情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

設問１(5)について二つ質問があります。

①解答例の「全てのドメインユーザーに対して」という文言は必要でしょうか。

②ベンダー拒否リストに登録されているhttps://○○○.com/を管理者拒否リストにも
 登録する理由は何でしょうか。

ご回答よろしくお願いします。

①感染が疑われるPCだけではなく全般的な対策がなされた事を伝えられれば、他の表現でも良いのではないでしょうか。まくら言葉的に使う、伝わり安い表現かと個人的には思います。

②あやしいサイトをプロキシで止めたという初動の対応を回答するわけですから、「〇〇〇.com」を見過ごしたと取られないように書くわけです。
ベンダー禁止リストに入っている「〇〇〇.com」以外のフガフガとホゲホゲを止めたと書くなら意味が通りますよね。

おかゆさん

ご回答ありがとうございます！
①について
URLフィルタリング機能にURLを追加すればすべてのユーザに
設定が反映されると思っていましたが、
問題文にも「ドメインユーザーごとに～」とあるように
ドメインユーザーごとに設定を反映させれることに気づいていませんでした。

②について
＞「〇〇〇.com」を見過ごしたと取られないように書くわけです。
 今回の問題の場合、理解はできましたが、
 実際のシチュエーションを想定した場合も登録は必要なのでしょうか。
 気になるのは、不審なURLをベンダー拒否リストに登録していて、
 管理者拒否リストに登録していない場合、不審なURLへの
 通信を検知できない場合があるのかどうかが気になります。

必要ですか？ とのことですが、必要だと思います。
ただこれ「暫定対策」なんですよね。そこに解釈の余地がある。
今回文字数制限がなくなったので、そこを表現できるようになった。自分ならログをこう読んでこう対策する、と言った意味で先程のような解答はありだと個人的には思います。
問題文最後まで読んで答えるわけですから。筆が滑って、結末知らんと書けない解答してしまうよりかは的を外してないのではという意味です。

実際にインシデントがあったとしたら、止めなあかんでしょうね。
またアラート出たら、あそこの情シス何やっとんねん、思われますよ。

②のベンダー拒否リストはベンダー（E社）のコントロール下にあります。
ユーザー（L社等）の意向とは無関係に、通告なくベンダー拒否リストからhttps://〇〇〇.comが削除される可能性があります。

極めて当然であるため大半の人々が気付いていないことですが、オーダーメイドではないサービス／ソフトウェア／ハードウェアには「ユーザーは完全なコントロールができない」というリスクがあります。

①のドメインユーザーの指定は必須ですから大きな失点または無得点、②は予防的措置ですから小さな失点になるかと思います。

おかゆさん
橙色文書さん

ご回答ありがとうございます。

＞オーダーメイドではないサービス／ソフトウェア／ハードウェアには「ユーザーは完全なコントロールができない」というリスクがあります。
 この理由で腹落ちしました。
 本当にありがとうございます。