全80問から、出題範囲の骨格が掴める28問だけを抜き出しました。まずはここだけ流して、必要なら全問へ進んでください。
全80問に進むこの28問の内容
出典: オリジナル想定問題（当サイト作成、実際の過去問ではありません）。公表されている出題範囲に基づく（最終更新 2026-09-11）
ある企業が新たに顧客向けのオンライン決済システムを企画している。要求定義工程の段階で、開発チームが脅威分析(STRIDEなどのモデルを用いた脅威の洗い出し)を実施する目的として、最も適切なものはどれか。
- ✓設計に着手する前に想定される脅威を洗い出し、その対策をセキュリティ要件として設計に反映すること
- B実装が完了したシステムに対して侵入テストを行い、脆弱性を発見すること
- C本番稼働後に発生したインシデントの原因を特定し、再発防止策を策定すること
- D監査人が第三者の立場からシステムのセキュリティ対策の妥当性を評価すること
解説
脅威分析は要件定義・設計の早い段階で実施し、洗い出した脅威への対策をセキュリティ要件として上流工程から組み込む（セキュリティ・バイ・デザイン）ことに意義がある。侵入テストや監査、事後対応とは目的が異なる。
根拠シラバス「期待する技術水準」情報システム及び情報システム基盤の脅威分析に関する知識をもち、情報セキュリティ要件を抽出できる
オンプレミスで稼働している基幹システムをクラウドサービスへ移行するプロジェクトにおいて、リスクアセスメントに着手する際、最初に行うべき作業として最も適切なものはどれか。
- Aクラウド事業者が提供する契約書のひな形にそのまま署名する
- B移行後に発生したインシデントのログを分析する
- ✓移行対象システムが扱う情報資産を洗い出し、機密性・完全性・可用性の観点からその重要度を評価する
- Dエンドユーザーに対してパスワードの変更を一斉に依頼する
解説
リスクアセスメントはまず資産を特定し重要度を評価することから始まる。契約締結やインシデント対応、ユーザー対応は後続または別の工程である。
根拠シラバス 情報セキュリティリスクアセスメント及びリスク対応（資産の特定を起点とするプロセス）
ある従業員が、退職の直前に自らの業務用アカウントを利用して顧客情報を大量に外部の記憶媒体へコピーしていたことが事後に判明した。このようなリスクへの事前対応として、リスクアセスメントの結果に基づき導入すべき対策として最も適切なものはどれか。
- ✓業務上必要な権限のみを付与する最小権限の原則を徹底し、重要情報へのアクセスや外部媒体への出力を監視・制御する仕組みを導入する
- B全従業員に対して一律に外部記憶媒体の使用を無制限に許可する
- C退職予定者のみを対象として、退職日の翌日にアカウントを削除すればよい
- D内部不正はリスクとして評価対象にせず、外部からの攻撃のみを分析対象とする
解説
内部不正対策は最小権限の原則の徹底とアクセス監視・出力制御が基本であり、退職時点だけでなく在職中からの継続的な管理が必要となる。
根拠シラバス 業務と役割「情報セキュリティ方針及び情報セキュリティ諸規程の策定、内部不正の防止に関する知識」
ある情報システムの資産価値は5,000万円と評価されている。ある脅威が発生した場合、資産価値の40%が損失を受けると見積もられ(EF=40%)、この脅威の年間発生率(ARO)は0.5回/年と予測されている。年間予想損失額(ALE)はいくらか。
- A500万円
- B2,000万円
- ✓1,000万円
- D2,500万円
解説
単一損失予測額(SLE)は資産価値×露出係数(EF)で算出し、5,000万円×0.4=2,000万円となる。年間予想損失額(ALE)はSLEに年間発生率(ARO)を乗じるため、2,000万円×0.5=1,000万円となる。
根拠シラバス 情報セキュリティリスクアセスメント（定量的リスク分析：SLE・ARO・ALEによるリスク算定）
あるセキュリティ対策の導入前における年間予想損失額(ALE)は800万円、導入後のALEは200万円と見積もられている。この対策の導入・運用に要する年間コストが300万円である場合、この対策による年間の正味便益(ALEの削減額から対策コストを差し引いた額)はいくらか。
