‹ ぱすてく

情報処理安全確保支援士試験

令和3年度 春期 科目A-2（午前Ⅱ）

令和3年度 春期に実施された情報処理安全確保支援士試験 午前Ⅱ（2026年度からの科目A-2）の全25問に，運営者が独自に書いた解説を付けています。正解の理由に加えて，多くの問題でほかの選択肢がなぜ誤りなのかも説明しています。

この試験について：情報処理安全確保支援士試験について

この年度を解いてみる

問1

リフレクタ攻撃に悪用されることの多いサービスの例はどれか。

正解　イ

解説

リフレクタ攻撃（リフレクション攻撃）は，送信元 IP アドレスを攻撃対象に偽装した要求を，インターネット上で公開されているサーバに送り，要求より大きな応答を攻撃対象に集中させる DDoS 攻撃である。コネクションを確立しない UDP を使い，小さな要求に対して大きな応答を返すサービスが悪用されやすく，DNS，Memcached，NTP はその代表例である。イが正しい。

アの DKIM，DNSSEC，SPF は送信ドメインや DNS 応答の正当性を確認する仕組み，エの IPsec，SSL，TLS は通信を暗号化するプロトコルである。ウの FTP，Telnet は TCP でコネクションを確立してから通信するので送信元を偽装しにくく，L2TP はトンネリングのプロトコルで，いずれもリフレクタ攻撃に悪用される代表例ではない。

DNS リフレクタ攻撃（DNS amp）の流れ 攻撃者は送信元 IP アドレスを攻撃対象に偽った小さな問合せを，誰からの再帰的な問合せにも答えるキャッシュ DNS サーバ（オープンリゾルバ）に大量に送る。応答は偽られた送信元，つまり攻撃対象に返り，問合せより大きな応答が集中する。NTP の monlist など，小さな要求に大きく答える UDP のサービスでも同じ形の攻撃になる。 攻撃者 オープンリゾルバ キャッシュ DNS オープンリゾルバ キャッシュ DNS オープンリゾルバ キャッシュ DNS 攻撃対象 ① 送信元を攻撃対象に偽った小さな問合せ ② 大きな応答 対策：外部からの再帰的な問合せに答えない（キャッシュと権威を分ける）
送信元を偽るので，応答が攻撃対象に集まる。対策はオープンリゾルバにしないこと

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問1（表記を一部改変）

用語解説：DDoS 攻撃（リフレクション攻撃・Smurf 攻撃）　DNS のセキュリティ（DNSSEC・キャッシュポイズニング）　VPN・IPsec　送信ドメイン認証（SPF・DKIM・DMARC）　TLS（SSL）

問2

PKI を構成する OCSP を利用する目的はどれか。

正解　ウ

解説

OCSP（Online Certificate Status Protocol）は，ディジタル証明書が失効していないかを，OCSP レスポンダにオンラインで問い合わせて確認するためのプロトコルである。CRL（証明書失効リスト）を取得して照合する方法と比べて，最新の失効情報をその都度確認できる。ウが正しい。

アの秘密鍵の再発行やエの有効期限切れの証明書の更新処理の進捗状況は，OCSP で問い合わせるものではない。イの鍵情報の交換の失敗時に認証状態を確認するものでもない。

CRL と OCSP の違い CRL は，認証局が有効期限内に失効させた証明書のシリアル番号と失効日時を一覧にし，署名を付けて公開するもの。利用者はリストを取ってきて自分で照らし合わせる。OCSP は，利用者が調べたい証明書を OCSP レスポンダ（VA）にオンラインで問い合わせ，有効か失効しているかの答えを受け取る。 CRL（証明書失効リスト） 認証局 CA 失効した証明書の一覧 No.1024　3/10 失効 No.2041　5/02 失効 利用者 ブラウザなど 署名して公開 取ってきて照合 載るのは有効期限内に失効した証明書のシリアル番号と日時 OCSP 利用者 ブラウザなど OCSP レスポンダ VA（検証局） この証明書は有効？ 有効・失効・不明を返す その都度オンラインで問い合わせるので，最新の状態が分かる
CRL は一覧を取ってきて自分で調べる，OCSP はその都度問い合わせる

