情報セキュリティマネジメント試験 令和6年度 公開問題 問13

【正解】ア

表では、A社のグローバルIPアドレスからのアクセスだけを許可する機能1が有効です。このままでは、営業部員が社外の回線からXサービスを利用できないため、機能1を無効にする必要があります。一方、利用者認証を強化するには、無効になっている機能4のワンタイムパスワード認証を有効にします。既に有効な利用者ID・パスワードに、使い捨てのパスワードを加えることで、パスワードが漏れても第三者がログインしにくくなります。したがって、組合せはアです。

イの、機能1を無効にして機能5を有効にする組合せは誤りです。CAPTCHAは人間による操作かを確かめ、ボットによる大量試行を抑える機能であり、利用者本人を追加確認する認証機能ではありません。

ウの、機能2を無効にして機能4を有効にする組合せは誤りです。機能1が残るので社外から利用できず、基本の利用者ID・パスワード認証も外してしまいます。

エの、機能2を無効にして機能5を有効にする組合せは誤りです。社外利用を妨げる機能1が残る上、本人認証を弱め、CAPTCHAを有効にしても認証強化にはなりません。

オの、機能3を無効にして機能4を有効にする組合せは誤りです。機能1が残るので社外から利用できず、パスワードの複雑性を弱める変更にもなります。

カの、機能3を無効にして機能5を有効にする組合せは誤りです。社外利用を妨げる機能1が残り、パスワードを弱める一方、本人確認の追加手段ではないCAPTCHAを有効にしています。

【ポイント】 IPアドレス制限は接続元を限定する対策であり、利用者本人を確認する認証とは役割が異なります。 多要素認証では、知識情報、所持情報、生体情報のうち異なる要素を組み合わせます。 CAPTCHAは主にボット対策であり、ワンタイムパスワードとは区別します。