接続元IP制限と追加認証の設定をどう変えるか
接続元IPアドレスの制限と、利用者本人の認証は別の対策です。
令和6年度 問13
セキュリティ
テクノロジ系 ／ 掲載 188問
セキュリティ実装技術
SQLインジェクションなど攻撃と対策の対応を整理
SQLインジェクションには、SQL文の構造と入力値を分けるプレースホルダが有効です。
令和5年度 問7
HTTPSで実現できる機能は？通信路の保護とその範囲
HTTPSは、HTTPの通信をTLSで保護された通信路の上で行う方式です。
2022年 サンプル問題 問26
SPFの目的とは？送信ドメイン認証で何を検知するか
SPFは、メールの送信ドメインが詐称されていないかを検知する送信ドメイン認証の技術です。
2022年 サンプル問題 問27
メール送信者の認証技術、送信と受信どちらの仕組みか
SMTPはもともと送信者を認証する仕組みを持たず、それを補うために作られた拡張がSMTP-AUTHです。
2022年 サンプル問題 問28
リスト型攻撃の追加認証、特有の課題との組合せは
リスト型攻撃には、IDとパスワードとは別の確認要素を加える対策が有効です。
令和元年度秋期 午後 問3（問問1の中問）
AESの鍵の種類とIPsec通信で使う鍵の考え方
AESは共通鍵暗号方式の代表的なアルゴリズムです。
令和元年度秋期 午前 問17
WPA3は何の規格か？TLS・IPsecとの違い
WPA3は無線LANのセキュリティ規格で、WPA2の後継です。
令和元年度秋期 午前 問18
メール送信時の認証プロトコル、送信か受信かの見分け方
SMTPは送信、POPとIMAPは受信のプロトコルなので、まず送信と受信のどちらの話かで選択肢を絞り込みます。
令和元年度秋期 午前 問28
ハニーポットの説明と似た技術との見分け方
ハニーポットは、意図的に侵入されやすく設定したおとりのシステムで、攻撃者を誘い込みます。
令和元年度秋期 午前 問29
SPFの目的とは？送信ドメイン認証で検知するもの
SPFは送信ドメイン認証の技術で、メール送信者ドメインのなりすましを検知するために使います。
平成31年度春期 午前 問11
アドレス変換とルーティングプロトコルの見分け方
IPマスカレードはNAPTとも呼ばれ、IPアドレスとポート番号の組を変換します。
平成31年度春期 午前 問17
データベースのアカウント権限、用途別に何を与えるか
アカウントの権限は、業務上必要な範囲に限って与えます（最小権限の原則）。
平成31年度春期 午前 問25
SSH公開鍵認証で使う鍵の組み合わせはどれか
SSHの公開鍵認証では、利用者の公開鍵をあらかじめサーバに登録しておきます。
平成31年度春期 午前 問29
意図的に脆弱なおとりのシステムとは？DMZとの違い
ハニーポットは、侵入者やマルウェアを観察するために、わざと脆弱にして置くおとりのシステムやネットワークです。
平成31年度春期 午前 問30
セキュリティ技術評価
CVSSv3の現状評価基準、基本・環境との違いは
CVSSは脆弱性の深刻度を数値で示す仕組みで、基本・現状・環境の三つの評価基準があります。
令和7年度 問6
カード会員データの保護基準とISMS・Pマークの違い
PCI DSSは、カード会員データを保護するための基準で、技術面と運用面の両方の要件を定めています。
令和元年度秋期 午前 問27
機能演習と机上演習の違い、疑似攻撃を行う形式は
演習は、議論が中心の机上演習と、実際に作業して確かめる機能演習に大別されます。
平成31年度春期 午後 問1（問問1の中問）
PCI DSSとセキュリティコード 承認後も保管できるか
カードセキュリティコードは、PINや磁気ストライプ・ICのトラックデータと同じく機密認証データに分類されます。
平成31年度春期 午前 問14
ペネトレーションテストと他の検査の見分け方
ペネトレーションテストは、攻撃者の立場で擬似的な攻撃を行い、実際に侵入できるかを確かめる検査です。
平成31年度春期 午前 問18
情報セキュリティ
不正のトライアングルの3要素、動機・機会・正当化の違いは
不正のトライアングルは「動機」「機会」「正当化」の3要素でできています。
令和7年度 問4
サイバーキルチェーンとは何か、似た用語との見分け方
サイバーキルチェーンは、攻撃を攻撃者の視点で段階に分けて整理したモデルです。
令和6年度 問4
リスクベース認証とは？似た認証の仕組みとの見分け方
リスクベース認証は、認証要求ごとに利用環境から不正の危険度を判定し、危険度が高いときだけ追加の認証を求める方式です。
令和6年度 問5
TLSのサーバ証明書と認証局の公開鍵は何に使うのか
サーバ証明書は、サーバの公開鍵などの情報に認証局が署名したものです。
令和6年度 問6
公開鍵暗号と共通鍵暗号の違いはどこで見分けるか
