第1回 問題集（全般）

正解: A. A. 明示的に確認する／最小権限アクセスを使用する／侵害を想定する

正解の根拠・詳細解説

Zero Trustの3原則は「Verify explicitly（明示的に確認する）」「Use least privileged access（最小権限アクセスを使用する）」「Assume breach（侵害を想定する）」である。境界防御への依存を前提とせず、すべてのアクセス要求を検証する設計思想が求められる。

正解: B. B. Microsoftのセキュリティ製品群とサードパーティ製品を統合したエンドツーエンドのセキュリティアーキテクチャを示す参照資料

正解の根拠・詳細解説

MCRAは、Microsoftのセキュリティ機能やサードパーティ製品を含めた包括的なセキュリティアーキテクチャの参照モデルであり、組織がセキュリティ戦略を設計する際の基盤として活用される。

正解: A. A. クラウド全般に適用できるセキュリティのベストプラクティスとコントロールを提供するベンチマーク

正解の根拠・詳細解説

MCSBはAzure・AWS・GCPなどマルチクラウド環境に適用可能なセキュリティベストプラクティス集であり、Microsoft Defender for Cloudの規制コンプライアンス機能などと連携してセキュリティ態勢を評価する基準となる。

正解: A. A. バックアップと復旧の堅牢性、および特権アクセスの保護を組み合わせたレジリエンス戦略

正解の根拠・詳細解説

ランサムウェア対策では、攻撃を完全に防ぐことを前提にせず、不変性のあるバックアップ（イミュータブルバックアップ）と特権アクセスの保護（PAW・PIMなど）を組み合わせ、被害を受けても迅速に復旧できるレジリエンス戦略の確立が最優先とされる。

正解: B. B. エンドポイント・ID・クラウド・メールなど複数のセキュリティ領域からの検知データを統合し、攻撃の全体像を把握しやすくするため

正解の根拠・詳細解説

XDRは複数のセキュリティ製品（EDR、ID保護、クラウドセキュリティ、メールセキュリティなど）からのテレメトリを統合し、攻撃チェーン全体を可視化することで、検知と対応の速度・精度を高める仕組みである。

正解: A. A. Microsoft Security Exposure Management

正解の根拠・詳細解説

Microsoft Security Exposure Managementは、組織全体の攻撃面（Attack Surface）を可視化し、重要資産に対する潜在的な攻撃経路を分析してセキュリティ態勢の継続的な改善を支援するサービスである。

正解: A. A. 組織に適用される法令・業界規制・社内ポリシーの要件を特定し、技術的コントロールへのマッピングを行う

正解の根拠・詳細解説

規制コンプライアンス戦略の設計では、まず組織に適用される法的・業界的要件（GDPR、ISO27001、業界固有規制など）を特定し、それらをMicrosoft Purviewのコンプライアンスマネージャーなどでマッピングしたうえで技術的コントロールに落とし込む必要がある。

正解: B. B. セキュリティの検証・対策を開発ライフサイクルの早い段階（設計・コーディング時点）に組み込む

正解の根拠・詳細解説

シフトレフトとは、脆弱性スキャンやセキュアコーディングのチェックなどのセキュリティ対策を、開発ライフサイクルのできるだけ早い段階（左側）に組み込み、後工程での修正コストを削減する考え方である。

正解: B. B. Just-In-Time（JIT）アクセスやPrivileged Identity Management（PIM）を用いて、必要な時だけ必要最小限の権限を一時的に付与する仕組み

正解の根拠・詳細解説

最小権限の原則を実現するには、常時の特権付与を避け、Microsoft Entra Privileged Identity Management（PIM）などを用いてJust-In-Timeで必要最小限の権限を一時的に付与し、使用後は自動的に剥奪する設計が推奨される。

正解: A. A. セキュリティ態勢の確立とインシデント対応準備の2つの主要な活動

正解の根拠・詳細解説

Cloud Adoption FrameworkのSecureメソドロジーは、組織のセキュリティ態勢を継続的に高める「Establish security posture」と、インシデントに備える「Sustain security posture（Incident readiness含む）」という活動を中心に構成されている。

正解: A. A. SIEMで検知・集約したアラートに対し、SOARで自動化された対応ワークフローを実行し、検知から対応までの時間を短縮するため

正解の根拠・詳細解説

SIEM（Microsoft Sentinelなど）でログを集約・分析して脅威を検知し、SOAR機能（Sentinelのプレイブック等）であらかじめ定義した対応手順を自動実行することで、検知から対応（MTTR）までの時間を大幅に短縮できる。

正解: B. B. セグメンテーションや継続的な監視、迅速な検知・対応の仕組みをあらかじめ構築しておく

正解の根拠・詳細解説

Assume Breachの考え方では、侵害が既に発生している、または将来発生することを前提に、ネットワークセグメンテーション・継続的監視・迅速な検知と対応体制を事前に構築しておくことが重要である。

正解: A. A. 異なるワークロード（エンドポイント、ID、メール、クラウドアプリ）からのアラートを単一のインシデントに自動的に関連付け、調査の効率を高める

正解の根拠・詳細解説

Defender XDRは複数のMicrosoft Defender製品からのシグナルを自動的に相関付け、関連するアラートを単一のインシデントとして統合表示することで、アナリストの調査負荷を軽減し迅速な対応を可能にする。

正解: B. B. 平均検知時間（MTTD）・平均対応時間（MTTR）・セキュアスコアの推移など、ビジネスリスクと紐づけた指標で報告する

正解の根拠・詳細解説

経営層への報告では、生のログデータではなく、MTTD/MTTRやMicrosoft Secure Scoreの推移など、ビジネスリスクの低減度合いが伝わる指標に変換して提示することが、意思決定を支援する上で効果的である。

正解: A. A. サードパーティベンダーのアクセス権限を必要最小限に制限し、継続的にレビューする仕組みを構築する

正解の根拠・詳細解説

サプライチェーンセキュリティでは、外部ベンダーやパートナーに付与するアクセス権限を最小化し、条件付きアクセスやアクセスレビューを通じて継続的に監視・見直しを行う設計が求められる。

正解: B. B. スコーピング・発見・優先順位付け・検証・動員のサイクルを継続的に繰り返し、攻撃対象領域を常時管理する

正解の根拠・詳細解説

CTEMは、攻撃対象領域のスコーピング、脆弱性や侵害可能性の発見、リスクに基づく優先順位付け、検証、そして対応の動員という5つのフェーズを継続的サイクルとして繰り返すアプローチであり、Microsoft Security Exposure Managementがこれを支援する。

正解: B. B. 脅威インテリジェンスの活用、自動化（SOAR）、そして継続的なプレイブックの改善を組み合わせる

正解の根拠・詳細解説

SOCの成熟度向上には、脅威インテリジェンスの統合、SOARによる対応自動化、そして実際のインシデント対応から得られた知見をプレイブックに反映する継続的改善のサイクルが不可欠である。

正解: A. A. Microsoft Purview Insider Risk Managementを使用し、退職予定者や機密データへの異常なアクセスパターンを検知する

