Question 1

無線LANの暗号化規格「WPA3」が「WPA2」と比べて強化された点の説明として、最も適切なものはどれか。

Accepted Answer

SAEという鍵交換方式を採用し、パスワード推測攻撃への耐性を高めた点。【解説】WPA3は、WPA2で使われていた鍵交換方式(4ウェイハンドシェイク)がオフライン総当たり攻撃(辞書攻撃)に弱いという弱点を踏まえ、SAE(Simultaneous Authentication of Equals)という新しい鍵交換方式を採用した。SAEでは、パスワードを何度も推測して試す攻撃に対する耐性が高まり、また通信ごとに異なるセッション鍵を生成する前方秘匿性も強化されている。【他の選択肢が不適切な理由】WPA3は暗号化を強化する規格であり、暗号化を廃止するものではない。WPA3の認証はパスワード(パスフレーズ)による方式が主流であり、ICカード提示のみを必須とする規格ではない。電波の到達距離は電波法や機器の出力に依存する物理的な特性であり、暗号化規格の変更で伸びるものではない。

Question 2

無線LANの暗号化方式「WEP」が現在推奨されない理由として、最も適切なものはどれか。

Accepted Answer

暗号化に使う鍵の解析手法が確立され、短時間で鍵を割り出されるおそれがあるため。【解説】WEP(Wired Equivalent Privacy)は初期の無線LAN暗号化方式であるが、暗号化アルゴリズムや鍵の運用方式に脆弱性があり、専用のツールを用いることで短時間のうちに暗号鍵を解析されてしまうことが知られている。そのため現在ではWEPの利用は推奨されず、WPA2やWPA3といったより強固な方式への移行が求められている。【他の選択肢が不適切な理由】WEPは名称の通り暗号化を行う方式であり、暗号化自体を行わないわけではない(暗号強度が不十分な点が問題)。WEPは無線LAN専用の暗号化方式であり、有線LANでの利用を前提としたものではない。WEPには鍵の解析手法が確立されているという重大なセキュリティ上の問題が指摘されており、問題がないという説明は誤りである。

Question 3

企業が従業員に貸与するスマートフォンやタブレットを一元管理する「MDM(モバイルデバイス管理)」で実現できることとして、最も適切なものはどれか。

Accepted Answer

紛失・盗難時に遠隔からロックやデータ消去を行い、利用アプリを制限できる。【解説】MDM(Mobile Device Management)は、組織が貸与するスマートフォンやタブレット等のモバイル端末を一元的に管理する仕組みであり、紛失・盗難時の遠隔ロックやリモートワイプ(データ消去)、業務利用を許可するアプリケーションの制限、OSやアプリのバージョン管理などを実現できる。端末経由の情報漏えいリスクを低減する代表的な対策である。【他の選択肢が不適切な理由】MDMは組織が把握・登録した端末を管理対象とする仕組みであり、未登録の私物端末から無制限に業務データへアクセスさせる機能ではない。MDMはOSのバージョンやセキュリティパッチの適用状況を確認し、基準を満たさない端末をコンプライアンス違反として検知・通知できる機能を備えている。私生活の全行動を無制限に記録・閲覧することは、業務利用のセキュリティ管理という目的を逸脱し、プライバシー上も不適切である。

Question 4

正規のアクセスポイントになりすまし、利用者を接続させて通信内容を盗聴する攻撃「なりすましアクセスポイント(悪魔の双子)」への対策として、最も適切なものはどれか。

Accepted Answer

接続先のSSIDやサーバー証明書を確認し、正規のものであることを検証してから接続する。【解説】なりすましアクセスポイント(いわゆる「悪魔の双子」攻撃)は、正規のアクセスポイントと同一または類似のSSIDを名乗る不正なアクセスポイントを設置し、利用者を誤って接続させて通信を盗聴・改ざんする攻撃である。対策としては、接続先の正当性をサーバー証明書やアクセスポイントの提供元情報で確認したうえで接続すること、不審なアクセスポイントを避けることが重要である。【他の選択肢が不適切な理由】通信速度のみを基準に自動接続すると、悪意ある強力な電波を発するなりすましアクセスポイントに誤って接続しやすくなる。SSIDが同じでも暗号化方式やセキュリティ設定が異なる場合は正規のものと断定できず、無視するのは危険である。認証を一切行わない運用は、なりすましの検知を放棄することになり対策として不適切である。

Question 5

企業の無線LAN環境において、利用者ごとに個別のIDとパスワードで認証を行い、共通の暗号鍵を全員で使い回さないようにする方式として、最も適切なものはどれか。

Accepted Answer

WPA2/WPA3のエンタープライズモード(IEEE802.1X認証)による個別認証。【解説】WPA2/WPA3のエンタープライズモードは、IEEE802.1X規格に基づき、RADIUSサーバー等を用いて利用者ごとに個別のID・パスワードや証明書で認証を行う方式である。個人モード(共通のパスフレーズを全員で共有するPSK方式)と異なり、利用者ごとに異なる暗号鍵が生成されるため、退職者のアカウント無効化など個別管理が可能で、企業利用に適している。【他の選択肢が不適切な理由】SSIDステルスは一覧に表示させないだけの機能であり、暗号鍵の個別化や強固な認証を実現するものではない。MACアドレスフィルタリングはアドレスの詐称(なりすまし)が比較的容易であり単独では強固な認証にならない。WPSのプッシュボタン方式は簡易接続のための機能であり、個別認証を実現する仕組みではなく、脆弱性も指摘されている。

