第1回 問題集（全般）
全120問 ／ すべての問題の解答・解説を無料で閲覧できます
SECURITY+ 問題集 おすすめの使い方
目次
情報セキュリティの三大要素（CIAトライアド）のうち、「データが正確であり、許可されていない者によって改ざんされていないこと」を保証する要素はどれか。
解答・解説を見る
正解: B. B. 完全性（Integrity）
正解の根拠・詳細解説
完全性（Integrity）は、データが不正に変更・破壊されていないことを保証する特性。ハッシュ値の検証や電子署名などで実現される。機密性は許可された者のみがデータにアクセスできること、可用性は必要な時にシステム・データが利用可能であることを指す。
認証（Authentication）・認可（Authorization）・アカウンティング（Accounting）の3要素を合わせて何と呼ぶか。
解答・解説を見る
正解: A. A. AAAフレームワーク
正解の根拠・詳細解説
AAA（Authentication, Authorization, Accounting）は、「あなたは誰か」「何が許可されているか」「何をしたか記録する」という3つの観点でアクセス管理を行うフレームワーク。RADIUSやTACACS+などのプロトコルで実装される。
セキュリティ管理策（Security Control）のうち、不正アクセスを未然に防ぐことを目的とした「予防的（Preventive）」管理策の例として最も適切なものはどれか。
解答・解説を見る
正解: C. C. ファイアウォールによるアクセス制御
正解の根拠・詳細解説
予防的管理策は、インシデントが発生する前にそれを防ぐことを目的とする。ファイアウォールによるアクセス制御はまさにこれに該当する。IDSは検知的（Detective）、フォレンジック調査と監査ログレビューも事後対応・検知的な性質が強い。
管理策の分類のうち、「技術的管理策（Technical Control）」に分類されるものはどれか。
解答・解説を見る
正解: C. C. 暗号化やアクセス制御リスト（ACL）の実装
正解の根拠・詳細解説
技術的管理策はハードウェア・ソフトウェアを用いて実装される管理策で、暗号化・ACL・ファイアウォール等が該当する。ポリシー策定は管理的（Managerial）、施錠は物理的（Physical）、研修は運用的（Operational）管理策に分類される。
Zero Trustアーキテクチャの基本原則として最も適切な説明はどれか。
解答・解説を見る
正解: B. B. 「決して信頼せず、常に検証する（Never trust, always verify）」を前提に、すべてのアクセス要求を検証する
正解の根拠・詳細解説
Zero Trustは、ネットワークの内外を問わず、すべてのアクセス要求を信頼せず都度検証するという考え方。マイクロセグメンテーションや最小権限の原則と組み合わせて実装される。
攻撃者を誘い込み、その行動を観察・分析するために設置される「おとり」のシステムを何と呼ぶか。
解答・解説を見る
正解: A. A. ハニーポット（Honeypot）
正解の根拠・詳細解説
ハニーポットは、攻撃者を意図的に誘引する脆弱に見えるシステムやネットワークで、攻撃手法の分析や攻撃者の足止め（Disruption）に利用される。類似の概念にハニーファイル・ハニートークンがある。
公開鍵暗号基盤（PKI）において、デジタル証明書を発行し、その正当性を保証する機関を何と呼ぶか。
解答・解説を見る
正解: A. A. CA（Certificate Authority／認証局）
正解の根拠・詳細解説
CA（認証局）は公開鍵と所有者情報を結びつけたデジタル証明書を発行する信頼の起点となる機関。RAはCAの代わりに本人確認等の登録業務を行う。CRLやOCSPは証明書の失効状態を確認する仕組み。
パスワードを保存する際、同じパスワードでも異なるハッシュ値が生成されるようにするために付加するランダムなデータを何と呼ぶか。