共通鍵暗号方式は暗号化と復号に同じ鍵を使い、処理が高速なので大量データの暗号化に向いています。
令和5年度 問4
SHA-256のハッシュ値が一致したら何が言えるか
SHA-256の出力は、入力の長さに関係なく常に256ビットの固定長です。
令和5年度 問5
CRYPTRECの役割とは？JISECや輸出管理との違い
CRYPTRECは、電子政府で使う暗号技術の安全性を評価・監視する取組です。
2022年 サンプル問題 問7
緊急事態を装いパスワードを聞き出す手口の分類
ソーシャルエンジニアリングは、人の心理的な弱みやミスを突いて秘密情報を得る行為の総称です。
2022年 サンプル問題 問8
ルートキットの特徴は？攻撃側か調査側かで見分ける
ルートキットは、侵入後に不正なツールや活動の存在を隠すためのソフトウェア群です。
2022年 サンプル問題 問12
BEC（ビジネスメール詐欺）の定義と見分け方
BECはビジネスメール詐欺のことで、取引先や経営者などになりすました偽メールで金銭をだまし取る攻撃です。
2022年 サンプル問題 問13
C&Cサーバの役割とは？ボットネットの司令塔を見分ける
C&C は Command and Control の略で、ボットネットの司令塔にあたります。
2022年 サンプル問題 問14
ポート80番とC&Cサーバ通信、なぜ使われるのか
TCP80番はHTTP、443番はHTTPS、53番はDNS（名前解決は主にUDP、ゾーン転送はTCP）の標準ポートです。
2022年 サンプル問題 問15
パスワードリスト攻撃とは何か、似た攻撃名の見分け方
パスワードリスト攻撃は、流出済みのIDとパスワードの組合せを別のサービスで試す攻撃です。
2022年 サンプル問題 問16
DNSキャッシュポイズニングで被害を受けるのは誰か
DNSキャッシュポイズニングは、DNSキャッシュサーバに偽の名前解決情報を記憶させ、利用者を攻撃者のサーバへ誘導する攻撃です。
2022年 サンプル問題 問17
ランダムサブドメイン攻撃で負荷が掛かるのはどのサーバか
ランダムサブドメイン攻撃では、実在しないサブドメインを大量に問い合わせます。
2022年 サンプル問題 問18
SEOポイズニングとは何か、似た攻撃との見分け方
SEOポイズニングは、検索エンジンの順位付けの仕組みを悪用し、悪意のあるサイトを検索結果の上位に表示させる攻撃です。
2022年 サンプル問題 問19
共通鍵暗号方式はどれか AES・RSA・PKIの違い
暗号化と復号に同じ鍵を使う方式を、共通鍵暗号方式といいます。AESはその代表です。
2022年 サンプル問題 問20
ハイブリッド暗号方式とは？何と何を組み合わせるのか
ハイブリッド暗号方式は、公開鍵暗号方式と共通鍵暗号方式を組み合わせた方式です。
2022年 サンプル問題 問21
デジタル署名の鍵の組み、作成と検証で使う鍵はどれか
デジタル署名は、署名者の秘密鍵で作成し、署名者の公開鍵で検証します。
2022年 サンプル問題 問22
ブロック暗号で改ざん検出、メッセージから作るものは
メッセージ認証符号（MAC）は、メッセージの改ざんの有無を確かめる（完全性を確認する）ために使います。
2022年 サンプル問題 問23
リスクベース認証とは何か、多要素認証やOTPとの違い
リスクベース認証は、利用者の環境や行動を分析し、普段と違うアクセスにだけ追加の認証を求める方式です。
2022年 サンプル問題 問24
CAPTCHAの仕組みとは？本人認証との違いはどこか
CAPTCHAは、アクセスしているのが人間か自動プログラムかを判別する仕組みです。
2022年 サンプル問題 問25
BECビジネスメール詐欺とは？他のメール攻撃との違い
BECはビジネスメール詐欺のことで、取引先や経営者などになりすました偽メールで金銭をだまし取る手口です。
令和元年度秋期 午前 問1
パスワードリスト攻撃の手口を表1のログイン結果から見抜く
パスワードリスト攻撃は、他所で流出したIDとパスワードの組を別のサイトで試す攻撃です。
令和元年度秋期 午後 問1（問問1の中問）
パスワードリスト攻撃が成功しやすい条件はどれか
パスワードリスト攻撃は、他のサービスから流出したIDとパスワードの組を別のサイトで試す攻撃です。
令和元年度秋期 午後 問2（問問1の中問）
新規登録画面の重複エラー表示で攻撃者は何を知るか
新規登録画面やログイン画面で「このIDは使用済み」「IDが存在しません」と区別して表示すると、利用者IDの存在確認（列挙）に悪用されることがあります。
令和元年度秋期 午後 問5（問問1の中問）
IoT機器のTCP23番ポートが狙われる理由
TCP23番ポートはTelnetで、離れた場所から機器を操作するためのプロトコルです。
令和元年度秋期 午前 問6
パスワード推測攻撃はどんな条件で成功しやすいか