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問2（表記を一部改変）

用語解説：PKI（認証局・CRL・OCSP）

問3

ハッシュ関数の性質の一つである衝突発見困難性に関する記述のうち，適切なものはどれか。

正解　エ

解説

衝突発見困難性（強衝突耐性）とは，同じハッシュ値になる二つの異なるメッセージの組を見つけることが計算量的に困難であるという性質である。エが適切である。

ウは，与えられたハッシュ値から元のメッセージを見つけることが困難であるという原像計算困難性（一方向性）の説明である。イの 2 の 256 乗は，SHA-256 で与えられたハッシュ値に対する原像を総当たりで探す場合の計算量の目安であり，衝突発見の計算量ではない。衝突は誕生日のパラドックスにより，およそ 2 の 128 乗の試行で見つかる見込みがあるので，アの 256 の 2 乗（65,536）も誤りである。

暗号学的ハッシュ関数の3つの性質 原像計算困難性は，ハッシュ値が与えられたときに，そのハッシュ値になるメッセージを見つけることが難しい。第2原像計算困難性は，あるメッセージが与えられたときに，同じハッシュ値になる別のメッセージを見つけることが難しい。衝突発見困難性は，同じハッシュ値になる2つのメッセージを，どれでもよいので見つけることが難しい。違いは何が先に決まっているか。 原像計算困難性（一方向性） メッセージ ハッシュ値 ← これになる m を探す 第2原像計算困難性 m1 メッセージ2 同じハッシュ値 m1 は決まっている 衝突発見困難性 メッセージ1 メッセージ2 同じハッシュ値 どれでもよい
塗った枠が先に決まっているもの，破線の枠が探すもの

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問3（表記を一部改変）

用語解説：ハッシュ関数

問4

DoS 攻撃の一つである Smurf 攻撃はどれか。

正解　ア

解説

Smurf 攻撃は，送信元 IP アドレスを攻撃対象のアドレスに偽装した ICMP エコー要求（ping）を，ネットワークのブロードキャストアドレス宛てに送信する攻撃である。ネットワーク内の多数のホストが攻撃対象に ICMP エコー応答を一斉に返すので，大量の応答パケットが攻撃対象に送り付けられ，サービス不能になる。アが正しい。

イの SYN パケットを攻撃対象に大量に送り付けるのは SYN フラッド攻撃，ウのサイズが大きい UDP パケットを大量に送り付けるのは UDP フラッド攻撃，エのサイズが大きい電子メールや大量の電子メールを送り付けるのはメール爆弾である。

Smurf 攻撃 攻撃者は，送信元 IP アドレスを攻撃対象に偽装した ICMP Echo Request（ping）を，中継ネットワークのブロードキャストアドレスに送る。そのネットワークの全てのホストが攻撃対象へ Echo Reply を返すので，攻撃対象に大量の応答が集中する。対策はブロードキャスト宛ての ping をルータで転送しないこと。 攻撃者 中継ネットワーク ホスト ホスト ホスト ホスト 攻撃対象 ping 宛先：ブロード キャスト 送信元：攻撃対象 応答が集中 1つの ping がホストの数だけの応答になる 対策：ブロードキャスト宛ての ping を転送しない
送信元の偽装＋ブロードキャストで，1つの要求が多数の応答になる

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問4（表記を一部改変）

用語解説：DDoS 攻撃（リフレクション攻撃・Smurf 攻撃）

問5

サイドチャネル攻撃はどれか。

正解　ア

解説

サイドチャネル攻撃は，暗号化装置が処理を行うときの消費電力，処理時間，放射される電磁波などの物理的な情報を測定し，統計的に処理することで，装置内部の暗号鍵などの機密情報を推定する攻撃である。アが正しい。

