令和5年度 春期 情報処理安全確保支援士試験 午後Ⅰ 問題 問3 IDaaSとクラウドプロキシによる在宅勤務ネットワーク設計
この問題は2023(R5)春 情報処理安全確保支援士 午後Iに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
学習ガイド
SaaSとIDaaSを利用する製造業へ、在宅勤務用のクラウドプロキシを導入する設計問題です。変更前後の通信経路を比べ、SAML認証、送信元制限、多要素認証の役割を整理します。URL単位の許可とカテゴリ単位の禁止は、先に一致するルールの順序から読み解きます。本文・表・図の根拠を行き来し、用語だけを暗記するのではなく、短い記述にも判断の理由を残して解答する手順を示します。
この記事で押さえる論点
- SP-Initiated方式のSAML認証で、ブラウザ・SP・IdPの間を流れる要求と応答の順序を説明できる
- IDaaSの送信元IP制限がフィッシングで漏れた資格情報の悪用を防ぐ仕組みと、その前提が崩れる条件を整理する
- TLS通信を復号するマルウェアスキャンに必要な証明書の配置(発行するCAの証明書をルートとして信頼させる)を理解する
- 表2の要件1から要件5を表3の機能に対応付け、順序依存のURLフィルタリングルールを設計できる
出題情報
- 出題
- 2023(R5)春 情報処理安全確保支援士 午後I 問3
- 配点
- 50点満点
- 模範解答
- 公表(設問ごとに掲載)
出題趣旨・採点講評(IPA 公表)
昨今，オンプレミスシステムと比較した拡張性や運用性の高さから，クラウドサービスの導入が進んでいる。一方，クラウドサービスを安全に運用するためには，セキュリティ対策を十分に検討する必要がある。本問では，クラウドサービスの導入を題材として，与えられた要件に基づいてネットワーク構成及びセキュリティを設計する能力を問う。
問3では，クラウドサービスの導入を題材に，プロキシのクラウドサービスへの移行に伴うネットワーク構成の見直しについて出題した。全体として正答率は平均的であった。
問題本文
問3 クラウドサービス利用に関する次の記述を読んで，設問に答えよ。
Q社は，従業員1,000名の製造業であり，工場がある本社及び複数の営業所から成る。Q社には，営業部，研究開発部，製造部，総務部，情報システム部がある。Q社のネットワークは，情報システム部のK部長とS主任を含む6名で運用している。
Q社の従業員にはPC及びスマートフォンが貸与されている。PCの社外持出しは禁止されており，PCのWebブラウザからインターネットへのアクセスは，本社のプロキシサーバを経由する。Q社では，業務でSaaS-a, SaaS-b, SaaS-c, SaaS-dという四つのSaaS，及びLサービスというIDaaSを利用している。Q社のネットワーク構成を図1に，図1中の主な構成要素並びにその機能概要及び設定を表1に示す。
図の説明テキスト
「図1 Q社のネットワーク構成」の図。インターネット上にSaaS-a 注1)、SaaS-b 注2)、SaaS-c 注3)、SaaS-d 注4)、Lサービスが配置されている。本社には、DMZ（DNSサーバ、プロキシサーバ、メールサーバ）、サーバセグメント（業務サーバ、認証サーバ）、PCセグメント（L2SWを介したPC群）、工場セグメントがあり、本社UTMを経由してインターネットへ接続される。営業所にもPC群が配置され、UTMを経由してインターネットに接続される。
注1) 外部ストレージサービス。URLは https://△△△-a.jp/ で始まる。
注2) 営業支援サービス。URLは https://○○○-b.jp/ で始まる。
注3) 経営支援サービス。URLは https://□□□-c.jp/ で始まる。
注4) Web会議サービス。URLは https://●●●-d.jp/ で始まる。
四つのSaaSのうち、SaaS-aは研究開発部の従業員が利用し、それ以外のSaaSは全従業員が利用する。
図の説明テキスト
| 構成要素 | 機能名 | 機能概要 | 設定 |
|---|---|---|---|