- ✓300万円
- B200万円
- C500万円
- D600万円
解説
対策導入によるALEの削減額は800万円-200万円=600万円である。これから対策の年間コスト300万円を差し引いた正味便益は600万円-300万円=300万円となる。
根拠シラバス セキュリティ対策の適用とその効果の評価に関する知識（費用対効果によるリスク対応の妥当性評価）
JIS Q 27005(ISO/IEC 27005)が示す情報セキュリティリスクマネジメントの工程のうち、「リスク特定」「リスク分析」「リスク評価」「リスク対応」の4つを実施順に並べたものとして適切なものはどれか。
- Aリスク分析 → リスク特定 → リスク対応 → リスク評価
- Bリスク対応 → リスク評価 → リスク分析 → リスク特定
- ✓リスク特定 → リスク分析 → リスク評価 → リスク対応
- Dリスク評価 → リスク特定 → リスク分析 → リスク対応
解説
リスクマネジメントプロセスでは、まずリスクを特定し、次に発生可能性や影響度を分析し、それを評価基準と照らして評価した上で、リスク対応（低減・保有・回避・移転）を決定する順序をとる。
根拠シラバス 情報セキュリティリスクアセスメント及びリスク対応に関する知識（JIS Q 27005のリスクマネジメントプロセス）
事業継続計画(BCP)策定のために事業影響度分析(BIA)を実施する際、最初に行うべき作業として最も適切なものはどれか。
- ✓組織の重要業務を洗い出し、それぞれの業務が停止した場合に事業に与える影響を評価する
- B停止を許容できる時間(目標復旧時間、RTO)を業務ごとに数値で定める
- C災害発生時の要員の緊急連絡網を整備する
- D代替拠点の候補地を選定し、契約を締結する
解説
BIAでは、まず組織にとっての重要業務を特定し、それが停止した場合の影響度を評価することから着手する。RTOの設定や代替拠点の選定、連絡網の整備はその後の工程である。
根拠シラバス 情報セキュリティマネジメントシステム、情報セキュリティリスクアセスメント及びリスク対応に関する知識（事業継続計画に関する規程を含む組織内諸規程）
出張中の社員が空港の公衆無線LANに接続し、社内システムに暗号化されていないHTTP通信でアクセスしたところ、同一ネットワーク上の攻撃者に通信を盗聴され、認証情報を窃取された。今後、同様の被害を防ぐために最も有効な対策はどれか。
- A社内システムへの通信をHTTPSではなくFTPで行うよう変更する。
- ✓公衆無線LAN利用時は必ずVPNを経由して社内システムに接続するよう義務付け、通信を暗号化する。
- C公衆無線LANのSSIDをステルス化(SSIDブロードキャスト停止)するよう利用者に周知する。
- D端末のOSを最新バージョンに更新するだけで対応する。
解説
公衆無線LANは第三者による盗聴のリスクが高く、通信内容が暗号化されていなければ認証情報などが平文で窃取される。VPN(IPsecやSSL-VPN)を経由して通信を暗号化することで、経路上の盗聴を防ぐことができる。
根拠シラバス「ネットワーク、データベースに関する知識をもち、暗号、認証、フィルタリング、ロギングなどの要素技術を適用できる。」
社員のノートPCが盗難に遭った。当該PCのハードディスクは暗号化されておらず、内蔵の重要情報が第三者に読み取られる可能性がある。この教訓を踏まえ、今後導入すべき対策として最も適切なものはどれか。
- Aログイン画面のパスワード文字数を4桁から6桁に増やす。
- BPCの盗難防止用ワイヤーロックを配布する。
- ✓TPM(Trusted Platform Module)と連携したディスク全体の暗号化機能を全PCに導入する。
- Dディスクのバックアップ頻度を1日1回から1時間に1回に増やす。
解説
盗難後に情報を読み取られないようにするには、OS起動前の認証と鍵管理を担うTPMと連携したディスク全体の暗号化が有効である。ワイヤーロックやバックアップ頻度の変更は、盗難による情報漏えい自体を防ぐものではない。
