【情報処理安全確保支援士試験令和3年度春期午後2 問2 No.4】

情報処理安全確保支援士試験令和3年度春期午後2 問2

【出典：情報処理安全確保支援士試験令和3年度春期午後2 問2（一部、加工あり）】

[要件2及び3の検討]
要件2については、業務で利用するC社の情報システムやSaaSへのアクセスの際、機器をクライアント認証することにした。また、要件3については、SaaSへのアクセスにおける認証と認可に、インターネット上の認証サービスであるIDaaSを利用することにした。
代表的なIDaaSであるサービスQについて調査した。サービスQの概要を表2に示す。

C社の各部と議論を重ねた結果、幾つかのSaaSを総務Gで契約し、管理して提供すれば、ほとんどの業務が行えることが分かった。これらのSaaSは全てSAML認証に対応しており、サービスQと連携できることも確認できた。また、ディジタル証明書だけで認証することもでき、従業員がパスワードを管理する負担の軽減につながるので、サービスQを採用することにした。
C社オフィス外での業務については、モバイルPCを追加で購入し、モバイルPCを持ち出し用のC-PC（以下、持出C-PCという）として貸与することにした。

[要件4及び5の検討]
要件4を満たすためには、総務Gが契約したSaaSへのアクセスについてサービスQでの認証を必須にするだけでなく、総務Gが契約していないSaaSやインターネット上の様々なWebサイトへのアクセスも制御する必要がある。しかし、総務Gが契約したSaaS、企業情報検索、出張先への経路検索及びC社の情報システムへのアクセスだけを許可し、それ以外のアクセスを全て遮断すると、⑤支障が出る業務がある。
調査を更に進めた結果、要件4及び5の実現に利用できそうなサービスがあることが分かった。機器からインターネットへの通信を中継するプロキシ型のクラウドサービスである。その一つにサービスNがある。サービスNを利用するには、機器からインターネットへの通信を全てサービスN経由で行うなどの制御を行う端末制御エージェントソフトウェア（以下、Pソフトという）を機器に導入する必要がある。管理者は、Pソフトを、一般利用者権限では動作の停止やアンインストールができないように設定することができる。
サービスNの機能を表3に示す。

要件4及び5は、サービスQとサービスNを組み合わせて実現する。サービスQとサービスNを利用した場合の動作の概要を図3に示す。

図3において、⑥総務Gが管理していない機器からのサービス要求があった場合は、シーケンスが途中で遮断される。
調査の結果、サービスQとサービスNを利用することで要件4及び5を実現できると判断し、サービスNを採用することにした。

下線⑤で示した、C社において支障が出る業務とは何か。一つ挙げ25字以内で述べよ。：インターネットを使って情報収集する業務/事業部や企画部の顧客への提案や企画の立案

「しかし、総務Gが契約したSaaS、企業情報検索、出張先への経路検索及びC社の情報システムへのアクセスだけを許可し、それ以外のアクセスを全て遮断すると、⑤支障が出る業務がある。」
要件4では、業務で利用するインターネット上のサービスについて、「総務Gが契約したSaaS」と「業務で必要なアクセス」以外は制限するとしています。
ここで「業務で必要なアクセス」として「企業情報検索」「出張先への経路検索」「C社の情報システム」が挙げられていますが、それ以外で業務で利用するものは何かを探します。
すると、問題文の前半に、「事業部及び企画部では、顧客への提案や企画の立案時にインターネット上にある多くの情報を収集、取捨選択、加工することによって付加価値を生み出すことが不可欠であると認識している。」とあり、支障が出る業務は、情報収集や顧客提案、企画立案といったものになりそうです。

要件4は、表3中のどの機能で実現できるか。表3中の番号で一つ答えよ。：2

前問のとおり、要件4ではインターネットへのアクセス制限を行います。
表3（サービスNの機能（抜粋））でこれを実現するには、「サービスNが中継する際に、アクセス可能なURLを制限する。」という、2項の「URLフィルタリング機能」が該当することが分かります。

要件5は、表3中のどの機能で実現できるか。表3中の番号で一つ答えよ。：1

要件5の「総務Gが契約したSaaSには、総務Gが管理するアカウントでアクセスする。C-PCからは、従業員が個人で管理するアカウントでのアクセスができないようにする。」を実現する機能を確認します。
前問と同様に表3（サービスNの機能（抜粋））でこれを実現するには、「Pソフトで、SaaSへのログイン時に、許可された利用者IDの場合だけ許可し、その他の利用者IDの場合は通信を遮断する。」という、1項の「利用者IDによるフィルタリング機能」が該当することが分かります。

下線⑥について、図3中のどの段階で遮断されるか。また、総務Gで管理していない機器かどうかはどのような方法で判定するか。判定の方法を30字以内で具体的に述べよ。：5.〜6./TLSクライアント認証による検証

「図3において、⑥総務Gが管理していない機器からのサービス要求があった場合は、シーケンスが途中で遮断される。」
まず、SaaSへサービス要求する機器について、総務Gの管理をどのように行なっているか確認していきます。
まず、表1（次期ITのセキュリティ要件）に要件2「業務での個人所有機器の利用を禁止する。テレワークに必要なPCは貸与する。」とあり、物理的に機器（PC）が制限されます。
また、要件3「パスワードの使い回しを防ぎ、従業員がパスワードを管理する負担を軽減するため、SaaSへのログインを統合する。」とあり、ログインの手法として、「業務で利用するC社の情報システムやSaaSへのアクセスの際、機器をクライアント認証することにした。」「SaaSへのアクセスにおける認証と認可に、インターネット上の認証サービスであるIDaaSを利用することにした。」とあります。
そして、IDaaSのサービスQでは、表2（サービスQの概要）に「接続元の認証」として「利用者ID及びパスワード」「ディジタル証明書によるTLSクライアント認証」「ワンタイムパスワードデバイス又はSMSを使ったワンタイムパスワード」「生体認証」の方式が挙げられています。
C社でどの方式が採用されたかの記述はありませんが、上記の説明から「ディジタル証明書によるTLSクライアント認証」を採用したと考えるのが適当でしょう。
図3（サービスQとサービスNを利用した場合の動作の概要）でサービスQでの認証に該当する部分は「5.認証要求〜6.利用者の認証」の部分であり、「ディジタル証明書によるTLSクライアント認証」による判定によって、管理外の機器からの認証が失敗することで通信を遮断することが分かります。