イの攻撃者が選んだ平文と暗号文の組から数学的に鍵を推測するのは選択平文攻撃。ウの操作中の人の横から入力内容を盗み見るのはショルダーハッキング。エの不正なアクセスポイントでチャネル間の干渉を起こして通信を妨害するのは，無線 LAN への妨害攻撃である。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問5（表記を一部改変）

問6

ステートフルパケットインスペクション方式のファイアウォールの特徴はどれか。

正解　エ

解説

ステートフルインスペクション方式は，パケットフィルタリングを拡張した方式で，通過したパケットの情報から通信セッション（コネクション）の状態を記録しておき，受け付けたパケットがその状態に照らして正当な通信の一部かどうかを判断し，通過させるか遮断するかを決める。エが正しい。

アのリバースプロキシとして動作し不正なデータを検査するのは WAF。イのアプリケーションプロトコルごとにプロキシプログラムを用意するのはアプリケーションゲートウェイ方式。ウのクライアントからの要求を受け付けて改めてサーバにコネクションを要求するのはサーキットレベルゲートウェイ方式である。

ステートフルインスペクション 内側の PC が外の Web サーバへ要求を出すと，ファイアウォールはその通信（送信元・宛先のアドレスとポート）を状態表に覚える。外から戻ってきたパケットは，状態表にある通信の応答であれば通し，表にない外からのパケットは通さない。静的なパケットフィルタのように，戻りのために 1024 以上のポートを広く開けておく必要がない。 社内 PC FW 状態表 Web 攻撃者 ① 要求 ② 応答 → 通す 表にない外からの通信 → 通さない 戻りのために高いポート番号を広く開けなくてよい
内から出た要求に対応する戻りだけを通す

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問6（表記を一部改変）

用語解説：ファイアウォールと DMZ

問7

NIST が制定した，AES における鍵長の条件はどれか。

正解　ア

解説

AES（Advanced Encryption Standard）は，NIST が米国の標準暗号として制定した共通鍵暗号方式で，ブロック長は128ビット，鍵長は128ビット，192ビット，256ビットの三つから選ぶ。アが正しい。鍵長が長いほど暗号化の繰返し処理（ラウンド）の回数が増え，安全性も高くなる。

イのように256ビット未満で任意に決めることはできない。ウとエのように鍵長をブロック長から32ビット増減させるという決まりもなく，ブロック長は鍵長にかかわらず128ビットで一定である。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問7（表記を一部改変）

問8

JVN などの脆弱性対策情報ポータルサイトで採用されている CVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

正解　ウ

解説

CVE（Common Vulnerabilities and Exposures）識別子は，公開された個々の脆弱性に“CVE-西暦年-番号”の形式で一意に付ける識別子である。JVN などの脆弱性対策情報ポータルサイトやベンダの情報で同じ番号を使うことで，製品に含まれる同一の脆弱性であることを識別できる。ウが正しい。

アのセキュリティ設定項目を識別するのは CCE（共通セキュリティ設定一覧）である。イの改ざんされた Web サイトのスクリーンショットや，エのセキュリティ製品の種別を識別するものは，CVE の役割ではない。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8（表記を一部改変）

用語解説：脆弱性の管理と検査（CVE・CVSS・ファジング）

問9

サイバー情報共有イニシアティブ（J-CSIP）の説明として，適切なものはどれか。

正解　エ

解説

J-CSIP（サイバー情報共有イニシアティブ）は，IPA が中心となり，重要インフラ業界などの参加組織との間で秘密保持契約を結び，標的型サイバー攻撃などに関する情報を共有して，高度なサイバー攻撃対策につなげる取組である。エが適切である。

アの参加組織間で相互に情報セキュリティ監査を行う取組，イの参加組織のデータを相互にバックアップする取組，ウのセキュリティ製品の有効性の情報を取りまとめて公開する取組は，J-CSIP の説明ではない。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問9（表記を一部改変）