根拠シラバス「情報及び情報システムの利用におけるセキュリティ対策の適用に関する業務」暗号利用。
拠点間VPNでIPsecを利用していたが、通信経路上で正規のパケットを攻撃者が記録し、後で再送信する再生攻撃(リプレイアタック)が疑われた。この攻撃を検知・防止するためにIPsecが備える仕組みとして最も適切なものはどれか。
- AIKEフェーズ1で使用する共有鍵の桁数を増やす。
- ✓ESPヘッダ内のシーケンス番号とスライディングウィンドウによる重複パケットの検出。
- CパケットのTTL値を1に固定する。
- Dトンネルモードをやめてトランスポートモードに変更する。
解説
IPsecのESP/AHはパケットにシーケンス番号を付与し、受信側がスライディングウィンドウで既に受信済みの番号かどうかを判定することで、再生攻撃によって送られた重複パケットを検出・破棄できる。
根拠シラバス「ネットワーク、データベースに関する知識をもち、暗号、認証、フィルタリング、ロギングなどの要素技術を適用できる。」
RSA暗号において、素数p=5、q=11から求めた法n=55、公開鍵の指数e=3を用いて平文m=4を暗号化するとき、暗号文c(=m^e mod n)の値として正しいものはどれか。
- A64
- B45
- ✓9
- D11
解説
n=p×q=5×11=55である。m^e=4^3=64となり、これをnで割った余りが暗号文cとなる。64÷55=1余り9であるため、c=9である。
根拠シラバス「暗号技術」公開鍵暗号方式(RSA)の仕組み。
素数p=23、原始根g=5を用いたDiffie-Hellman鍵交換において、Aliceの秘密鍵a=6(公開値A=5^6 mod23=8)、Bobの秘密鍵b=15(公開値B=5^15 mod23=19)であるとき、両者が最終的に共有する秘密鍵Kの値として正しいものはどれか。
- A19
- B8
- C15
- ✓2
解説
共有鍵はAliceがK=B^a mod p=19^6 mod23=2として計算し、BobがK=A^b mod p=8^15 mod23=2として計算することで一致する。この値2が、両者だけが計算できる共有秘密鍵となる。
根拠シラバス「暗号技術」鍵交換方式(Diffie-Hellman鍵交換)の仕組み。
TLSのフルハンドシェイクにおいて、クライアントとサーバが行う次の4つの処理のうち、ハンドシェイクの中で最後に行われるものはどれか。
- AClientHello(クライアントが使用可能な暗号スイートなどを提示する)。
- Bサーバ証明書の送付(サーバがディジタル証明書を送付する)。
- C鍵交換情報の送受信(クライアント側の鍵交換メッセージの送信など)。
- ✓Finishedメッセージの交換(それまでの全メッセージのハッシュ値を用いて完全性を確認し、暗号化通信の開始を宣言する)。
解説
TLSハンドシェイクは、ClientHello→ServerHello・証明書送付→鍵交換→双方のFinishedメッセージ交換、という順に進む。Finishedメッセージはそれまでのハンドシェイク全体の完全性を検証し、暗号化通信の開始を告げる最後の処理である。
根拠シラバス「ネットワーク、データベースに関する知識をもち、暗号、認証、フィルタリング、ロギングなどの要素技術を適用できる。」TLSの仕組み。
IPsecにおけるIKE(Internet Key Exchange)の鍵交換処理で、最初に実行されるフェーズはどれか。
- AIKEフェーズ2(IPsec SAを確立し、実際のデータ通信に使う鍵を生成する)。
- ✓IKEフェーズ1(ISAKMP SAを確立し、以降の通信を保護するための鍵と認証方式を決定する)。
- CESPによるデータの暗号化通信。
- DAHによるデータの完全性検証。
解説
IKEはフェーズ1でISAKMP SA(制御用の通信路)を確立して以降のやり取りを保護し、その上でフェーズ2において実データ通信用のIPsec SAを確立する。データの暗号化(ESP)や完全性検証(AH)は、フェーズ2で確立されたSAを用いて行われる後続の処理である。
