IT入門お役立ち情報：情報処理安全確保支援士試験受験編（その１０）

中盤：記述式試験に向けてトレーニングとして問題集を勉強しました（１）

「２０２０　情報処理安全確保支援士「専門知識＋午後問題」の重点対策、三好康之（著）」という問題集の章立てに沿って、次の内容について勉強しました。そこで、気づいたことや感じたことを少し述べてみます。

認証とアクセスコントロール

セキュリティの基本中の基本であり、認証技術はほぼ毎年出題されているテーマです。その中でも、シングルサインオンに関する出題が目立ってきているようです。昨今はクラウドサービスの利用も増えてきているので、この技術が重要になってきている背景があると思います。また、業務上様々なシステムにアクセスする必要がある場合は、そのシステムを統合して利用できるようにするためにも必要な技術です。

PKI

SSL/TLSやディジタル証明書に関する問題は、コンスタントに出題されているようです。暗号技術やディジタル証明書については、日頃利用はしているのですが、その仕組みについて普段あまり意識したことはなく、いざ問題を解くとなると結構苦戦をしましたが、自分の知識の整理にはとても役立ったと思います。また、電子文書に関する証明書についての知識も習得できました。

ファイアウォール・IDS・IPS・UTM

ネットワークからの攻撃を防御するための技術ですので、ネットワークが関連する問題では必ず登場してくると思います。ここでは、とにかくどのネットワーク経路を通って、通信が行われているかを理解することが、いちばん大切で、そのネットワーク図が正しく描ければ、容易に解答にたどり着けると思います。

サーバセキュリティ

サーバを要塞のように構築・設定をして、脅威への対策をすることが基本になります。そして、個別にWebサーバとDNSサーバに対する対策なども必要です。代表的な攻撃に対する対策を理解するために、各サーバの個別の技術を理解しなければならないので、私にとっては改めて勉強になりました。

電子メールのセキュリティ

まずは、電子メールそのものの仕組みをしっかりと理解する必要があります。電子メール自体は古くからある技術ですが、それ故にセキュリティ的には脆弱なところが多々あり、それに対する仕組みが色々追加されてきたような感じです。業務上も大変良く使われるシステムだと思いますので、しっかりと学習したいと思います。

リモートアクセス

今やリモートアクセスは日常になってきていると思いますが、ここでもそれ相応のセキュリティが必要になります。接続する機器やユーザを正しく認証することと、通信を暗号化することがポイントになると思います。リモートアクセスで使用する機器については、運用上のルールなども重要なポイントではないかと思います。

セキュアプログラミング

必ず出題されているテーマです。ある程度ソースコードを理解できる知識が必要になりますが、問われている知識はプログラミング自体というよりも、脆弱性に対してどのようなロジックで対応するかが重要なのだと思います。私自身は日常プログラミングに携わっているわけではないので、少し難しいところがありますが、基本的な考え方は身につけたいと思います。