解答・解説を見る
正解: A. A. ソルト（Salt）
正解の根拠・詳細解説
ソルトはハッシュ化前のパスワードに付加するランダムな値で、レインボーテーブル攻撃などを防ぐ目的で使われる。ペッパーも似た概念だがアプリケーション側で秘密に保持される点が異なる。
変更管理（Change Management）プロセスにおいて、変更を実施する前に必ず行うべきこととして最も重要なものはどれか。
解答・解説を見る
正解: B. B. 影響範囲の評価と承認プロセス（Change Advisory Board等）を経る
正解の根拠・詳細解説
変更管理では、変更がもたらすリスクや影響を評価し、適切な承認（CAB＝Change Advisory Boardのレビュー等）を経てから実施することが重要。これにより意図しないシステム障害やセキュリティリスクを未然に防ぐ。
デジタル署名の主な目的として、暗号化以外に提供される重要なセキュリティ特性は何か。
解答・解説を見る
正解: C. C. 真正性（Authenticity）と否認防止（Non-repudiation）
正解の根拠・詳細解説
デジタル署名は秘密鍵で署名し公開鍵で検証することにより、「誰が送ったか（真正性）」と「送った事実を後から否定できない（否認防止）」という特性を提供する。
対称鍵暗号と非対称鍵暗号の違いに関する記述のうち、正しいものはどれか。
解答・解説を見る
正解: C. C. 対称鍵暗号は同じ鍵を暗号化・復号の両方に使用し、一般に処理速度が速い
正解の根拠・詳細解説
対称鍵暗号（AES等）は暗号化・復号に同一の鍵を使い、計算量が少なく高速。非対称鍵暗号（RSA等）は公開鍵・秘密鍵のペアを使い、鍵配送問題を解決できるが処理が重い。実運用ではTLSのように両者を組み合わせるハイブリッド方式が一般的。
機密性を脅かすリスクに対応するため、データを使用不能な形式に変換し、正しい鍵を持つ者だけが元に戻せるようにする技術は何か。
解答・解説を見る
正解: A. A. 暗号化（Encryption）
正解の根拠・詳細解説
暗号化はデータを意図的に読み取れない形式に変換し、復号鍵を持つ正当な利用者のみが元の情報にアクセスできるようにする、機密性確保の中核技術。
物理的セキュリティ管理策の例として最も適切なものはどれか。
解答・解説を見る
正解: C. C. 監視カメラやマンドアップトラップ（共連れ防止ゲート）の設置
正解の根拠・詳細解説
物理的管理策は、施設・設備への物理的なアクセスを制御するもので、監視カメラ・施錠・マンドアップトラップ・警備員などが該当する。ウイルス対策やMFAは技術的管理策、ポリシー策定は管理的管理策。
セキュリティ管理策の目的別分類のうち、インシデント発生後に被害を最小化し復旧を助ける管理策を何と呼ぶか。
解答・解説を見る
正解: B. B. 是正的（Corrective）管理策
正解の根拠・詳細解説
セキュリティ管理策は、その目的によって予防的、抑止的、検知的、是正的、補償的、指示的などに分類されます。設問のように、インシデントが発生した後で被害を最小化し正常な状態への復旧を助けるものは是正的（Corrective）管理策に該当し、バックアップからのデータ復元、脆弱性へのパッチ適用、感染した端末の隔離やイメージの再展開、事業継続計画に基づく代替手段への切り替えなどが代表例です。予防的管理策はアクセス制御やファイアウォールのように事象の発生自体を防ぐもの、抑止的管理策は警告表示や監視カメラの掲示のように攻撃者に思いとどまらせる心理的な効果を狙うもの、補償的管理策は本来望ましい管理策を実装できない場合に同等の効果を代替手段で確保するものです。同じ仕組みが複数の分類にまたがることもあるため、試験では「その管理策はいつ働くのか」という時間軸で整理すると判断しやすくなります。
金銭的利益ではなく政治的・社会的な主張を目的としてサイバー攻撃を行う脅威アクターを何と呼ぶか。