根拠シラバス「ネットワーク、データベースに関する知識をもち、暗号、認証、フィルタリング、ロギングなどの要素技術を適用できる。」IPsec・IKE。
あるWebアプリケーションの開発チームが、ユーザー入力をそのままSQL文に連結してデータベースに問い合わせる実装をしていたところ、セキュリティレビューでSQLインジェクションの脆弱性が指摘された。この脆弱性に対する修正方法として最も適切なものはどれか。
- ✓プレースホルダ（バインド機構）を用いたSQL文を実装する
- Bユーザー入力の文字数を制限する
- Cデータベースサーバのファイアウォールルールを見直す
- Dエラーメッセージを日本語化して詳細情報を隠す
解説
SQLインジェクションの根本対策は、SQL文の構造とデータを分離するバインド機構（プレースホルダ）の使用である。文字数制限やエラーメッセージの変更は緩和策にはなり得るが、根本対策にはならない。
根拠IPA「安全なウェブサイトの作り方」SQLインジェクション対策 / シラバス「情報及び情報システムの利用におけるセキュリティ対策の適用」
開発チームがCI/CDパイプラインに静的アプリケーションセキュリティテスト（SAST）ツールを導入したところ、大量の誤検知（false positive）が報告され、開発者が警告を無視するようになった。この状況の改善策として最も適切なものはどれか。
- ASASTツールの導入自体を中止し、レビューをすべて人手に戻す
- B誤検知を含めてすべての警告を必ず修正するルールを徹底する
- ✓検出ルールをプロジェクトの実装方針に合わせてチューニングし、重要度に応じたトリアージ運用を確立する
- DSASTの実行をリリース直前の1回だけに限定する
解説
誤検知が多いまま運用すると警告が形骸化する「アラート疲れ」が起きる。検出ルールのチューニングと重要度別のトリアージ運用によって実効性を保つのが適切な対応である。
根拠シラバス「期待する技術水準」システム開発、品質管理などに関する知識をもち、それらの業務についてセキュリティの観点から指導・助言できる
コードレビューにおいて、パスワードのハッシュ化にMD5が使用されていることが指摘されたが、担当者は「これまで問題が起きていないので変更不要」と主張した。レビュアーが取るべき対応として最も適切なものはどれか。
- ✓MD5は衝突耐性が低く推奨されないことを説明し、salt付きの適切な鍵導出関数（例：bcryptやArgon2）への変更を提言する
- B担当者の経験を尊重し、指摘を取り下げる
- Cハッシュ化自体をやめ、パスワードを平文で保存するよう提案する
- DMD5のソースコードを難読化することで対応する
解説
MD5は暗号学的に衝突耐性が低く、パスワード保存には適さない。レビュアーは技術的根拠を示し、salt付きの安全な鍵導出関数への変更を提言すべきである。
根拠シラバス「暗号、認証、フィルタリング、ロギングなどの要素技術を適用できる」
あるモジュールのソースコード1,000行に対してコードレビューを実施したところ、50件の指摘が検出された。このモジュールの指摘密度（件/KLOC）はどれか。
- A0.05件/KLOC
- B0.5件/KLOC
- ✓50件/KLOC
- D500件/KLOC
解説
1,000行は1KLOCに相当する。指摘密度は指摘件数をKLOC数で割った値であるため、50件 ÷ 1KLOC ＝ 50件/KLOCとなる。
根拠シラバス「システム開発、品質管理などに関する知識」品質メトリクス（レビュー指摘密度）
あるシステムのMTBF（平均故障間隔）が450時間、MTTR（平均修理時間）が50時間であるとき、このシステムの稼働率（可用性）はどれか。
- ✓90%
- B81%
- C95%
- D99%
解説
稼働率はMTBF ÷（MTBF＋MTTR）で求められる。450 ÷（450＋50）＝450 ÷ 500＝0.9、すなわち90%となる。
根拠シラバス「システム開発、品質管理などに関する知識」信頼性指標（MTBF・MTTR・稼働率）
