オンラインストレージサービスの利用における情報セキュリティ対策に関する次の記述を読んで，設問1～4に答えよ。

　J社は，従業員数150名の電気機器メーカーである。顧客企業から提示される仕様に基づいて電気製品を設計，製造している。　J社では，1年前に最高情報セキュリティ責任者(CISO)及び情報セキュリティ委員会を設置し，情報セキュリティポリシーを定め，情報セキュリティ関連規程を整備した。情報セキュリティ委員会の事務局は，情報システム課が担当している。また，各部の部長は，情報セキュリティ委員会の委員及び部における情報セキュリティ責任者を務め，自部の情報セキュリティを適切に確保し，維持，改善する役割を担っている。各情報セキュリティ責任者は，自部の情報セキュリティに関わる実務を担当する情報セキュリティリーダーを選任する。
　J社では，社内ネットワークとインターネットの間にファイアウォールを設置している。また，社外のWebサイトの閲覧は，全てプロキシサーバ経由とし，業務上不要と思われるWebサイトへの接続をコンテンツフィルターで制限している。制限されているWebサイトへの接続が必要になった場合は，接続するPCを限定して，情報システム課が一時的に制限を解除している。J社では，DHCPは使っておらず，PCのIPアドレスは固定である。

〔オンラインストレージサービス〕
　50名の従業員が所属する製造部では，製造の一部を協力会社であるB社に委託している。製造部からB社へは，従来，USBメモリを使用して製品製造に関係するファイルを提供していたが，USBメモリを管理する手間や，顧客企業からの急な仕様変更への対応が課題であった。製造部は，これらの課題を解決するために，顧客企業各社の了解も得た上で，2年前から，X社が提供するオンラインストレージサービス(以下，Xサービスという)をB社へのファイル提供に利用している。Xサービスはインターネット上で提供されている。サービス仕様(抜粋)を次に示す。

• 専用のドメイン名をもち，インターネット上のどこからでもアクセスできる。
• スマートフォンやタブレットなど，PC以外の端末からでも利用できる。
• インターネット上における盗聴や改ざんへの対策として，サービスへの接続にHTTP over TLS(HTTPS)を使用している。
• 利用アカウントのIDとして電子メールアドレス(以下，メールアドレスという)を登録し，パスワードを設定すれば，Webブラウザだけですぐに利用を始められる。
• 利用アカウントごとに専用のフォルダが与えられ，ファイルの登録や，登録したファイルの閲覧，編集などの操作を行うことができる。フォルダ容量が10Gバイトまでは無料である。
• ファイルの登録時，又は登録後に，ファイル共有先を指定し，共有権限を付与することによって，指定した利用アカウントにファイルの操作を許可したり，インターネット上の誰にでもファイルの閲覧を許可したりすることができる。ファイルの共有設定には表1に示す4種類がある。

〔Xサービス利用規則〕
　2年前，Xサービスの利用開始に当たって，製造部ではXサービス利用規則を作成し，部内に通知した。現在のXサービス利用規則を図1に示す。
　なお，J社の社内規程では，スマートフォンやタブレットの業務利用は認めていない。かつ，PCを社外に持ち出して使用することも禁止している。〔事故発生〕
　1か月前，Q社からJ社に連絡が入った。Q社はJ社と取引関係はないが，Q社従業員がインターネット検索を行っていたところ，J社の社名が記載され，秘密情報と記されたファイルがXサービスで公開されているのを発見したので連絡したということであった。製造部の情報セキュリティリーダーであるS主任が調査したところ，J社がB社に提供するためにXサービスに登録している顧客企業の製品製造に関係するファイルの一つが公開されてしまっていることが判明した。問題のファイルは，ファイル共有先にa1が指定され，かつ，共有権限にa2が付与されていた。
　S主任から報告を受けた製造部の情報セキュリティ責任者であるT部長は，CISOに一報を入れるとともに，①直ちにXサービスに登録している全てのファイルを削除し，Xサービスの利用を中止するように指示した。
　今回の事故を重く見たCISOは，情報セキュリティ委員会を招集し，T部長に事故原因の調査と対策の検討を指示した。また，情報システム課のU課長には，製造部への支援を指示した。

〔原因調査〕
　S主任は，T部長から指示を受けて事故原因の調査を開始し，Xサービスの情報セキュリティに影響する問題，つまり外部からの攻撃やシステム障害などが発生しなかったか，対象ファイルの共有設定を変更した者は誰かなどをX社に問い合わせた。X社からは，Xサービスの情報セキュリティに影響する問題は発生しておらず，また，操作の履歴情報を開示できるのは法令に基づいた開示請求があった場合に限ると回答があった。
　X社から調査協力を得ることができず，また，この時点で事件として警察に捜査を依頼することも難しいと思われたので，S主任はU課長と相談し，J社内の調査を進めることにした。U課長は②プロキシサーバを調査したが，不審な点は確認されず，また，製造部の全PCも調査したが問題点は見つけられなかったので，S主任は製造部の従業員全員に個別にヒアリングを行うことにした。

