「刑務所で情報処理試験」という記事を以前書きました。受刑者に対する職業教育の一環として、情報処理技術者試験が刑務所内でも実施されています。

　11月からITパスポート試験がコンピュータで実施するCBT方式に変わります。刑務所ではどう対応するのでしょうか。実際どうするか問い合わせてみるほどでないので、あくまでも想像ですが次の方法が考えられます。

●刑務所内にCBT環境を構築
　受刑者を外部の受験会場に連れ出すわけにいかないでしょうから、刑務所内に受験用パソコンを設置。同時に多数受験させる必要はないので端末数は少なくてもいいですが、ホストコンピュータとの通信を仲立ちするためのサーバ1台は必要です。また、ネットワーク構築やセキュリティ確保のコストもかかります。ただでさえ厳しい国家予算でそこまでやるかどうか不明。
　実現すれば、いつでも受験させることができるので便利でしょう。

●従来のペーパーテストを実施
　CBT方式に変わっても、パソコンで受験するのが困難な身障者向けに、特別措置として春・秋のペーパーテストが残されます（一般の受験者はペーパーテストの受験不可）。それを利用すれば、これまでと同じように、刑務所内でも春・秋にペーパーテストで実施できるでしょう。コストもかかりません。
　この方法では、試験実施日前に受刑者が満期出所する場合は受験できない欠点があります。出所してから自分で申し込んで受験すればいい、といえばそうですが。

　応用情報技術者や高度試験の午後試験は、記述式です（小論文を除く）。設問には、「○○字以内で述べよ」というのが多くあります。

　私は今回、情報セキュリティスペシャリストを受験しましたが、午後試験の解答を下書きして文字数を数えると、だいたい指定文字数ちょうどになっていました。下書きの時に文字数を意識しているのではないのです。書きたいことを書いたら、指定文字数にほぼ収まる感覚です。長らく受験し続けて身についたことですが、これが解答時間短縮に有効なのです。目標の文字数に収まらないと、手直しに時間がかかります。

　文字数をぱっと判断する方法の一つが、問題文の行数です。情報処理技術者試験の問題冊子では、1行が38文字です。つまり、40字以内で述べよと言われたら、問題文の1行分の内容を書けばいいです。問題文1行に収まっている文字数を視覚的にイメージで捉えるのです。そのためには、IPAが公開している問題冊子のPDFを印刷して解くのが有効です。参考書を書いている私が言うのもなんですが、市販問題集に転載された問題文は1行の文字数が異なるため、文字数を視覚的に捉えにくくなります。

　また、文字数が足りなすぎるのもNGです。40字以内で述べる問題で、20字しか書いていないというのは、言うべきことが足りない証拠です。模擬試験の採点や通信教育の添削をしていると、そのような答案を多く見かけます。だいたい指定文字数の8割以上は埋めるべきと思います（用語の穴埋め問題は除く）。

　引き続き、情報セキュリティスペシャリスト試験の午後1で私の書いた解答です。
　問1がセキュアプログラミングの問題でそれを選択してもよかったのですが、問3と問4を選びました。問4はいいとして、問3は着手してからリスキーな問題だと気付きました。設問3の(1)を間違えると(2)も間違え、設問4の(1)を間違えると(2)(3)も間違うという出題なので、大きく失点するおそれがあります。素直に問1を解いたほうがよかったです。

2011年秋 情報セキュリティスペシャリスト 午後1

【問3】
設問1
(1)　暗号化された通信内容を検査できないため
(2)　3,5
(3)　ア
設問2
(1)　中間者(man-in-the-middle)
(2)　サーバ証明書のディジタル署名を認証局の公開鍵で復号して正当性を確認する
通信の暗号化用の共通鍵交換の際、認証局の公開鍵で復号できるか確認する
設問3
(1)　Lプロキシをルート認証局として登録し、それが発行する証明書を信頼させるようにする
(2)　ルート認証局以外の認証局は上位の認証局から認証されている必要があるから
(3)　アクセス先URLとサーバ証明書が示すコモンネームを一致させる必要があるから