試行回数を読むときは、「IPアドレスごと」などの集計単位を保ちます。
令和元年度秋期 午後 問6（問問1の中問）
シャドーITとは何か、似た用語との見分け方
シャドーITとは、IT部門の許可を得ずに従業員や部門が業務で使っている機器やサービスのことです。
令和元年度秋期 午前 問10
SHA-256のハッシュ値の桁数と一致が示すこと
SHA-256の出力は256ビットで、16進数では64桁、バイトでは32バイトです。
令和元年度秋期 午前 問12
なりすまし時の本人確認をチャットで行うと何が起こるか
乗っ取りが疑われるアカウントへの本人確認は、電話や対面など、乗っ取られた経路とは別の手段で行います。
令和元年度秋期 午後 問14（問問2の中問）
C&Cサーバの役割とは？ボットネットの仕組みで判断
C&CサーバはCommand and Controlの略で、ボットに指令を出して制御するサーバです。
令和元年度秋期 午前 問15
DNSキャッシュポイズニングで誘導されるのは誰か
DNSキャッシュポイズニングは、DNSキャッシュサーバに偽の名前解決情報を記憶させ、利用者を攻撃者のサーバへ誘導する攻撃です。
令和元年度秋期 午前 問16
リバースブルートフォース攻撃とは？何を固定する手口か
ブルートフォース攻撃は、利用者IDを固定してパスワードを総当たりで試す攻撃です。
令和元年度秋期 午前 問19
ディジタル署名の鍵の組合せ、作成と検証はどの鍵か
ディジタル署名には、公開鍵暗号方式の鍵ペア（秘密鍵と公開鍵）を使います。
令和元年度秋期 午前 問20
パスワード付きファイルはなぜ短時間で読まれたのか
ファイルとそのパスワードを同じ経路（同じGC）で送ると、その経路に入れる人には両方が渡ってしまい、パスワード保護の意味がなくなります。
令和元年度秋期 午後 問20（問問2の中問）
バックドアとは何か ポートスキャナやミラーポートとの違い
バックドアとは、正規の認証や手続を経ずにシステムへ入れる「裏口」のことです。
令和元年度秋期 午前 問21
メッセージ認証符号とブロック暗号で改ざんを確かめる仕組み
メッセージ認証符号（MAC）は、メッセージと送受信者が共有する秘密鍵から作る、改ざん検出用のデータです。
令和元年度秋期 午前 問23
リスクベース認証とは何か、多要素認証やOTPとの違いは
リスクベース認証は、利用者の環境や行動からアクセスのリスクを評価し、普段と異なる場合にだけ追加の認証を求める方式です。
令和元年度秋期 午前 問24
ランダムサブドメイン攻撃で負荷が集まる先はどこか
ランダムサブドメイン攻撃（DNS水責め攻撃）は、実在しないサブドメインを大量に問い合わせるDDoS攻撃の一種です。
令和元年度秋期 午前 問25
サイバーキルチェーンの偵察は何を含むか
偵察は、攻撃前に対象の組織や人物の情報を探す段階です。
平成31年度春期 午後 問2（問問1の中問）
CRYPTRECの役割とは？似た制度との見分け方
CRYPTRECは、電子政府で使う暗号技術の安全性を評価・監視するプロジェクトです。
平成31年度春期 午前 問3
サイバーキルチェーンで演習シナリオの段階を見分ける
サイバーキルチェーンの7段階は、偵察→武器化→配送→攻撃実行→インストール→遠隔制御→目的の実行の順です。
平成31年度春期 午後 問3（問問1の中問）
DNSキャッシュポイズニングと似た攻撃の見分け方
DNSキャッシュポイズニングは、DNSキャッシュサーバに偽の名前解決情報を記憶させる攻撃です。
平成31年度春期 午前 問10
SNS投稿から情報を推測する攻撃手法はどれか
ソーシャルエンジニアリングは、技術ではなく人の隙や信頼を利用して情報を得る手法です。
平成31年度春期 午後 問14（問問2の中問）
パスワードリスト攻撃と総当たり攻撃の違いはどこで見分けるか
パスワードリスト攻撃は、流出したIDとパスワードの組を別のサービスで試し、使い回しにつけ込む攻撃です。
平成31年度春期 午前 問16
TCP80番ポートの用途とC&C通信の着眼点
TCP80番はHTTP（Web閲覧）、443番はHTTPS、53番はDNSの標準ポートです。
平成31年度春期 午前 問19
CAPTCHAの目的とは？本人認証との違いで見分ける
CAPTCHAは、人の操作とプログラムによる自動処理を見分けるための仕組みです。
平成31年度春期 午前 問21
ID・パスワード共用のリスクはどれが高まるか
IDを共用すると、記録から操作した個人を特定できなくなります。
平成31年度春期 午後 問21（問問3の中問）
S/MIMEの電子署名で確認できることは何か
S/MIMEは、電子メールの暗号化と電子署名に対応した規格です。
平成31年度春期 午前 問23
XML署名でできることとTLS・Ajaxとの違い