〔個別ヒアリング〕
　S主任は，自分とT部長を除く製造部の従業員48名一人一人に対して，Xサービスの利用状況を確認した。ヒアリング結果を図2に示す。　Xサービスでは，ファイル登録時点の共有設定は，ファイル共有先"なし"，共有権限"権限なし"が初期値である。B社にファイルを提供するには，ファイル登録時，又は登録後に共有設定を変更する必要がある。S主任は，ヒアリング結果のうちbという製造部の状況では，"B社にファイルを提供する際に，Xサービスのファイル共有設定を間違える"という事故が起きやすいと考えた。そこで，従業員がXサービスの利用を開始する時点でXサービス利用規則と利用方法についての十分な教育を行うとともに，③万一間違った共有設定がなされても第三者にファイルを読まれる可能性を下げる対策をXサービス利用規則の中に定めておくべきであったと反省した。

〔問題点の整理，対策の検討〕
　S主任は，一連の調査結果をT部長に報告した。T部長は，Xサービスの利用中止によってB社への製造委託に支障を来していることから，Xサービスの利用を早期に再開できるようにS主任に検討を指示した。S主任は，製造部の従業員による共有設定の誤り防止を含めた対策をU課長と相談した。U課長は，XサービスをB社へのファイル提供に利用したこと自体が誤りであったとして，表2のように，Xサービスを業務で利用することの問題点とその理由を三つ指摘した。　次は，U課長とS主任の会話である。

U課長：

製造部の業務を考慮すると，USBメモリを使ったファイル提供に戻すことは難しいのではないかと思いますが，何か代替案を考えていますか。

S主任：

同じオンラインストレージサービスでも，法人向けに有償で提供されているサービスには管理機能を強化しているものが多いので，そうしたサービスを使うことを考えたいと思います。

U課長：

利用するサービス自体を切り替えることによって，問題点1～3の解決を図るということですね。

S主任：

はい。ただし，現在のXサービス利用規則の内容では，④事故発生時の原因特定は困難です。適切な法人向けサービスに切り替えるとともに，利用規則も作り直すつもりです。

U課長：

今回の事故によって，全社の情報セキュリティ対策がまだ十分でないことに気付きました。情報セキュリティ委員会の事務局として，情報セキュリティ委員会に対して追加の⑤組織的対策を行うように働きかけた上で，情報システム課としても⑥技術的対策を進め，情報セキュリティの改善に努めます。

　S主任は，新しい利用規則をどのように作成すべきか，U課長とともに検討した。また，法人向けサービスの選定方法についてU課長から技術的なアドバイスを受けた。
　その後，S任は問題点1～3に対応したオンラインストレージサービスとして，W社の法人向けオンラインストレージサービス(以下，Wサービスという)を選定し，Xサービスからの切替えについて，T部長の承認を得た。T部長は，情報セキュリティ委員会の承認と顧客企業各社の了解を得た上でWサービスの利用規則を新たに定め，製造部従業員への周知など十分な準備を行い，Wサービスを使ってB社へのファイル提供を再開した。

(1) 本文中のa1，a2に入れる字句の組合せはどれか。aに関する解答群のうち，適切なものを選べ。

a に関する解答群

(2) 本文中の下線①のように指示した理由はどれか。解答群のうち，最も適切なものを選べ。

解答群

• J社が使用しているXサービスの利用アカウントのIDとパスワードが漏えいしたことが明らかであり，J社がXサービスに登録している全てのファイルに被害が及ぶおそれがあったから
• Xサービスがサイバー攻撃を受けたことが明らかであり，公開されたファイルの他にも，流出したファイルやマルウェア感染などの被害を受けたファイルが存在する可能性があったから
• Xサービスよりも機能が豊富であり，かつ，不正アクセスやマルウェアへの対策も十分な信頼できるサービスに早急に移行することを決定したから
• 原因は不明だが，Xサービスに登録されている全てのファイルが公開されたことが明らかであり，]社としても早急に被害の拡大を防止する必要があったから
• ファイルが公開された原因が不明であり，J社がXサービスに登録している他のファイルや，今後登録するファイルにも被害が及ぶおそれがあったから
• ファイルがマルウェアに感染したことが明らかであり，J社がXサービスに登録している他のファイルや，今後登録するファイルにも被害が及ぶおそれがあったから

本文中の下線②について，次の(ⅰ)～(ⅲ)のうち，調査を行う目的として適切なものだけを全て挙げた組合せを，解答群の中から選べ。

1. Xサービス以外のオンラインストレージサービスが利用されていなかったかを確認するため
2. 情報システム課が一時的に制限を解除したWebサイトへの接続状況を確認するため
3. 製造部のPC以外のJ社PCの中に，Xサービスに接続したものがあるかを確認するため