解答・解説を見る
正解: A. A. ハクティビスト（Hacktivist）
正解の根拠・詳細解説
ハクティビストは政治的・社会的な動機に基づいてサイバー攻撃やウェブサイト改ざんを行う脅威アクター。金銭目的の組織犯罪集団や、内部関係者であるインサイダーとは動機が異なる。
国家の支援を受け、高度な技術と豊富な資金を持つ脅威アクターによる、長期間にわたり標的に潜伏し続ける攻撃を特に何と呼ぶか。
解答・解説を見る
正解: A. A. APT（Advanced Persistent Threat／高度標的型攻撃）
正解の根拠・詳細解説
APTは国家支援型などの高度な脅威アクターが、特定の標的に対して長期間気づかれずに潜伏し、情報窃取等を行う攻撃。豊富なリソースと高度な技術を持つことが特徴。
正規のソフトウェア更新プログラムに悪意のあるコードを混入させ、それを利用する組織に配布する攻撃を何と呼ぶか。
解答・解説を見る
正解: A. A. サプライチェーン攻撃（Supply Chain Attack）
正解の根拠・詳細解説
サプライチェーン攻撃は、ソフトウェアベンダーやハードウェアの供給網に侵入し、正規の更新やコンポーネントに不正なコードを混入させることで間接的に標的を攻撃する手法。SolarWinds事件が代表例。
攻撃者が標的組織がよく利用するウェブサイトを改ざんし、訪問者にマルウェアを感染させる攻撃手法を何と呼ぶか。
解答・解説を見る
正解: A. A. ウォーターホール攻撃（Watering Hole Attack）
正解の根拠・詳細解説
ウォーターホール攻撃は、標的グループが頻繁に訪問するウェブサイトを特定して改ざんし、訪問者を感染させる手法。動物が水場に集まる様子に例えられる。
本物に似せた偽のドメイン名（例: go0gle.comなど）を取得し、利用者を誘導する手法を何と呼ぶか。
解答・解説を見る
正解: A. A. タイポスクワッティング（Typosquatting）
正解の根拠・詳細解説
タイポスクワッティングは、有名サイトのスペルミスや類似文字を使ったドメインを取得し、誤って訪問したユーザーをフィッシングサイト等に誘導する手法。
電子メールを用いて経営層や取引先を装い、不正な送金や機密情報の提供を指示する詐欺を特に何と呼ぶか。
解答・解説を見る
正解: A. A. BEC（Business Email Compromise／ビジネスメール詐欺）
正解の根拠・詳細解説
BECは、経営者や取引先になりすました電子メールで、担当者に不正な送金や機密情報の開示を指示する標的型の詐欺。ソーシャルエンジニアリングの一種で被害額が大きいことが特徴。
マルウェアの一種で、ファイルを暗号化し復号のための金銭を要求するものを何と呼ぶか。
解答・解説を見る
正解: A. A. ランサムウェア（Ransomware）
正解の根拠・詳細解説
ランサムウェアは被害者のファイルやシステムを暗号化し、復号と引き換えに金銭（ランサム）を要求するマルウェア。近年は窃取データの公開を脅す二重恐喝型も増加している。
OSのカーネルレベルで動作し、自身の存在を隠蔽しながらシステムへの管理者権限アクセスを維持するマルウェアを何と呼ぶか。
解答・解説を見る
正解: A. A. ルートキット（Rootkit）
正解の根拠・詳細解説
ルートキットはOSの深い階層（カーネルレベル等）に潜み、プロセスやファイルを隠蔽しながら攻撃者の持続的なアクセスを維持するマルウェア。検出・除去が非常に困難。
特定の条件（日付・イベント等）が満たされたときに悪意ある動作を実行するようにあらかじめ仕込まれたコードを何と呼ぶか。
解答・解説を見る
正解: A. A. ロジックボム（Logic Bomb）
正解の根拠・詳細解説
ロジックボムは、特定のトリガー条件（特定の日付、特定のファイル削除など）が満たされたときに悪意ある処理を実行するよう設計されたコード。内部関係者による設置が典型例。
