SC22春後1問3

SC22春後1問3

情報セキュリティスペシャリスト試験平成22年度春午後1問3


 転職サイトにおける個人情報保護に関する次の記述を読んで,設問 1,2 に答えよ。


 P 社は,従業員数 30 名の人材紹介会社である。コンサルタントによる人材紹介だけでなく,転職サイトも立ち上げている。この転職サイトには,求職者,求人企業が多数,登録している。求職者は,転職サイトの個人プロフィール登録画面で,氏名,生年月日,住所,電話番号,職歴などの個人プロフィールを登録する。求職者の転職サイトの利用は無料である。求人企業は,業種,募集職種,職務内容,給与,勤務地,応募資格などの求人募集内容の掲載を P 社に依頼する。求人企業は,求人募集時には求人件数に応じた利用料を,採用成立時には紹介料を P 社に支払う。


〔求職者の個人情報の保護〕

 求職者は,求人募集内容を見て応募したい求人企業があれば,転職サイト内のそれぞれの求人企業の応募入力画面を利用して応募することができる。応募入力画面では,あらかじめ個人プロフィール登録画面で登録しておいた個人プロフィールをそのまま利用することもできるが,新たに入力することもできる。さらに,各求人企業に対する応募理由などを追加入力することもできる。この応募時の個人プロフィールは,P 社の Web サーバから,求人企業に,電子メール(以下,メールという)で自動送信される。

 なお,求職者の個人情報を求人企業に提供することについては,求職者から事前に転職サイトの画面で同意を得ており,また,求人企業に対しても提供する個人情報の利用目的を利用規約で制限しており,特に問題ないと P 社は認識している。

 求人企業のうち,数社から,暗号化されていないメールで求職者の個人情報を送信することについて,漏えいする危険性があるので改善してほしいとの要望があった。これを受けて,P 社の情報システム部の F 部長は,システム担当の Z 主任に,メールが盗聴される危険性を踏まえた改善案を作成するよう命じた。

 Z 主任は,F 部長の指示に従って,改善案を表 1 にまとめた。


表 1 個人情報を含むメールが盗聴される危険性を踏まえた改善案

案 1 案 2 案 3
方式 メールの暗号化 パスワード付きファイルの添付 求人企業向け Web ページの追加
実現手段 個人プロフィールを送信するメールを S/MIME 又は PGP を用いて暗号化する。 個人プロフィールを含む文書ファイルなどをパスワードで保護した状態でメールに添付して送信する。 応募があったときに,個人プロフィールを含めず,応募があったことだけを通知するメールを送信する。求人企業は,パスワード認証とTLS(SSL)で保護されている求人企業向け Web ページから個人プロフィールをダウンロードする。
利点 秘匿性が高い。 ほとんどの求人企業で利用可能である。 メールに個人情報を含まない。
欠点 S/MIME,PGP は,求人企業に普及していない。 秘匿性が低い。パスワードの管理が必要となる。 求人企業の利用者が個人プロフィールにアクセスする際の手順が増える。パスワードの管理が必要となる。


 次は,各案を比較した際の F 部長と Z 主任の会話である。

Z 主任: 案 1の S/MIME はどうでしょうか。
F 部長: S/MIME は,各求人企業が [ a ] を用意するために認証サービスを年間契約することなどが必要である。コストが掛かるから難しいだろう。
Z 主任: 各求人企業が自社で [ a ] を発行する方法は,採用できないのでしょうか。
F 部長: [1] 各求人企業が自社で発行したものは,当社では [ a ] として受け入れられない
Z 主任: 当社で認証局システムを構築して,求人企業の各利用者分も含めて [ a ] を発行するのはどうでしょうか。
F 部長: その場合,導入コストに加えて運用コストも必要だ。
Z 主任: それでは,PGP はどうでしょうか。
F 部長: PGP は,自社で鍵の生成システムを用意できるとしても,クライアント PC の [ b ] ソフトが対応していないことが多く,操作手順が複雑になるので,一般の利用者には使いにくいだろう。案 1 の採用は難しいようだね。
Z 主任: 案 2 はどうですか。
F 部長: もし攻撃者が添付ファイルを入手したら,総当たり攻撃をかけることができるので,パスワードは十分に長くしないといけないね。
Z 主任: 最短パスワード長は,8 文字でどうでしょうか。
F 部長: それでは足りないだろう。サーバヘのログインのように,[2] オンラインでパスワードを入力させる場合は,試行回数を多くできないように制限することもできるから 8 文字程度でも十分な場合が多い。しかし,案 2 の場合は,添付ファイルを攻撃者に入手されたら,ファイルに対してオフラインで直接的に攻撃されて試行回数が制限できない上に,解析ツールを利用して,ごく短時間でパスワードを解析される危険性もある。だから,パスワードはかなり長くする必要があるが,運用上はなかなか難しいだろう。
Z 主任: そうすると,案 3 でしょうか。
F 部長: そうだね。案 3 は,求人企業の利用者の手間が増えるという欠点はあるが,この欠点は操作性の高い求人企業向け Web ページを用意することによって補うことができるだろう。また,当社で求人企業の利用者の初期パスワードを管理する必要があるが,求人企業の利用者の総数から考えて,大きな手間にはならないだろう。


