変）

用語解説：JIS Q 27000 シリーズ（情報セキュリティマネジメント）

問5

スパムメールの対策として，宛先ポート番号 25 番の通信に対して ISP が実施する OP25B の説明はどれか。

アISP 管理外のネットワークからの通信のうち，スパムメールのシグネチャに該当するものを遮断する。
イ動的 IP アドレスを割り当てたネットワークから ISP 管理外のネットワークへの直接の通信を遮断する。正解
ウメール送信元のメールサーバについて DNS の逆引きができない場合，そのメールサーバからの通信を遮断する。
エメール不正中継の脆弱性をもつメールサーバからの通信を遮断する。

正解　イ

解説

OP25B（Outbound Port 25 Blocking）は，ISP が，管理下にある動的 IP アドレスの利用者から，ISP のメールサーバを経由せずに外部のメールサーバの TCP ポート 25 番へ直接送られる通信を遮断する対策である。ボットに感染した PC などが外部へ直接スパムメールを送ることを防ぐ。イが該当する。

アは外部から受信するメールをシグネチャで判定して遮断する受信側の対策，ウは送信元のメールサーバの DNS 逆引きによる受信側の対策，エは第三者中継を許すメールサーバからの受信を拒否する対策であり，いずれも外向き（Outbound）の通信を遮断する OP25B ではない。

OP25B は自社の動的 IP から外へ出る25番を，IP25B は他社の動的 IP から入ってくる25番を止める

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問5（表記を一部改変）

問6

ファイアウォールにおけるダイナミックパケットフィルタリングの特徴はどれか。

アIP アドレスの変換が行われるので，ファイアウォール内部のネットワーク構成を外部から隠蔽できる。
イ暗号化されたパケットのデータ部を復号して，許可された通信かどうかを判断できる。
ウ戻りのパケットに関しては，過去に通過したリクエストパケットに対応したものだけを通過させることができる。正解
エパケットのデータ部をチェックして，アプリケーション層での不正なアクセスを防止できる。

正解　ウ

解説

ダイナミックパケットフィルタリングは，内部から外部へのリクエストパケットが通過したときに，その通信に対応する戻りのパケットだけを通過させるルールを動的に作り，通信が終わると削除する方式である。あらかじめ戻りのパケット用のポートを開けておく必要がないので，安全性が高まる。ウが正しい。

アの IP アドレスの変換で内部構成を隠蔽するのは NAT や NAPT の特徴。イの暗号化されたデータ部を復号して判断することや，エのデータ部をチェックしてアプリケーション層の不正アクセスを防ぐのは，アプリケーションゲートウェイ型ファイアウォールや WAF などの特徴で，パケットフィルタリングはヘッダ情報で判断する。

内から出た要求に対応する戻りだけを通す

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問6（表記を一部改変）

用語解説：ファイアウォールと DMZ

問7

ポリモーフィック型ウイルスの説明として，適切なものはどれか。

アインターネットを介して，攻撃者が PC を遠隔操作する。
イ感染するごとに鍵を変えてウイルスのコードを暗号化することによってウイルス自身を変化させて，同一のパターンで検知されないようにする。正解
ウ複数の OS で利用できるプログラム言語でウイルスを作成することによって，複数の OS 上でウイルスが動作する。
エルートキットを利用してウイルスに感染していないように見せかけることによって，ウイルスを隠蔽する。

正解　イ

解説

ポリモーフィック型ウイルスは，感染するたびに自身のコードを異なる鍵で暗号化したり，復号ルーチンを変形したりして，見た目のコードを毎回変える。そのため，既知のウイルスのコードの一部を特徴（シグネチャ）として照合するパターンマッチング方式では検知されにくい。イが適切である。

アの攻撃者がインターネットを介して PC を遠隔操作するのはボットや RAT（遠隔操作ウイルス）。ウの複数の OS で動作するのはクロスプラットフォーム型のウイルス。エのルートキットを利用して感染を隠蔽するのはステルス型のウイルスの説明である。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問7（表記を一部改変）

用語解説：マルウェア（ルートキット・ポリモーフィック型・ビヘイビア法）

問8

FIPS 140-2 を説明したものはどれか。

ア暗号モジュールのセキュリティ要求事項正解
イ情報セキュリティマネジメントシステムに関する認証基準
ウディジタル証明書や証明書失効リストの標準仕様
エ無線 LAN セキュリティ技術

