システム監査(人)コミュのCISA問題集・質問コーナー

6月のCISA受験まで、2ヶ月を切りました。勉強も、いよいよ佳境に入っている時期でしょうか。

CISAの問題集を解いていて、
　・何だか、よく分からない解説だな～。何度読んでも、理解できないぞ。
　　どう考えたら良いのだろうか？
　・問題集の正解が、どうしてもベストプラクティスと思えないな～。
　・これって、もしかしてミスプリじゃないのか？
なんてことは無いでしょうか？　一人で悩まないで、一緒に考えませんか？

私は、別のトピに、CISAの勉強方法とか、資格認定のtipsを、書いていることもあってか、ある方から、CISA問題集についての質問を頂きました。それで、もしかして、問題集を解いているが、誰にも相談できずに、煮詰まってしまっている方が他にも、いらっしゃるのでは無いかと思い、このトピをたてることにしました。

トピ主として、少しだけ、ルールを決めさせてください。
　1．CISA問題集についての質問に、限る
　2．書き込みされる時は、問題集の年度と、本編か追加の区別、ドメイン、
　　問題番号を明記してください。
　3．問題と解説を、著作権法上認められる形で、引用してください。
　　全ての方が、質問されている問題集と同一年度のものを持っていない可能性が
　　あるためです。引用方法は、下記の、Wikipediaリンク等を参照ください。
よろしくお願いします。

以下は、Wikipediaからの引用です。
=====
一般に、適切な「引用」と認められるためには、
1. 文章の中で著作物を引用する必然性があること
2. 質的にも量的にも、引用先が「主」、引用部分が「従」の関係にあること。
　引用を独立してそれだけの作品として使用することはできない。
3. 本文と引用部分が明らかに区別できること。例『段落を変える』『かぎかっこを使用する』
4. 引用元が公表された著作物であること
5. 出所を明示すること（著作権法第48条）
が必要とされる。

「引用」『フリー百科事典　ウィキペディア日本語版』（2008年4月14日 08:30）より
http://ja.wikipedia.org/wiki/%E5%BC%95%E7%94%A8
=====

コメント(24)

最初
全て
最新の40件

[1] mixiユーザー 04月15日 22:34

トピだけ立てたものとして、口火を切ります。（実際に、頂いた質問を転載します）

2008年版CISA問題集(追加)より引用。
=====
C5-8
ある会社が公開鍵基盤（PKI)に基づいてデジタル署名スキームを実施することを決めた。ユーザーの秘密鍵はコンピュータのハードドライブに保存され、パスワードによって守られる。このアプローチの最も重要なリスクは何か？

A.　ユーザーの公開鍵を別の人間の公開鍵により置き換えることによるなりすまし
B.　別の人間の秘密鍵を偽造することにより、メッセージにデジタル署名で署名すること
C.　パスワードが危殆化している場合に、別の人間がユーザーのデジタル署名を使用すること
D.　別の人間のコンピューター上の秘密鍵を置き換えることによる偽造

解答　A
ユーザーのデジタル署名はパスワードによってのみ守られている。パスワードの危殆化によって、署名にアクセスすることができるようになる。これは最も重要なリスクである。選択肢Bは、公開鍵基盤の破壊を必要とするために非常に難しく、可能性が低い。選択肢Cは、「メッセージが別の人間から来たように見える」ことを要求するため、本当のユーザーの証明書を偽造することは出来ない。選択肢Dは選択肢Cと同じ結論になる。
=====

ご質問は、『解説ではAが正解となっているが、Cだと思う。解説文が納得できない』と言うものでした。

解説を読むと『パスワードの危殆化によって、署名にアクセスすることができるようになる。これは最も重要なリスクである。』と書かれていますが、それに対応する選択肢は、"C"が該当します。多分、AとCが、入りくった、単純なミスプリントだと思います。

この問題は「PKIで、秘密鍵を用いる時、パスワードでプロテクトされたPCのハードディスクに保存される場合のリスク」を聞いています。
一般的にPKIの目的は、機密性(暗号化)、改ざん(完全性)、なりすまし(認証)、否認防止の4つと言われていて、設問と選択肢を読みあわせると、「デジタル署名」と言うキーワードが何箇所か出てきていて「認証」「なりすまし」がテーマだな、と言うことが分かります。従って、考え方としては、次の様になろうかと思います。