正解の根拠・詳細解説

内部関係者リスクの管理では、Microsoft Purview Insider Risk Managementなどを用いて、退職予定者の異常な大量ダウンロードや機密情報への不審なアクセスパターンを検知し、ポリシーに基づいてアラートを生成する設計が有効である。

正解: B. B. 機密性・完全性・可用性を確保しつつ、Zero Trustの原則に基づいてワークロードを保護する

正解の根拠・詳細解説

Azure Well-Architected Frameworkのセキュリティの柱は、機密性・完全性・可用性（CIA）の確保とZero Trust原則の適用を通じて、ワークロード全体のセキュリティを設計・評価することを重視している。

正解: B. B. 各開発・事業部門にセキュリティ意識の高い担当者を配置し、現場レベルでセキュリティ文化の浸透を促進する

正解の根拠・詳細解説

セキュリティチャンピオンプログラムは、各部門にセキュリティに関心の高いメンバーを配置し、現場とセキュリティチームの橋渡し役として活動してもらうことで、組織全体のセキュリティ文化の浸透を図るものである。

正解: B. B. CVSSスコアは脆弱性の一般的な深刻度を示すが、実際の悪用可能性や資産の重要度といったコンテキストを反映しないため、Exposure Managementのようなコンテキストを考慮したリスク評価と組み合わせる必要がある

正解の根拠・詳細解説

CVSSスコアは脆弱性自体の技術的深刻度を示す指標だが、実際の攻撃可能性（Exploitability）や対象資産の重要性、既存の緩和策などのコンテキストを反映していないため、Microsoft Security Exposure Managementのような攻撃経路分析と組み合わせた優先順位付けが推奨される。

正解: B. B. JEAはPowerShellを通じて、管理タスクの実行に必要な特定のコマンドのみへのアクセスを許可し、最小特権の原則を実現する手段の一つである

正解の根拠・詳細解説

Just Enough Administration（JEA）は、PowerShellのリモート管理において、管理者に必要なコマンドレットのみへのアクセスを許可する仕組みであり、最小特権の原則を実践する具体的な手段の一つである。

正解: B. B. 実際の攻撃者の手法を模倣した攻撃を行い、検知・対応体制の実効性を検証して改善点を特定すること

正解の根拠・詳細解説

レッドチーム演習は、実際の攻撃者と同様の手法（TTPs）を用いて組織のシステムを攻撃し、Blue Team（防御側）の検知・対応能力を実践的に検証することで、セキュリティ態勢の実効性を高めるための手段である。

正解: A. A. コンプライアンスマネージャーによる規制要件への準拠状況の評価とアクションアイテムの管理

正解の根拠・詳細解説

Microsoft Purviewのコンプライアンスマネージャーは、組織に適用される規制要件（GDPR、ISO27001等）への準拠状況を評価し、コンプライアンススコアの算出と改善アクションの管理を一元化して支援する。

正解: B. B. セキュリティ投資の優先順位はビジネスへの影響度（収益・信頼・継続性へのリスク）に基づいて決定されるべきであり、過剰投資や投資不足を避けるため

正解の根拠・詳細解説

セキュリティ戦略は、技術的な完璧さのみを追求するのではなく、組織のビジネス目標やリスク許容度と整合させることで、限られた予算の中で最も効果的にリスクを低減する投資判断を行うことができる。

正解: B. B. 不要なサービス・ポート・パブリックエンドポイントを無効化し、必要なアクセスのみをプライベートエンドポイントなどで許可する

正解の根拠・詳細解説

攻撃対象領域の最小化では、使用していないサービスやポートを無効化し、Azure Private Linkなどを活用してパブリックインターネットへの露出を必要最小限に抑える設計が基本となる。

正解: A. A. Microsoft Defender for Cloud（CNAPP機能を含む）

正解の根拠・詳細解説

Microsoft Defender for Cloudは、クラウドセキュリティ態勢管理（CSPM）とクラウドワークロード保護（CWPP）を併せ持つCNAPPとして位置づけられており、Azureに加えてAWSのアカウントやGCPのプロジェクトをコネクタで接続することで、マルチクラウド環境の設定ミスや脆弱性を単一のポータルから評価できます。接続後は各クラウドのリソース構成が継続的に評価され、セキュリティ態勢がセキュアスコアとして数値化されるほか、規制コンプライアンスダッシュボードで業界標準や社内基準への適合状況を横断的に確認できます。アーキテクトの観点で重要なのは、クラウドごとに別々のコンソールを個別に確認する運用では評価基準がそろわず、指摘の重複や見落とし、優先順位付けの困難さを招くという点です。共通の基準でリスクを比較できる統合基盤があってはじめて、限られた工数を影響の大きい是正に振り向けられます。スプレッドシートによる手動管理は変化の速いクラウド環境ではすぐ陳腐化し、継続的な検出と是正のサイクルを支えられません。

正解: B. B. データコネクタを活用し、Microsoft製品だけでなくサードパーティ製品からのログも標準化された形式（ASIM）で取り込む

正解の根拠・詳細解説

Microsoft Sentinelでは多様なデータコネクタを通じてログを取り込み、Advanced Security Information Model（ASIM）で正規化することで、異なるソース間でも統一的なクエリや分析が可能になる設計が推奨される。

正解: A. A. フィッシングメールが検知された際に、自動でユーザーのメールボックスから該当メールを削除し、関連URLをブロックリストに追加する

正解の根拠・詳細解説

SOAR（Sentinelのプレイブック等）は、フィッシング検知時の自動メール削除やURLブロックなど、定型的な対応を自動化することで、アナリストの負荷を軽減し対応速度を高める。重大な判断を要する操作は人間の承認ステップを組み込む設計も重要。

正解: A. A. 脅威インテリジェンスフィードをMicrosoft Sentinelに統合し、既知の悪意あるIOC（侵害指標）との一致を自動検知する仕組みを構築する

正解の根拠・詳細解説

脅威インテリジェンス（Microsoft Defender Threat IntelligenceやSTIX/TAXIIフィード）をSentinelに統合し、IOC（IPアドレス、ハッシュ値、ドメイン等）との一致を自動検知することで、既知の脅威への対応を迅速化できる。

正解: A. A. パスワードハッシュ同期またはパススルー認証を用い、Microsoft Entra Connectでハイブリッドアイデンティティを構成する

正解の根拠・詳細解説

ハイブリッドID環境では、Microsoft Entra Connect（またはCloud Sync）を用いてパスワードハッシュ同期やパススルー認証を構成し、オンプレミスとクラウドの認証を安全に統合する設計が一般的である。

正解: B. B. ユーザーリスク・サインインリスク・デバイス準拠状態・場所などの複数の信号を組み合わせて、アクセスを動的に制御する

正解の根拠・詳細解説

条件付きアクセスでは、ユーザーリスク、サインインリスク、デバイスのコンプライアンス状態、場所、アプリケーションなど複数の信号を組み合わせて評価し、リスクに応じてMFA要求やアクセスブロックなどを動的に適用する設計がZero Trustの実現に直結する。