正解　ア

解説

FIPS 140-2 は，米国 NIST が定めた連邦情報処理規格で，暗号モジュール（暗号機能を実装したハードウェアやソフトウェア）が満たすべきセキュリティ要求事項を，セキュリティレベル1〜4 の4段階で規定している。アが正しい。

イの ISMS の認証基準は ISO/IEC 27001（JIS Q 27001），ウのディジタル証明書や証明書失効リストの標準仕様は ITU-T X.509，エの無線 LAN のセキュリティ技術は IEEE 802.11i（WPA2）などである。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問8（表記を一部改変）

用語解説：ISO/IEC 15408（コモンクライテリア）と FIPS 140　PKI（認証局・CRL・OCSP）

問9

特定の情報資産の漏えいに関するリスク対応のうち，リスク回避に該当するものはどれか。

ア外部の者が侵入できないように，入退室をより厳重に管理する。
イ情報資産を外部のデータセンタに預託する。
ウ情報の新たな収集を禁止し，収集済みの情報を消去する。正解
エ情報の重要性と対策費用を勘案し，あえて対策をとらない。

正解　ウ

解説

リスク回避は，リスクの原因となる活動そのものをやめたり，情報資産を手放したりして，リスクが発生しないようにする対応である。情報の新たな収集を禁止し，収集済みの情報を消去すれば，その情報が漏えいするリスクそのものがなくなる。ウが該当する。

アの入退室の管理を厳重にするのは，リスクの発生可能性を下げるリスク低減。イの情報資産を外部のデータセンタに預託するのは，リスクの一部を外部と分担するリスク移転（共有）。エの重要性と対策費用を勘案してあえて対策をとらないのは，リスク受容（保有）である。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問9（表記を一部改変）

問10

ICMP Flood 攻撃に該当するものはどれか。

アping コマンドを用いて同時に発信した大量の要求パケットによって，攻撃対象のサーバに至るまでの回線を過負荷にしてアクセスを妨害する。正解
イ繰り返し HTTP GET コマンドを送ることによって，攻撃対象のサーバにコンテンツ送信の負荷を掛ける。
ウコネクション開始要求に当たる SYN パケットを大量に送ることによって，攻撃対象のサーバに，接続要求ごとに応答を返すための過大な負荷を掛ける。
エ大量の TCP コネクションを確立することによって，攻撃対象のサーバに接続を維持させ続けリソースを枯渇させる。

正解　ア

解説

ICMP Flood 攻撃（Ping Flood 攻撃）は，ping コマンドなどで ICMP エコー要求パケットを大量に送りつけ，攻撃対象のサーバや，そこに至るまでの回線を過負荷にして，正規の利用者のアクセスを妨害する攻撃である。アが該当する。

イの HTTP GET コマンドを繰り返し送るのは HTTP GET Flood 攻撃，ウの SYN パケットを大量に送るのは SYN Flood 攻撃，エの大量の TCP コネクションを確立して接続を維持させるのは TCP コネクションを使い切らせる DoS 攻撃（TCP コネクションフラッド）である。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問10（表記を一部改変）

問11

標準化団体 OASIS が，Web サイト間で認証，属性及び認可の情報を安全に交換するために策定したフレームワークはどれか。

アSAML正解
イSOAP
ウXKMS
エXML Signature

正解　ア

解説

SAML（Security Assertion Markup Language）は，標準化団体 OASIS が策定した，異なる Web サイトやドメインの間で，利用者の認証の結果や属性，認可の情報を XML 形式のアサーションとして安全に交換するためのフレームワークである。シングルサインオンの実現などに使われる。アが正しい。

イの SOAP は，XML 形式のメッセージでほかのコンピュータのサービスを呼び出すためのプロトコル（W3C が標準化）。ウの XKMS は，XML で公開鍵の登録や検証などの鍵管理を行うための仕様。エの XML Signature は，XML 文書にディジタル署名を付けるための仕様（W3C が標準化）である。

SP はパスワードを受け取らず，IdP が署名したアサーションを確かめるだけ

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問11（表記を一部改変）

用語解説：シングルサインオン（SAML・OAuth）

問12

ディジタルフォレンジックスを説明したものはどれか。

ア画像や音楽などのディジタルコンテンツに著作権者などの情報を埋め込む。
イコンピュータやネットワークのセキュリティ上の弱点を発見するテスト手法の一つであり，システムを実際に攻撃して侵入を試みる。
ウネットワークの管理者や利用者などから，巧みな話術や盗み聞き，盗み見などの手段によって，パスワードなどのセキュリティ上重要な情報を入手する。
エ犯罪に対する証拠となり得るデータを保全し，その後の訴訟などに備える。正解

