情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

H28秋  午後1問3 設問4 （2）について、


業務に必要なURLをホワイトリストに登録して、他の通信を全て遮断する方法にしないのはなぜですか？
カテゴリ単位フィルタリング機能について、「全てのカテゴリを遮断する」では不正解でしょうか？

カテゴリフィルタリングを使って業務に不要と思われるカテゴリで遮断した  →  業務に必要なURLも含まれてしまっていた
というのが問題となっている下線部分の直前でした。

なので、
・業務に不要なカテゴリは判明している
・業務に不要ではないカテゴリも存在する
（例：問題文にあるカテゴリのニュース、外部ストレージなど内容によりますが必要かもしれない）
という状況で、特定のURLだけホワイトリストにのせてあとは全て遮断というのは、必要な通信も遮断してしまうということかと思います。

「すべてのカテゴリを遮断した  →  業務に必要なURLも含まれてしまっていた」
もしもこういう状況であれば（書いてみるとなかなかなさそうな状況ですが）、必要URLをホワイトリストに記載して、残りをすべて遮断でOKでしょう。
しかし、下線直前の問題文はカテゴリの要不要についてわざわざ言及していますので、やはり過剰な遮断になると思います。

私の経験的なもので恐縮ですが、本問の前提として多少の
運用知識が必要と思われます

Webアクセスには以下の分類があると想定します
・全社的にアクセスが必要なもの
  クラウド上の社内システム、顧客とのデータ受け渡しに使う
  外部ストレージなど
  想定するURL数：100程度
・従業員の業務でアクセスが必要なもの
  情報・資料収集、取引先サイトの閲覧など
  想定するURL数：不特定すぎて想定できない(1万以上と推定）

又、フィルタリング機能の目的は
「セキュリティ的に不要な通信を遮断」
であり、すべてを過剰に遮断することではないと考えられます

ですので、カテゴリ毎フィルタリングでざっくりフィルタリングして
そこで意図せず遮断されてしまった必要なアクセスだけは
ホワイトリストに登録すれば十分に要件は満たせると思います

No.1様の想定ではすべてのカテゴリを遮断して業務に必要なもののみ
ホワイトリストに登録するとありますが、この方法は従業員が
業務で閲覧するものすべてをホワイトリストに登録することになり
そのURLの洗い出し、登録は現実的ではないです

また情シ部の業務としての非機能要件で、カテゴリ全遮断は
・保守性
・運用性
を著しく欠くことになるという点も考慮事項と思えます

お二方、回答ありがとうございます。

たしかに問題文でわざわざ使われている機能を使わないのは変でしたね。
他の年度の問題ではホワイトリストのみで運用している例もあったかと思いますが、この問題の例がより現実的ということですかね。
具体的な運用例なども挙げていただいて助かりました。
非常にスッキリしました。ありがとうございました。