正解: B. B. 管理者ロールを「適格（Eligible）」として割り当て、必要な時だけ承認ワークフローを経てJust-In-Timeでアクティブ化させる

正解の根拠・詳細解説

PIMでは、管理者ロールを常時アクティブにせず「適格」な状態で割り当て、実際に必要になった際にJust-In-Timeでアクティブ化を申請させ、承認やMFA、アクティブ化理由の記録を組み合わせることで特権アクセスのリスクを最小化する。

正解: B. B. 外部ユーザー専用のテナント設定とカスタム条件付きアクセスポリシーを用いて、アクセス範囲を必要最小限に制限する

正解の根拠・詳細解説

Microsoft Entra External ID（旧B2B/B2C）を用いる際は、外部ユーザー向けに専用の条件付きアクセスポリシーやアクセスレビューを設定し、内部ユーザーと同等の権限を不用意に付与しないよう設計することが重要である。

正解: B. B. 定期的にユーザーのアクセス権限の必要性を見直し、不要になった権限を自動または手動で取り消す仕組みを提供する

正解の根拠・詳細解説

アクセスレビューは、グループメンバーシップやロール割り当て、ゲストアクセスなどを定期的に見直し、不要になったアクセス権を適切なタイミングで取り消すことで、権限の肥大化（Privilege Creep）を防止する仕組みである。

正解: A. A. パスザハッシュやゴールデンチケットなど、オンプレミスActive Directoryに対する横展開・特権昇格の手法

正解の根拠・詳細解説

Microsoft Defender for Identityは、オンプレミスのActive Directoryに対するパスザハッシュ、ゴールデンチケット、DCSync攻撃などの偵察・横展開・特権昇格の手法を検知し、IDベースの脅威への対応を支援する。

正解: A. A. まず機密情報の種類を分類（クレジットカード番号、個人情報など）した上で、メール・SharePoint・エンドポイントなど複数のチャネルに一貫したDLPポリシーを適用する

正解の根拠・詳細解説

DLPポリシーの設計では、まずMicrosoft Purviewの機密情報の種類やトレーニング可能な分類子を用いてデータを分類し、メール、SharePoint、Teams、エンドポイントなど複数のチャネルで一貫したポリシーを適用することが推奨される。

正解: B. B. 「公開」「内部限定」「機密」「極秘」のように段階的なラベルを定義し、各ラベルに応じた暗号化・アクセス制限・透かしなどの保護アクションを関連付ける

正解の根拠・詳細解説

機密度ラベルは、組織の情報の重要度に応じて段階的に設計し、各ラベルに暗号化、アクセス制限、ヘッダー・フッターの表示などの保護アクションを関連付けることで、データのライフサイクル全体で一貫した保護を実現する。

正解: A. A. 人事システムからの退職情報と、大量のファイルダウンロードやUSBへのコピーなどの異常な行動シグナルの組み合わせ

正解の根拠・詳細解説

Insider Risk Managementでは、HRコネクタからの退職予定情報と、SharePointからの大量ダウンロード、USBデバイスへのファイルコピーといった異常なアクティビティシグナルを組み合わせることで、データ持ち出しリスクをより精度高く検知できる。

正解: A. A. 規制要件に対する準拠状況をコンプライアンススコアとして可視化し、改善アクションを推奨する

正解の根拠・詳細解説

コンプライアンスマネージャーは、組織に適用される規制（GDPR、ISO27001等）に対する技術的・運用的コントロールの実施状況を評価し、コンプライアンススコアと推奨される改善アクションを提示する。

正解: B. B. 定型的な低リスクアラートにはSOARプレイブックによる自動トリアージ・自動対応を適用し、アナリストは高度な判断を要するインシデントに集中する

正解の根拠・詳細解説

SOCの成熟度向上には、定型的なアラート対応をSOARプレイブックで自動化し、アナリストの労力を高度な分析・意思決定が必要なインシデントに集中させる設計が効果的である。

正解: B. B. 管理者が特権操作を行う際に使用する、強化されたセキュリティ設定を持つ専用端末を分離することで、攻撃対象領域を縮小する仕組み

正解の根拠・詳細解説

特権アクセスワークステーション（PAW）は、管理者が特権操作（ドメイン管理など）を行う際に専用の強化端末を使用し、日常業務用端末とは分離することで、フィッシングやマルウェア感染による特権アカウントの侵害リスクを低減する設計である。

正解: A. A. 匿名IPアドレスからのサインインや、見慣れない場所からの移動不可能な移動（Atypical travel）などのリスクシグナルの検出

正解の根拠・詳細解説

Microsoft Entra ID Protectionは、匿名IPアドレスからのサインイン、漏洩した認証情報の使用、地理的に移動不可能な短時間移動（Impossible Travel）など、複数のリスクシグナルを検出し、ユーザーリスクおよびサインインリスクとして評価する。

正解: A. A. 従業員の入社・異動・退職に応じて、アクセス権限の付与・変更・取り消しを自動化するワークフローの構築

正解の根拠・詳細解説

ライフサイクルワークフローは、新入社員のオンボーディング時の自動アカウント作成・グループ割り当てや、退職時の自動アクセス無効化など、IDライフサイクル全体にわたるプロビジョニング・デプロビジョニングを自動化する。

正解: B. B. インシデントの重大度に基づいた優先順位付けと、SOARによる自動トリアージ・対応を組み合わせる

正解の根拠・詳細解説

MTTR短縮には、インシデントの重大度・影響度に基づく優先順位付けと、定型対応のSOAR自動化を組み合わせることで、アナリストがより速く、より重要な対応に集中できる体制を構築することが効果的である。

正解: A. A. Data Subject Requests（DSR）機能を用いて、個人データの検索・削除・エクスポート要求への対応を効率化する

正解の根拠・詳細解説

Microsoft Purviewのデータ主体の権利対応（Data Subject Requests）機能は、GDPR等で求められる「自己情報の開示・削除・移転」要求に対し、組織内のデータソースから関連する個人データを検索・収集する作業を支援する。

正解: A. A. トークン発行後、ユーザーの状態（アカウント無効化やパスワード変更等）の変化をほぼリアルタイムで反映し、不要なアクセスを即座に遮断する

正解の根拠・詳細解説

継続的アクセス評価（CAE）は、アクセストークン発行後にユーザーアカウントの無効化やパスワード変更、ネットワーク位置の変化などが発生した場合、トークンの有効期限を待たずにほぼリアルタイムでアクセスを再評価・遮断する仕組みである。

正解: B. B. 仮説に基づいて、まだアラートとして検知されていない潜在的な脅威の兆候をログやテレメトリから能動的に探索する

正解の根拠・詳細解説

脅威ハンティングは、既知の攻撃手法（TTPs）に関する仮説を立て、Microsoft Sentinelのハンティングクエリなどを用いて、まだアラート化されていない潜在的な侵害の兆候を能動的に探索するプロアクティブなアプローチである。

正解: A. A. 他テナントのユーザーが自テナントのリソースにアクセスする際の信頼設定（MFA・デバイス準拠状態の信頼など）と、B2Bコラボレーションの許可・制限