正解　エ

解説

ディジタルフォレンジックスは，不正アクセスや情報漏えいなどの事件が起きたときに，コンピュータやネットワークに残る記録を証拠として使えるように保全し，調査・分析する技術や手続のことである。証拠としての信頼性を保つため，改ざんされていないことを示せる形で複製や記録を残し，訴訟などにも耐えられるようにする。エが正しい。

アのディジタルコンテンツに著作権者などの情報を埋め込むのは電子透かし。イのシステムを実際に攻撃して侵入を試みるテスト手法はペネトレーションテスト。ウの巧みな話術や盗み聞きなどでパスワードなどを入手するのはソーシャルエンジニアリングである。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問12（表記を一部改変）

問13

ゼロデイ攻撃の特徴はどれか。

アセキュリティパッチが提供される前にパッチが対象とする脆弱性を攻撃する。正解
イ特定のサイトに対し，日時を決めて，複数台の PC から同時に攻撃する。
ウ特定のターゲットに対し，フィッシングメールを送信して不正サイトへ誘導する。
エ不正中継が可能なメールサーバを見つけた後，それを踏み台にチェーンメールを大量に送信する。

正解　ア

解説

ゼロデイ攻撃は，脆弱性が公表されてから修正プログラム（セキュリティパッチ）が提供されるまでの，あるいは提供されても適用が済んでいない期間を狙って，その脆弱性を突く攻撃。パッチがまだない状態を突かれるので防ぎにくい。アが正しい。

イは DDoS 攻撃，ウは標的型のフィッシング（スピアフィッシング），エはメールサーバを踏み台にした大量送信の説明である。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問13（表記を一部改変）

用語解説：脆弱性の管理と検査（CVE・CVSS・ファジング）

問14

SSL に関する記述のうち，適切なものはどれか。

アSSL で使用する Web サーバのディジタル証明書には IP アドレスの組込みが必須なので，Web サーバの IP アドレスを変更する場合は，ディジタル証明書を再度取得する必要がある。
イSSL で使用する個人認証用のディジタル証明書は，IC カードなどに格納できるので，格納場所を特定の PC に限定する必要はない。正解
ウSSL は Web サーバを経由した特定の利用者間の通信のために開発されたプロトコルであり，Web サーバ提供者への事前の利用者登録が不可欠である。
エ日本国内では，SSL で使用する共通鍵の長さは，128 ビット未満に制限されている。

正解　イ

解説

SSL のクライアント認証に使う個人認証用のディジタル証明書と秘密鍵は，IC カードなどの持ち運べる媒体に格納できるので，特定の PC に保存しておく必要はない。イが適切である。

アは誤りで，サーバ証明書にはサーバの FQDN（コモンネーム）を記載し，IP アドレスを変更しても FQDN が同じなら再取得は不要である。ウは誤りで，SSL は Web ブラウザと Web サーバの間の通信を暗号化するためのプロトコルで，利用者登録を前提としていない。エは誤りで，日本国内で共通鍵の長さが 128 ビット未満に制限されているという規制はない。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問14（表記を一部改変）

用語解説：共通鍵暗号と公開鍵暗号　 TLS（SSL）

問15

WAF（Web Application Firewall）のブラックリスト又はホワイトリストの説明のうち，適切なものはどれか。

アブラックリストは，脆弱性があるサイトの IP アドレスを登録したものであり，該当する通信を遮断する。
イブラックリストは，問題がある通信データパターンを定義したものであり，該当する通信を遮断するか又は無害化する。正解
ウホワイトリストは，暗号化された受信データをどのように復号するかを定義したものであり，復号鍵が登録されていないデータを遮断する。
エホワイトリストは，脆弱性がないサイトの FQDN を登録したものであり，登録がないサイトへの通信を遮断する。

正解　イ

解説

WAF のブラックリスト（ネガティブセキュリティモデル）は，SQL インジェクションやクロスサイトスクリプティングなど，攻撃に使われる問題のある通信データのパターンを定義しておき，それに該当する通信を遮断したり無害化したりする方式である。イが適切である。

ホワイトリスト（ポジティブセキュリティモデル）は，許可する正常な通信のパターンを定義しておき，それに該当しない通信を遮断する方式である。アのサイトの IP アドレスや，エのサイトの FQDN を登録するのは WAF のリストの説明ではない。ウの復号の方法や復号鍵を定義するのもホワイトリストの説明ではない。