【問4】
設問1　利用者のアクセス管理
設問2　b 物理的アクセス　c　指紋等の生体認証　d　スクリーンセーバ　e　シュレッダで裁断してから廃棄して
設問3
(1)　 ウ
(2)　抽出した会計連携データを暗号化してUSBメモリに保存する
(3)　抽出担当者と経理部担当者が鍵を持つ箱でUSBメモリを運搬する
設問4
(1)　Q社及びZ社から独立
(2)　Q社が登録を依頼した利用者IDが正しく登録されていること

JIS Q 27002:2006を見て確認したところ、正解は次のようになるようです。
設問1　利用者アクセスの管理
設問2　b　クリアデスク　c　トークン　d　スクリーン及びキーボードのロック機構　e　プリンタから即刻取り出して
※dは15字以内、eは20字以内での解答を求められていますが、JISの記述を引用すればdは18字、eは13字です。本来は、dは20字以内、eは15字以内で書かせようとしたものを、文字数指定を逆にしてしまった出題ミスかもしれません。

11.2 利用者アクセスの管理 11.3.3    クリアデスク・クリアスクリーン方針 管理策 書類及び取外し可能な記憶媒体に対するクリアデスク方針，並びに情報処理設備に対するクリアスクリーン方針を適用することが望ましい。 実施の手引 クリアデスク・クリアスクリーン方針において，情報セキュリティの分類（7.2 参照），法令及び契約上の要求事項（15.1 参照），並びに組織の抱えるそれらに対応するリスク及び文化的側面を考慮することが望ましい。次の指針を考慮することが望ましい。 a)    取扱いに慎重を要する又は重要な業務情報（例えば，紙又は電子記憶媒体上の業務情報）は，必要のない場合，特にオフィスにだれもいないときには，施錠して（理想的には金庫若しくは書庫又はセキュリティを備えた他の形態の収納用具に）保管しておく。 b)    コンピュータ及び端末は，離席時には，ログオフ状態にしておくこと，又はパスワード，トークン若しくは類似の利用者認証機構で管理されたスクリーン及びキーボードのロック機構によって保護していることが望ましく，利用しないときは，施錠，パスワード又は他の管理策によって保護している。 c)     郵便物の受渡場所，及び無人状態のファクシミリ装置を保護する。 d)    コピー機及びその他の再生技術（例えば，スキャナ，ディジタルカメラ）の認可されていない利用は，防止する。 e)     取扱いに慎重を要する情報又は機密扱い情報を含む文書は，プリンタから即刻取り出しておく。

　大阪・天六の関西大学天六学舎で情報セキュリティスペシャリストを受験してきました。
　午後2は問2を選択し、約90分で解答し、10分で解答を写して退出してきました。私の書いた答をそのまま載せます(それなりに合っていると思いますが、完全な解答ではありません)。

2011年秋 情報セキュリティスペシャリスト 午後2 問2

設問1
(a) DHCP (b) NTP

設問2
(1) 管理端末から各サーバへの通信が経路上では暗号化されているから
(2) ログオフしたサーバのホスト名又はIPアドレス
ログオフコマンド入力後、画面にメッセージが表示される場合
取得した画面出力のテキストデータに含まれるログオフしたサーバのホスト名やIPアドレス
(3) ログ取得処理にサーバ資源を費やし、業務処理の性能悪化を招くから
(4) 1,2
ログ取得設定が表ごとで、特権以外の操作もすべて記録されるから
(5) G,H

設問3
(1) ネットワーク障害が1時間以上続いたとき
(2) 462 Gバイト
(3) 6 Mビット/秒
(4) ログの消去や改ざんを防ぐため
(5) 個人情報及び財務データログの安全管理措置