 F 部長と Z 主任は,案 3 を採用することにした。求人企業向け Web ページの操作性については,求職者の個人プロフィールを簡単な手順で確認できるように設計することにした。

 P 社では,求人企業向け Web ページを追加し,各求人企業に運用方法の変を通知した上で,案 3 に沿った運用方法に切り替えた。


〔求人企業向け Web ページパスワード

 求人企業向け Web ページでは,表 2 に示すような利用者 ID とパスワードを求人企業の利用者ごとに発行し,各求人企業向けの Web ページだけにアクセスできるようになっている。求人企業の利用責任者は,最初に P 社に依頼するときに,各利用者のメールアドレスを含む申込書と,求人企業の登記事項証明書を郵送する。P 社では,利用者 ID は求人企業の各利用者にメールで送信するが,[3] 初期パスワードの通知書は登記事項証明書に記載された所在地気付で利用責任者あてに一括して郵送している。求人企業の各利用者は,初めて求人企業向けWebページログインしたときには,パスワードを変してから利用する。

 なお,初期パスワードの通知書は,パスワードを変した後も,各利用者が保管するように P 社からお願いしている。


表 2 求人企業向けWebページの利用者 ID とパスワード

項目 生成方法/設定方法
利用者 ID P 社が,求人企業の利用者に対して,登録順に 1 人に一つずつ割り振る連続番号(数字 8 けた)。 00000099
初期パスワード 利用者 ID を 3 倍した数字の下 8 けたと,発行日(西暦 4 けた,月 2 けた,日 2 けた)を合わせた 16 けたの数字。 0000029720100405
パスワード 初回ログイン時に,求人企業の利用者が設定する。8 けた以上の文字列で,英字,数字,記号が使用可能。 A9d3&jw27


 このような方法で運用していたところ,求人企業の Q 社から 3 名の利用者を含む申込みがあり,各利用者の初期パスワードを利用責任者あてに郵送した。その 3 名の初期パスワードを見た Q 社の利用責任者は,[4] 他人の初期パスワードを推定可能であるという問題があると,P 社に指摘した。F 部長と Z 主任は,その指摘に対して,直ちに改善を行った。

 また,別の問題点として,パスワード後にパスワードを忘れたという問合せがしばしば発生するようになった。そこで,Z 主任は,図のようなパスワード再設定手順を追加することを考え,F 部長に提案した。


(1)求人企業の利用者が,パスワード再設定の申請ページに利用者ID を入力する。
(2)Web アプリケーションが自動的に,パスワード再設定の申請があった旨と,パスワード再設定の実行ページURL を,P 社に登録されている利用者のメールアドレスあてにメールで通知する。第三者からのアクセスを避けるために URL には十分に長いランダムな文字列を含める。
(3)求人企業の利用者が,URL の示すパスワード再設定の実行ページにアクセスし,新パスワードを入力すると新パスワードが設定される。
(4)パスワード再設定の実行ページURL を通知後,20 分以内にアクセスがない場合は,実行ページURL自動的に無効にする。

図 求人企業向けWebページパスワード再設定手順(当初案)


 F 部長は,[5] 図のパスワード再設定手順では第三者にパスワードを設定されてしまう危険性があることを指摘し,Z 主任に対応を指示した。Z 主任は,F 部長の指示に従い,[6] パスワード再設定手を見直し,再提案した。


 その後,P 社では,Z 主任の再提案を採用して,見直し後のパスワード再設定手順での運用を開始した。


設問1

 〔求職者の個人情報の保護〕について,(1) ~ (4) に答えよ。

(1) 本文中の [ a ],[ b ] に入れる適切な字句を, [ a ] については 10 字以内で, [ b ] については 5 字以内で答えよ。
(2) F 部長が,本文中の下線 [1] のように述べている理由を 30 字以内で述べよ。
(3) PGP では,通常,証明書のフィンガプリントを確認するが,正しいフィンガプリントの入手方法として安全と考えられるものを一つ挙げ,30字以内で述べよ。
(4) 本文中の下線 [2] を実現する対策の内容を 50 字以内で具体的に述べよ。


設問2

 〔求人企業向け Web ページパスワード〕について,(1) ~ (4) に答えよ。

(1) 本文中の下線 [3] について,初期パスワードの通知書の郵送先を求人企業の登記事項証明書に記載された所在地とした P 社の意図は何か。40 字以内で述べよ。
(2) 本文中の下線 [4] について,問題を解決するためには初期パスワードをどのように生成すればよいか。30 字以内で述べよ。
(3) 本文中の下線 [5] について,総当たり攻撃以外には,どのような手口で第三者にパスワードを再設定されてしまうか。40 字以内で述べよ。
(4) 本文中の下線 [6] について,Z 主任の考えた見直し案はどのようなものであったと考えられるか。40 字以内で述べよ。



問題掲載者による注意書き

  • 実際の問題文をテキスト化するにあたり,表記の難しい部分を以下のように置き換えている。
    • 丸 1,丸 2 (○の中に数字が入っている)で表記されていた文字は,機種依存文字のため, [1] ,[2] の様に置き換えた。(下線 [1],[2]等)
    • 空欄[ a ][ b ][ c ]等は,実際の問題文中では,四角で囲まれた,a,b,c だったが,[ ]で置き換えた。