解答群

• (ⅰ)
• (ⅰ)，(ⅱ)
• (ⅰ)，(ⅱ)，(ⅲ)
• (ⅰ)，(ⅲ)
• (ⅱ)
• (ⅱ)，(ⅲ)
• (ⅲ)

(1) 本文中のbに入れる字句はどれか。解答群のうち，最も適切なものを選べ。

b に関する解答群

• Xサービスの利用方法を知らない従業員が3名いた
• Xサービス利用規則の存在を従業員全員が認識していた
• Xサービスをスマートフォンやタブレット，自宅のPCなどから利用している従業員がいなかった
• ファイルの共有設定に関係する用語の意味を正しくは理解していない従業員がいた

(2) 本文中の下線③について，次の(ⅰ)～(ⅳ)のうち，該当する対策だけを全て挙げた組合せを，解答群の中から選べ。

1. 登録するファイルに電子署名を付与する。
2. 登録するファイルを暗号化する。
3. ファイル登録後，B社だけに，登録したファイルのハッシュ値を連絡する。
4. ファイル登録後，B社だけに連絡し，B社のダウンロードが完了次第直ちに削除する。

解答群

• (ⅰ)，(ⅱ)
• (ⅰ)，(ⅱ)，(ⅲ)
• (ⅰ)，(ⅱ)，(ⅳ)
• (ⅰ)，(ⅲ)
• (ⅰ)，(ⅲ)，(ⅳ)
• (ⅰ)，(ⅳ)
• (ⅱ)，(ⅲ)
• (ⅱ)，(ⅲ)，(ⅳ)
• (ⅱ)，(ⅳ)
• (ⅲ)，(ⅳ)

(1) 表2中のc，dに入れる字句はどれか。解答群のうち，最も適切なものを選べ。

c，d に関する解答群

• スマートフォンやタブレットから利用できる。
• 操作の履歴情報が提供されない。
• 通信中の情報が暗号化されない。
• 登録したファイルに対するウイルスチェック機能をもたない。
• メールアドレスとパスワードだけで利用できる。

(2) 表2中のe，fに入れる字句はどれか。解答群のうち，最も適切なものを選べ。

e，f に関する解答群

• DDoS攻撃
• 意図的な公開
• クラッキング
• 誤操作
• スパムメール
• 中間者攻撃
• なりすまし
• フィッシング
• 紛失

(3) 本文中の下線④について，図1のどの項番が事故発生時の原因特定を困難にしているか。解答群のうち，最も適切なものを選べ。

解答群

• 1
• 2
• 3
• 4
• 5

(4) 本文中の下線⑤及び⑥について，次の(ⅰ)～(ⅷ)のうち，今回の事故を受けて情報セキュリティ委員会と情報システム課が行うべき対策を三つ挙げた組合せはどれか。解答群のうち，最も適切なものを選べ。
[情報セキュリティ委員会が行うべき組織的対策]

1. オンラインストレージサービス業者との秘密保持契約を見直し，情報流出の予防に関する条項を強化する。
2. 業務に関係がないインターネット利用を禁止する旨を情報セキュリティ関連規程に定める。
3. 社外のITサービスの導入について，全て情報セキュリティ委員会の承認を必要とすることを情報セキュリティ関連規程に定める。
4. 情報システムの利用アカウントの共有を禁止する旨を情報セキュリティ関連規程に定める。

[情報システム課が行うべき技術的対策]

5. Xサービスの利用アカウントのIDに登録していたメールアドレスを廃止し，新たに選定する法人向けのオンラインストレージサービスの利用アカウントのIDとして登録する専用のメールアドレスを新たに用意する。
6. 新たに選定する法人向けのオンラインストレージサービスに登録する全てのファイルを，定期的にバックアップする。
7. 新たに選定する法人向けのオンラインストレージサービスに登録するファイルに電子署名を付与するために，電子証明書を準備する。
8. オンラインストレージサービスは，情報セキュリティ委員会の承認を得たものだけ接続を許可するようにコンテンツフィルターを設定する。

解答群

• (ⅰ)，(ⅱ)，(ⅵ)
• (ⅰ)，(ⅳ)，(ⅷ)
• (ⅰ)，(ⅴ)，(ⅷ)
• (ⅱ)，(ⅲ)，(ⅶ)
• (ⅱ)，(ⅳ)，(ⅵ)
• (ⅱ)，(ⅵ)，(ⅶ)
• (ⅲ)，(ⅳ)，(ⅷ)
• (ⅲ)，(ⅴ)，(ⅶ)
• (ⅲ)，(ⅵ)，(ⅷ)
• (ⅳ)，(ⅴ)，(ⅵ)