セキュアな開発ライフサイクル（Security Development Lifecycle）の考え方に基づいてシステム開発を進める場合、要件定義工程で最初に実施すべき作業として最も適切なものはどれか。
- Aソースコードの静的解析を実施する
- B本番環境への脆弱性診断を実施する
- ✓保護すべき情報資産を洗い出し、脅威分析を行ってセキュリティ要件を定義する
- Dユーザーマニュアルを作成する
解説
セキュアな開発ライフサイクルでは、要件定義工程において保護すべき情報資産を洗い出し、脅威分析に基づいてセキュリティ要件を定義することが最初の作業となる。静的解析や脆弱性診断はその後の実装・テスト工程で行う。
根拠シラバス「情報システム及び情報システム基盤の脅威分析に関する知識をもち、情報セキュリティ要件を抽出できる」
新規に静的解析（SAST）ツールをソフトウェア開発プロセスに導入する際の一般的な進め方として、最も適切な順序はどれか。
- ✓ツール選定 → 初回スキャンによるベースライン取得 → 検出ルールのチューニング → 本番運用ルールの確立
- B本番運用ルールの確立 → ツール選定 → ベースライン取得 → 検出ルールのチューニング
- C検出ルールのチューニング → ツール選定 → 本番運用ルールの確立 → ベースライン取得
- Dベースライン取得 → 本番運用ルールの確立 → ツール選定 → 検出ルールのチューニング
解説
SASTツールの導入は、まずツールを選定し、初回スキャンで既存コードのベースラインを把握したうえで検出ルールをチューニングし、最後に本番運用のルールを確立するのが一般的な進め方である。
根拠シラバス「システム開発、品質管理などに関する知識をもち、それらの業務について、セキュリティの観点から指導・助言できる」
組織におけるセキュリティインシデント対応のプロセスを、一般的なインシデント対応モデルに沿って順に並べたとき、最も適切な順序はどれか。
- ✓準備 → 検知・分析 → 封じ込め・根絶・復旧 → 事後活動
- B検知・分析 → 準備 → 封じ込め・根絶・復旧 → 事後活動
- C準備 → 封じ込め・根絶・復旧 → 検知・分析 → 事後活動
- D事後活動 → 準備 → 検知・分析 → 封じ込め・根絶・復旧
解説
一般的なインシデント対応モデルでは、平時からの準備を経て、インシデント発生後は検知・分析を行い、その結果に基づいて封じ込め・根絶・復旧を実施し、最後に事後活動として再発防止策の検討などを行う。順序を誤ると、証拠保全前に復旧作業を行ってしまうなどの弊害が生じる。
根拠シラバス「情報セキュリティインシデントの管理体制の構築、情報セキュリティインシデントへの対応などを推進又は支援する」
個人データを取り扱う事業者において、不正アクセスによる個人データの漏えいが発生し、対象者に重大な権利利益の侵害が生じるおそれがあると判断された。個人情報保護法上、この事業者が行うべき対応として適切なものはどれか。
- A漏えいの原因が完全に特定できるまで、個人情報保護委員会への報告を保留する
- B被害が実際に発生したことが確認できた場合に限り報告すればよい
- ✓個人情報保護委員会への報告および本人への通知の要否を検討し、必要な場合は速やかに対応する
- D社内で対応が完了すれば、外部への報告や通知は不要である
解説
個人情報保護法では、一定の類型に該当する漏えい等が発生し、本人の権利利益を害するおそれがある場合、個人情報保護委員会への報告および本人への通知が義務付けられている。原因究明の完了を待たずに速報を行うなど、速やかな対応が求められる。
根拠シラバス「情報セキュリティ関連の法的要求事項」（個人情報保護法における漏えい等の報告・通知義務）
ある情報資産に対する脅威について、1回の事故で想定される損失額(単一予想損失額)が200万円、年間の発生確率(年間発生率)が0.25回/年と見積もられている。このときの年間予想損失額(ALE)として正しいものはどれか。
- ✓50万円
- B25万円
- C200万円
- D800万円
解説
年間予想損失額(ALE)は、単一予想損失額(SLE)に年間発生率(ARO)を乗じて算出する。200万円×0.25=50万円となる。
