10月13日の日曜日に、令和6年度秋期情報処理安全確保支援士試験を受験してきました。今回は、試験問題や自分の感じたことなどをお話したいと思います。
このブログは、今後、情報処理安全確保支援士を目指す方々の参考になればと思います。
是非、最後までご覧いただけると嬉しいです。
試験の内容
まずは、試験の内容についてのおさらいです。以前のブログでも記載していますので、簡単なおさらいにしておきます。
試験は、3つの問題に分かれています。
- 午前Ⅰ 共通問題
共通問題の試験時間は9:30〜10:20の50分間で、問題は30問です。回答形式は4択のマークシート形式となっています。この共通問題は、情報処理安全確保支援士以外にも、以下の試験と共通問題になります。
1. プロジェクトマネージャー
2. データベーススペシャリスト
3. エンベッドシステムスペシャリスト
4. システム監査技術者試験 - 午前Ⅱ 個別問題
個別問題は、情報処理安全確保支援士専用の試験です。試験時間は10:50〜11:30の40分間で、問題は25問出題されます。回答形式は、共通問題と同様に4択の選択式でマークシートになります。 - 午後 個別問題
午後の試験時間は12:30〜15:00の2時間30分で、すべての問題を回答し終えれば途中退出が可能です。試験問題は、4問のうち2問を選択して解答する形式であり、各問題には複数の設問が設定されています。
次からは、各問題の傾向と私の感想についてお話します。
午前Ⅰ 共通問題
午前Ⅰの問題は、情報システム全般に関わる問題が出題されます。私は、20年以上前に情報処理技術者試験の勉強を行いましたが、それよりかはレベルが高かったので、応用情報技術者試験に近いレベルだと思います。ただ、最近のニュースにも話題になっているような問題もありました。例えば、以下が、今回の試験問題です。
問13 ディープフェイクを悪用した攻撃に該当するものはどれか。
ア AI技術によって加工した CEO の音声を利用して従業員に電話をかけ、指定した銀行口座に送金するよう指示した。
イ 企業の PC をランサムウェアに感染させ、暗号化したデータを復号するための鍵と引き換えに、指定した方法で暗号資産を送付するよう指示した。
ウ 企業の秘密情報を含むデータを不正に取得したと誤認させる電子メールを従業員に送付し、不正に取得したデータを公開しないことと引き換えに、指定した方法で暗号資産を送付するよう指示した。
エ ディープウェブにて入手した認証情報で CEO の電子メールアカウントに不正にログインして偽りの電子メールを従業員に送付し、指定した銀行口座に送金するよう指示した。
引用：情報処理安全確保支援士試験 令和6年 秋 午前Ⅰ問13
このように、昨今社会で問題となっているディープフェイクなどが問題として出題されています。ただ、情報処理安全確保支援士試験対策で勉強した問題も出題されたいました。
全く同じ問題ではないですが、以前のブログで書いた、エクスプロイトに関する問題が出題されていました。問題は、以下になります。
問16 エクスプロイトコードの説明はどれか。
ア 攻撃コードとも呼ばれ、ソフトウェアの脆弱性を悪用するコードのことであり、使い方によっては脆弱性の検証に役立つこともある。
イ マルウェア定義ファイルともよぼれ、マルウェアを特定するための特徴的なコードのこともあり、マルウェア対策ソフトによるマルウェアの検知に用いられる。
ウ メッセージとシークレットデータから計算されるハッシュコードのことであり、メッセージの改ざん検知に用いられる。
エ ログインのたびに変化する認証コードのことであり、不正に取得しても再利用できないので不正アクセスを防ぐ。
引用：情報処理安全確保支援士試験 令和6年 秋 午前Ⅰ問16
私の感想としては、午前Ⅰの試験対策が不十分だったと感じています。試験当日、IPAのホームページで解答例が公開されていたため、自己採点を行いました。その結果、正解率は4割に留まりました。次回の試験に向けては、応用情報技術者試験の過去問題を解き、情報システム全般に関する知識をさらに深める必要があると考えています。
午前Ⅱ 個別問題
午前Ⅱの個別問題は、情報処理安全確保支援士試験専用の問題です。試験問題としては、情報セキュリティに関する問題ですが、私の勉強方法が、過去問題を解きながら、知識を深める方法をとっていたので、最近の技術に関しては、若干勉強が足りていませんでした。例えば、以下の問題については、解答がわかりませんでした。