正解の根拠・詳細解説

テナント間アクセス設定では、他テナントで実施されたMFAやデバイス準拠状態の主張を信頼するかどうか、また特定の組織とのB2Bコラボレーションを許可・拒否するかどうかを、組織単位で柔軟に制御できる。

正解: B. B. 特定の地域・国の法規制に基づき、データが指定されたリージョン内に保存・処理されるようAzureのリージョン選択とポリシーを設計する

正解の根拠・詳細解説

データ常駐性要件（金融・医療業界などで多い）に対応するには、Azureの特定リージョンを選択してデータを保存・処理し、Azure Policyなどでリージョン外への配置を制限する設計が必要となる。

正解: B. B. 発見（スキャン） → 評価・優先順位付け → 対応（パッチ適用等） → 検証・報告

正解の根拠・詳細解説

脆弱性管理ライフサイクルは、Microsoft Defender Vulnerability Managementなどによる発見（スキャン）、リスクベースの評価・優先順位付け、パッチ適用などの対応、そして対応結果の検証・報告というサイクルで構成される。

正解: A. A. 訴訟や調査において必要な電子データを検索・保持・収集するための機能

正解の根拠・詳細解説

Microsoft Purview eDiscoveryは、訴訟や規制調査などにおいて、メール・文書・チャットなどの電子データを組織全体から検索し、リーガルホールド（保持）をかけて収集・レビューするための機能である。

正解: A. A. 従業員に実際のフィッシング攻撃を模したシミュレーションを送付し、クリック率などを測定して意識向上トレーニングにつなげる

正解の根拠・詳細解説

Microsoft Defender for Office 365の攻撃シミュレーショントレーニングは、実際のフィッシング攻撃を模した安全なシミュレーションを従業員に送付し、開封率・クリック率を測定した上で、的を絞ったセキュリティ意識向上トレーニングを提供する。

正解: A. A. セキュリティデータを可視化したダッシュボードを作成し、傾向分析やレポーティングを効率化する

正解の根拠・詳細解説

Sentinelのワークブックは、取り込んだログデータをグラフやテーブルで可視化し、セキュリティ傾向の分析や定期レポーティングを効率的に行うためのダッシュボード機能である。

正解: A. A. RBACのみでは表現しきれない、リソースの属性（タグ等）に基づく動的かつ細やかなアクセス制御を実現できる

正解の根拠・詳細解説

RBACはロールに基づく比較的粗い粒度のアクセス制御を提供するのに対し、ABAC（Azure StorageのBlobインデックスタグ等）はリソースの属性に基づいてより動的で細やかな制御を実現でき、両者を組み合わせることで柔軟なアクセス管理が可能になる。

正解: A. A. Microsoft Entra ID Protection、Microsoft Defender for Identity、Microsoft Sentinelを統合し、ID関連の脅威を一元的に検知・対応する

正解の根拠・詳細解説

ITDR戦略では、クラウドID向けのMicrosoft Entra ID Protection、オンプレミスAD向けのMicrosoft Defender for Identity、そして全体を統合・相関分析するMicrosoft Sentinelを組み合わせることで、ID関連の脅威を包括的に検知・対応できる。

正解: B. B. 環境の変化（新しいシステムの導入、組織変更等）に対してプレイブックが正しく機能するかを検証し、実際のインシデント発生時の信頼性を確保するため

正解の根拠・詳細解説

プレイブックは環境の変化（新システム導入、組織再編、API変更等）によって機能しなくなる可能性があるため、定期的なテスト（卓上演習や実環境でのドライラン）を実施し、実際のインシデント発生時に確実に機能することを確認する必要がある。

正解: A. A. メールボックスへの不審なアクセスなど、より長期間・高頻度なログ保持とフォレンジック調査の支援

正解の根拠・詳細解説

Purview Auditプレミアムは、標準より長期間のログ保持と、メールボックスへのアクセス、ファイルのダウンロードなど詳細なアクティビティログを提供し、侵害発生時のフォレンジック調査やインシデント対応範囲の特定を支援する。

正解: B. B. 機械学習による異常検知やアラートの相関付け・重複排除を活用し、重要度の高いアラートに優先順位をつけて表示する

正解の根拠・詳細解説

アラート疲れを軽減するには、Sentinelの分析ルールやFusion（機械学習による相関分析）を活用してアラートを統合・重複排除し、本当に対応が必要な高優先度のインシデントに絞って提示する設計が有効である。

正解: A. A. ユーザーが自身の属性（学歴、所属など）を分散型IDの仕組みで安全に証明し、組織側はその真正性を検証できるようにする

正解の根拠・詳細解説

Microsoft Entra Verified IDは、W3Cの分散型識別子（DID）と検証可能な資格情報の標準に基づくサービスで、発行者・保持者・検証者という三者のモデルで動作します。発行者が学歴や在籍、保有資格といった属性に電子署名を付けて資格情報を発行し、利用者は自分のウォレットにそれを保持します。検証者は提示された資格情報の署名を確認するだけで真正性を判断できるため、発行元へ都度問い合わせる必要がなく、利用者が誰に何を提示したかを発行者に知られることもありません。結果として、身元確認のために過剰な個人情報を渡す必要がなくなり、開示する範囲を利用者自身が制御できる点が大きな利点です。設計上の代表的な用途としては、リモート採用時の経歴確認、パートナー企業の従業員のオンボーディング、ヘルプデスクでのアカウント復旧時の本人確認などが挙げられます。ネットワーク帯域の検証や給与情報の検証、物理的な社員証の発行といった話とは無関係な技術である点も押さえておきましょう。

正解: B. B. ハブVNetにAzure Firewallや共有セキュリティサービスを配置し、すべてのスポークからのトラフィックをハブ経由でルーティング・検査する

正解の根拠・詳細解説

ハブアンドスポーク構成では、ハブVNetに Azure FirewallやVPN/ExpressRouteゲートウェイなどの共有サービスを集約し、各スポークからのトラフィックを一元的に検査・制御することで、ネットワーク全体のセキュリティ管理を簡素化できる。

正解: A. A. PaaSサービスへのアクセスをパブリックインターネットを経由せず、プライベートIPアドレスを通じて行うことで、データ漏えいリスクを低減する

正解の根拠・詳細解説

Azure Private Linkは、Azure StorageやSQL DatabaseなどのPaaSサービスに対して、VNet内のプライベートエンドポイントを通じてアクセスできるようにし、トラフィックがパブリックインターネットを経由しないことでデータ漏えいや侵入のリスクを大幅に低減する。

正解: A. A. ネットワークセキュリティグループ（NSG）やAzure Firewallのアプリケーションルールを用いて、ワークロード間の通信を必要最小限に制限する

正解の根拠・詳細解説

マイクロセグメンテーションは、NSG・Azure Firewall・Application Security Groupsなどを組み合わせて、ワークロード間（VM間、サブネット間）の通信を必要最小限に制限し、侵害が発生した際の横展開（ラテラルムーブメント）を防止する設計である。

正解: A. A. パブリックIPアドレスに対する大規模な攻撃トラフィックを自動的に検知・緩和し、アプリケーション層の保護はWAFと組み合わせる

正解の根拠・詳細解説

Azure DDoS Protection Network Protectionプランは、パブリックIPに対するネットワーク層・トランスポート層の大規模な攻撃トラフィックを自動的に検知・緩和する。アプリケーション層（L7）の保護にはAzure Web Application Firewall（WAF）との組み合わせが推奨される。