問10

DNS において DNS CAA（Certification Authority Authorization）レコードを使うことによるセキュリティ上の効果はどれか。

正解　エ

解説

DNS CAA レコードは，そのドメインのサーバ証明書を発行してよい認証局をドメインの管理者が DNS に指定しておくためのレコードである。認証局は証明書を発行する前に CAA レコードを確認し，自らが指定されていなければ発行しないので，許可していない認証局による不正なサーバ証明書の発行を防げる。エが正しい。

アの鍵マークの表示は HTTPS で接続していることを示すだけで，サイトが安全であることの保証ではなく，CAA レコードの効果でもない。イの URL の短縮や，ウのスパムメールと誤検知されないようにすること（SPF や DKIM などの役割）は，CAA レコードとは関係がない。

DNS CAA レコード ドメインの管理者は，そのドメインのサーバ証明書を発行してよい認証局を CAA レコードで DNS に書いておく。認証局は発行の前に CAA レコードを確かめ，自分が書かれていなければ発行しない。許可していない認証局による不正なサーバ証明書の発行を防げる。 example.jp の DNS CAA：issue "ca-a" 認証局 ca-a 認証局 ca-b ca-a は発行できる ca-b は発行しない 発行の前に確かめる 許可していない認証局による不正な証明書を防ぐ
発行してよい認証局を DNS で指定する

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（表記を一部改変）

問11

セキュリティ対策として，CASB（Cloud Access Security Broker）を利用した際の効果はどれか。

正解　エ

解説

CASB（Cloud Access Security Broker）は，組織の利用者とクラウドサービスの間に置かれ，利用者が使っているクラウドサービスの利用状況の可視化，データセキュリティ，脅威の防御，コンプライアンスの確保などを行う仕組みである。組織の管理者は，利用されている全てのクラウドサービスを把握し，許可を得ずにクラウドサービスを利用している者（シャドー IT）を特定できる。エが正しい。

ア，イはクラウドサービスプロバイダ自身が行う DDoS 攻撃対策や入退室管理である。ウの利用しているクラウドサービスに対する脆弱性診断は，CASB の機能ではない。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11（表記を一部改変）

問12

安全な Web アプリケーションの作り方について，攻撃と対策の適切な組合せはどれか。

正解　ア

解説

SQL インジェクションは，入力値に SQL の一部を紛れ込ませて意図しない SQL 文を実行させる攻撃である。静的プレースホルダを使うと，SQL 文の構造があらかじめ確定し，入力値は常に値として扱われるので，攻撃を根本的に防げる。アが適切である。

イは誤りで，任意の外部サイトのスタイルシートを取り込めるようにすると，かえってクロスサイトスクリプティングなどの危険が増す。ウは誤りで，クロスサイトリクエストフォージェリの対策は秘密のトークンの確認などであり，GET メソッドを使うことは対策にならない。エは誤りで，セッション ID を固定するとセッションハイジャックの危険が高まり，ログイン後に新しいセッション ID を発行するなどの対策が必要である。

SQL インジェクションとプレースホルダ 入力を文字列としてつなげて SQL 文を作ると，入力の「' OR '1'='1」が文の一部になり，条件が常に真になって全員の行が返る。プレースホルダを使うと SQL 文の形が先に決まり，入力はまるごと1つの値として当てはめられるので，命令として解釈されない。 文字列をつなげて SQL 文を作ると 入力：' OR '1'='1 SELECT * FROM 会員 WHERE id = '' OR '1'='1' 入力の引用符で文が閉じ，OR 以下が条件に加わる → 常に真で全員分が返る プレースホルダを使うと SELECT * FROM 会員 WHERE id = ? 形が先に決まる ' OR '1'='1 ← 1つの値として入る 入力 「id が ' OR '1'='1 の会員」を探すだけになる
根本の対策は，SQL 文の形を先に確定させるプレースホルダ

