設問1
(1) a：ウ b：エ
リスクアセスメントはリスク特定→リスク分析→リスク評価の順で進められます。
1度JIS Q 31010 : 2012を読んでおいた方がいいかもしれません。
(2) c：ア d：ウ
リスクが発生しやすいのか、しにくいのか分析することは後のリスク対応時に対応するのか判断するために必要になります。
また、発生した場合の組織に対する影響度というのも分析することも必要です。
他選択肢はリスク対応の時に判断するもので、リスク分析時に行うことではありません。
設問2
(1) ファイル転送サーバから研究開発PCへの通信はFW2で禁止されているから
表3を確認するとFW1,2で許可/拒否する通信が記載されていおり、設問では事務PCからファイル転送サーバにマルウェア感染する可能性はあるが、ファイル転送サーバから研究開発PCにマルウェア感染する可能性は低いとあります。
なぜなら、事務PCからファイル転送サーバへの通信は許可されているため、マルウェアの転送は可能です。
しかし、ファイル転送サーバから研究開発PCへの通信は許可されていないため、マルウェアを転送(感染させる)ことはできません。
(ファイルにマルウェアを感染させればできると思いますが・・・)
(2) e：利用者ID f：パスワード g：アップロード用URL
マルウェアβが3つの情報を取得してファイル転送サーバにアクセスしています。
表4項番2を確認すると、利用者IDとパスワードを入力してファイル転送サーバにアクセスしているためこの情報は必要そうです。
また、想定される被害はファイル転送サーバへのアップロードのため、アップロード用URLを取得する必要があります。
** 方法：事務PCのHTTPリクエストを監視する。**
表4項番1ではHTTPを悪用した脆弱性vがファイル転送サーバにマルウェア感染を行っていました。
そのため通信はHTTPで行われており、ファイル転送サーバにログインする際のID、パスワードは暗号化されていません。
事務PCとファイル転送サーバ間の通信を盗聴すればID、パスワード、アップロード用URLを取得できそうです
(3)研究開発PCからファイル転送サーバにアクセスして、ファイルをダウンロードする必要があるから
これはあまり納得がいっていませんが、研究開発員は事務PCと研究開発PCの2台を保有しており、事務PCからファイル転送サーバにファイルをアップロードし、研究開発PCでダウンロードする流れになります。
そのため、身に覚えのない(不正な)ファイルがアップロードされていたとしても自分でアップロードしていないファイルならわざわざそのファイルをダウンロードすることはないから、マルウェアに感染することはないでしょうという答えだと思っています。
感覚的な解答にあまりスッキリしない問題です。
設問3
・h：高い i：通信経路上に感染活動を遮断する機器が存在しないから
・j：低い k：FW2によって感染活動を遮断できるから
(あ)に設置した場合、配信サーバと研究開発PCの間に設置されているのはL2SWのみで不正な通信を制御するような機器は存在しないため、感染の可能性は高いです。
表6の事務PCから配信サーバへの感染経路について(い)に設置した場合、FW1を間に挟むため不正な通信を遮断してくれそうです。
これと同様で研究開発PCと配信サーバの間にはFW2を挟むため感染の可能性は低くなります。
設問4
上長による承認
パスワードの再入力はHTTPリクエストが監視されている可能性があるため、無意味ですね。
候補としてはこの解答位しかないのではないのでしょうか。
話は若干ずれますが、私の会社ではメール誤送信のため一度メールをアップロードして、上長によるチェックでOKをもらえればメールを送信するという形式になっています。メールのWチェックを行っている会社は多いと思われます。
ただ、問題が難しいためこういう問題もあるんだなと暗記して置いた方が良さそうです。