正解: A. A. コンテナレジストリ（ACR）に統合した脆弱性スキャン（Microsoft Defender for Containers等）をCI/CDパイプラインに組み込む

正解の根拠・詳細解説

コンテナセキュリティの設計では、Microsoft Defender for ContainersなどによるイメージスキャンをコンテナレジストリやCI/CDパイプラインに統合し、既知の脆弱性を含むイメージが本番環境にデプロイされる前に検出・ブロックする仕組みが推奨される。

正解: B. B. Azure PolicyのKubernetes向け拡張機能を用いて、特権コンテナの実行禁止やリソース制限などのポリシーを強制する

正解の根拠・詳細解説

AKSのセキュリティ強化では、Azure Policy for Kubernetesを用いて特権コンテナの実行禁止、許可されたイメージレジストリの強制、リソース制限の適用などのポリシーをクラスター全体に強制することが推奨される。

正解: A. A. IT環境とは異なるネットワークプロトコル（産業用制御システム特有のプロトコル等）を可視化し、異常な通信や既知の脆弱性を検知する

正解の根拠・詳細解説

Microsoft Defender for IoTは、ICS/SCADAなど産業用制御システム特有のプロトコルを解析してOT/IoT資産を可視化し、異常な通信パターンや既知の脆弱性、不正なデバイスの接続などを検知する専用のセキュリティソリューションである。

正解: A. A. オンプレミスサーバーやマルチクラウドのリソースをAzureに登録し、Azure Policyや Microsoft Defender for Cloudによる一元的なセキュリティ管理・コンプライアンス評価の対象に含める

正解の根拠・詳細解説

Azure Arcは、オンプレミスサーバー、マルチクラウドのVM、Kubernetesクラスターなどをazureにオンボードすることで、Azure PolicyやMicrosoft Defender for Cloudの保護範囲に含め、ハイブリッド・マルチクラウド環境全体のセキュリティを統一的に管理できるようにする。

正解: B. B. Azure Key Vaultと統合してシークレットを安全に管理し、パイプラインの実行に署名検証やSBOM（ソフトウェア部品表）の生成を組み込む

正解の根拠・詳細解説

サプライチェーンセキュリティの強化には、Azure Key Vaultでのシークレット管理、ビルドプロセスへの署名・検証、SBOM（Software Bill of Materials）の生成によるコンポーネントの可視化などを組み込み、パイプライン自体への侵害や改ざんを防止する設計が重要である。

正解: A. A. Just-In-Time VMアクセスによる管理ポートの公開時間制限、適応型アプリケーション制御、ファイル整合性監視などの保護機能

正解の根拠・詳細解説

Microsoft Defender for Serversは、JIT VMアクセス（RDP/SSHポートの公開を必要時のみに制限）、適応型アプリケーション制御（許可リストベースの実行制御）、ファイル整合性監視（FIM）など、サーバーのハードニングを支援する複数の保護機能を提供する。

正解: A. A. バックアップデータへの不変性（イミュータビリティ）の適用と、本番環境からの論理的分離（アクセス権限の分離）

正解の根拠・詳細解説

ランサムウェア対策としてのバックアップ設計では、Azure Backupのイミュータブルバックアップ（変更・削除不可の保護）を適用し、バックアップへのアクセス権限を本番環境の管理者権限とは分離することで、攻撃者がバックアップ自体を破壊・暗号化するリスクを低減する。

正解: A. A. TLSインスペクションによる暗号化トラフィックの検査と、IDPS（侵入検知・防止システム）による既知の攻撃パターンの検知

正解の根拠・詳細解説

Azure Firewall Premiumは、TLSインスペクション（暗号化トラフィックを復号して検査）、IDPS（既知の攻撃シグネチャに基づく侵入検知・防止）、URLフィルタリングなどの高度な機能を提供し、より深いレベルでのネットワークトラフィック検査を可能にする。

正解: B. B. 侵害が発生した場合、攻撃者がネットワーク内部で横展開（East-West方向の通信）する際の検知・防止が、被害範囲の拡大を防ぐ上で重要であるため

正解の根拠・詳細解説

East-West（内部対内部）トラフィックの保護は、North-South（内外間）の境界防御を突破された後の横展開を検知・阻止する上で重要であり、マイクロセグメンテーションやネットワーク内部での監視がAssume Breachの原則を実践する鍵となる。

正解: A. A. SQLインジェクション、クロスサイトスクリプティング（XSS）などのWebアプリケーションへの一般的な攻撃パターン

正解の根拠・詳細解説

Azure Web Application Firewall（WAF）のOWASP管理ルールセットは、SQLインジェクション、XSS、リモートファイルインクルードなど、OWASP Top 10に定義された一般的なWebアプリケーションの脆弱性パターンに対する保護を提供する。

正解: B. B. Microsoft Defender for CloudのマルチクラウドコネクタとMicrosoft Sentinelを用いて、複数クラウドのセキュリティシグナルを単一のプラットフォームに集約する

正解の根拠・詳細解説

マルチクラウド環境の統合監視には、Microsoft Defender for CloudのAWS/GCPコネクタでセキュリティ態勢を評価し、Microsoft Sentinelに各クラウドのログを集約することで、単一のダッシュボードから一貫した監視・分析を行う設計が有効である。

正解: B. B. ExpressRouteはプライベート接続によりパブリックインターネットを経由せず、より安定した帯域幅と低レイテンシを必要とする大規模ハイブリッド環境に適している

正解の根拠・詳細解説

ExpressRouteは専用のプライベート接続を通じてAzureとオンプレミス環境を接続し、パブリックインターネットを経由しないため、より高い帯域幅・低レイテンシ・安定性が求められる大規模なハイブリッド環境やミッションクリティカルなワークロードに適している。

正解: B. B. インフラをコードで定義し、変更が必要な際は既存環境を変更せず新しいイメージから再作成することで、構成ドリフトや未承認の変更を防止する

正解の根拠・詳細解説

不変インフラストラクチャは、IaC（Infrastructure as Code）を用いてインフラを定義し、変更が必要な場合は既存のリソースを直接変更せず、新しいイメージ・テンプレートから再作成することで、構成ドリフトや未承認の変更（シャドーIT的な変更）を防ぎ、セキュリティと一貫性を高める。

正解: A. A. VMにパブリックIPやRDP/SSHポートの直接公開を行わずに、Azure Portal経由でセキュアにリモート接続できる

正解の根拠・詳細解説

Azure Bastionは、対象VMにパブリックIPアドレスやRDP/SSHポートを直接公開することなく、Azure Portalを通じてブラウザベースでセキュアなリモート接続を提供するマネージドサービスであり、攻撃対象領域の縮小に寄与する。

