（続）情報セキュリティスペシャリストの対策本

ようやく出版されたようだ。

情報セキュリティスペシャリスト完全合格対策〈2010年版〉

2009年度の秋期の問題と解説も入っている。
私は、2009年度の春と秋の、午後Iの解説を担当した。午後Iについては、2009年度の秋に次のような変化があった。

• これまで要素技術に関する出題（例えば、バッファオーバフロー、XSSやSQLインジェクション、電子メールプロトコル、IPSecと暗号技術など）が目立ったが、設計や運用に関する出題が増え、総合力（重要な概念や技術の理解と、国語力）が問われるようになった
• これまで対話形式だった問題文が、説明文の形式に変わった。本質的にはあまり変わっていない

このような傾向においては、次のような基本事項の理解が、ますます重要になる。特定のセキュリティ技術に詳しくても合格できなくなるし、ネットワークやシステム管理の基礎知識と国語力があれば合格できたりする。

午後問題を解く前に、これだけはおさえよう

• リスクアセスメント
  • 「リスク」＝「資産」の価値×「脅威」の大きさ×「脆弱性」の程度
• リスクへの対応
  • 「資産」の「CIA」を確保するための「対策」

CIA

• 機密性（Confidentiality）
  • キーワード（脅威）：不正アクセス全般、盗難、盗聴など
  • キーワード（対策）：アクセス制御（認証、認可）、暗号化など
• 完全性（Integrity）
  • キーワード（脅威）：不正アクセス全般、改ざんなど
  • キーワード（対策）：アクセス制御（認証、認可）、デジタル署名など
• 可用性（Availability）
  • キーワード（脅威）：DoS攻撃、DDoS攻撃、破壊、消去など
  • キーワード（対策）：冗長化、負荷分散、バックアップ・リストアなど

対策の観点

• 予防*1
  • 抑止：相互牽制により脅威の発生を減らす
  • 予防：脅威を避ける、脆弱性を減らす
  • 防止：脆弱性を減らす
• 検知
  • 検知：脅威または脆弱性を早く発見し、対応する
  • 回復：早くあるべき状態に復旧する

ま、現実ではなく、あくまでも試験だ。

*1:抑止と予防を明確に区別せず、予防（抑止）、防止、検知、回復の4つの観点とする場合がある。また、予防と防止を明確に区別せず、抑止、予防（防止）、検知、回復の4つの観点とする場合もある