XML署名は、XMLデータの改ざん検出と署名者の真正性の確認に使います。
平成31年度春期 午前 問24
メッセージ認証符号MACの目的は何か暗号化との違い
MACの主な目的は、メッセージが改ざんされていないこと（完全性）の確認です。
平成31年度春期 午前 問26
楕円曲線暗号の特徴とRSAとの違いはどこにあるか
楕円曲線暗号は公開鍵暗号方式に分類されます。
平成31年度春期 午前 問27
ハイブリッド暗号方式とは何と何の組合せか
ハイブリッド暗号方式とは、公開鍵暗号方式と共通鍵暗号方式を組み合わせた方式のことです。
平成31年度春期 午前 問28
チャットアプリ業務利用のリスクは図3のどこから読むか
Mアプリでは、業務外の友人や宛先グループも業務の相手と同じAP連絡先に入るため、業務情報を誤って送るおそれがあります。
平成31年度春期 午後 問30（問問3の中問）
情報セキュリティ対策
DMZの定義と検疫ネットワーク・IPSとの見分け方
DMZは、インターネットと内部ネットワークの中間に設けるネットワーク区画です。
令和8年度 問3
チャレンジレスポンス認証とは？似た方式との見分け方
チャレンジレスポンス方式では、サーバが認証ごとに違う乱数（チャレンジ）を送り、クライアントは秘密情報とその乱数から計算した値を返します。
令和8年度 問4
ホワイトボックステストとは何か、内部情報の有無で見分ける
ホワイトボックステストは、内部構造や内部仕様を把握したうえで行うテストです。
令和8年度 問5
セキュアOSのアクセス制御と管理者権限管理の特徴とは
セキュアOSの中核機能は、強制アクセス制御と最小特権の2つです。
令和8年度 問6
ゲスト入館証の再利用と行先階移動をどう防ぐか
使用済み入館証の再利用には、入館回数の制限が対応します。
令和8年度 問13
SIEMの効果とは？UTMやプロトコルアナライザとの違い
SIEMは、複数の機器やアプリケーションのログを集約して相関分析し、単独のログでは見つけにくい兆候を検知します。
令和7年度 問2
ゼロトラストの意味とゼロデイやゼロ知識証明との違い
ゼロトラストは、ネットワークの内側か外側かにかかわらず、暗黙の信頼を置かないという考え方です。
令和7年度 問3
DNSキャッシュポイズニングの対策はどれが有効か
DNSキャッシュポイズニングは、キャッシュサーバに偽の名前解決情報を保存させ、利用者を不正サイトへ誘導する攻撃です。
令和7年度 問5
クラウド共有の誤送信時にログをどう読むか
誤送信に気付いたら、送信者は受信者のアクセス権を取り消せます。
令和7年度 問14
匿名加工情報で残す項目と削る項目の見分け方
電子メールアドレスは個人の識別につながるため、項目削除（一）を適用します。
令和7年度 問15
マルウェア検出方法の違いと実行が必要な手法の見分け方
コンペア法、チェックサム法、パターンマッチング法は、どれも検査対象を起動せずに行える静的な検査です。
令和6年度 問3
増分バックアップの復旧に必要な備えとは
増分方式で復旧するには、フルバックアップと必要な増分バックアップがそろっている必要があります。
令和6年度 問14
偽の警告画面への対応は何を基準に判断するか
警告画面に製品のロゴがあっても、正規のソフトが表示した証拠にはなりません。
令和6年度 問15
入退室管理の共連れ対策と入退室記録を照合する仕組み
アンチパスバックは、入室と退室の記録を照合し、矛盾する入退室を拒否する仕組みです。
令和5年度 問2
デジタルフォレンジックスとは？事前対策との見分け方
デジタルフォレンジックスとは、インシデントの発生時に電子的な証拠を収集・保全し、調査分析する活動のことです。
令和5年度 問3
SPFの仕組みとは？DKIMやDNSBLとの違いを整理
SPFでは、送信ドメインの管理者が正規の送信サーバのIPアドレスをDNSで公開し、受信側が送信元IPと照合します。
令和5年度 問6
バックアップ対象フォルダの設定ミスを防ぐには
対策を選ぶ前に、図1で示されたリスクの原因を特定します。
令和5年度 問14
マルウェア定義ファイルの更新時刻をどう見極めるか
検出できる定義ファイルの公開時刻と、添付ファイルを開いた時刻を比べます。
令和5年度 問15
リスク受容のプロセスで規格が求めることは何か
JIS Q 27001では、リスク対応計画と残留リスクの受容について、リスク所有者の承認が必要です。
2022年 サンプル問題 問1
内部不正防止ガイドラインの退職者対策はどれが適切か
退職間際は重要情報の不正な持出しが起こりやすいため、退職予定者のアクセスや媒体の持出しへの監視を強化します。
2022年 サンプル問題 問2
VDIでWeb閲覧を分離する効果はどこまでか
VDIはサーバ上に利用者ごとの仮想デスクトップを用意する仕組みで、PCには操作結果の画面だけが送られます。