正常を止めるのがフォールスポジティブ，攻撃を通すのがフォールスネガティブ

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問15（表記を一部改変）

用語解説：WAF・IDS・IPS

問16

SSL に対するバージョンロールバック攻撃の説明はどれか。

アSSL の実装の脆弱性を用いて，通信経路に介在する攻撃者が弱い暗号化通信方式を強制することによって，暗号化通信の内容を解読して情報を得る。正解
イSSL のハンドシェイクプロトコルの終了前で，使用暗号化アルゴリズムの変更メッセージを，通信経路に介在する攻撃者が削除することによって，通信者が暗号化なしでセッションを開始し，攻撃者がセッションの全通信を盗聴したり改ざんしたりする。
ウSSL を実装した環境において，攻撃者が物理デバイスから得られた消費電流の情報などを利用して秘密情報を得る。
エ保守作業のミスや誤操作のときに回復できるようにバックアップした SSL の旧バージョンのライブラリを，攻撃者が外部から破壊する。

正解　ア

解説

バージョンロールバック攻撃（ダウングレード攻撃）は，クライアントとサーバの間に介在する攻撃者が，ハンドシェイクの内容を操作して，脆弱性のある古いバージョンのプロトコルや弱い暗号方式を使わせ，暗号化通信を解読して情報を得る攻撃である。アが正しい。

イの暗号化アルゴリズムの変更メッセージを削除して暗号化なしで通信させるのは，Change Cipher Spec メッセージを削除する攻撃（Change Cipher Spec ドロップ攻撃）の説明で，バージョンを古くさせるものではない。ウの消費電流の情報などを利用して秘密情報を得るのはサイドチャネル攻撃（電力解析攻撃）。エの旧バージョンのライブラリを破壊する攻撃はバージョンロールバック攻撃ではない。

古いバージョンに落とさせてから弱点を突く

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問16（表記を一部改変）

用語解説：TLS（SSL）

問17

ネットワークを構成する装置の用途や機能に関する記述のうち，適切なものはどれか。

アゲートウェイは，主にトランスポート層以上での中継を行う装置であり，異なったプロトコル体系のネットワーク間の接続などに用いられる。正解
イブリッジは，物理層での中継を行う装置であり，フレームのフィルタリング機能をもつ。
ウリピータは，ネットワーク層での中継を行う装置であり，伝送途中で減衰した信号レベルの補正と再生増幅を行う。
エルータは，データリンク層のプロトコルに基づいてフレームの中継と交換を行う装置であり，フロー制御や最適経路選択などの機能をもつ。

正解　ア

解説

ゲートウェイは，OSI 基本参照モデルのトランスポート層以上（主にアプリケーション層まで）の階層で中継を行う装置で，プロトコル体系の異なるネットワーク同士を，プロトコルを変換して接続するのに用いられる。アが適切である。

イのブリッジはデータリンク層で中継する装置で，MAC アドレスによってフレームをフィルタリングする。ウのリピータは物理層で中継する装置で，減衰した信号を増幅・整形する。エのルータはネットワーク層で中継する装置で，IP アドレスによって最適な経路を選択してパケットを転送する。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問17（表記を一部改変）

問18

DNSSEC に関する記述として，適切なものはどれか。

アDNS サーバへの DoS 攻撃を防止できる。
イIPsec による暗号化通信が前提となっている。
ウ代表的な DNS サーバの実装である BIND の代替として使用する。
エディジタル署名によって DNS 応答の正当性を確認できる。正解

正解　エ

解説

DNSSEC は，DNS の応答にディジタル署名を付け，受信側がその署名を検証することで，応答が正当な権威 DNS サーバからのもので，改ざんされていないことを確認できるようにする DNS の拡張仕様である。DNS キャッシュポイズニングなどの対策になる。エが適切である。

アの DoS 攻撃の防止は DNSSEC の目的ではなく，署名によって応答のサイズが大きくなり，DNS リフレクション攻撃に悪用されやすくなる面もある。イの IPsec による暗号化通信は前提としていない。ウの DNSSEC は DNS のプロトコルの拡張で，BIND などの DNS サーバの実装も DNSSEC に対応している。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問18（表記を一部改変）

用語解説：ディジタル署名（デジタル署名）　DNS のセキュリティ（DNSSEC・キャッシュポイズニング）　VPN・IPsec

問19

2台の PC を IPv6 ネットワークに接続するとき，2台ともプレフィックスが 2001:db8:100:1000::/56 の IPv6 サブネットに入るようになる IP アドレスの組合せはどれか。