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問12（表記を一部改変）

用語解説：インジェクション攻撃（SQL・OS コマンド）　XSS・CSRF・クリックジャッキング

問13

マルウェアの検出手法であるビヘイビア法を説明したものはどれか。

正解　エ

解説

ビヘイビア法（動的ヒューリスティック法）は，検査対象のプログラムの振る舞いを監視し，マルウェアの感染や発病によって生じるファイルの書込み動作の異常や通信量の異常な増加などの変化を検知して感染を検出する手法である。未知のマルウェアも検出できる可能性がある。エが正しい。

アの定義ファイルのパターンと照合する手法はパターンマッチング法（シグネチャ法）である。イは感染していないことを保証する情報を付けておき不整合を調べるチェックサム法（インテグリティチェック法），ウは原本と比較するコンペア法の説明である。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13（表記を一部改変）

用語解説：ハッシュ関数　マルウェア（ルートキット・ポリモーフィック型・ビヘイビア法）

問14

インターネットサービスプロバイダ（ISP）が，OP25B を導入する目的の一つはどれか。

正解　イ

解説

OP25B（Outbound Port 25 Blocking）は，ISP が自社の管理下のネットワーク（主に動的 IP アドレスを割り当てた利用者）から，ISP のメールサーバを経由せずに外部のメールサーバの TCP ポート 25 番へ直接送られる通信を遮断する仕組みである。ボットに感染した PC などが外部へ直接スパムメールを送信することを制限できる。イが該当する。

OP25B は ICMP パケットではなく SMTP のポート 25 番を対象とするので，ア・ウは当たらない。エのように外部から ISP の管理下に送られてくるスパムメールを制限するものは，受信側での対策であり，送信方向（Outbound）を制限する OP25B の目的ではない。

OP25B とサブミッションポート，IP25B ISP A の動的 IP アドレスの PC が，宛先のメールサーバへ25番ポートで直接送る通信は，ISP A の出口で止められる（OP25B）。PC は自分の ISP のメールサーバへサブミッションポート（587番）で接続し，SMTP-AUTH で認証を受けてから送る。メールサーバどうしの転送は25番を使う。IP25B は，他社 ISP の動的 IP アドレスから自社のメールサーバへ入ってくる25番の通信を止める。 ISP A のネットワーク PC 動的 IP アドレス ISP A の メールサーバ 宛先の メールサーバ 587番 SMTP-AUTH 25番 25番で直接送る OP25B IP25B：入ってくる側で止める 他社 ISP の PC 動的 IP アドレス ISP A の メールサーバ 25番で直接届けようとする通信を止める
OP25B は自社の動的 IP から外へ出る25番を，IP25B は他社の動的 IP から入ってくる25番を止める

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14（表記を一部改変）

問15

HSTS（HTTP Strict Transport Security）の説明はどれか。

正解　ア

解説

HSTS（HTTP Strict Transport Security）は，Web サーバが HTTPS の応答に Strict-Transport-Security ヘッダを付けて指定した期間，Web ブラウザがそのサイトへのアクセスを強制的に HTTPS で行うようにする仕組みである。利用者が HTTP の URL でアクセスしようとしても，ブラウザが HTTPS に切り替えて接続するので，HTTP の通信を狙った盗聴や改ざんを防げる。アが適切である。

イの他のオリジンのリソースへのアクセスを制限するのは同一オリジンポリシーである。ウの HTTPS の場合にだけ cookie を送信するのは cookie の Secure 属性の働きで，cookie の属性によらず強制的に送信するものではない。エの鍵マークの表示は，HTTPS で接続したときの Web ブラウザの表示である。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15（表記を一部改変）

用語解説：TLS（SSL）

問16

内部ネットワークにある PC からインターネット上の Web サイトを参照するときは，DMZ にある VDI（Virtual Desktop Infrastructure）サーバ上の仮想マシンに PC からログインし，仮想マシン上の Web ブラウザを必ず利用するシステムを導入する。インターネット上の Web サイトから内部ネットワークにある PC へのマルウェアの侵入，及びインターネット上の Web サイトへの PC 内のファイルの流出を防止する効果を得るために必要な条件はどれか。