2022年 サンプル問題 問9
デジタルフォレンジックスのハッシュ値は何に使うか
ハッシュ値は、データを固定長の値に変換したもので、元のデータに戻すことはできません。
2022年 サンプル問題 問10
ストレージ抜き取り攻撃の対策とパスワードの違い
ストレージを抜き取って別のPCにつなぐ攻撃には、元のPCのOSによる保護機能は効きません。
2022年 サンプル問題 問11
マルウェアの動的解析とは何か、静的解析との見分け方
動的解析は、隔離された環境で検体を実際に実行して挙動を観察する手法です。
2022年 サンプル問題 問29
ポートスキャナーで何を調べる？Webサーバ検査の目的
ポートスキャナーは、対象機器のポートへ信号を送り、どのサービスが稼働しているかを外部から調べるツールです。
2022年 サンプル問題 問30
リスク受容のプロセスとは？JIS Q 27001が求める手続
リスク受容とは、対策をとらずにリスクを受け入れると組織が意思決定することです。
令和元年度秋期 午前 問3
退職者の内部不正対策、ガイドラインに合うのはどれか
退職間際は重要情報の不正な持出しが起きやすい時期なので、アクセスや媒体の持出しの監視を強めます。
令和元年度秋期 午前 問4
パスワードリスト攻撃の自衛策は？顧客側の原因から選ぶ
実在するアカウントに1回ずつログインを試し、一部が成功するというパターンは、流出した認証情報のリストを使う攻撃（パスワードリスト攻撃）の典型です。
令和元年度秋期 午後 問4（問問1の中問）
SPFの仕組みとは何か、DKIMとの違いはどこか
SPFは、送信元ドメインの詐称を検知するための送信ドメイン認証技術です。
令和元年度秋期 午前 問7
アカウントロック導入で顧客に起きる影響の読み取り方
アカウントロックは、同じアカウントで連続したログイン失敗が上限を超えたときに、そのアカウントを使えなくする対策です。
令和元年度秋期 午後 問7（問問1の中問）
VDIでWeb閲覧を分離する効果とは何かを確かめる
VDIでは処理はサーバ側で行われ、利用者の端末には画面情報だけが転送されます。
令和元年度秋期 午前 問8
アカウントロックの上限回数は何を根拠に決めるべきか
アカウントロックの上限は、攻撃を防ぐことと正当な利用者への影響の両方を考えて決めます。
令和元年度秋期 午後 問8（問問1の中問）
問合せフォームへの自動投稿はなぜ防げなかったのか
ログの中に「画面を表示しないまま送信要求だけが続く」という記録があれば、ボットによる自動送信を疑います。
令和元年度秋期 午後 問9（問問1の中問）
問合せフォームの自動投稿対策と正規利用者への副作用
CAPTCHAは「操作しているのが人かプログラムか」を見分ける仕組みで、利用者本人であることを確かめる認証とは目的が違います。
令和元年度秋期 午後 問10（問問1の中問）
ステガノグラフィとは何か？似た用語との見分け方
ステガノグラフィは、画像や音声などのデータに秘密情報を埋め込み、その存在に気付かれにくくする技術です。
令和元年度秋期 午前 問11
不正ログイン検知の監視値、集計単位はどう選ぶか
監視値は、攻撃の「接続元」と「対象アカウント」の数の関係に合わせて、集計の単位を決めます。
令和元年度秋期 午後 問11（問問1の中問）
ログイン失敗の監視値はどう選ぶ？集計単位で見分ける
監視値は、攻撃の特徴が最も目立つ集計単位（アカウントごと、IPアドレスごとなど）で選びます。
令和元年度秋期 午後 問12（問問1の中問）
トランザクション署名とは？MITB攻撃対策の仕組み
MITB攻撃は、PCに潜んだマルウェアがブラウザの通信内容を盗み見たり書き換えたりして、正規のログイン後に送金先や金額を改ざんする攻撃です。
令和元年度秋期 午前 問13
問合せフォーム大量投稿の監視指標はどれを選ぶか
監視する値は、攻撃の「発信元」と「狙われた機能」に合わせて選びます。
令和元年度秋期 午後 問13（問問1の中問）
WAFのフォールスポジティブとは？誤検知と検知漏れの見分け方
フォールスポジティブは、正常な通信を誤って異常と判定してしまう誤検知のことです。
令和元年度秋期 午前 問14
マルウェアの動的解析とは?静的解析との違いを確認
動的解析は、検体を実際に実行して、その挙動を観測する手法です。
令和元年度秋期 午前 問22
URLフィルタリングの限界とフィッシング再発防止策
ブラックリスト型のURLフィルタリングは、登録前の新しいフィッシングサイトを遮断できません。
令和元年度秋期 午後 問22（問問2の中問）
追加認証と省略機能、安全性と利便性を両立する設定は
パスワードが強いか、定期的に変えているかに関係なく、偽サイトに入力すればパスワードは盗まれます。
令和元年度秋期 午後 問23（問問2の中問）
SaaSのDB暗号化と鍵管理で下がるリスクはどれか