設問4
(1) 管理端末へのIPアドレス割当てを固定にする
ドメイン管理サーバの時刻同期を自動化し高頻度で行う
(2) オペレータ
情報システム部にオペレータが行うシステム運用の詳細を知っている者がいないから
(3) 管理責任者自身によって行われた特権操作
管理責任者による特権操作はA社従業員が確認作業する

　本日、第9回医療情報技師検定試験の合格発表がありました。
　私は、2009年、2010年に引き続き、今年も3科目受験して3年連続で合格しました(2005年にも合格しています)。

　認定者(3科目合格者)の受験番号と、各科目合格者(認定者を含む)の受験番号が公表されていますので、分析してみました。

　合格者は1,428名で、そのうち今回3科目受験して3科目合格した人は826名です。過年度合格による免除科目があって、今回残り科目を受験して合格した人は602名です。詳しく見ると、次のようになります。

★合格者の分析

情報処理	システム	医学医療	人数
合格	合格	合格	826
合格	合格	免除	37
合格	免除	合格	42
免除	合格	合格	50
合格	免除	免除	175
免除	合格	免除	99
免除	免除	合格	199
合計			1,428

不合格者については、次のようになります。
2科目合格している方は、3科目とも受験して2科目合格し、1科目が不合格だったと判断できます。
1科目のみ合格している方については、3科目とも受験したのか、1科目免除で2科目受験したのかは区別できません。
科目合格のない方については、3科目とも受験したのか、1科目免除で2科目受験したのか、2科目免除で1科目受験したのかは区別できません。

★不合格者の分析

情報処理	システム	医学医療	人数
合格	合格	不合格	221
合格	不合格	合格	136
不合格	合格	合格	257
合格	免 or 不	免 or 不	366
免 or 不	合格	免 or 不	247
免 or 不	免 or 不	合格	327
免 or 不	免 or 不	免 or 不	1,221
合計			2,775

　「ITパスポート試験 友の会」 というFacebookページを作りました。独自URLも取得できたので、今後仕事に活用していきたいと考えています。リンク先のページ内の「いいね」を押していただければ幸いです。

　情報処理技術者試験に、組込みシステムの上流工程の試験区分を新設してはどうか、という提案です。

　現行の組込みシステムの試験としては、エンベデッドシステムスペシャリスト試験(ES)があります。これは外部設計～内部設計を対象にした試験で、非常にテクニカルな内容が多く出題されます。

　経済産業省・IPAは国家戦略として、日本が得意とする組込みシステムの発展を後押ししようとしています。そこで2009年の試験区分改訂で、ITストラテジスト(ST)、システムアーキテクト(SA)、プロジェクトマネージャ(PM)の午後試験で組み込み系の問題が出るようになりました。午後1は4問中1問、午後2は3問中1問です。

　しかしながら、ここまでの出題を見ると、次のような課題があります。
　午後1は、出題に組込みシステムらしさがありません。組込みシステムの経験がなくても、業務系システムの経験があれば解けるレベルです。
　午後2は、組込みシステムの経験がないと書けないであろう論文テーマが出ています。その点は問題ありませんが、業務系システムの経験者にとっては、実質的に選択問題が2問になったのと同じです。選択の幅が狭まって、論文を書きづらいのです。そこを救済するためか、論文テーマの出し方が幅広いものになっているようです。
　統計情報を見ても、経済産業省の狙いに反し、ST、SA、PMの各試験は組込みシステム開発に携わっている方の受験は多くないようです。結果的に、業務系の受験者にとって受験しにくくなっているだけです。

　そこで、ST、SA、PMは2008年以前のように、業務系システムを想定した出題に戻して、標記の試験区分を新設してはどうかと思います。午後1は記述式3問(2問解答)、午後2は論述式(小論文)3問(1問解答)として、組込みシステムにおけるST、SA、PM的なテーマを1問ずつ出してはどうでしょうか。
　試験名は、「エンベデッドシステムマネージャ試験」(EM)くらいでいかがでしょう。