情報処理安全確保支援士の過去問を解いていて、
この年度に受験していたら受かったのに。。
なんて思うことがあるかと思います。
仕事などで経験したことがある分野が出題されれば、スムーズに回答することができ、高得点を狙うことができます。
ですが、経験したことがない分野が出題されてしまうと、回答に苦戦し点数も低くなってしまいます。
じゃあ全ての分野を経験しようとか対策しようとするのは現実的ではありません。
出題されるテーマが予想できればいいのにな。。
ということで今回は『令和5年度 春季試験』で出題されるであろうテーマを予想していきます。
注意事項
しっかりと過去問対策をした上で本記事をご覧ください。
情報処理安全確保支援士の勉強法はこちら
あくまで予想であり、確実に出題されるわけではありません。
また、この分野だけ勉強すればよいというわけでもありません。
ご理解いただけた方のみご覧頂き、予想が外れたり、合否の結果などに関しては当ページでは一切の責任を負いませんのでご了承ください。
出題テーマの傾向
情報処理安全確保支援士の出題テーマに関しては、以下2点の傾向があると言われています。
- 実際にあったセキュリティインシデント
- 午前Ⅱで新たに出題されたキーワード
この2つの観点のもと予測を行っていきます。
1つ目の『実際にあったセキュリティインシデント』に関しては、TVなどのニュース、ネットニュースになるレベルのセキュリティインシデントが発生した場合にその原因や関連したテーマが出題されることがあります。
本記事では実際に起こったセキュリティインシデントとともにこちらをメインに扱っていきます。
最近の試験の傾向として過去1年ぐらいのセキュリティインシデントから出題される傾向がありますので、前回の『令和4年度 秋季試験向けの出題テーマ予想』に関しても合わせてご確認ください。
2つ目の『午前Ⅱで新たに出題されたキーワード』に関しては、試験当日にならないとわかりませんが、午前Ⅱは6割程度は過去問から出題されますが、残り4割は新規の問題が出題されます。
この新規4割の問題の中から午後Ⅰ・Ⅱのテーマが出題される場合があります。
このため、午前Ⅱで新規出題された問題の中に知らない用語などがあれば、お昼休みのうちに概要だけでも掴んでおくと合格に近づけるかもしれません。
2022年10月～2023年10月に起こったセキュリティインシデント
秋季試験が終了した2022年10月から試験直前の2023年3月までに実際に起こったセキュリティインシデントの中で、特に話題になったものをピックアップしました。
- 大阪急性期・総合医療センター
- Emotet再活発化
- IPA公式サイトリニューアル
それでは個別に見ていきましょう。
大阪急性期・総合医療センター
大阪急性期・総合医療センターは令和4年10月31日早朝に発生したサイバー攻撃により電子カルテを含めた総合情報システムが利用できなくなり、救急診療や外来診療、予定手術などの診療機能に大きな支障が生じました。
引用元：https://www.gh.opho.jp/important/785.html
報告書もすでに作成されておりまして、直接的な原因としては、報告書内ではSSL-VPN装置と記述されていますが、おそらくFortiGateのSSL-VPNの脆弱性を利用した攻撃が行われた可能性が高いとされています。
FortiGateの古いバージョンのOSにはSSL-VPNの脆弱性があり、該当するバージョンを継続して利用しているは同様の被害を受ける可能性があります。
全く同じ事例としては前回の『令和4年度 秋季試験向けの出題テーマ予想』でも取り上げましたが、半田病院の件が挙げられます。
脆弱性への対応としては、各メーカーに確認したり、重大な脆弱性に関してはメーカー側がアドバイザリとして対策を公表する場合があります。
FW・UTM、セキュリティ製品はもちろんのこと、ネットワーク全体として導入したら終わりではなく適切に運用・保守されていく必要があります。
情報システム部がなかったり、IT人材不足・経費削減などを理由にで外部へ適切に委託されていない場合は、脆弱性の情報が得られずに適切な対応がされないまま放置されてしまうことが今回のように多々あります。
このように脆弱性の対応済へのバージョンアップを行わず放置されているFortiGateのことを、『放置Gate』と呼ばれることがあります
病院や政府機関などは社会的影響が大きいので、攻撃対象となりやすいですし、被害があった際にニュースに取り上げらるので顕在化しやすいのですが、これは氷山の一角だと思っていまして、中小企業など他にも同様の被害を受けている企業は多いかと思います。