暗号化の効果は、鍵を持たない人がデータを手に入れても内容を読めなくすること（機密性の確保）です。
令和元年度秋期 午後 問25（問問3の中問）
ハイブリッド暗号方式のメールで得られる効果は何か
本文は共通鍵で暗号化し、その共通鍵を受信者の公開鍵で暗号化して送る方式をハイブリッド暗号方式といいます。
令和元年度秋期 午前 問26
複合機の初期設定と偽メールの残留リスクはどれか
複合機のメールの表記が誰に対しても同じで、しかもマニュアルが公開されていると、攻撃者は本物そっくりの偽メールを作れます。
令和元年度秋期 午後 問29（問問3の中問）
ポートスキャナーの利用目的とは何を調べるツールか
ポートスキャナーは、通信ポートに外から信号を送って、稼働しているサービスを調べるツールです。
令和元年度秋期 午前 問30
外部記憶媒体の読込み禁止で減るリスクはどれか
追加の対策で低減できるリスクは、現状の制御との差分で判断します。
令和元年度秋期 午後 問30（問問3の中問）
アクセス場所の限定とVPN制御機能、どこで止めるか
アクセスできる場所を限りたいときは、その場所の外から接続する端末だけが通る経路で止めます。
令和元年度秋期 午後 問31（問問3の中問）
プロキシログと利用者認証で持出しをけん制するには
「けん制」は、不正を思いとどまらせる抑止の効果を指します。
令和元年度秋期 午後 問32（問問3の中問）
インシデント対応の証拠保全後の調査は何と呼ぶか
ディジタルフォレンジックスは、原因究明や法的手続に必要なデータを収集・保全・解析する一連の作業です。
平成31年度春期 午後 問4（問問1の中問）
サイバーキルチェーンの偵察に効く対策は何か
サイバーキルチェーンの「偵察」は、インターネット上の情報から標的の組織や人物を調べる段階です。
平成31年度春期 午後 問8（問問1の中問）
アクセス権の8進数設定を試行結果からビットで読む
8進数1桁は2進数3桁に対応するので、まず各設定値を000〜111に直して考えます。
平成31年度春期 午前 問12
IDカードの入退室管理で順序を照合する仕組みとは
アンチパスバックは、カードごとの入退室記録の順序をもとに、記録と矛盾する通行を拒否する仕組みです。
平成31年度春期 午前 問13
IPS（侵入防止システム）の役割とIDSとの違い
IPSは侵入防止（防御）システムのことで、不正な通信を検知し、遮断して侵入を防ぎます。
平成31年度春期 午前 問15
SNS公式アカウントのなりすまし対策はどれが有効か
SNSでは本人でなくても同じ名前のアカウントを作れるため、公式アカウントは本物であることを示す手段が必要です。
平成31年度春期 午後 問15（問問2の中問）
SNSアカウント乗っ取り防止策の見分け方
パスワードを他のサービスと共用しないことは、パスワードリスト攻撃（他所で漏れたIDとパスワードの組を試す攻撃）への備えになります。
平成31年度春期 午後 問16（問問2の中問）
SNS個人利用の指針で順守事項になる項目の見分け方
順守事項には、法令や雇用契約・社内規程を根拠に従業員へ求められる事項が入ります。
平成31年度春期 午後 問17（問問2の中問）
SNSの個人利用指針で推奨される事項はどれか
SNSの投稿は削除しても、保存や転載によって残り、広がる場合があります。
平成31年度春期 午後 問18（問問2の中問）
無線LANの無断接続対策はどれが有効か暗号方式で比べる
無断接続を防ぐ基本は、強い暗号方式と事前共有鍵による認証を組み合わせることです。
平成31年度春期 午前 問20
内蔵ストレージ抜き取り対策とパスワードの効く場所
ストレージを抜き取る攻撃では、元のPCのOSやBIOSを通らずにデータを読まれます。
平成31年度春期 午前 問22
ランサムウェアの管理策はどれか 自己点検項目の見分け方
ランサムウェアの対策は、更新による感染防止と、バックアップによる復旧の2つに分けて考えます。
平成31年度春期 午後 問23（問問3の中問）
CVSS v3の深刻度区分 9.8はどの区分に入るか
CVSS v3の深刻度は、評価値の範囲によって区分名が決まります。
平成31年度春期 午後 問25（問問3の中問）
CVSS v3基本評価基準で最も攻撃しやすい値は
攻撃条件の複雑さは、低のほうが攻撃しやすい値です。
平成31年度春期 午後 問26（問問3の中問）
アプリのバージョン一括管理に使うツールの選び方
IT資産管理ツールは、端末ごとの使用者、導入ソフトウェアとその版、ライセンスの状態などを自動で集めて一元管理します。
平成31年度春期 午後 問27（問問3の中問）
情報セキュリティ管理
残留リスクの定義と範囲、保有や回避は含まれるか
残留リスクとは、リスク対応の後に残っているリスクのことです。
令和8年度 問1