| 認証サーバ | 認証機能 | 従業員がPCにログインする際，利用者IDとパスワードを用いて従業員を認証する。 | 有効 |
| プロキシサーバ | プロキシ機能 | PCからインターネット上のWebサーバへのHTTP及びHTTPS通信を中継する。 | 有効 |
図の説明テキスト
| 構成要素 | 機能名 | 機能概要 | 設定 |
|---|---|---|---|
| L サービス | SaaS 連携機能 | SAMLで各 SaaS と連携する。 | 有効 |
| 送信元制限機能 | 契約した顧客が設定した IP アドレス1)からのアクセスだけを許可する。それ以外のアクセスの場合，拒否するか，L サービスの多要素認証機能を動作させるかを選択できる。 | 有効2) | |
| 多要素認証機能 | 次のいずれかの認証方式を，利用者 ID とパスワードによる認証方式と組み合わせる。 （ア）スマートフォンに SMS でワンタイムパスワードを送り，それを入力させる方式 （イ）TLS クライアント認証を行う方式 |
無効 | |
| 四つの SaaS | IDaaS 連携機能 | SAMLで IDaaS と連携する。 | 有効 |
| UTM | ファイアウォール機能 | ステートフルパケットインスペクション型であり，IP アドレス，ポート，通信の許可と拒否のルールによって通信を制御する。 | 有効3) |
| NAT 機能 | （省略） | 有効 | |
| VPN 機能 | IPsec によるインターネット VPN 通信を行う。拠点間 VPN 通信を行うこともできる。 | 有効4) |
注1) IP アドレスは，複数設定できる。
注2) 本社の UTM のグローバル IP アドレスを送信元 IP アドレスとして設定している。設定している IP アドレス以外からのアクセスは拒否する設定にしている。
注3) インターネットからの通信で許可されているのは，本社の UTM では DMZ のサーバへの通信及び営業所からの VPN 通信だけであり，各営業所の UTM では一つも許可していない。
注4) 本社の UTM と各営業所の UTM との間で VPN 通信の設定にしている。そのほかの VPN 通信の設定はしていない。
〔Lサービスの動作確認〕
Q社のPCがSaaS-aにアクセスするときの，SP-Initiated方式のSAML認証の流れを図2に示す。
図の説明テキスト
SAML認証の流れを示すシーケンス図。
上部に空欄のノード「a」「b」「c」が左から順に並び、それぞれから下へライフラインが伸びている。
メッセージのやり取りは以下の順で行われる：
(1) サービス要求：ノードcからノードbへ
(2) 認証要求（リダイレクト指示）：ノードbからノードcへ
(3) 認証要求：ノードcからノードaへ
(4) 利用者の認証：ノードaとノードcの間で双方向矢印
(5) 認証応答（リダイレクト指示）：ノードaからノードcへ
(6) 認証応答：ノードcからノードbへ
(7) サービス応答：ノードbからノードcへ
ある日，同業他社のJ社において，SaaS-aの偽サイトに誘導されるというフィッシング詐欺にあった結果，SaaS-aに不正アクセスされるという被害があったと報道された。しかし，Q社の設定では，仮に，同様のフィッシング詐欺のメールを受けてSaaS-aの偽サイトにLサービスの利用者IDとパスワードを入力してしまう従業員がいたとしても，①攻撃者がその利用者IDとパスワードを使って社外からLサービスを利用することはできない。したがって，S主任は，報道と同様の被害にQ社があうおそれは低いと考えた。
〔在宅勤務導入における課題〕
Q社は，全従業員を対象に在宅勤務を導入することになった。そこで，リモート接続用PC（以下，R-PCという）を貸与し，各従業員宅のネットワークから本社のサーバにアクセスしてもらうことにした。しかし，在宅勤務導入によって新たなセキュリティリスクが生じること，また，本社への通信が増えて本社のインターネット回線がひっ迫することが懸念された。そこで，K部長は，ネットワーク構成を見直すことにし，その要件を表2にまとめた。
図の説明テキスト
| 要件 | 内容 |
|---|---|
| 要件1 | 本社のインターネット回線をひっ迫させない。 |