問9 量子暗号の特徴として、適切なものはどれか。
ア 暗号化と復号の処理を、量子コンピュータをもいて行うことができるので、従来のコンピュータでの処理に比べて大量のデータの秘匿を短時間で実現できる。
イ 共通鍵暗号方式であり、従来の情報の取扱量の最小単位であるビットの代わりに量子ビットを用いることによって、高速なデータ送受信が実現できる。
ウ 量子雑音を用いて共通鍵を生成し、公開鍵暗号方式で共有することによって、解読が困難なひどく通信が実現できる。
エ 量子通信路を用いて安全に共有した乱数列を使い捨ての案鍵として用いることによって、原理的に第三者に解読されない秘匿通信が実現できる。
引用：情報処理安全確保支援士試験 令和6年 秋 午前Ⅱ問9
試験後に参考書を見直したところ、「量子暗号および耐量子暗号の概要」に関する記述がありましたが、これを見落としていたことがわかりました。
また、参考書には記載されておらず、今回初めて見た用語もありました。以下の問題がそれに該当します。
問15 DTLSの特徴はどれか。
ア IPパケットの暗号化を可能としている。
イ PPPで接続する際のチャレンジレスポンス認証機能をイーサネット上の通信に提供している。
ウ TCPのペイロードデータの暗号強度をTLSよりも強化している。
エ UDPのペイロードデータの暗号化を可能としている。
引用：情報処理安全確保支援士試験 令和6年 秋 午前Ⅱ問15
私の感想として、午前Ⅱの試験対策は万全ではなかったものの、しっかりと取り組んだつもりです。しかし、常に最新の技術や用語に目を向けて勉強する必要性を強く感じました。自己採点の結果は、こちらも正解率4割でした。勉強不足を痛感しています。
午後 個別問題
午後の個別問題は記述式が多く、情報システムやセキュリティに関する実践的な知識が求められる試験だと感じました。試験問題の内容は、
- 問１：インシデントレスポンスについて
- 問２：ドメイン名変更について
- 問３：クレジットカード情報の漏洩について
- 問４：セキュリティ診断について
になります。
私は、問１と問２を選択したので、その内容を説明すると、問1は、社内にマルウェアが侵入した際のフォレンジックや対策に関する問題でした。
私は、前職でオンプレミスのエンジニアだったため、いろいろな顧客を訪問しましたが、今回問題のケースになった環境は、私が今まで訪問した企業の環境に近かったこともあり、イメージしやすく、回答もしやすかったです。
問2の内容は、企業のドメイン移行に関するDNSサーバとメール対策に関する問題でした。
企業の社名変更に伴い、これまで使用していたドメイン名を変更する必要性が生じ、その際、旧ドメイン名で使用していたWebサイトやメールサーバーを、新しいドメイン名に移行することになり、ドメイン名変更に伴う様々な対応や対策に関する内容でした。
この問題に関しては経験がありませんでしたが、これまで勉強してきた内容で対応できると考え、この問を選択しました。その他の問3と問4については知見が足りず、必然的にこの問を選ぶしかなかったという側面もあります。
DNSサーバについては、構築の経験がなかったため、DNSサーバに関する問題については、うまく回答ができなかったと思っています。
次回の試験に関して、DNSに関する知識と実際にサーバ構築を行って、知見を深めたいと考えています。
また、問３や問４の問題についても、一度解いてみて、自分に足りない知見を深めたいと考えています。
最後に、試験会場の大学で撮影した写真を載せておきます。
まとめ
今回は、下記についてお話しました。
- 試験の内容
- 午前Ⅰ 共通問題
- 午前Ⅱ 個別問題
- 午後 個別問題
今回初めて情報処理安全確保支援士試験を受けましたが、まだまだ自分の知識が足りていないことを痛感しました。今後、セキュリティ分野に特化したエンジニアにないたいと考えているので、次回の試験に向けて、これから準備していこうと考えています。
これからも、Macのシステムエンジニアとして、日々、習得した知識や経験を発信していきますので、是非、ブックマーク登録してくれると嬉しいです！
それでは、次回のブログで！