Question 6

従業員の私物端末を業務に利用する「BYOD(Bring Your Own Device)」を許可する際に、組織が特に検討すべき対策として、最も適切なものはどれか。

Accepted Answer

業務と私的データを分離するコンテナ技術や、MDM等による最小限の設定適用。【解説】BYODでは、私物端末に業務データが保存されることで、端末の紛失・盗難や私的利用アプリ経由での情報漏えいリスクが高まる。そのため、業務用の領域と私的な領域を分離するコンテナ技術(モバイルコンテナ)の導入や、MDM/EMMによる最小限のセキュリティ設定(暗号化、パスコード必須化、リモートワイプの適用範囲の限定等)を組み合わせることが重要な検討事項となる。【他の選択肢が不適切な理由】私物端末だからといってセキュリティ設定を一切求めないのは情報漏えいリスクを放置することになる。機種やOSのバージョンを確認せず無条件に接続を許可すると、脆弱性が放置された端末が社内ネットワークに接続する事態を防げない。業務データを暗号化せず自由に複製できる状態は、漏えいリスクをむしろ拡大させる不適切な運用である。

Question 7

Bluetooth機器を業務利用する際のセキュリティ対策として、最も適切なものはどれか。

Accepted Answer

不要な時間帯は検出可能(ディスカバラブル)状態を無効化し、接続要求を防ぐ。【解説】Bluetooth機器は、使用していない時間帯も検出可能(ディスカバラブル)状態のままにしておくと、周囲の第三者から発見されペアリング要求や不正接続の対象となりうる。不要な時間帯はディスカバラブル状態を無効化し、不明な機器からのペアリング要求には応じないことが基本的な対策となる。ペアリング時の認証手続きを適切に行うことも重要である。【他の選択肢が不適切な理由】ペアリング時の暗証番号入力を省略すると、第三者による不正な接続を許しやすくなる。登録情報を削除できない仕様は、機器を紛失・譲渡した際に不正利用の温床となり不適切である。通信出力を意図的に最大へ固定することは、盗聴可能な範囲を無用に広げるため対策として逆効果である。

Question 8

カフェ等の暗号化されていない公衆無線LANを利用する際のセキュリティ対策として、最も適切なものはどれか。

Accepted Answer

VPNを利用して通信全体を暗号化し、経路上での盗聴に確実に備えること。【解説】暗号化されていない公衆無線LANでは、同じアクセスポイントに接続している第三者に通信内容を盗聴されるおそれがある。対策として、VPNを利用して端末とVPNサーバー間の通信を暗号化することで、経路上の盗聴に対する保護を確保することが有効である。あわせて重要な情報のやり取りにはHTTPS通信であることを確認する習慣も重要である。【他の選択肢が不適切な理由】暗号化がないことを理由に機密情報を積極的にやり取りするのは、盗聴のリスクを高める行為であり不適切である。ブラウザの警告(証明書エラー等)を無視することは、なりすましサイトへの接続に気づけなくなる危険な行為である。SSIDの名前の分かりやすさと安全性は無関係であり、暗号化の有無を確認せず信頼するのは危険である。

Question 9

無線LANアクセスポイントの初期設定(初期パスワードやSSID)をそのまま使い続けることが危険とされる理由として、最も適切なものはどれか。

Accepted Answer

初期設定の値は広く知られていたり、機種ごとに一定の規則性を持つ場合があるため。【解説】無線LANアクセスポイントの初期パスワードは、機種ごとに共通のルールで生成されていたり、公開情報として知られていたりする場合があり、また初期設定のSSIDから機種を特定できると初期パスワードを推測されやすくなる。そのため、購入後は管理者用パスワードやWi-Fi接続パスワードを推測されにくい独自のものへ速やかに変更することが推奨される。【他の選択肢が不適切な理由】初期設定のパスワードは機種ごとに単純な規則や既知の値で設定されていることが多く、十分な強度があるとは限らないため、変更しない方がむしろ推測されやすい。初期設定のままで暗号化方式が自動的により強固なWPA3へ切り替わるという仕様は一般的ではない。初期設定を維持することとファームウェアの自動更新の有無は無関係であり、初期設定のままでは既知の脆弱性が放置されるおそれがある。

Question 10

スマートフォンやタブレットのOS・アプリを常に最新の状態に保つことが、モバイル機器のセキュリティ対策として重要な理由として、最も適切なものはどれか。

Accepted Answer

最新版では既知の脆弱性が修正されており、悪用による攻撃を受けにくくなるため。【解説】OSやアプリの提供元は、発見された脆弱性を修正するための更新プログラムを配布しており、これを適用せず古いバージョンのまま使い続けると、既に対策方法が公開されている既知の脆弱性を突く攻撃を受けやすくなる。モバイル機器のセキュリティを維持するうえで、OS・アプリを常に最新の状態に保つことは基本的かつ重要な対策である。【他の選択肢が不適切な理由】OS・アプリの更新には脆弱性を修正するセキュリティパッチが含まれることが多く、新機能の追加のみが目的とは限らない。正規の更新プログラムは開発元による署名検証を経て配布される仕組みになっており、誰でも自由に改変できるものではない。更新を放置すると、修正済みのはずの脆弱性が残ったままとなり、悪用されるリスクは現に生じる。

無線LAN・モバイル機器のセキュリティの一問一答