正解　イ

解説

この仕組みでは，インターネット上の Web サイトとの通信は，DMZ の VDI サーバ上の仮想マシンの Web ブラウザが行う。PC と VDI サーバの間で画面転送プロトコルだけを利用すれば，PC には仮想マシンの画面の情報だけが送られ，Web サイトから取得したファイルは PC に届かない。また，PC のファイルを VDI サーバに渡せないので，Web サイトへ流出させることもできない。イが必要な条件である。

アのファイル転送も利用すると，マルウェアを含むファイルが PC に持ち込まれたり，PC のファイルが持ち出されたりする。ウの VDI サーバが HTTP 通信を中継すると，PC が直接 Web サイトと通信するのと変わらない。エの VDI サーバが画面転送プロトコルを中継するだけでは，仮想マシン上の Web ブラウザを使う仕組みにならない。

VDI による Web 分離 社内の PC からは直接インターネットの Web を見ず，仮想デスクトップ（VDI）サーバ上のブラウザで閲覧する。PC には画面の情報だけが届き，Web から落としたファイルや実行されたマルウェアは VDI 側にとどまるので，社内の PC や社内ネットワークに広がりにくい。 社内 PC VDI サーバ ブラウザが動く Web 画面だけ が届く マルウェアはここに とどまる Web の中身は PC に来ない
PC に届くのは画面だけ。危ないものは VDI の中にとどまる

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16（表記を一部改変）

用語解説：ファイアウォールと DMZ

問17

RFC 8110 に基づいたものであり，公衆無線 LAN などでパスフレーズなどでの認証なしに，端末とアクセスポイントとの間の無線通信を暗号化するものはどれか。

正解　ア

解説

Enhanced Open は，Wi-Fi Alliance が RFC 8110（Opportunistic Wireless Encryption）に基づいて策定した方式で，公衆無線 LAN のようなパスフレーズなどによる認証のないネットワークでも，端末とアクセスポイントの間で鍵交換を行い，無線通信を暗号化する。アが正しい。

イの FIDO2 とウの WebAuthn は，パスワードを使わない Web の認証の仕様である。エの WPA3 は無線 LAN のセキュリティ規格で，パスフレーズや IEEE 802.1X による認証を伴う方式である。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問17（表記を一部改変）

用語解説：パスキーと FIDO2（パスワードレス認証）　無線 LAN（WPA2・WPA3・CSMA/CA）

問18

ETSI（欧州電気通信標準化機構）が提唱する NFV（Network Functions Virtualisation）に関する記述のうち，適切なものはどれか。

正解　ウ

解説

NFV（Network Functions Virtualisation）は，ルータ，ファイアウォール，ロードバランサなど，従来は専用のハードウェアで実現していたネットワーク機能を，汎用サーバ上の仮想マシンで動くソフトウェアとして実現する技術である。ウが適切である。

アの SDN はネットワークの制御をソフトウェアで集中的に行う考え方で，NFV とは別の技術であり，NFV は SDN を用いることを前提としていない。イの OpenFlow は SDN を実現するプロトコルで，NFV の説明ではない。エの専用機器を使って VLAN や VPN を実現するのは従来の仮想ネットワークで，機能を汎用サーバ上のソフトウェアに置き換える NFV とは異なる。

NFV：専用機器の機能を汎用サーバの仮想マシンへ NFV（Network Functions Virtualisation）は，ルータ，ファイアウォール，ロードバランサなど，これまで専用のハードウェアで実現していたネットワーク機能を，汎用サーバ上の仮想マシンで動くソフトウェアとして実現する。SDN（ネットワークの制御を集中してソフトウェアで行う）とは別の技術。 これまで：専用機器 ルータ FW LB NFV：汎用サーバ ルータ VM FW VM LB VM 仮想化の基盤 汎用サーバ 機能の追加・変更がソフトウェアの入替えで済む SDN・OpenFlow は制御の集中化で，NFV とは別
ネットワーク機能を汎用サーバ上のソフトウェアに置き換える