インシデント対応体制の支援資料と作成機関の見分け方
CSIRTマテリアルは、JPCERT/CCが組織内CSIRTの構築を支援するために作成した資料です。
令和8年度 問2
RPOとリストア時間の計算、計画の承認者は誰か
RPOで復元すべき時点は、障害の発生時刻からRPOの時間をさかのぼって求めます。
令和8年度 問14
文書の機密区分と開示範囲をどう見極めるか
開示の可否は、文書に指定された開示範囲と、見せる時点の所属で判断します。
令和8年度 問15
リスクマネジメントプロセスの各段階の役割を見分ける
リスクアセスメントは、リスク特定、リスク分析、リスク評価の三つで構成され、この順に進みます。
令和7年度 問1
リスクアセスメントの構成プロセスはどれか、対応は含むのか
リスクアセスメントは、リスク特定、リスク分析、リスク評価の三つのプロセスで構成されます。
令和6年度 問1
情報のラベル付けの目的とは？知らなかったを防ぐ対策
情報は管理区分に分類し、区分ごとに取扱基準を決めます。
令和6年度 問2
情報セキュリティ管理基準の構成と二つの基準の使い分け
情報セキュリティ管理基準（平成28年版）は、マネジメント基準と管理策基準の二つで構成されています。
令和5年度 問1
情報資産のリスク値はどう計算して判断する？
重要度には、機密性・完全性・可用性の評価値のうち最大の値を使います。
令和5年度 問13
不適合の原因除去と再発防止を表す用語はどれか
是正処置は、不適合の原因を除去し、再発を防止するための処置です。
2022年 サンプル問題 問3
サポートユーティリティとは何か、規格の例示で見分ける
サポートユーティリティとは、情報システムの稼働を支える基盤的な設備・供給機能のことです。
2022年 サンプル問題 問4
リスクレベルの定義とは？脆弱性・リスク基準との違い
リスクレベルは、結果とその起こりやすさの組合せで表すリスクの大きさです。
2022年 サンプル問題 問5
サイバーセキュリティ基本法と内閣官房の組織を見分ける
サイバーセキュリティ基本法は、内閣にサイバーセキュリティ戦略本部を置き、その事務を内閣官房で処理すると定めています。
2022年 サンプル問題 問6
IPAが情報ハブとなる取組は 似た略語の見分け方
J-CSIPはサイバー情報共有イニシアティブの通称で、IPAが情報ハブになって攻撃情報を集約・共有します。
令和元年度秋期 午前 問2
是正処置と修正の違いとは 不適合対応の用語を区別する
是正処置は、不適合の原因を除去して再発を防止するための処置です。
令和元年度秋期 午前 問5
JIS Q 27017が追加する管理策とは何か
JIS Q 27017は、クラウドサービス向けの情報セキュリティ管理策の実践の指針です。
令和元年度秋期 午前 問9
アカウント乗っ取り時の被害拡大防止策はどれを選ぶか
乗っ取られたアカウントには、まずパスワードを変更して攻撃者のセッションを切ります。
令和元年度秋期 午後 問15（問問2の中問）
アクセスログの調査範囲 成功が残るのはどの機器か
ログを調べるときは、端末ごとの通信経路と、そのログに何が記録されるかの2点を必ず確認します。
令和元年度秋期 午後 問16（問問2の中問）
URLフィルタリングのログとヒアリング対象の決め方
影響範囲は、まず「その情報を閲覧できた人」に絞り込みます（ここではGC参加者だけです）。
令和元年度秋期 午後 問17（問問2の中問）
アカウント乗っ取りの影響範囲はどのGCまで調べるか
アカウントが乗っ取られた場合、その利用者がアクセスできる範囲すべてが、情報漏えいの可能性がある範囲になります。
令和元年度秋期 午後 問18（問問2の中問）
アカウント乗っ取り後の漏えい調査が不十分な理由とは
漏えい調査では、攻撃者が見られた範囲と、調査時に確認できる範囲が一致しているかを確かめます。
令和元年度秋期 午後 問19（問問2の中問）
証拠保全中の端末と業務継続をどう両立させるか
証拠として保全する端末は、調査が終わるまで利用者が業務に使えなくなります。
令和元年度秋期 午後 問21（問問2の中問）
リスク回避と移転の違い 案1と案2で何が変わるか
選択肢の比較問題では、両案で変わらない点を除き、変わる点だけに注目します。
令和元年度秋期 午後 問26（問問3の中問）
アクセス権限と貸与PC、3階以外から使える人は
「アクセス権限がある」ことと「その場所から接続できる端末を持っている」ことの両方を満たす人を探すのが、この問題の解き方です。
令和元年度秋期 午後 問27（問問3の中問）
暗証番号による入退管理の不備はどこにあるか
暗証番号方式の入退管理では、番号を知る人なら誰でも入れるため、権限を失った人が番号を覚えている状態が不備になります。
令和元年度秋期 午後 問28（問問3の中問）
マネジメントレビューの考慮事項、目的は入るか
