平成15年午後II問２　企業情報ネットワークの構築におけるセキュリティ対策：情報セキュリティアドミニストレータ試験対策

　企業情報ネットワークの構築におけるセキュリティ対策に関する次の記述を読んで、
設問1～5に答えよ。

　N社は、従業員400名、年商100億円の中規模なコンピュータ周辺機器のメーカで
ある。都心にある本社と郊外にある組立工場及び部品製造工場では、それぞれLANに
接続されたサーバとパソコン（以下、PCという）を利用して、生産計画、生産管理及
び在庫管理（以下、業務APという）を行っていた。N社では、本社と各工場間を必
要の都度ISDNで接続して、各サーバを参照していた。しかし、リアルタイムで頻繁
に参照しようとすると、通信費が高くなるという問題があった。また、インターネッ
トには、本社の限られたPCだけでしかアクセスできず、他社情報の収集に支障を来
していた。そのため、本社と各工場間を通信事業者のIP-VPNで接続して、業務APを
利用するN社企業情報ネットワークシステム（以下、Nネットという）を導入するこ
とにした。さらに、インターネットを利用して、取引先などとの電子メールの交換、
Webでの他社情報の収集、N社の企業情報や新製品情報の発信及び部品材料の購入手
配（以下、新規APという）を行うことにした。

〔Nネットの基本検討〕
　N社では、本社情報システム部のW部長をリーダとしたNネットの構築を行うプロ
ジェクトチーム（以下、チームという）が、情報システム技術者、情報ネットワーク
技術者のU君、情報ネットワーク管理者のX君及び情報セキュリティ管理者のY君で
編成された。チームは、図1に示すNネットの技術要件をまとめた。

　U君は、図1の技術要件を基にして、図2に示すNネットの構成（案）の検討を行
った。さらに、Nネットの業務APのトラフィックが、これまでの2倍に増加すると
想定して設計条件を決定した。新規APのトラフィック条件については、類似した事
例からベンダに推定してもらうことにした。

〔N社の情報セキュリティポリシと情報セキュリティ対策の検討〕

　N社では、部品の設計や生産計画のために、5年前にPCを導入した。当時は、PC
を利用する社員が限られていたので、情報セキュリティポリシを策定するほどではな
かった。現在では、PCを利用する社員も増えてきたので、電子メールの私的利用、誤
操作によって重要情報が流出する懸念及び残業時の不適切なホームページの閲覧とい
う問題が指摘され、組織的な対応が必要になってきた。そこで、社長は、Nネットの
導入に併せて、情報セキュリティポリシを策定することを指示した。
　情報セキュリティ環境がNネットの導入によって大きく変わるので、W部長は、Y
君に情報セキュリティポリシの作成及び情報セキュリティ対策要件の取りまとめを指
示した。図3に、Y君がW部長の指示の下で起案し、社長の承認を得たN社の情報セ
キュリティ基本方針、対策基準を示す。また、表1に、Y君が取りまとめたNネット
の情報セキュリティ対策要件（案）を示す。

〔Nネットの情報セキュリティ対策の検討〕

　チームは、Nネットを自社で設計及び運用することができるように、表1を基に検
討を行った。まず、Nネットの監視と運用管理は、本社に業務を集中させて効率的に
行うことにした。また、PCを利用する社員など（以下、PCユーザという）がNネッ
トの各サーバに同じ利用者IDでアクセスできるようにした。
　X君は、PCユーザに対して、申請のあったサーバヘの仮パスワードを文書で連絡す
ることにした。ただし、PCユーザの多くが複数のサーバの利用を申請するようになっ
た場合には、一つのアクセス制御サーバでPCユーザを認証する【　b　】の適用
を検討することにした。
　次に、X君は、情報漏えいを防止し、不適切な情報を遮断するために、社外との間
で送受される情報に対して、ワードブロック方式によるコンテンツフィルタリングを
行うことにした。フィルタリングのソフトウェアでは、電子メールの文中で禁止字句
を検出した場合、関連先（所属長など）にコピーを送信することにした。一方、Web
サーバからダウンロードされたファイル中に禁止字句を検出した場合、URLとPCユ
ーザのIPアドレスをログ情報に残し、その旨のメッセージを情報セキュリティ管理者
に送信することにした。情報セキュリティ管理者は、禁止字句のもつべき特徴を定義
し、各部と協議して禁止字句を決定した。
　以上の検討を基に、チームは、Nネットの機能要件をまとめ、N社と取引のあるベ
ンダのV社と請負契約を結び、機器の調達,PCとサーバへのOSと業務APの導入及
び設置を発注した。V社は、仕様を検討し、詳細な内容についてN社に問い合わせた。
　しかし、チームは、V社への発注において、機器の調達などが中心であると考えたの
で、情報セキュリティポリシに従って、セキュリティ関連情報を開示せず、V社に提
案を求めた。V社は、Nネットの機能要件とN社へのヒアリングで得た情報に基づい
て、N社のセキュリティ関連情報を経験から推測し、機器をリストアップしてN社に
　提示した。

〔V社による納入とN社での試験〕

　V社とチームは、Nネットで使用する機器を決定し、N社への搬入、受入れ及び試
験について打合せを行って、情報セキュリティ試験を含むNネットの受入プロセス
（表2）について合意した。