<選択肢A>
デジタル署名は、秘密鍵で暗号化し、公開鍵で復号することにより、確かに本人から発せられたメッセージであることによって、本人認証がなされる(なりすましを防げる)ので、公開鍵を置き換えることは、意味をなさず、不正解。
<選択肢B>
理論的には、秘密鍵を偽造すれば「なりすまし」は可能であるが、PKIを破るのは、実務的にはかなり困難であるといわれているので、「重要なリスク」とは言えず、これも不正解。
<選択肢C>
秘密鍵が保存されたPCのパスワードが危険にさらされている状態だと、他人が、その秘密鍵を用いてデジタル署名し、本来の秘密鍵の持ち主に「なりすます」ことが出来る。従って、他に比べても、このリスクが一番重要と思われます。
-----

ここから、皆さんのご意見をお伺いしたい部分です。
<選択肢D>
『別の人間のコンピューター上の秘密鍵を置き換えることによる偽造』が具体的にどのようなことを指しているか、お分かりの方、いらっしゃいますでしょうか？
おそらくは「他人のPCにある秘密鍵を、別のものと置き換える」と言う意味だと解釈し、もしそうだとすれば、他人に迷惑をかける愉快犯的なことは出来ても、その人になりすまして、何か悪事を働くことにはならず、<選択肢C>よりはリスクが低く、不正解になるんだと、私は考えました。
-----

<選択肢D>を排除できる、強い理由が見あたらなかったのですが、セキュリティの専門家の方で、どなたか、ご意見もしくは、解説をいただけませんでしょうか？

[2] mixiユーザー 04月20日 19:05

難問ではないのかもしれませんが、よく理解できないのでアップいたします。
なぜ解説のような解答になるのかわかりやすくご教授いただけますと幸甚でございます。

2008年版CISA試験サンプル問題＆解答解説集より引用。
=====
C1-36
情報システム監査人が、ネットワークＯＳの監査を実施している。情報システム監査人が調査すべきユーザーの機能は次のどれか？

A.　オンライン・ネットワーク・ドキュメントの可用性
B.　リモートホスト機への端末アクセスのサポート
C.　ホスト機と内部ユーザー間の通信によるファイル転送操作
D.　パフォーマンス管理、監査とコントロール

解答　A
ネットワークＯＳのユーザー機能には、ネットワーク・ドキュメンテーションのオンライン可用性を含んでいる。他の機能として、ネットワーク・ホストの様々なリソースへのユーザーアクセス、関連する資源へのアクセス許可、そして特別なユーザーの操作あるいはコマンドなしに使用されるネットワークとホストコンピュータへのアクセスがあり得る。選択肢Ｂ，Ｃ，Ｄは、ネットワークＯＳの機能に関する例である。
=====

私が引っ掛かっているのは、以下の点です。

Ｂ,Ｃは、それぞれ解説で述べられている「ネットワーク・ホストの様々なリソースへのユーザーアクセス」と「関連する資源へのアクセス許可」の例（具体的な手続き）として、理解できます。
しかし、一方でＤ（パフォーマンス管理、監査とコントロール）は、解説の「特別なユーザーの操作あるいはコマンドなしに使用されるネットワークとホストコンピュータへのアクセス」に該当するのだろうとは思いますが、Ｄ自体で”機能・目的”を表現できている気がします。この前提で考えるならば、”情報システム「監査」人”が、考慮して「調査」するのは、特別なユーザー機能（特権的なユーザー機能）の方が重要ではないかと思います。
以上のように考えたのですが、如何でしょうか？

[3] mixiユーザー 04月21日 19:29

ナポレオンボナパルト様

質問は、『調査すべき最も重要な機能は何か？』ではなく、単に『調査すべき、ユーザーの機能は何か？』です。従って、Aが正解になるのだろうと思います。

選択肢Aの「オンライン・ネットワーク・ドキュメントの可用性」が、具体的にどの様なことを指しているのか、私も、いまいち、判りません。多分、ネットワーク上にあるファイル(ドキュメント)が、何時も見られる状態にあることを、意味していると思われ、ユーザーに関連する機能だと、推測されます。