正解: A. A. 複数のVNetにわたるセキュリティ管理規則やトポロジー（メッシュ・ハブアンドスポーク）を中央集権的に管理・適用する

正解の根拠・詳細解説

Azure Virtual Network Managerは、複数のVNetやサブスクリプションにわたるネットワークグループを定義し、セキュリティ管理規則やネットワークトポロジー（メッシュ接続、ハブアンドスポーク）を一元的に適用・管理することができる。

正解: B. B. コンテンツ信頼（Content Trust）によるイメージの署名検証と、プライベートエンドポイントを用いたネットワークアクセス制限を組み合わせる

正解の根拠・詳細解説

ACRのセキュリティ強化では、Content Trust機能によるイメージの署名・検証、プライベートエンドポイントによるネットワークアクセスの制限、そしてMicrosoft Defender for Containersによる継続的な脆弱性スキャンを組み合わせる設計が推奨される。

正解: B. B. レプリケーション先のリージョンやストレージも、本番環境と同等のセキュリティ管理（暗号化、アクセス制御）が適用されているかを確認する

正解の根拠・詳細解説

DR設計では、フェールオーバー先のリージョンやレプリケートされたデータに対しても、本番環境と同等の暗号化・アクセス制御・監視が適用されていることを確認する必要がある。DR環境がセキュリティの弱点となれば、復旧時に新たな侵害リスクを生む可能性がある。

正解: A. A. 既知の攻撃シグネチャに基づき、悪意のあるトラフィックパターンを検知・ブロックする

正解の根拠・詳細解説

Azure Firewall PremiumのIDPS機能は、既知の攻撃シグネチャデータベースに基づいてネットワークトラフィックを検査し、不審なパターンを検知してアラートを生成またはブロックすることで、ネットワークレベルでの脅威防御を強化する。

正解: A. A. データの保存時・転送時の暗号化のみでは保護できない「使用中のデータ（Data in Use）」をハードウェアベースのTrusted Execution Environment（TEE）で保護する

正解の根拠・詳細解説

Confidential Computingは、Intel SGXやAMD SEV-SNPなどのハードウェアベースのTrusted Execution Environment（TEE）を用いて、メモリ上で処理中（使用中）のデータを暗号化・分離保護し、クラウド事業者自身からもデータ内容を秘匿できる仕組みを提供する。

正解: A. A. ネットワーク全体への接続を許可するのではなく、ユーザーIDとデバイスの状態を検証した上で、個々のアプリケーションへのアクセスのみを許可する

正解の根拠・詳細解説

従来のVPNはネットワーク全体への接続を許可する傾向があるのに対し、ZTNA（Microsoft Entra Private Access等）はユーザーIDとデバイスの状態を継続的に検証した上で、必要な個々のアプリケーション・リソースへのアクセスのみを許可し、攻撃対象領域を縮小する。

正解: A. A. パイプラインの実行に必要な操作のみに権限を絞ることで、認証情報が漏洩した場合の被害範囲を最小化するため

正解の根拠・詳細解説

CI/CDパイプラインで使用するサービスプリンシパルやマネージドIDには、デプロイ先リソースに対する必要最小限の権限のみを付与することで、認証情報の漏洩や設定ミスが発生した場合でも被害範囲を限定できる。

正解: A. A. NSGはサブネット・NIC単位の基本的なステートフルフィルタリングを提供し、Azure Firewallはより高度な検査（FQDNフィルタリング、脅威インテリジェンス等）を集中管理できるため、両者を階層的に組み合わせることで多層防御を実現する

正解の根拠・詳細解説

NSGはサブネットやNICレベルで基本的なステートフルパケットフィルタリングを提供する一方、Azure FirewallはFQDNベースのフィルタリングや脅威インテリジェンスとの統合などより高度な検査機能を集中管理できるため、両者を組み合わせた多層防御（Defense in Depth）の設計が推奨される。

正解: A. A. ソフトウェアに含まれるすべてのコンポーネント・依存関係を明示化し、既知の脆弱性が含まれるコンポーネントを迅速に特定できるようにする

正解の根拠・詳細解説

SBOMは、ソフトウェアを構成するすべてのオープンソースライブラリや依存関係を一覧化したものであり、新たな脆弱性（例：Log4jのようなサプライチェーン全体に影響する脆弱性）が発見された際に、影響を受けるコンポーネントを迅速に特定するために重要である。

正解: B. B. Azure Key VaultとAKSのCSI（Container Storage Interface）ドライバーを統合し、シークレットを実行時に動的にマウントする

正解の根拠・詳細解説

コンテナ環境のシークレット管理では、Azure Key Vault Provider for Secrets Store CSI Driverを用いて、Key Vaultに保存されたシークレットをポッドの実行時に動的にマウントすることで、イメージや環境変数への直接的な埋め込みを避け、ローテーションも容易にする設計が推奨される。

正解: A. A. NSGフローログやパケットキャプチャを用いて、ネットワークトラフィックのパターンや疑わしい通信を診断・分析する

正解の根拠・詳細解説

Azure Network Watcherは、NSGフローログの収集・分析、パケットキャプチャ、接続トラブルシューティングなどの機能を提供し、ネットワークトラフィックの可視化や疑わしい通信パターンの診断を支援する。

正解: A. A. クラウド・リモートワーク・サードパーティ連携が普及した現代では、明確な境界が存在しないため、内部ネットワークも信頼せず継続的に検証するZero Trustの考え方が必要となる

正解の根拠・詳細解説

クラウドサービスの利用、リモートワーク、サードパーティとの連携が一般化した現代の環境では、従来の「内側は安全、外側は危険」という境界モデルが成立しなくなっており、内部ネットワークであっても継続的に検証を行うZero Trustアプローチへの移行が必要とされる。

正解: A. A. 実際のトラフィックパターンと脅威インテリジェンスを分析し、既存のNSGルールに対してより制限的な推奨設定を提示する

正解の根拠・詳細解説

Microsoft Defender for Cloudの適応型ネットワーク強化機能は、実際のトラフィックパターン、既知の信頼できるIP、脅威インテリジェンスを分析し、現在のNSGルールよりも制限的でセキュアな設定を推奨することで、過度に広範なルールのリスクを低減する。

正解: B. B. Azure Private DNS ZoneとDNS Security機能を活用し、悪意のあるドメインへの問い合わせを検知・ブロックする

正解の根拠・詳細解説

DNSはマルウェアの通信（C2通信）やデータの持ち出しに利用されることが多いため、Azure Private DNS Zoneによる名前解決の制御や、DNSクエリログの監視・悪意のあるドメインのブロックをセキュリティ設計に組み込むことが重要である。

正解: A. A. 新規VM作成のたびに個別に手動でセキュリティ設定を行う必要がなくなり、一貫したセキュリティベースラインを迅速に展開できる

正解の根拠・詳細解説

ゴールデンイメージは、OSの更新プログラムの適用、不要なサービスやポートの無効化、監査ログの設定、セキュリティエージェントの導入といったハードニングを済ませた状態を、基準となるイメージとして固定したものです。これをAzure Compute Galleryなどで配布すれば、新しい仮想マシンを作成するたびに手作業で設定する必要がなくなり、担当者ごとの設定漏れやばらつき、いわゆる構成ドリフトを防いで、組織全体で一貫したセキュリティベースラインを短時間で展開できます。重要なのは、イメージを一度作って終わりにしないことです。新たに公表される脆弱性や更新プログラムに追随するため、イメージ自体を定期的に再作成してバージョンを管理し、稼働中のVMは構成管理や自動更新の仕組みで追随させる運用が前提になります。イメージが古いまま使われ続けると、かえって脆弱な構成を大量に複製する結果になりかねません。手動での構築と比べれば、展開の速度と再現性の両面でむしろ運用コストは下がります。