| 要件2 | Lサービスに接続できるPCを，本社と営業所のPC及びR-PCに制限する。なお，従業員宅のネットワークについて，前提を置かない。 |
| 要件3 | R-PCから本社のサーバにアクセスできるようにする。ただし，UTMのファイアウォール機能には，インターネットからの通信を許可するルールを追加しない。 |
| 要件4 | HTTPS通信の内容をマルウェアスキャンする。 |
| 要件5 | SaaS-a以外の外部ストレージサービスへのアクセスは禁止とする。また，SaaS-aへのアクセスは業務で必要な最小限の利用者に限定する。 |
K部長がベンダーに相談したところ，R-PC，社内，クラウドサービスの間の通信を中継するP社のクラウドサービス（以下，Pサービスという）の紹介があった。Pサービスには，次のいずれかの方法で接続する。
- IPsecに対応した機器を介して接続する方法
- PサービスのエージェントソフトウェアをR-PCに導入し，当該ソフトウェアによって接続する方法
Pサービスの主な機能を表3に示す。
図の説明テキスト
| 項番 | 機能名 | 機能概要 |
|---|---|---|
| 1 | Lサービス連携機能 | ・R-PCからPサービスを経由してアクセスするSaaSでの認証を、LサービスのSaaS連携機能及び多要素認証機能を用いて行うことができる。 ・Lサービスの送信元制限機能には、Pサービスに接続してきた送信元のIPアドレスが通知される。 |
| 2 | マルウェアスキャン機能 | ・送信元からのTLS通信を終端し、復号してマルウェアスキャンを行う。マルウェアスキャンの完了後、再暗号化して送信先に送信する。これを実現するために、 d を発行する e を、 f として、PCにインストールする。 |
| 3 | URLカテゴリ単位フィルタリング機能 | ・アクセス先のURLカテゴリと利用者IDとの組みによって、“許可”又は“禁止”のアクションを適用する。 ・URLカテゴリには、ニュース、ゲーム、外部ストレージサービスなどがある。 ・各URLカテゴリに含まれるURLのリストは、P社が設定する。 |
| 4 | URL単位フィルタリング機能 | ・アクセス先のURLのスキームからホストまでの部分 1) と利用者IDとの組みによって、“許可”又は“禁止”のアクションを適用する。 |
| 5 | 通信可視化機能 | ・中継する通信のログを基に、クラウドサービスの利用状況の可視化を行う。本機能は、 g の機能の一つである。 |
| 6 | リモートアクセス機能 | ・Pコネクタ 2) を社内に導入することによって、社内と社外の境界にあるファイアウォールの設定を変更せずに社外から社内にアクセスできる。 |
注 1) https://▲▲▲.■■■/ のように、“ https:// ”から最初の“ / ”までを示す。
注 2) P社が提供する通信機器である。PコネクタとPサービスとの通信は、PコネクタからPサービスに接続を開始する。
K部長は，Pサービスの導入によって表2の要件を満たすネットワーク構成が可能かどうかを検討するようにS主任に指示した。
〔ネットワーク構成の見直し〕
S主任は，Pサービスを導入する場合のQ社のネットワーク構成を図3に，表2の要件を満たすためのネットワーク構成の見直し案を表4にまとめて，表2の要件を満たすネットワーク構成が可能であることをK部長に説明した。
図の説明テキスト
インターネットを中心に各要素が接続されている。
インターネットには「SaaS-a」「SaaS-b」「SaaS-c」「SaaS-d」「Lサービス」「Pサービス」が接続されている。PサービスとSaaS-aは太枠で囲まれている。
「R-PC」がインターネットに接続し、各サービスにアクセスする点線が描かれている。
本社ネットワークは「DMZ」「PCセグメント」「工場セグメント」「サーバセグメント」から構成される。
DMZには「DNSサーバ」「Pコネクタ（太枠）」「メールサーバ」があり、これらが「L2SW」に接続され、L2SWは本社の「UTM」に接続されている。
PCセグメントの「PC」、サーバセグメントの「業務サーバ」「認証サーバ」もそれぞれL2SWを経由して本社のUTMに接続されている。