仮に、選択肢Aの内容が判らなくても、選択肢のB, C, Dは、生身の（人間の）ユーザーが、関係するのではなく、内部ユーザーが関係するものであるか、あるいは、OSの監査機能に関係するものと、分かるので、消去法で考えても、回答はAなのだろうな、と思います。

それにしても、解説文が分かりにくいですよね。多分、こう理解するんでしょう。（カッコを追加してみました）
『ネットワークＯＳのユーザー機能には、ネットワーク・ドキュメンテーションのオンライン可用性を含んでいる。
（ユーザー機能以外の）他の機能として、ネットワーク・ホストの様々なリソースへのユーザーアクセス、関連する資源へのアクセス許可、そして特別なユーザーの操作あるいはコマンドなしに使用されるネットワークとホストコンピュータへのアクセスがあり得る。選択肢Ｂ，Ｃ，Ｄは、ネットワークＯＳの（ユーザー機能以外の）機能に関する例である。』

ネットワークOSなんて、もはや死語に近いし、出題の意図も良く分かりません。むしろ、ナポレオンボナパルトさんが書かれている趣旨で問題を作ったほうが、いい問題になりますよね。

[4] mixiユーザー 04月21日 21:02

それにしても「オンライン・ネットワーク・ドキュメントの可用性」って、何を意味するのか、気になります。多分、"availability of online network documents"の翻訳なんだろな～と思い、「CISA, availability online, network, document」でググってみたら、何と、問題の原文と思われるものが出てきました。（このHPの正体は分かりませんが、ISACAの問題集をそのまま、転載している可能性がありますね。いいのかな．．。）

http://www.allinterview.com/Interview-Questions/CISA-Certification.html
=====
An IS auditor is performing an audit of a network operating system. Which of the following is a user feature the IS auditor should review?

A. Availability of online network documentation
B. Support of terminal access to remote hosts
C. Handling file transfer between hosts and inter-user communications
D. Performance management, audit and control

Answer: A
Network operating system user features include online availability of network documentation. Other features would be user access to various resources of network hosts, user authorization to access particular resources and the network and host computers to be used without special user actions or commands. Choices B, C and D are examples of network operating systems functions among which the following are included: supporting terminal access to remote hosts, handling file transfer between hosts, and inter-user communications.
=====

でも、結局、何かは判らずじまい．．。

[5] mixiユーザー 04月21日 23:42

はまちゃんさん

有難うございました。
思わぬ収穫（？）で面白いＨＰも参照できました。

[6] mixiユーザー 04月23日 00:56

はまちゃんさんへ、

C5-8のDは、
パスワードの保護をうけている秘密鍵を置き換えてもパスワードが一致しないと利用できず、不正な鍵であると検知し易くなるため、リスクは低くなるということだと推察します。

[7] mixiユーザー 04月23日 01:17

はまちゃんさんへ、

>ネットワーク上にあるファイル(ドキュメント)が、何時も見られる状態にあること
→　こういう場合のAvailabilityは、その様に使われるのを他でも見たことがあります。

[8] mixiユーザー 05月20日 10:09

この場をお借りして質問させて下さい。

そもそも質問の意味・意図がわからず，解説内容も理解に苦しんでおります。どなた，平たく解説して頂けないでしょうか？

2008年版CISA問題集より引用。
=====
C2-31
疑いのあるネットワーク侵入に対する処置を含んでいると考えられる有効なセキュリティ方針は次のどのプログラムか。

A.　応答（レスポンス）
B.　訂正
C.　検出
D.　監視（モニタリング）

解答　A
有効な情報システムセキュリティ方針は，疑いのあるネットワーク侵入を扱うための応答プログラムのアウトラインを描いたものになる。訂正，検出及び監視プログラムは全て，情報セキュリティの側面だが，情報セキュリティ方針記述書に含まれることはないであろう。
=====

[9] mixiユーザー 05月22日 00:00

質問の意図を、意訳すると『侵入が疑われる時に、どんなプログラムがセキュリティ方針に盛り込まれていることが、有効か？』と言うことだと思います。

セキュリティ方針は、概括的なことが記載され、具体的な手続きは、手順書・マニュアルに盛り込まれるべきと、私は理解していますので、この問題は、個人的には、ちょっとおかしいな？と言う気がします。