ア1台目の PC：2001:db8:100::aa:bb，2台目の PC：2001:db8:100::cc:dd
イ1台目の PC：2001:db8:100:1000::aa:bb，2台目の PC：2001:db8:100:2000::cc:dd
ウ1台目の PC：2001:db8:100:1010::aa:bb，2台目の PC：2001:db8:100:1020::cc:dd正解
エ1台目の PC：2001:db8:100:1100::aa:bb，2台目の PC：2001:db8:100:1200::cc:dd

正解　ウ

解説

プレフィックス長 /56 は，IPv6 アドレスの 128 ビットのうち上位 56 ビットがネットワーク部であることを示す。16 進数の1けたは4ビットなので，上位 56 ビットは先頭から 14 けた分になる。2001:db8:100:1000 を4けたずつにすると 2001:0db8:0100:1000 で，先頭 14 けたは 2001:0db8:0100:10 である。

したがって，第4ブロックが 10 で始まる 1000〜10ff のアドレスが同じサブネットに入る。ウの 1010 と 1020 はどちらも 10 で始まるので正しい。アの第4ブロックは 0000 で範囲外，イの 2000，エの 1100 と 1200 も範囲外である。

16進1桁＝4ビット。/56 は14桁目まで

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問19（表記を一部改変）

用語解説：IPv6　サブネットマスク・CIDR

問20

HTTP の認証機能を利用するクライアント側の処理として，適切なものはどれか。

アダイジェスト認証では，利用者 ID とパスワードを“:”で連結したものを，MD5 を使ってエンコードし Authorization ヘッダで指定する。
イダイジェスト認証では，利用者 ID とパスワードを“:”で連結したものを，SHA を使ってエンコードし Authorization ヘッダで指定する。
ウベーシック認証では，利用者 ID とパスワードを“:”で連結したものを，BASE64 でエンコードし Authorization ヘッダで指定する。正解
エベーシック認証では，利用者 ID とパスワードを“:”で連結したものを，エンコードせずに Authorization ヘッダで指定する。

正解　ウ

解説

HTTP のベーシック認証では，クライアントは，利用者 ID とパスワードを“:”で連結した文字列を BASE64 でエンコードし，Authorization ヘッダに指定してサーバに送る。BASE64 は暗号化ではなく簡単に元に戻せるので，盗聴への対策として TLS と併用する必要がある。ウが適切である。

エのようにエンコードせずに送ることはない。ア，イのダイジェスト認証では，利用者 ID とパスワードを“:”で連結したものをそのまま送るのではなく，サーバから受け取ったチャレンジ（nonce）などと組み合わせてハッシュ値（MD5 など）を計算し，その値を送る。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問20（表記を一部改変）

問21

データベースのデータを更新するトランザクションが，実行途中で異常終了したとき，更新中のデータに対して行われる処理はどれか。

ア異常終了時点までの更新ログ情報を破棄することによって，データをトランザクション開始前の状態に回復する。
イチェックポイント時点からコミットが完了しているトランザクションの更新をロールフォワードすることによって，データを回復する。
ウトランザクションの更新ログ情報を使って異常終了時点までロールフォワードすることによって，データを回復する。
エロールバックすることによって，データをトランザクション開始前の状態に回復する。正解

正解　エ

解説

トランザクションが実行途中で異常終了した場合，そのトランザクションの更新は完了していないので，更新前ログ（更新前の値）を使ってロールバックし，データをトランザクション開始前の状態に戻す。エが正しい。

アの更新ログ情報を破棄するだけでは，すでにデータベースに書き込まれた更新は元に戻らない。イのチェックポイント以降のコミット済みトランザクションのロールフォワードは，システム障害からの回復で行う処理である。ウの異常終了時点までのロールフォワードでは，未完了のトランザクションの更新が残り，データの整合性が保てない。

ロールバックは更新前ログで戻す，ロールフォワードは更新後ログで進める

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問21（表記を一部改変）

用語解説：障害回復（ロールバック・ロールフォワード）

問22

オブジェクト指向における情報隠蔽に関する記述として，適切なものはどれか。

アオブジェクトの特性（属性，関連，操作）をまとめて抽象化する。
イオブジェクトは，メッセージによってだけアクセス可能となる。正解
ウ親クラスに定義されたメソッドを，実行時に子クラスに引き継ぐ。
エ同一メッセージでも，実行時の受信クラスに基づいて適用されるメソッドが決まる。