工場セグメントも本社ネットワークに属している。本社のUTMはインターネットに接続されている。
営業所ネットワークには「UTM」「L2SW」「Pコネクタ（太枠）」「PC」があり、PCとPコネクタがL2SWに接続され、L2SWはUTM経由でインターネットに接続されている。
右下に「注記 太枠の箇所を追加」と記述されている。
図の説明テキスト
| 要件 | ネットワーク構成の見直し内容 |
|---|---|
| 要件1 | ・②営業所からインターネットへのアクセス方法を見直す。 ・Lサービスでの送信元制限機能は有効にしたまま，③営業所から L サービスにアクセスできるように設定を追加する。 |
| 要件2 | ・表3の項番1の機能を使う。 ・Lサービスでの送信元制限機能において，Q社が設定した IP アドレス以外からのアクセスに対する設定を変更する。さらに，多要素認証機能を有効にして，④方式を選択する。 |
| 要件3 | ・表3の項番 h の機能を使う。 |
| 要件4 | ・表3の項番 i の機能を使う。 |
| 要件5 | ・表3の項番3及び項番4の機能を使って，表5に示す設定を行う。 |
図の説明テキスト
| 番号 | 表3の項番 | URLカテゴリ又はURL | 利用者ID | アクション |
|---|---|---|---|---|
| 1 | あ | j | k の利用者ID | l |
| 2 | い | m | n の利用者ID | o |
注記 番号の小さい順に最初に一致したルールが適用される。
その後，表4のネットワーク構成の見直し案が上層部に承認され，Pサービスの導入と新しいネットワーク構成への変更が行われ，6か月後に在宅勤務が開始された。
設問と解答・解説
設問1
〔Lサービスの動作確認〕について答えよ。
(1)
図2中の a に入れる適切な字句を，解答群の中から選び，記号で答えよ。
模範解答
選択肢ア: Lサービス
配点 2点
解説
正解の根拠
正解は ア です。クラウドサービスの導入におけるLサービスの動作確認において、通信の送信元となるシステムを特定する設問です。本構成では、Lサービスから応答や確認の通信が送出されるため、空欄aには送信元であるLサービスが該当します。
各選択肢の解説
ア (Lサービス): 通信の送信元として正解です。
イ (PCのWebブラウザ): 通信の宛先として機能するため誤りです。
ウ (SaaS-a): 連携先サービスであり、この通信の直接の起点ではないため誤りです。
(2)
図2中の b に入れる適切な字句を，解答群の中から選び，記号で答えよ。
模範解答
選択肢イ: PCのWebブラウザ
配点 2点
解説
正解の根拠
正解は イ です。Lサービスから送出された通信の宛先として、利用者の端末であるPCのWebブラウザが該当します。空欄bには通信の到達点が入ります。
各選択肢の解説
ア (Lサービス): 通信の送信元であるため誤りです。
イ (PCのWebブラウザ): 正解です。宛先として適切です。
ウ (SaaS-a): ここでは通信の直接の宛先ではないため誤りです。
(3)
図2中の c に入れる適切な字句を，解答群の中から選び，記号で答えよ。
模範解答
選択肢ウ: SaaS-a
配点 2点
解説
正解の根拠
正解は ウ です。Lサービスが連携して動作確認を行う対象のクラウドサービスが空欄cに該当します。文脈からSaaS-aへの連携通信であることが分かります。
各選択肢の解説
ア (Lサービス): 送信元のため誤りです。
イ (PCのWebブラウザ): クライアント側のため誤りです。
ウ (SaaS-a): 正解です。連携先サービスとして適切です。
(4)
本文中の下線①について，利用できない理由を，40字以内で具体的に答えよ。
模範解答
送信元制限機能で，本社のUTMからのアクセスだけを許可しているから
採点基準(配点 2点)
知識・理解度（内容）(1点)
- 1点: Lサービスが利用できない原因が送信元制限機能にあることを正しく理解して記述している。
- 0点: 原因を正しく理解していない。
論理性（構造）(1点)
- 1点: 本社のUTMからのアクセスのみが許可されているという事実を論理的に構成している。