それはさておき、消去法で考えてみると、侵入が疑われているのだから、すでに何らかの検出はされている筈で、「C.検出」は正解ではないだろう。侵入が疑われている段階で、データが書き換えられた云々と迄は、記載がないので、「B.訂正」も不正解。
「D.モニタリング」は、そもそも、モニタリングしてたからこそ、侵入を疑うようなことが起きているのだから、これも不正解。よって、Aが残る、と言ったところでしょうか。
それで、「応答プログラムって、一体、なによ？」と、聞かないでください。あくまでも消去法ですから。

問題集では「response program」を「応答プログラム」と訳していますが、レスポンスには「対応・対処」と言う意味もあるので、「対応計画」とも解釈できます。
セキュリティ方針は、事故をどう予防するかについても記載されると思いますが、一旦、事故が起きた場合に、どう対応するかと言う方針を定めておく（すなわち、プログラムしておく）ことも記載されるべきだと考えると、他の選択肢よりも、「対応計画」が最も包括的な選択肢なので、おそらく、これが正解なんだろうな、と思いました。

いずれにしても、あんまり、良い問題じゃ、ないですね。

本設問が判りにくい理由は、翻訳品質が原因かと思いますが、最近は、実際の試験問題の翻訳品質は、上がっていると聞いてますし、言語間であまりに正解率が異なれば、採点対象から外すような調整が行われますので、余り深刻にならず、日本語が分からない場合は、その問題は早めにスキップし、他の問題にトライした方が良いかと思います。

[10] mixiユーザー 05月22日 00:08

はまちゃんさんへ

私も消去法でAだろうな，と考えたのですが，Aだけ見てると文意が成り立たない？と思っていた次第です。

いずれにしてもあまり気にしないでスキップします。

丁寧な解説と見解をありがとうございました。

[11] mixiユーザー 05月26日 20:20

このトピのNo. 1について、ISACA東京支部のHPに、『国際本部からCISA QA&E Supplement の訂正連絡がありました。』という、記載が出ています。
http://www.isaca.gr.jp/cisa/2008%20QA&E%20Supplement%20correction.pdf
（pdfがダウンロードされます）

やはり、AとCが、単純に入れ違っているミスプリントだったとのことです。ご参考まで。

試験まで、あと2週間を切りました。健康に注意して、最後の追い込みを、頑張ってください！

[12] mixiユーザー 06月02日 01:51

再びこの場をお借りして質問させて下さい。

2008年版CISA問題集より引用。
=====
C5-51
２つの集団間でメッセージの完全性，機密性および否認拒否を保証するために，最も有効な方法は，次に示す事項に対してハッシングアルゴリズムの暗号化を適用してメッセージダイジェスト（サマリー）を作成することであるが，それは次のどれか。

A.　メッセージ全体に対して，送信者の秘密鍵を用いたメッセージダイジェストの暗号化，対称鍵によるメッセージの暗号化および受信者の公開鍵を用いた鍵の暗号化。
B.　メッセージ任意の部分に対して，送信者の秘密鍵を用いたメッセージダイジェストの暗号化，対称鍵によるメッセージの暗号化および受信者の公開鍵を用いた鍵の暗号化。
C.　メッセージ全体に対して，送信者の秘密鍵を用いたメッセージダイジェストの暗号化，対称鍵によるメッセージの暗号化および受信者の公開鍵を用いた対称鍵の暗号化。
D.　メッセージ全体に対して，送信者の秘密鍵を用いたメッセージダイジェストの暗号化および受信者の公開鍵を用いたメッセージの暗号化。

解答　A
メッセージ全体に対してハッシュアルゴリズムの暗号化を適用することは，メッセージの完全性の問題に対処することになる。送信者の秘密鍵を用いたメッセージダイジェストの暗号化は，否認防止に対処する。対称鍵を使ったメッセージの暗号化して，その後，その対称鍵を受信者の公開鍵を使用して暗号化することは，受信者の否認を拒否すると同様にメッセージの機密性に最も効率的に対処する。他の選択肢は，必要条件の一部だけに対処している。
=====
問題文の内容から下記が送信者側で必要な作業と理解しました。

