令和6年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問25
テクノロジ／セキュリティ公開された実証コード（PoC：Proof of Concept）を使って，インターネットからWebサーバを狙う攻撃がある。こういった攻撃に自社のWebサーバが侵害される被害を未然に防ぐ対策として，最も効果があるものはどれか。
出典：令和6年度 秋期 プロジェクトマネージャ試験 午前Ⅱ 問25
- アJIS Q 27001:2023で規定される“人的管理策”にのっとり，自社のWebサーバについての秘密情報を持ち出すおそれがない人物か，職員採用時に厳格な適格性検査を行う。
- イSNSサイトやダークウェブを巡回し，自社のWebサーバについて秘密として管理している情報が売買されていないことを確認する。
- ウ自社のWebサーバで使用しているソフトウェアの脆弱性情報を確認し，ワークアラウンドの実施又は脆弱性修正プログラムの適用を行う。
- エファイアウォールを用いて外部との通信を記録し，自社のWebサーバから不審な宛先への通信が発生していないか調査する。
正解：ウ
解説
公開された実証コード（PoC）を使った攻撃は，既知の脆弱性を悪用するものです。こうした攻撃による被害を未然に防ぐには，自社のWebサーバで使用しているソフトウェアの脆弱性情報を日頃から確認し，脆弱性修正プログラムの適用やワークアラウンドの実施によって，悪用され得る脆弱性を解消しておくことが最も効果的な対策です。
選択肢ごとの解説
- ア誤り。職員採用時の適格性検査は内部不正対策として有効ですが，PoCを使った外部からの脆弱性攻撃への直接的な対策にはなりません。
- イ誤り。SNSサイトやダークウェブの巡回は，秘密情報の漏えいの兆候を把握する対策であり，PoCによる脆弱性攻撃を未然に防ぐ対策としては直接的ではありません。
- ウ正しい。脆弱性情報を確認し，ワークアラウンドの実施又は修正プログラムの適用を行うことが，PoCを使った攻撃への最も効果的な対策です。
- エ誤り。ファイアウォールでの通信記録の調査は，侵害の事後検知には有効ですが，侵害を未然に防ぐ対策としては直接的ではありません。