正解: B. B. 設計フェーズの早い段階で実施し、STRIDEなどのフレームワークを用いて潜在的な脅威を特定し対策を組み込む

正解の根拠・詳細解説

脅威モデリングは、アプリケーションの設計フェーズの早い段階でSTRIDE（Spoofing、Tampering、Repudiation、Information Disclosure、Denial of Service、Elevation of Privilege）などのフレームワークを用いて実施し、潜在的な脅威を特定した上で適切な対策を設計に組み込むことが重要である。

正解: A. A. レート制限（スロットリング）、OAuth 2.0による認証、IPフィルタリングなどのポリシーをAPIゲートウェイレベルで一元的に適用する

正解の根拠・詳細解説

Azure API Managementは、APIゲートウェイとしてレート制限、OAuth 2.0/JWT検証による認証・認可、IPフィルタリング、リクエストの検証などのセキュリティポリシーを一元的に適用し、バックエンドAPIへの不正アクセスや過剰なリクエストを防止する。

正解: A. A. SASTはソースコードを解析して脆弱性を検出し、DASTは実行中のアプリケーションに対して外部から攻撃を模してテストする

正解の根拠・詳細解説

SAST（静的解析）はソースコードやバイナリを解析してコーディング段階の脆弱性を検出する手法であり、DAST（動的解析）は実際に動作しているアプリケーションに対して外部から攻撃をシミュレートして脆弱性を検出する手法である。両者を組み合わせることでより包括的なテストが可能になる。

正解: B. B. サービスメッシュ（Istio等）やmTLS（相互TLS認証）を用いて、サービス間通信を暗号化し、相互に証明書ベースの認証を行う

正解の根拠・詳細解説

マイクロサービス間の通信セキュリティでは、サービスメッシュやmTLS（相互TLS）を用いて通信を暗号化し、各サービスが互いの証明書を検証することで、サービス間の不正な通信や中間者攻撃のリスクを低減する設計が推奨される。

正解: B. B. Microsoft Purview Data Mapを用いて組織内のデータを発見・カタログ化し、機密情報の種類に基づいて分類する

正解の根拠・詳細解説

データ分類戦略の第一歩は、Microsoft Purview Data Map（データガバナンス）を用いて組織内に存在するデータソースを発見・カタログ化し、機密情報の種類や業務上の重要性に基づいて適切な分類を行うことである。

正解: A. A. 機密データがどこに存在し、誰がアクセスでき、どのようなリスクにさらされているかを継続的に可視化・評価する

正解の根拠・詳細解説

DSPM（Microsoft Purview DSPM for AIなど）は、組織内の機密データの所在、アクセス権限の状況、過剰なアクセス権や潜在的なデータ漏えいリスクを継続的に可視化・評価し、データセキュリティの態勢を強化するためのアプローチである。

正解: A. A. Microsoftが管理する既定の暗号鍵よりも、組織が鍵のローテーション・アクセス制御・無効化を独自に管理できる

正解の根拠・詳細解説

Customer-Managed Keys（CMK）を使用すると、データの暗号化に使用する鍵を組織がAzure Key Vaultで独自に管理し、鍵のローテーション、アクセス権限の制御、無効化（Revoke）のタイミングを組織のポリシーに基づいて決定できるようになる。

正解: B. B. 入力のサニタイズ、システムプロンプトの保護、そしてMicrosoft Defender for Cloudの AIワークロード保護機能やコンテンツフィルタリングを組み合わせる

正解の根拠・詳細解説

プロンプトインジェクション攻撃への対策には、ユーザー入力のサニタイズ、システムプロンプトと信頼できないユーザー入力の明確な分離、Azure AI ContentSafetyによるコンテンツフィルタリング、Microsoft Defender for Cloudの生成AIワークロード保護機能などを組み合わせた多層的なアプローチが必要である。

正解: A. A. 公平性・信頼性と安全性・プライバシーとセキュリティ・包括性・透明性・アカウンタビリティの6原則を設計プロセスに組み込む

正解の根拠・詳細解説

Microsoftの責任あるAIの6原則（公平性、信頼性と安全性、プライバシーとセキュリティ、包括性、透明性、アカウンタビリティ）を、AIシステムの設計・開発・運用の全プロセスに組み込むことが、セキュリティだけでなく倫理的なAI活用の観点からも重要である。

正解: A. A. AIワークロードに対するプロンプトインジェクションの試行や、機密データの漏えいを伴う異常な利用パターンの検知

正解の根拠・詳細解説

Microsoft Defender for Cloudの生成AIワークロード向け保護機能は、Azure AI Foundryなどで構築されたAIアプリケーションに対して、プロンプトインジェクション攻撃の試行や、機密データを含む異常な応答パターンなどを検知し、アラートを生成する。

正解: B. B. USBデバイスへのコピー、印刷、クリップボードのコピー＆ペーストなど、エンドポイント上での機密データの取り扱いを監視・制御する

正解の根拠・詳細解説

エンドポイントDLP（Microsoft Purview）は、ユーザーの端末上でのUSBデバイスへのコピー、印刷、クリップボード経由のコピー＆ペースト、リムーバブルメディアへの書き込みなど、機密データに関する様々な操作を監視・制御する。

正解: A. A. OAuth 2.0は認可（リソースへのアクセス許可）のためのフレームワークであり、OpenID ConnectはOAuth 2.0を拡張してユーザー認証（IDの検証）の機能を追加したものである

正解の根拠・詳細解説

OAuth 2.0は、クライアントがユーザーに代わってリソースへのアクセス許可（認可）を得るためのフレームワークであり、OpenID Connectはこれを拡張してIDトークンを発行し、ユーザーの認証（本人確認）を可能にする仕組みである。

正解: A. A. SQLインジェクションやコマンドインジェクションなど、不正な入力データを通じたコード実行や情報漏えい

正解の根拠・詳細解説

入力検証は、ユーザーやシステムからの入力データを許可された形式・範囲に限定することで、SQLインジェクション、コマンドインジェクション、クロスサイトスクリプティングなど、不正な入力を悪用した攻撃を防止する基本的なセキュリティ対策である。

正解: A. A. コンプライアンス上、一定期間データの変更・削除を禁止する必要がある規制対象データ（金融記録等）の保護

正解の根拠・詳細解説

不変ストレージ（WORM: Write Once, Read Many）は、金融記録や医療データなど、規制によって一定期間の変更・削除が禁止されているデータに対し、ポリシーに基づいてロックをかけ、改ざんやランサムウェアによる暗号化・削除からデータを保護する。