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問18（表記を一部改変）

用語解説：ファイアウォールと DMZ　VPN・IPsec　スパニングツリー・VLAN・リンクアグリゲーション

問19

スイッチングハブ同士を接続する際に，複数のポートを束ねて一つの論理ポートとして扱う技術はどれか。

正解　エ

解説

リンクアグリゲーションは，スイッチ間の複数の物理ポートを束ねて1つの論理ポートとして扱う技術。帯域を増やせるうえ，一部のリンクが切れても通信を継続できる。

アの MIME は電子メールで多様なデータを扱うための規格，イの MIMO は無線通信で複数のアンテナを使う技術，ウのマルチパートは MIME で複数の本文を含める形式。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問19（表記を一部改変）

用語解説：スパニングツリー・VLAN・リンクアグリゲーション

問20

IPv4 ネットワークにおける IP アドレス 127.0.0.1 に関する記述として，適切なものはどれか。

正解　ウ

解説

127.0.0.1 はループバックアドレスで，自分自身のコンピュータを指す。宛先を 127.0.0.1 にしたパケットはネットワークに送り出されず，同じコンピュータ上で動作するプログラム同士の通信などに使われる。ウが適切である。

アの DHCP が使用できないときに自動生成されるのは，169.254.0.0/16 のリンクローカルアドレスである。イの全ホストに対するブロードキャストアドレスは 255.255.255.255 である。エのデフォルトゲートウェイには，同じネットワーク上のルータのアドレスを設定する。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問20（表記を一部改変）

用語解説：サブネットマスク・CIDR

問21

複数のバッチ処理を並行して動かすとき，デッドロックの発生をできるだけ回避したい。バッチ処理の設計ガイドラインのうち，適切なものはどれか。

正解　エ

解説

デッドロックは，複数のトランザクションが互いに相手がロックしている資源のロック解除を待ち続ける状態である。全てのバッチ処理がレコードにロックを掛ける順番を同じにしておけば，待ちが循環しなくなるので，デッドロックの発生を防げる。エが適切である。

アの参照するレコードにも専有ロックを掛けると，ロックの範囲が広がって待ちが増え，デッドロックが起きやすくなる。イの大量データを一つのトランザクションにまとめると，ロックを長時間保持することになり，他の処理との競合が増える。ウのロックに失敗したレコードに再度ロックを掛けるだけでは，ロックを取得する順番が処理ごとにばらばらなので，デッドロックを避けられない。

資源を獲得する順番とデッドロック タスク1が資源1→資源2，タスク2が資源2→資源1の逆の順番で獲得すると，タスク1が資源1を持って資源2を待ち，タスク2が資源2を持って資源1を待つ状態になり，どちらも進めない。両方のタスクが資源1→資源2の同じ順番で獲得すれば，先に資源1を得たタスクが資源2も得て終わり，もう一方はそれを待ってから進む。 逆の順番（1→2 と 2→1） タスク1 タスク2 資源1 資源2 互いに相手の資源を待つ → デッドロック 実線：持つ　破線：待つ 同じ順番（どちらも 1→2） タスク1 タスク2 資源1 資源2 タスク2は資源1を待つだけ → タスク1が終われば進める 実線：持つ　破線：待つ
獲得の順番を全てのタスクでそろえれば，待ち合いの輪ができない

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問21（表記を一部改変）

用語解説：排他制御とデッドロック（ACID 特性）

問22

JIS X 25010:2013（システム及びソフトウェア製品の品質要求及び評価（SQuaRE）−システム及びソフトウェア品質モデル）で定義されたシステム及び／又はソフトウェア製品の品質特性に関する説明のうち，適切なものはどれか。