- 0点: 論理構成が不十分である。
解説
正解の根拠
Lサービスが利用できない理由は、ネットワーク構成上、アクセス元のIPアドレスに基づく制限がかけられているためです。
高得点のポイント
送信元制限機能 が原因であることを明記しているか。
本社のUTMからのアクセス のみが許可されている状況を正確に記述しているか。
設問2
〔在宅勤務導入における課題〕について答えよ。
(1)
表3中の d に入れる適切な字句を，解答群の中から選び，記号で答えよ。
模範解答
選択肢ア: Pサービスのサーバ証明書
配点 2点
解説
正解の根拠
正解は ア です。在宅勤務導入において、プロキシサービス(Pサービス)を経由したSSL/TLS通信のインスペクションを行う際、PCのWebブラウザは経由地であるPサービスから提示される証明書の真正性を確認する必要があります。空欄dには、検証の対象となる「Pサービスのサーバ証明書」が入ります。
各選択肢の解説
ア (Pサービスのサーバ証明書): 正解です。検証の対象となる証明書です。
イ (信頼されたルート証明書): 検証に用いるPC側のトラストストアにある証明書のため誤りです。
ウ (認証局の証明書): 署名元として確認する対象ですが、検証の起点となるサーバ証明書ではないため誤りです。
(2)
表3中の e に入れる適切な字句を，解答群の中から選び，記号で答えよ。
模範解答
選択肢ウ: 認証局の証明書
配点 2点
解説
正解の根拠
正解は ウ です。PCのWebブラウザがサーバ証明書の正当性を確認する際、その証明書に署名した認証局の正当性をチェーンを通じて確認します。空欄eには「認証局の証明書」が入ります。
各選択肢の解説
ア (Pサービスのサーバ証明書): 検証の対象そのもののため誤りです。
イ (信頼されたルート証明書): 最終的な検証の拠り所となる証明書のため誤りです。
ウ (認証局の証明書): 正解です。中間CA等の認証局証明書として検証に使用されます。
(3)
表3中の f に入れる適切な字句を，解答群の中から選び，記号で答えよ。
模範解答
選択肢イ: 信頼されたルート証明書
配点 2点
解説
正解の根拠
正解は イ です。証明書の検証プロセスにおいて、最終的にPCにあらかじめインストールされているルート証明書と照合して信頼性を担保します。空欄fには「信頼されたルート証明書」が入ります。
各選択肢の解説
ア (Pサービスのサーバ証明書): 検証対象のため誤りです。
イ (信頼されたルート証明書): 正解です。トラストアンカーとして使用されます。
ウ (認証局の証明書): 中間証明書などの意味合いが強く、端末に登録された根本の信頼情報としては不十分です。
(4)
表3中の g に入れる適切な字句を，解答群の中から選び，記号で答えよ。
模範解答
選択肢イ: CASB
配点 2点
解説
正解の根拠
正解は イ です。クラウドサービスの利用状況を可視化し、一元的なセキュリティ制御を行うソリューションはCASB (Cloud Access Security Broker) です。
各選択肢の解説
ア (CAPTCHA): ボット判別技術のため誤りです。
イ (CASB): 正解です。クラウドの可視化と制御を担います。
ウ (CHAP): PPPの認証プロトコルのため誤りです。
エ (CVSS): 脆弱性評価システムのため誤りです。
オ (クラウドWAF): Webアプリケーション保護に特化しており、利用状況の可視化全般を担うものではないため誤りです。
設問3
〔ネットワーク構成の見直し〕について答えよ。
(1)
表4中の下線②について，見直し前と見直し後のアクセス方法の違いを，30字以内で答えよ。
模範解答
プロキシサーバではなく，Pサービスを経由させる。
採点基準(配点 3点)
知識・理解度（内容）(2点)
- 2点: 見直しによって通信経路がプロキシサーバからPサービスに変わることを明確に理解している。
- 1点: 通信経路の変更について理解しているが、対比などの記述が不十分である。
- 0点: 見直し前後の経路の違いを正しく理解していない。
論理性（構造）(1点)