正解: A. A. RAGの検索対象となるドキュメントストアに対しても、エンドユーザーの権限に基づいたアクセス制御（Row-Level Security等）を適用し、権限のない情報がLLMの応答に含まれないようにする

正解の根拠・詳細解説

RAGアーキテクチャでは、LLMが参照する検索インデックスやドキュメントストアに対しても、エンドユーザーの権限に基づいたアクセス制御（Azure AI SearchのRow-Level Security等）を適用しなければ、権限のないユーザーが本来アクセスできない機密情報をAIの応答経由で取得してしまうリスクがある。

正解: B. B. Azure Key Vaultの自動ローテーション機能とイベントグリッドを連携させ、有効期限が近づいたシークレットを自動的に更新し、依存するアプリケーションに通知する

正解の根拠・詳細解説

シークレット管理の自動化では、Azure Key Vaultの自動ローテーション機能を活用し、有効期限が近づいたシークレット（データベース接続文字列等）を自動的に更新し、Event Gridなどを通じて依存するアプリケーションに変更を通知する設計が推奨される。

正解: A. A. アプリケーションがAzureリソースにアクセスする際、パスワードやシークレットを管理する必要がなくなり、必要最小限のロールのみを割り当てることができる

正解の根拠・詳細解説

マネージドIDを使用することで、アプリケーションコード内にシークレットやパスワードを保持する必要がなくなり、Azure ADによる認証とRBACによる最小権限のロール割り当てを組み合わせて、安全にAzureリソースへアクセスできる。

正解: B. B. 業務目的の達成に必要な範囲でのみデータを収集・保持し、不要になったデータは適切に削除する保持ポリシーを設計する

正解の根拠・詳細解説

データ最小化の原則は、GDPRなどのプライバシー規制でも求められる考え方であり、業務目的に必要な範囲でのみデータを収集・保持し、Microsoft Purviewの保持ポリシーなどを用いて不要になったデータを適切なタイミングで削除する設計を促す。

正解: A. A. 詳細なシステム情報（スタックトレース、データベース構造等）を含むエラーメッセージをエンドユーザーに表示すると、攻撃者に有用な情報を提供してしまう可能性があるため

正解の根拠・詳細解説

詳細なスタックトレースやデータベースのエラー情報をそのままエンドユーザーに表示すると、攻撃者がシステムの内部構造や脆弱性を推測するための情報（情報漏えい）を与えてしまうため、汎用的なエラーメッセージを表示し、詳細はサーバー側のログにのみ記録する設計が推奨される。

正解: B. B. API呼び出しのレート制限、異常な利用パターンの監視、そして出力の精度を意図的に制限することでモデルの完全な再構築を困難にする

正解の根拠・詳細解説

モデル抽出攻撃（多数の推論クエリを通じてモデルの挙動を模倣・再構築する攻撃）への対策としては、APIのレート制限、異常な大量クエリパターンの監視、出力の精度や詳細度を必要以上に高めないことなどが有効である。

正解: A. A. GitHubやAzure DevOpsのリポジトリにAPIキーやパスワードが誤ってコミットされていないかを自動的に検出する

正解の根拠・詳細解説

シークレットスキャン（GitHub Advanced SecurityやMicrosoft Defender for Cloud DevOpsセキュリティ等）は、ソースコードリポジトリ内にAPIキー、接続文字列、パスワードなどの認証情報が誤ってコミットされていないかを自動的にスキャンし、検出時にアラートを発生させる。

正解: A. A. TLS（Transport Layer Security）を用いて、クライアントとサーバー間の通信を暗号化する

正解の根拠・詳細解説

転送中の暗号化は、TLS/SSLプロトコルを用いてネットワーク上を移動するデータを暗号化し、通信経路上での盗聴や改ざんを防止する設計であり、Webアプリケーションやマイクロサービス間通信において基本的なセキュリティ要件となる。

正解: B. B. 誤った、または存在しない情報がユーザーに事実として提示されることで、誤った意思決定やビジネスリスクにつながる可能性があるため、出力の検証メカニズム（グラウンディング等）の設計が必要となる

正解の根拠・詳細解説

ハルシネーションは、AIモデルが事実に基づかない情報をあたかも正しい情報として生成する現象であり、誤った意思決定やレピュテーションリスク、誤情報の拡散につながる可能性があるため、グラウンディング（信頼できるデータソースに基づく根拠付け）や出力の検証メカニズムを設計に組み込むことが重要である。

正解: A. A. CDNはオリジンサーバーへの直接的な攻撃トラフィックを吸収・分散させ、DDoS攻撃の影響を軽減する効果がある

正解の根拠・詳細解説

CDN（Azure Front Door等）は、エッジロケーションでトラフィックを処理することでオリジンサーバーへの直接アクセスを減らし、DDoS攻撃の影響を分散・軽減する効果がある。さらにWAF機能と統合することでアプリケーション層の保護も強化できる。

正解: A. A. トークン化は元のデータを意味のないトークンに置き換え、元のデータへの対応関係は安全に分離されたトークンボールトで管理される点で、暗号化（数学的な変換による可逆性）とはアプローチが異なる

正解の根拠・詳細解説

トークン化は、クレジットカード番号などの機密データを意味を持たないランダムなトークンに置き換え、元の値とのマッピングを安全に分離されたシステム（トークンボールト）で管理する技術であり、数学的アルゴリズムによる可逆変換である暗号化とはアプローチが異なる。PCI DSS対応などでよく利用される。

正解: B. B. クロスサイトスクリプティング（XSS）やクリックジャッキングなど、ブラウザレベルでの攻撃を軽減するためにブラウザの動作を制御する

正解の根拠・詳細解説

Content-Security-Policy（CSP）やX-Frame-Optionsなどのセキュリティヘッダーは、ブラウザに対してスクリプトの実行元やフレーム埋め込みの許可範囲を指示することで、XSSやクリックジャッキングといったクライアントサイドの攻撃リスクを軽減する。

正解: A. A. AIモデルの応答を、組織の信頼できるデータソース（社内文書やデータベース等）に基づいて根拠付けることで、ハルシネーションを低減し、応答の正確性と検証可能性を高める

正解の根拠・詳細解説

グラウンディングは、生成AIの応答を組織が管理する信頼できるデータソースに結び付ける設計手法である。代表的な実装がRAG（検索拡張生成）で、ユーザーの問い合わせに対してまず社内文書やデータベースを検索し、取得した根拠となる文書片をプロンプトに含めてモデルへ渡す。モデルは学習済みパラメータ内の記憶だけに頼らず、提示された最新かつ組織固有の情報をもとに回答を生成するため、事実に基づかない情報を作り出すハルシネーションを大きく低減できる。さらに、応答の根拠となった文書を引用として提示できるので、利用者や監査担当が出力の妥当性を検証でき、説明可能性の面でも有利になる。セキュリティアーキテクトの観点では、参照先データソースへのアクセス制御を利用者本人の権限に合わせて設計し、権限のない情報が回答経由で漏えいしないようにすることが不可欠である。グラウンディングはネットワーク接続を物理的に固定する技術でも、モデルの学習速度を高速化する技術でも、ユーザー認証の手法でもない点を区別して理解しておきたい。