令和3年度 春期 情報処理安全確保支援士試験 午後Ⅱ 問題 問2 トラブル調査とIDaaSを用いた次期ITのセキュリティ要件の検討

クラウドセキュリティに関する次の記述を読んで，設問1〜6に答えよ。

　C社は，従業員150名の個人向けの投資コンサルティング会社である。金融商品や不動産投資に詳しいファイナンシャルプランナ60名からなる事業部，50名の営業部，20名の企画部，20名の経営管理部がある。顧客の投資診断や運用の提案を行うロボットアドバイザサービスが好調で，創立5年目で売上高が30億円を超える会社に成長を遂げた。

　CEOは，顧客満足度と従業員満足度の向上を目指して，次期ITに関して次のような方針を示している。

次期ITの方針1：サービスを更に向上させるために積極的にITを活用する。特にSaaSを活用する。
次期ITの方針2：働き方改革及びパンデミック対策の観点から，テレワーク環境を整備する。

　C社では，経営管理部内の総務グループ（以下，総務Gという）の5名が情報システムの管理を担当している。
　C社の現在の情報システム概要は，図1のとおりである。

UTMは，ステートフルパケットインスペクション型ファイアウォールに複数のセキュリティ機能を統合したものである。DHCPサーバの機能も備えており，APに接続する機器に192.168.1.20～192.168.1.240の範囲のIPアドレスを配布している。

C社内LANのネットワークセグメントは一つだけである。有線でL2SWに接続している機器には固定のIPアドレスを割り当てている。無線LANはWPA2パーソナルで運用しており，SSID及び事前共有鍵を従業員に開示している。

C社は，従業員に1人1台のC-PCを貸与している。OSのドメインコントローラは導入しておらず，従業員は貸与されたC-PCにローカルログインする。C-PCはAPに接続し，インターネットへのアクセスが可能である。事業部及び企画部では，顧客への提案や企画の立案時にインターネット上にある多くの情報を収集，取捨選択，加工することによって付加価値を生み出すことが不可欠であると認識している。その他の部門では，取引先などの企業情報検索と出張先への経路の検索にインターネットを利用している。

PC，スマートフォンなどの個人所有の機器（以下，個人所有機器という）のC社内LANへの接続は統制しておらず，多くの従業員は，個人所有機器をAPに接続して使用している。また，業務で新たにSaaSを利用する際，会社で統一された承認ルールはなく，各部の判断でSaaSの利用契約を締結している。

〔一つ目のトラブル〕

新入社員が配属されたある日，C-PCで障害が発生しているという連絡が総務Gに入った。総務GのAさんが調査したところ，次のような状況であった。

• 朝の時点では，C-PCや個人所有機器の利用について特に異常を感じた従業員はいなかった。
• 営業部のUさんが13時に出張から戻りC-PCを起動したところ，C-PCへのローカルログインはできたが，業務サーバにアクセスできず，メールの送受信もインターネット上のWebサイトの閲覧もできなかった。
• この後に起動したC-PCや接続しようとした個人所有機器の多くで同様の障害が発生していたが，何台かのC-PCや個人所有機器では障害が発生していなかった。障害が発生していたものと発生していなかったものとで，障害原因になるような違いは見当たらなかった。

Aさんは，障害が発生していたC-PCのネットワーク設定を調べたところ，①上位2オクテットが169.254に設定されたIPアドレスで動作していることに気付いた。C社は雑居ビルの中にあって誰でもC社オフィスに近づくことが可能なので，偽のDHCPサーバが立ち上げられたなど，何らかのサイバー攻撃を受けているのではないかと心配になり，経営管理部のE部長に報告した。E部長は，専門家の助言が必要と考え，C社内LANの構築で支援を受けたD社に依頼した。

D社のセキュリティコンサルタントである情報処理安全確保支援士（登録セキスペ）のKさんは，Aさんから説明を受け，次のようにコメントした。

コメント1：障害が発生したC-PCのIPアドレスは，DHCPサーバが正常に動作していない場合にしばしば確認される。偽のDHCPサーバの設置ではなく，②C社内LANでの個人所有機器の利用が原因で問題が引き起こされた結果である。個人所有機器の利用が原因であれば，DHCPサーバの設定変更で当面の障害に対処し，C社内での個人所有機器の利用を見直していくのがよい。

コメント2：念のために，③UTM以外にDHCPサーバが稼働しているかどうかも調査するとよい。

コメントを受け，Aさんが調査したところ，UTM以外にDHCPサーバは確認できなかった。このことから，サイバー攻撃を受けているわけではないと判断し，DHCPサーバの設定を変更した。

〔二つ目のトラブル〕

DHCPサーバに起因するトラブル（以下，トラブル1という）が解決した直後，企画部が最近利用し始めたビジネスチャットサービスR（以下，サービスRという）という無料のSaaSにおいて，別のトラブル（以下，トラブル2という）が発生した。

トラブル2の報告を受けたAさんが調査したところ，次のような状況であった。

状況1：企画部の部員がサービスRに開設したチャットエリアにおいて，模造サングラス販売の不正サイトに誘導するチャットが，部員のVさんのアカウントから連続して書き込まれた。Vさん本人は，身に覚えがないとのことだった。