根拠シラバス「情報セキュリティリスクアセスメント及びリスク対応」
「不正アクセス行為の禁止等に関する法律」と「不正競争防止法」による保護の対象の違いに関する記述として、最も適切なものはどれか。
- A不正アクセス禁止法は営業秘密の保護のみを目的とし、不正競争防止法はネットワークへの侵入行為のみを規制する
- B両者は規制対象が完全に同一であり、いずれか一方の法律で足りる
- ✓不正アクセス禁止法はアクセス制御機能を有する電子計算機への不正なアクセス行為等を規制し、不正競争防止法は秘密管理性などの要件を満たす営業秘密の不正な取得・使用等を規制する
- D不正アクセス禁止法は民事上の損害賠償のみを規定し、刑事罰は一切規定していない
解説
不正アクセス禁止法は、ID・パスワード等のアクセス制御機能を回避してコンピュータに不正にアクセスする行為などを規制する法律である。一方、不正競争防止法は秘密管理性・有用性・非公知性の要件を満たす営業秘密の不正取得・使用・開示などを規制する法律であり、保護の趣旨や対象が異なる。
根拠シラバス「情報セキュリティ関連の法的要求事項」
業務用端末がマルウェアに感染した疑いがあり、今後フォレンジック調査を行う可能性がある場合、発見者が最初にとるべき対応として最も適切なものはどれか。
- ✓感染拡大を防ぐためにネットワークから切り離すが、証拠保全の方針が決まるまで電源はむやみに切らない
- B証拠が消える前に、直ちに端末の電源を切って持ち帰る
- Cマルウェア対策ソフトで直ちに駆除・削除を実行し、ファイルを消去する
- D特に対応せず、通常どおり利用を継続しながら経過を観察する
解説
マルウェア感染が疑われる端末は、被害拡大を防ぐためにまずネットワークから隔離することが重要である。一方で、メモリ上の情報など電源を切ることで失われる証拠があるため、フォレンジック調査の方針が固まるまでは不用意に電源を切ったり駆除ソフトを実行したりせず、証拠保全を優先すべきである。
根拠シラバス「情報セキュリティインシデント発生時の証拠の収集及び分析」「情報セキュリティインシデントへの対応」
事業継続計画(BCP)における「目標復旧時間(RTO)」と「目標復旧時点(RPO)」の違いに関する記述として、最も適切なものはどれか。
- ARTOはデータの復旧地点を表し、RPOは業務の復旧までの許容時間を表す
- BRTOとRPOは同じ概念であり、呼び方が異なるだけである
- ✓RTOは災害発生からどれだけの時間で業務を復旧させるかの目標であり、RPOはどの時点の状態までデータを復旧させるかの目標である
- DRTOはバックアップの保存期間を表し、RPOはバックアップの取得頻度を表す
解説
RTO(Recovery Time Objective)は、災害等の発生から業務やシステムを復旧させるまでに許容される時間の目標値であり、RPO(Recovery Point Objective)は、どの時点の状態までデータを復旧させるかを示すデータ損失許容量に関する目標値である。両者は異なる観点の指標であり、混同してはならない。
根拠シラバス「情報セキュリティ方針及び情報セキュリティ諸規程（事業継続計画に関する規程を含む組織内諸規程）」
組織における情報セキュリティ関連文書を、抽象度の高いものから具体的なものへ順に整備するとき、一般的に適切な順序はどれか。
- ✓情報セキュリティ方針 → 情報セキュリティ対策基準 → 実施手順
- B実施手順 → 情報セキュリティ対策基準 → 情報セキュリティ方針
- C情報セキュリティ対策基準 → 情報セキュリティ方針 → 実施手順
- D情報セキュリティ方針 → 実施手順 → 情報セキュリティ対策基準
解説
一般に情報セキュリティ関連文書は、組織の基本的な考え方を示す情報セキュリティ方針を最上位とし、その方針を実現するための情報セキュリティ対策基準、さらにそれを現場で実行するための具体的な実施手順という階層構造で整備される。
根拠シラバス「情報セキュリティ方針及び情報セキュリティ諸規程（事業継続計画に関する規程を含む組織内諸規程）の策定」