　表2中の①～⑤のプロセスに、一部スケジュールの遅れがあったものの、表2中の
④と⑤の試験結果が良好であったので、V社は、N社にこの状態のままで機器を納入
したいと申し出た。Y君は、情報セキュリティ確保の観点から、V社がPCとサーバ
のOSと業務APの再インストールを行うべきであると主張した。しかし、V社は、こ
れから再インストールを行うと納期が遅延すると回答した。W部長は、V社との契約
書の条項を精査し、リスクに対応できると判断したので、社長にその旨を報告して、
V社の申出どおり納入を認めた。社長には、V社との契約書にリスクマネジメントに
関する条項が盛り込まれていると説明した。
　V社とチームは、表2中の⑥の結合試験に移行し、納入機器をすべて動作させて、
機能と性能を確認した。確認作業が終了した機器については、図4に示す資産管理デ
ータベースの項目に従って、データを登録した。

　その後、チームは、結合試験を終えて、V社の立会いの下で表2中の⑦の総合試験
を行った。Nネットで想定されるトラフィックに基づいて作成した総合試験データを
用いて、PCと各サーバが情報セキュリティ環境に適合するように設定を行った。チー
ムが想定したとおりの結果が得られたので、N社は、X君、Y君及び各工場から本社
に異動させた情報システム運用担当者（各1名）で編成されたネットワーク管理課に
よる表2中の⑧の運用試験に移行し、V社は、電話で応対することにした。

〔ネットワークの運用試験〕

　運用試験に移行した後は、リアルタイムでの各サーバヘのアクセス、電子メールの
利用及びWebサイトへのアクセスが好評で、PCユーザ数や利用頻度が急速に増え続
け、顧客によるWebサイトへのアクセス数も増え続けた。そのため、ネットワーク管
理サーバに大量のログ情報が収集されるようになった。しかし、ネットワーク管理課
では、経験が不足していたので、これらの大量のログ情報の分析や対処が十分にでき
なかった。その結果、各サーバやネットワーク機器からの重要な警告を見落とし、障
害が回避できない事態も起きた。障害には、外部からのDoS攻撃の見落とし（外部へ
のアクセスができないというPCユーザからの申告があるまでDoS攻撃が検出できな
かった）やデータベースの設定ミスによるPCユーザのアクセス権違反の見落とし
（ログ情報には警告が残っていたが、ほかのログに紛れてしまい検出できなかった）
などがあった。このような障害が頻発したので、PCユーザの不安や不満が増えてきた。
　W部長は、情報セキュリティマネジメントが十分でないと考え、V社に対処を要請
した。V社では、ログ情報のデータ量を削減して、重要なログだけを通報するように
設定し、見落としによる障害が起きないように改善した。
　その後、2か月の運用試験を経て、W部長は、Nネットが安定稼働していると判断
し、スキルのあるV社の要員によって一連の問題が解決したことと、本番運用へ切り
替えることを社長に報告して検収を終え、チームを解散させた。

〔ネットワークの本番運用の開始〕

　本番運用に入って、新たにNネットを利用するようになったPCユーザから、社内
ネットワークやインターネットを利用する際のPCの設定や不具合、各サーバのアク
セス権限の付与や変更、コンテンツフィルタリングなどについて、聞合せがネットワ
ーク管理課に集中した。しかし、運用担当者が本社から各工場に出向いて運用業務を
行っていたので、問合せに対して早急な対応ができなかった。このような状態が続い
たので、ネットワーク管理課では解散したチームのメンバに協力を依頼したが、PCユ
ーザの不満は収まらなかった。
　社長は、今後の安定した運用や障害の対策には運用管理体制の見直しが必要である
と考えた。そこで、W部長に、運用試験の段階までに障害が予見できなかった原因の
究明と、外部の派遣社員を活用した運用管理体制の改善を指示した。これを受けて、
W部長は、PCユーザからの問合せに対して、社内ネットワークのWebサーバに
【　c　】を用意し、頻繁にある問合せを削減して、個別対応が必要な不具合に対応
できるようにした。また、異動させた情報システム運用担当者を各工場に戻し、本社
に経験のある派遣社員1名を配置することにした。

---

設問１

図3及び本文中の【　a　】～【　c　】に入れる適切な字句を答えよ。
【　a　】,【　b　】については、それぞれ10字以内で答えよ。
【　c　】については、5字以内で答えよ。

設問２

資産管理データベースに関する次の問いに答えよ。

（1）図4中の【　ア　】に入れる適切な字句を二つ挙げ、それぞれ7字以内で
　　答えよ。

（2）図4中の（1）～（6）のほかに、情報セキュリティマネジメントのために必要とな
　　るPCの資産情報の名称を、20字以内で述べよ。また、その情報が必要になる
　　理由を、45字以内で述べよ。

設問３

コンテンツフィルタリングに関する次の問いに答えよ。

（1）禁止字句のもつべき特徴を二つ挙げ、それぞれ20字以内で述べよ。

（2）コンテンツフィルタリングを導入する前に、プライバシ保護の観点から、社
　　員などに対して、どのような措置を行うべきか。40字以内で述べよ。

設問４

Y君が、情報セキュリティ確保の観点から、PCとサーバのOOSと業務APの再
インストールを行うべきであると主張した理由は何か。40字以内で述べよ。また、
W部長が、リスクに対応できていると判断し社長に報告したのは、契約書にリス
クマネジメントに関する条項としてどのような内容が盛り込まれていたからか。
25字以内で具体的に述べよ。

設問５

Nネットの運用に関する次の問いに答えよ。

（1）運用試験では、大量のログ情報が収集され、警告の見落としが起きた。この
　　ような見落としを防ぐためには、表2のNネットの受入プロセスにおいて、ど
　　の段階でどのような試験をしておけばよかったか。60字以内で述べよ。

（2）社長の指示に従って、外部の派遣社員を活用して業務を遂行するには、情報
　　セキュリティに関する運用管理の観点から、どのような対策を実施すればよい
　　か。二つ挙げ、それぞれ60字以内で具体的に述べよ。