マネジメントレビューは、トップマネジメントがISMSを定期的に見直す活動で、JIS Q 27001:2014では9.3に定められています。
平成31年度春期 午前 問1
CSIRTの6分類とコーディネーションセンターの役割
CSIRTガイドは、CSIRTを活動とサービス対象の2つの観点で6種類に分類しています。
平成31年度春期 午前 問2
サポートユーティリティの例示と見分け方のポイント
サポートユーティリティは、情報システムの稼働を支える基盤の設備・サービスです。
平成31年度春期 午前 問4
リスクファイナンシングの意味と低減策との見分け方
リスクファイナンシングは、リスクが顕在化したときの損失を資金面で補うための備えです。
平成31年度春期 午前 問5
インシデントのおそれと報告手順、不審メール対応の正誤
報告のきっかけは、インシデントが確定したときではなく、そのおそれを見つけたときです。
平成31年度春期 午後 問5（問問1の中問）
リスクレベルの定義とは？脆弱性・リスク基準との違い
リスクレベルは、結果とその起こりやすさの組合せとして表現されるリスクの大きさです。
平成31年度春期 午前 問6
ランサムウェア時の電源の強制切断はどう判定するか
ランサムウェアが疑われるときは、ネットワークからの切り離しに加えて電源を強制切断します。
平成31年度春期 午後 問6（問問1の中問）
ISMS用語 リスクの説明責任と権限をもつのは誰か
リスク所有者とは、リスクを運用管理することについてアカウンタビリティと権限をもつ人や主体のことです。
平成31年度春期 午前 問7
ランサムウェア感染時の電源強制切断はなぜ必要か
ランサムウェアの感染が疑われるときは、まずネットワークから切り離します。そのうえで、通常の終了処理をせずに電源を強制的に切ります。
平成31年度春期 午後 問7（問問1の中問）
情報セキュリティ目的の達成計画で決める事項はどれか
情報セキュリティ目的の達成計画では、実施事項、必要な資源、責任者、達成期限、結果の評価方法の5つを決めます。
平成31年度春期 午前 問8
情報資産管理台帳の記入範囲、どこまで載せるべきか
情報資産管理台帳は対策を検討する基本資料なので、情報資産を漏れなく記入することが原則です。
平成31年度春期 午前 問9
偽サイト発見時の対応、社外の被害をどう防ぐか
対策を選ぶときは、まず守る相手が社内の人か、社外の取引先や顧客かを確かめます。
平成31年度春期 午後 問9（問問1の中問）
サイバー攻撃演習の頻度、年1回で足りない理由は
「組織の状況などを考慮すると」と問われたら、本文に書かれた部門の規模や人の増減を探します。
平成31年度春期 午後 問10（問問1の中問）
ISMSの情報資産目録の見直しで行う作業とは
JIS Q 27001は、資産を特定し、その目録を作成して維持することを求めています。
平成31年度春期 午後 問11（問問2の中問）
通信販売の開始と適用法令、見直すISMS文書はどれか
インターネット通信販売のような取引形態を規制する法律は、特定商取引法です。
平成31年度春期 午後 問12（問問2の中問）
クレジットカード決済で準拠すべき基準と規格の見分け方
PCI DSSは、カード会員データを保護するためのクレジット業界のセキュリティ基準です。
平成31年度春期 午後 問13（問問2の中問）
アカウント管理ロールの権限設計と最小権限の原則
ロールには、その職務に必要な機能の権限だけを付けます（最小権限の原則）。
平成31年度春期 午後 問19（問問2の中問）
職務分離と最小権限 モニタリングロールに要る権限
監視用のロールに必要なのは、対象を確認できる閲覧権限で、編集権限は不要です。
平成31年度春期 午後 問20（問問2の中問）
内部監査の独立性と規程の範囲、どう組み合わせるか
監査人は、監査対象部署から外観上も精神上も独立している必要があります。
平成31年度春期 午後 問22（問問3の中問）
CVSS v3の評価基準、脆弱性そのものを見るのはどれか
CVSS v3の評価基準は、基本・現状・環境の3つです。
平成31年度春期 午後 問24（問問3の中問）
シャドーITとBYODの違い 無許可アプリと私物端末
シャドーITは、組織の正式な手続を経ずに業務で使うIT機器・サービスや、その使い方を指します。
平成31年度春期 午後 問28（問問3の中問）
自己点検チェック項目の見直しとMyJVNの確認範囲
チェック項目の見直しは、実際に起きた問題（確認漏れ・無許可利用）を防げる内容かで判断します。
平成31年度春期 午後 問29（問問3の中問）
リスクアセスメントの3プロセスとリスク対応の違い
リスクアセスメントは、リスク特定・リスク分析・リスク評価の三つのプロセス全体を指します。
平成31年度春期 午後 問31（問問3の中問）