情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度秋期 午前Ⅱ 問17: セキュリティ対策として，次の条件の下でデータベース（DB）サーバを DMZ から内部ネットワークに移動するような次のネットワーク構成の変更を計画している。このと

正解

イ. 変更種別：削除，送信元：運用管理 PC，宛先：変更前の DB サーバ，サービス：SSH，制御：許可

正答率 75.0%（4人中 3人が正解）

問題の解説

DBサーバをDMZから内部ネットワークへ移すと、ODBC通信の宛先は変わるが許可自体は必要なので残り、不要になるのは旧DBサーバ向けのルール。条件(3)によりSSHは運用管理PCからのみ許可されるが、移設に伴い旧DBサーバ宛のSSH許可ルールは対象がなくなり削除すべき。よってイが正解。実務では構成変更時に不要となった許可ルールを残さないことが攻撃面の縮小に直結する。

選択肢ごとの解説

• アWebAPサーバへのHTTPS公開は条件(1)で必要なため、削除すると要件を満たせず誤り。
• イDB移設で旧DBサーバ宛のSSH許可は対象を失うため削除すべき、で正しい。
• ウWebAPからDBへはODBCで接続し、SSHはDB操作用途でないため追加は不要。
• エODBCはWebAPとDB間の内部通信で、インターネットからの直接ODBC許可は不要かつ危険。