正解　ア

解説

JIS X 25010:2013 は，機能適合性を“明示された状況下で使用するとき，明示的ニーズ及び暗黙のニーズを満足させる機能を，製品又はシステムが提供する度合い”と定義している。アが適切である。

イの“明記された状態（条件）で使用する資源の量に関係する性能の度合い”は性能効率性の定義である。ウの“有効性，効率性及び満足性をもって明示された目標を達成するために，明示された利用者が製品又はシステムを利用することができる度合い”は使用性の定義（利用時の品質に関する記述）であり，エの“明示された時間帯で，明示された条件下に，システム，製品又は構成要素が明示された機能を実行する度合い”は信頼性の定義である。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問22（表記を一部改変）

用語解説：JIS X 25010（システム及びソフトウェア品質モデル）

問23

エクストリームプログラミング（XP：eXtreme Programming）における“テスト駆動開発”の特徴はどれか。

正解　エ

解説

テスト駆動開発は，プログラムを書く前に，そのプログラムが満たすべき振る舞いを確かめるテストコードを先に記述し，そのテストに合格するように最小限のコードを書き，リファクタリングで整えるという手順を短く繰り返す開発手法である。エが正しい。

アの最初のテストで多くのバグを摘出すること，イのテストケースの改善を繰り返すこと，ウのカバレージを高めることを目的とすることは，テスト駆動開発の特徴ではない。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問23（表記を一部改変）

用語解説：アジャイル開発（スクラム・XP）　テスト技法（ブラックボックス・ホワイトボックス）

問24

ディスク障害時に，フルバックアップを取得してあるテープからディスクにデータを復元した後，フルバックアップ取得時以降の更新後コピーをログから反映させてデータベースを回復する方法はどれか。

正解　エ

解説

ロールフォワードは，媒体障害などでデータベースが失われたときに，バックアップから復元した後，バックアップ取得以降のログに記録された更新後の値（更新後コピー）を反映させて，障害直前の状態までデータベースを回復する方法である。エが正しい。

ウのロールバックは，ログの更新前の値を使って，トランザクション開始前の状態に戻す方法である。アのチェックポイントリスタートは，チェックポイントの時点から処理を再開する方法で，イのリブートはシステムを再起動することである。

媒体障害からの回復 媒体障害ではディスクの内容そのものが失われる。まずバックアップからデータベースを復元し，バックアップを取った後にコミットしたトランザクションを，ログの更新後情報で順に反映して（ロールフォワードして）障害の直前まで戻す。 バックアップ T1 コミット T2 コミット T3 コミット 媒体障害 ② 更新後ログで T1〜T3 をロールフォワード ① 復元
バックアップで「その時点」に戻し，更新後ログで「障害の直前」まで進める

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問24（表記を一部改変）

用語解説：障害回復（ロールバック・ロールフォワード）

問25

ソフトウェア開発プロセスにおけるセキュリティを確保するための取組について，JIS Q 27001:2014（情報セキュリティマネジメントシステム−要求事項）の附属書 A の管理策に照らして監査を行った。判明した状況のうち，監査人が，監査報告書に指摘事項として記載すべきものはどれか。

正解　ア

解説

JIS Q 27001:2014 の附属書 A の管理策では，開発期間中にセキュリティ機能の試験を行わなければならないとしている。セキュリティ機能の試験を開発期間が終了した後に実施しているのは，管理策に沿っていないので，指摘事項として記載すべきである。アが正しい。

イのセキュリティに配慮した開発環境での開発，ウの外部委託先の開発活動の監督・監視でのセキュリティの考慮，エのパッケージソフトウェアの変更を必要な変更に限定することは，いずれも附属書 A の管理策に沿った状況で，指摘事項には当たらない。

出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25（表記を一部改変）

用語解説：JIS Q 27000 シリーズ（情報セキュリティマネジメント）　システム監査（監査手続・監査証拠・フォローアップ）