この半年間にFortiGateに関しては、Proxy周りに関する重大な脆弱性も発表されています。
Fortinet社の製品に限らず他のメーカーに関しても脆弱性に該当する場合がありますので、脆弱性に関する情報には注視していく必要があります。
これらから予想される出題テーマとして、病院のネットワークは閉域だから安全、VPNを使用しているから安全という神話のもと成り立っていましたが、このような事例から今後『クラウド・ゼロトラストへの移行』が行われていくことが考えられ、こちらの出題テーマは『令和4年度 春季試験 午後Ⅱ 問2』にて出題されていました。
ゼロトラストと切っても切れない関係の『認証』周りの出題も予想されます。
『令和4年度 春季試験 午後Ⅱ 問2』ではKerberos認証、SAML認証、OAuth2.0が出題され、『令和3年度 春季試験 午後Ⅰ 問1』でもOAuthについて出題されていました。
認証はそんなに種類があるわけではないので、既存の過去問でしっかりと対策を行うだけで十分かと思います。
このインシデントの根本原因はVPN装置のアップデートを怠っていたことなので、この点から『VPN関連』、『脆弱性診断や対応』という観点でも出題される可能性が高いと考えられます。
脆弱性診断については『令和2年度 10月試験 午後Ⅰ 問3』にて出題されていました。
Emotetの再活発化
2021年にC&Cサーバなどの摘発により一度収束（テイクダウン）を見せたEmotetですが、2022年より再活発化を見せています。
これまでEmotetは取引先とのメールなどを装って、ワードやエクセルといったオフィスソフトのファイルを攻撃対象となる企業の社員へ送付します。
このファイルを開くとマクロの実行を促され、マクロを実行してしまうと様々なファイルをダウンロードが行われ、結果としてマルウェアに感染してしまうという内容となります
この手法に加えてOneNoteを利用したタイプの攻撃手法も行われたとの注意喚起がIPAよりありました。
これらから予想される出題テーマとしては、『Emotet』自体の動作が挙げられ、これはファイルレスマルウェアとして、『令和4年度 秋季試験 午後Ⅱ 問1』で出題されています。
ファイルはメールで送られてきますので、対策としては『アンチスパム』でメール自体の検知、『アンチウイルス』で添付ファイルの検知、禁止する企業が増えつつありますが添付ファイルを先に送り、パスワードを後で別メールで送る方法である『PPAP』、ファイルの送付手段として『ファイル共有サービス』などについて出題が予想されます。
IPA公式サイトリニューアル
このニュースには触れておかないといけないと思います。
2023年3月31日IPA公式サイトがリニューアルしました。
リニューアルの結果、リンク先をクリックしてもリダイレクトなどされず、多くのページで404エラーが表示されてしまい、結果としてIPAが公式サイト上で『おわび』を掲載することが行われれました。
原因としてはURLの見直しが行われたことです。
そして、すべてのページを変更されたURLへリダイレクトさせるとレスポンス・性能面で影響があるとして、リダイレクト先の選定を行った結果、選定から漏れてしまったページを閲覧した際にリダイレクトされずに404エラーが表示されてしまいます。
切り戻しなどが行われていませんので、おそらく旧サーバとの契約が切れていたり、このような批判を受ける想定をしていなかったのではと憶測が飛んでいる状況となります。
ITを推進する機構としてどうなのかなと大いに思いますが、起きしまったからにはこれらを自虐として是非問題を出して欲しいものです。
これらから予想される内容としては、Webサイトの更新・更改に関する内容が考えられます。
具体的には『CDN』、『クラウド化』、『DNS』に関する内容が予想されます。
CDN・クラウド化に関しては『令和4年度 春季試験 午後Ⅱ 問2』で出題されていました。
DNSに関しては『令和3年度 春季試験 午後Ⅰ 問2』で出題されていました
まとめ
2022年10月から2023年3月までに実際に起こったセキュリティインシデントの中で出題が予想されるものをまとめますと、以下の9点が予想されます。
- クラウド化・ゼロトラスト化
- 認証（SSO関連）
- VPN
- 脆弱性（診断・対策）
- Emotet
- アンチスパム/アンチウイルス
- PPAP/ファイル共有サービス
- CDN
- DNS
知らなかった単語や苦手にしている分野があれば、過去問や参考書などに目を通して試験までに復習しておくようにしましょう。
それでは、皆さまの合格を祈っております。