?　メッセージ全体からダイジェストを作成し，それを送信者の秘密鍵で暗号化する。
?　メッセージ全体を対称鍵で暗号化する。
?　受信者の公開鍵を使って，対称鍵を暗号化する。
?　???のを受信者に送る。

この解釈が正しいとすると，答えはCになるのでは？と考えました。
そもそもAとCでは後半の”鍵”と”対称鍵”の部分しか違わないと思うのですが，Cの方が明確になっていて正解となるような気がします。

解釈について，ご意見・アドバイス頂ければと思います。
よろしくお願いします。

[13] mixiユーザー 06月02日 22:14

サンプル問題集には、PKIや暗号の問題が結構出ます。私は、これが、不得意だったので、ネットや参考書で情報を探しまくったことを覚えています。この問題は、2006年版にも掲載されていて、私もやった筈ですが、おそらく2-3順目で解答を覚えてしまい「まぁいいか」と、深く考えなかったのかも知れません。

改めて、この問題を読むと、確かに、ちょっと変ですね。
単純な、ミスプリントの様な気もしますが、AとCの差が、よく分からず、翻訳の問題かな？と言う気もします。
原文を探そうとして、以前紹介したサイトを検索して見ましたが、ピッタリ一致したものは見つかりませんでした。どなたか、英語版の問題集をお持ちじゃないですか？

と言うことで、確たるコメントには、至りませんでした。すみません、お役に立てず．．。

[15] mixiユーザー 07月18日 07:33

> necoさま
英文オリジナルの提供、有り難うございます。
やっぱり、そうでしたか．．。

レビューマニュアルや問題集の翻訳レビューは、業者が翻訳して、それをレビューし、日本語版の印刷に掛かるまでの時間がきわめて短く、記述が訂正になった、あるいは新しい問題から、優先的にレビューしているのが現状です。

2008年版C5-51は、2006年版にも出ていましたので、既出問題として、レビューが出来なかったんですね～。

この様なケースが起きない様には、どうすれば良いか、ISACAに対し、微力ながら、問題提起して行きたいと思います。

[17] mixiユーザー 07月19日 09:38

necoさま

> 「試験サンプル問題＆解答・解説集」については日本語/英語併記にして
面白いアイディアですね。問題集が、レビューマニュアル並みの厚さになるという欠点はありますが。

但し、実際の試験は、necoさんのおっしゃるとおり、原文の参照が出来るようにして欲しいですよね。

私が受けたPMPは「日本語で受験」を申し込んでいても、一旦は、最初に英語が表記され、「日本語表示」をクリックすると、日本語の問題がポップされてくる、と言う具合です。日本語を読んで、なんか変な問題だな～と思ったら、原文を見て「やっぱり．．」と言うことが、何問かありましたから。

CIAもCBT (コンピュータ試験）に変わりましたが、何れ、CISAもCBTに変わると思います。でも、マークシート試験であっても、希望者には、英文も追加配布すると言うこと位は、出来るかも知れませんね～。

[22] mixiユーザー 12月11日 13:54

レビューコースでいただいた資料にある問題に関してです。
この資料は、問題はありますが、回答がないため助けていただけると幸いです。

ドメインは「３」です。

----------------------------------------------------------------
シン・クライアントのアーキテクチャーを導入する際、
サーバーの以下の要件に関するリスクのどれが重要か。

Ａ．　インテグリティ
Ｂ．　同時使用性
Ｃ．　機密性
Ｄ．　可用性
----------------------------------------------------------------

どれも重要なことだと思います。
シン・クライアントはサーバーで一括管理するものだと思いますから、
サーバーが脅威にさらされた場合、情報の流出を防ぐため、
「機密性」が最も重要なのでは、と思いました。
しかし、他の候補もひょっとしたらより重要なのでは、と思います。

ご回答いただけますと幸いです。

[24] mixiユーザー 12月11日 22:14

neco様

ありがとうございます。
よく分かりました。助かりました。

問題文を正確に把握することが大切ですね。

ログインすると、残り7件のコメントが見れるよ