- 1点: プロキシサーバを経由しないこと、Pサービスを経由することが対比として論理的に示されている。
- 0点: 対比や経路の説明が論理的でない。
解説
正解の根拠
ネットワーク構成の見直しにより、従来のオンプレミスのプロキシサーバ経由の通信から、クラウド上のPサービス（SWG等）を経由する経路へと変更されます。
高得点のポイント
見直し前が プロキシサーバ 経由であることを示しているか。
見直し後が Pサービス 経由に変更されることを明確に対比して記述しているか。
(2)
表4中の下線③について，Lサービスに追加する設定を，40字以内で答えよ。
模範解答
送信元制限機能で，営業所のUTMのグローバルIPアドレスを設定する。
採点基準(配点 3点)
知識・理解度（内容）(2点)
- 2点: 営業所からのアクセスを許可するためにUTMのグローバルIPアドレスを設定する必要があることを理解している。
- 1点: IPアドレスの追加については触れているが、対象の特定が不十分である。
- 0点: 追加すべき設定の内容を理解していない。
論理性（構造）(1点)
- 1点: 送信元制限機能と許可するIPアドレスの関係が論理的に記述されている。
- 0点: 設定の目的や対象が不明確である。
解説
正解の根拠
営業所からPサービスなどの別経路を経由してLサービスにアクセスする場合、Lサービス側でアクセス元のIPアドレスを許可リストに追加する必要があります。
高得点のポイント
送信元制限機能 の設定変更であることを明記しているか。
営業所のUTMのグローバルIPアドレス を許可対象として設定することを記述しているか。
(3)
表4中の下線④について，選択する方式を，表1中の（ア），（イ）から選び，記号で答えよ。
模範解答
選択肢イ: TLS クライアント認証を行う方式
配点 2点
解説
正解の根拠
正解は イ です。端末認証およびセキュアな通信の確立を確実に行う方式として、デバイスにインストールされた証明書を用いるTLSクライアント認証が適切です。
各選択肢の解説
ア (スマートフォンに SMS でワンタイムパスワードを送り，それを入力させる方式): 端末認証というよりもユーザー認証（多要素認証）の一種であり、文脈の要件を満たさないため誤りです。
イ (TLS クライアント認証を行う方式): 正解です。端末ごとの証明書を用いて厳密なデバイス認証が可能です。
(4)
表4中の h に入れる適切な数字を答えよ。
模範解答
6
配点 2点
解説
正解の根拠
要件3は、社外のR-PCから社内へアクセスできるようにする要件です。表3で、Pコネクタを使ってファイアウォールを変更せずに社外から社内へ接続する機能は、項番 6 のリモートアクセス機能です。
(5)
表4中の i に入れる適切な数字を答えよ。
模範解答
2
配点 2点
解説
正解の根拠
要件4は、通信中のマルウェアを検査する要件です。表3でTLS通信を復号し、マルウェアスキャン後に再暗号化する機能は項番 2 です。
(6)
表5中の あ に入れる適切な数字を答えよ。
模範解答
4
配点 2点
解説
正解の根拠
研究開発部だけにSaaS-aを許可する例外は、SaaS-aのURLを直接指定する必要があります。表3の 項番4（URL単位フィルタリング機能） を番号1に置き、後続のカテゴリ単位の禁止より先に一致させます。
(7)
表5中の い に入れる適切な数字を答えよ。
模範解答
3
配点 2点
解説
正解の根拠
SaaS-aを含む外部ストレージサービス全般を禁止するルールには、表3の 項番3（URLカテゴリ単位フィルタリング機能） を使います。番号1のSaaS-a許可に一致しなかった利用者へ、この番号2の禁止ルールを適用します。
(8)
表5中の j に入れる適切な字句を答えよ。
模範解答
https://△△△-a.jp/
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 正解の文字列と完全に一致している。
- 1点: 意味的に一致しているが、わずかな表記揺れがある。
- 0点: 誤っているか、指定された内容と一致しない。
解説
正解の根拠
特定のSaaSへのアクセスを制御するルールにおいて、対象となるURLやFQDNを指定します。空欄jにはSaaS-aのURLである「https://△△△-a.jp/」が入ります。