状況2：企画部では，以前からサービスWというSNSを使って公開情報を発信している。Vさんを含む部員の数名は，会社のメールアドレスをサービスRとサービスWの利用者IDとして登録し，両方のサービスで同じパスワードを設定していた。サービスWでは，パスワード漏えいの事故があり，企画部の部員は全員がサービスWのパスワードを変更したが，誰もサービスRのパスワードは変更しなかった。

状況3：外部の何者かがサービスR内の情報に不正にアクセスし情報を持ち出していないかを調査するため，サービスRの提供会社にアクセスログを提供してもらえないかと問い合わせたが，無料のサービスについては提供できないという回答だった。

状況1〜3から，Aさんは，サービスRのアカウントが乗っ取られている可能性が高いので全員のパスワードをすぐに変更すべきであることと，サービスRでどのような情報にアクセスされたかはログが入手できないので調査が困難であることをE部長に報告した。E部長は，状況3について，仮に情報漏えいがあった場合，最大でどの程度の被害となり得るかを判断するために，④アクセスログの調査以外に実施できる調査を指示した。Aさんは，総務Gのほかの部員にも協力を仰ぎ，指示された調査を実施して結果をまとめた。

E部長は，調査の結果を確認し，今回は大きな被害はなかったと判断したが，情報セキュリティ対策の強化が急務であると感じた。そこで，業務における個人所有機器及びSaaSの利用を統制すべきとCEOに提言した。CEOは，統制の必要性に合意したが，一方で，過剰に統制すると従業員のビジネスマインドを阻害しかねないので，統制レベルを慎重に検討するよう指示した。

〔次期ITのセキュリティ要件〕

E部長は，トラブル1及びトラブル2の再発防止策，並びに次期ITの方針を踏まえて，統制の実現に向けた次期ITのセキュリティ要件を表1のように整理した。

〔要件1の検討〕

APへの接続方式をWPA2エンタープライズにし，APへの接続時にIEEE 802.1X（以下，802.1Xという）でのディジタル証明書による認証を行う。

802.1Xのシーケンスを図2に示す。

図2中のサプリカントには図1中のaが，図2中の認証装置には図1中のbが該当する。C-PCのIPアドレスは，図2中のc，DHCPサーバから割り当てられる。

〔要件2及び3の検討〕

要件2については，業務で利用するC社の情報システムやSaaSへのアクセスの際，機器をクライアント認証することにした。また，要件3については，SaaSへのアクセスにおける認証と認可に，インターネット上の認証サービスであるIDaaSを利用することにした。

代表的なIDaaSであるサービスQについて調査した。サービスQの概要を表2に示す。

C社の各部と議論を重ねた結果，幾つかのSaaSを総務Gで契約し，管理して提供すれば，ほとんどの業務が行えることが分かった。これらのSaaSは全てSAML認証に対応しており，サービスQと連携できることも確認できた。また，ディジタル証明書だけで認証することもでき，従業員がパスワードを管理する負担の軽減につながるので，サービスQを採用することにした。

C社オフィス外での業務については，モバイルPCを追加で購入し，モバイルPCを持ち出し用のC-PC（以下，持出C-PCという）として貸与することにした。

〔要件4及び5の検討〕

要件4を満たすためには，総務Gが契約したSaaSへのアクセスについてサービスQでの認証を必須にするだけでなく，総務Gが契約していないSaaSやインターネット上の様々なWebサイトへのアクセスも制御する必要がある。しかし，総務Gが契約したSaaS，企業情報検索，出張先への経路検索及びC社の情報システムへのアクセスだけを許可し，それ以外へのアクセスを全て遮断すると，⑤支障が出る業務がある。

調査を更に進めた結果，要件4及び5の実現に利用できそうなサービスがあることが分かった。機器からインターネットへの通信を中継するプロキシ型のクラウドサービスである。その一つにサービスNがある。サービスNを利用するには，機器からインターネットへの通信を全てサービスN経由で行うなどの制御を行う端末制御エージェントソフトウェア（以下，Pソフトという）を機器に導入する必要がある。管理者は，Pソフトを，一般利用者権限では動作の停止やアンインストールができないように設定することができる。

サービスNの機能を表3に示す。

要件4及び5は，サービスQとサービスNを組み合わせて実現する。サービスQとサービスNを利用した場合の動作の概要を図3に示す。

図3において，⑥総務Gが管理していない機器からのサービス要求があった場合は，シーケンスが途中で遮断される。

調査の結果，サービスQとサービスNを利用することで要件4及び5を実現できると判断し，サービスNを採用することにした。

〔要件6及び7の検討〕

要件6については，C社では，SaaSを契約するに当たって，⑦SaaS又はSaaS事業者が何らかのセキュリティ規格に準拠していることの第三者による認証を確認するか，SaaS事業者が自ら発行するホワイトペーパを確認することにした。

要件7については，SaaSで重要な情報を扱う場合，当該SaaSで利用可能ならば表3中の番号dの機能を利用する。それによって，サービスNを経由しない不正アクセスによるSaaSからの情報漏えいを防ぐことで，要件7に対応することにした。

〔次期ITへの移行〕

　C-PCは管理者権限による管理を総務Gが行い，従業員には一般利用者権限だけを与えることにした。また，⑧持出C-PCは，セキュリティ設定とソフトウェアなどの導入を行ってから従業員に貸与することにした。
　検討を進めた次期ITへの移行計画は承認され，C社の情報システムは次期ITに移行された。