【情報処理安全確保支援士試験令和5年度秋期午後問2 No.2】

情報処理安全確保支援士試験令和5年度秋期午後問2

[従業員によるファイルの持出しについてのセキュリティ対策の確認]
次は、従業員によるBサービスからのファイルの持出しについての、S氏とYさんとの会話である。

S氏：ファイル共有機能では、上長はちゃんと宛先のメールアドレスとファイルを確認してから承認を行っていますか。
Yさん：確認できていない上長もいるようです。
S氏：そうすると、従業員は、②ファイル共有機能を悪用すれば、M社外からBサービスにあるファイルをダウンロード可能ですね。
Yさん：確かにそうです。
S氏：ところで、会議室には個人所有PCは持ち込めるのでしょうか。
Yさん：会議室への持込みは禁止していないので、持ち込めます。
S氏：そうだとすると、次の方法1と方法2のいずれかの方法を使って、Bサービスからファイルの持出しが可能ですね。

方法1：個人所有PCの無線LANインタフェースの（e）を業務PCの無線LANインタフェースの（e）に変更した上で、個人所有PCを従業員用無線LANに接続し、Bサービスからファイルをダウンロードし、個人所有PCごと持ち出す。
方法2：個人所有PCを来客用無線LANに接続し、Bサービスからファイルをダウンロードし、個人所有PCごと持ち出す。

下線②について、M社外からファイルをダウンロード可能にするためのファイル共有機能の悪用方法を、40字以内で具体的に答えよ。：外部共有者のメールアドレスに自身の私用メールアドレスを指定する。

「そうすると、従業員は、②ファイル共有機能を悪用すれば、M社外からBサービスにあるファイルをダウンロード可能ですね。」
ファイル共有機能については、表1に以下の記述があります。

ファイル共有機能がある。従業員がM社以外の者と業務用のファイルを共有するには、Bサービス上で、共有したいファイルの指定、外部の共有者のメールアドレスの入力及び上長承認申請を行い、上長が承認する。承認されると、指定されたファイルの外部との共有用URL（以下、外部共有リンクという）が発行され、外部の共有者宛てに電子メールで自動的に送信される。外部共有リンクは、本人及び上長には知らされない。外部の共有者は外部共有リンクにアクセスすることによって、Bサービスにログインせずにファイルをダウンロード可能である。外部共有リンクは、発行されるたびに新たに生成される推測困難なランダム文字列を含み、有効期限は1日に設定されている。

問題文にあるように、上長による承認が不十分だと、外部の共有者のメールアドレスのチェックが効かない可能性がありそうです。
従業員がM社外からファイルをダウンロードするには、自身の私用メールアドレスを指定すればよさそうです。