高得点のポイント
- 指定されたURLの文字列を過不足なく正確に記述していること。
(9)
表5中の k に入れる適切な字句を答えよ。
模範解答
研究開発部の従業員
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 正解の文字列と完全に一致している。
- 1点: 意味的に一致しているが、わずかな表記揺れがある。
- 0点: 誤っているか、指定された内容と一致しない。
解説
正解の根拠
アクセスを許可または制限する対象のユーザーグループを指定します。文脈上、研究開発部のデータ保護などの要件から、「研究開発部の従業員」がルール適用の対象グループとして該当します。
高得点のポイント
- 対象となるユーザー層（研究開発部の従業員）を正確に抜き出して記述していること。
(10)
表5中の l に入れる適切な字句を答えよ。
模範解答
許可
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 正解の文字列と完全に一致している。
- 1点: 意味的に一致しているが、わずかな表記揺れがある。
- 0点: 誤っているか、指定された内容と一致しない。
解説
正解の根拠
ルールの動作（アクション）を決定する箇所です。業務上必要な通信であるため、空欄lのアクションは「許可」となります。
高得点のポイント
- アクションとして「許可」を正確に記述していること。
(11)
表5中の m に入れる適切な字句を答えよ。
模範解答
外部ストレージサービス
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 正解の文字列と完全に一致している。
- 1点: 意味的に一致しているが、わずかな表記揺れがある。
- 0点: 誤っているか、指定された内容と一致しない。
解説
正解の根拠
情報漏えいを防ぐための制御対象となるサービスカテゴリです。企業が管理していないクラウドストレージへのデータ持ち出しを防ぐため、「外部ストレージサービス」が該当します。
高得点のポイント
- 制御対象のサービスカテゴリとして「外部ストレージサービス」を正確に記述していること。
(12)
表5中の n に入れる適切な字句を答えよ。
模範解答
全て
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 正解の文字列と完全に一致している。
- 1点: 意味的に一致しているが、わずかな表記揺れがある。
- 0点: 誤っているか、指定された内容と一致しない。
解説
正解の根拠
対象となるユーザーや部門の範囲を指定する箇所です。特定の部門に限定せず、企業全体のポリシーとして適用するため、対象は「全て」のユーザーとなります。
高得点のポイント
- 適用範囲として「全て」を正確に記述していること。
(13)
表5中の o に入れる適切な字句を答えよ。
模範解答
禁止
採点基準(配点 3点)
正確性（内容）(3点)
- 3点: 正解の文字列と完全に一致している。
- 1点: 意味的に一致しているが、わずかな表記揺れがある。
- 0点: 誤っているか、指定された内容と一致しない。
解説
正解の根拠
未許可のサービスやリスクの高いカテゴリに対する最終的なルールの動作（アクション）です。セキュリティを確保するため、該当する通信のアクションは「禁止」となります。
高得点のポイント
- アクションとして「禁止」を正確に記述していること。
設問3(1)は，正答率が低かった。“見直し前”と“見直し後”の通信経路について理解していないと思われる解答が散見された。クラウドサービスのセキュリティを確保するためには，クラウドサービスとの通信経路を把握する必要があるので，ネットワーク構成の見直しによってどのように通信経路が変わるかを理解してほしい。設問3(5)は，正答率が平均的であった。表5の番号1と番号2について，逆に解答した受験者が散見された。適用されるルールの順番によって動作が変わってしまう。セキュリティ製品のフィルタリングルールでは，適用の順番に注意してほしい。