正解　イ

解説

情報隠蔽（カプセル化）は，オブジェクトのデータ（属性）と，それを操作する手続（メソッド）を一体にし，内部のデータや実装を外部から隠して，外部からはメッセージ（メソッドの呼出し）によってだけアクセスできるようにすることである。イが適切である。

アのオブジェクトの特性をまとめて抽象化するのは抽象化（クラス化），ウの親クラスのメソッドを子クラスに引き継ぐのは継承（インヘリタンス），エの同一メッセージでも受信するクラスによって適用されるメソッドが決まるのは多態性（ポリモーフィズム）の説明である。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問22（表記を一部改変）

問23

特許権に関する記述のうち，適切なものはどれか。

アA 社が特許を出願するよりも前に独自に開発して発売した製品は，A 社の特許権の侵害にならない。正解
イ組込み機器におけるハードウェアは特許権で保護されるが，ソフトウェアは保護されない。
ウ審査を受けて特許権を取得した後に，特許権が無効となることはない。
エ先行特許と同一の技術であっても，独自に開発した技術であれば特許権の侵害にならない。

正解　ア

解説

特許法第79条では，他社の特許出願の際に，その発明の内容を知らずに自ら発明し，既に日本国内でその発明を実施する事業をしていた者に，先使用による通常実施権を認めている。A 社が特許を出願する前に独自に開発して発売した製品は，その後も製造・販売を続けることができ，A 社の特許権の侵害にならない。アが適切である。

イは誤りで，ソフトウェアも，自然法則を利用した技術的思想の創作であれば，プログラムの発明として特許権で保護される。ウは誤りで，特許権の取得後でも，無効審判によって特許が無効とされることがある。エは誤りで，特許権は，独自に開発した技術であっても，特許発明と同一の技術を業として実施すれば侵害になる。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問23（表記を一部改変）

用語解説：著作権と知的財産権（特許・営業秘密・ライセンス）

問24

ソフトウェア開発・保守の工程において，リポジトリを構築する理由として，最も適切なものはどれか。

ア各工程で検出した不良を管理することが可能になり，ソフトウェアの品質分析が容易になる。
イ各工程での作業手順を定義することが容易になり，開発・保守時の作業ミスを防止することができる。
ウ各工程での作業予定と実績を関連付けて管理することが可能になり，作業の進捗管理が容易になる。
エ各工程での成果物を一元管理することによって，開発・保守作業の効率が良くなり，用語の統一もできる。正解

正解　エ

解説

リポジトリは，要求仕様書，設計書，プログラム，テストデータなど，ソフトウェア開発・保守の各工程で作成される成果物とその情報を一元的に管理するデータベースである。成果物を共有して再利用しやすくなるので開発・保守作業の効率が良くなり，データ項目名などの用語を辞書として統一することもできる。エが該当する。

アの不良の管理は不良管理（障害管理）のデータベース，イの作業手順の定義は標準化された開発プロセスや手順書，ウの作業予定と実績の管理は進捗管理のツールの役割である。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問24（表記を一部改変）

問25

システム監査で用いる統計的サンプリングに関する記述のうち，適切なものはどれか。

ア開発プロセスにおけるコントロールを評価する際には，開発規模及び影響度の大きい案件を選定することによって，母集団全体への評価を導き出すことができる。
イコントロールが有効であると判断するために必要なサンプル件数を事前に決めることができる。正解
ウ正しいサンプリング手順を踏むことによって，母集団全件に対して検証を行う場合と同じ結果を常に導き出すことができる。
エ母集団からエラー対応が行われたデータを選定することによって，母集団全体に対してコントロールが適切に行われていることを確認できる。

正解　イ

解説

統計的サンプリングは，母集団から無作為にサンプルを抽出し，確率論に基づいて母集団全体の状態を推定する手法である。求める信頼度や許容誤差，予想されるエラー率などから，コントロールが有効であると判断するために必要なサンプル件数を事前に計算して決めることができる。イが適切である。

アの規模や影響度の大きい案件を選ぶのは，監査人の判断による非統計的サンプリング（判断サンプリング）で，母集団全体への評価を統計的に導くことはできない。ウのサンプリングの結果は推定であり，全件を検証する場合と常に同じ結果になるとは限らない。エのエラー対応が行われたデータだけを選ぶと，サンプルが偏り，母集団全体についての結論は導けない。

出典：平成24年度秋期情報セキュリティスペシャリスト試験午前Ⅱ 問25（表記を一部改変）

用語解説：システム監査（監査手続・監査証拠・フォローアップ）