攻撃者がネットワークトラフィックを傍受し、通信内容を盗聴・改ざんする攻撃を一般に何と呼ぶか。
解答・解説を見る
正解: A. A. オンパス攻撃（On-path Attack）
正解の根拠・詳細解説
オンパス攻撃（旧称：Man-in-the-Middle攻撃）は、通信経路上に攻撃者が介入し、両者が直接通信していると思わせながら内容を傍受・改ざんする攻撃。
過去に窃取された正規の認証情報（ユーザー名・パスワードの組）を別サービスへのログイン試行に再利用する攻撃を何と呼ぶか。
解答・解説を見る
正解: A. A. クレデンシャルスタッフィング（Credential Stuffing）
正解の根拠・詳細解説
クレデンシャルスタッフィングは、あるサービスから漏洩した認証情報のリストを使い、多くのユーザーがパスワードを再利用していることを悪用して別サービスへのログインを試みる攻撃。
Webアプリケーションの入力フォームに悪意のあるSQL文を注入し、データベースを不正操作する攻撃を何と呼ぶか。
解答・解説を見る
正解: A. A. SQLインジェクション
正解の根拠・詳細解説
SQLインジェクションは、適切な入力値検証（サニタイズ）が行われていないWebアプリケーションの入力欄に悪意のあるSQL文を挿入し、データベースの不正な読み取り・改ざん・削除を行う攻撃。プレースホルダ（パラメータ化クエリ）の利用が有効な対策。
悪意のあるスクリプトをWebページに埋め込み、他の利用者のブラウザ上で実行させる攻撃を何と呼ぶか。
解答・解説を見る
正解: A. A. XSS（クロスサイトスクリプティング）
正解の根拠・詳細解説
XSSは、脆弱なWebアプリケーションを通じて悪意あるスクリプトを他の利用者のブラウザで実行させる攻撃。セッションハイジャックや情報窃取につながる。出力時の適切なエスケープ処理が対策となる。
プログラムが確保したメモリ領域を超えてデータを書き込み、システムの異常動作やコード実行を引き起こす脆弱性を何と呼ぶか。
解答・解説を見る
正解: A. A. バッファオーバーフロー（Buffer Overflow）
正解の根拠・詳細解説
バッファオーバーフローは、確保されたメモリ領域（バッファ）の境界チェックが不十分な場合に発生し、想定外のメモリ領域への書き込みによりクラッシュや任意コード実行を引き起こす可能性がある脆弱性。
複数のスレッド・プロセスが共有リソースに同時アクセスする際のタイミングのずれを悪用する脆弱性を何と呼ぶか。
解答・解説を見る
正解: A. A. レースコンディション（Race Condition）
正解の根拠・詳細解説
レースコンディションは、複数の処理が共有リソースへ同時アクセスする際の処理順序・タイミングの隙を悪用し、検証と実際の使用の間に不正な操作を割り込ませる（TOCTOU攻撃等）脆弱性。
ベンダーや開発者がまだ把握・修正していない脆弱性を悪用する攻撃を何と呼ぶか。
解答・解説を見る
正解: A. A. ゼロデイ攻撃（Zero-day Attack）
正解の根拠・詳細解説
ゼロデイ攻撃は、ソフトウェアベンダーが脆弱性の存在を把握しておらず、パッチが提供されていない（修正までの猶予が「ゼロ日」）状態の脆弱性を悪用する攻撃。検出・防御が非常に難しい。
クラウドの設定ミス（例: ストレージバケットの公開設定）によって発生する脆弱性カテゴリーを何と呼ぶか。
解答・解説を見る
正解: A. A. ミスコンフィギュレーション（Misconfiguration）
正解の根拠・詳細解説
ミスコンフィギュレーションは、システムやクラウドサービスの設定が適切でないために生じる脆弱性。S3バケットの公開設定ミスによる情報漏洩などが典型例で、クラウド環境で特に頻発する。
通常許可されていない権限レベルへ、脆弱性を利用して不正にアクセス権限を引き上げる攻撃を何と呼ぶか。
解答・解説を見る
正解: A. A. 権限昇格（Privilege Escalation）
正解の根拠・詳細解説
権限昇格は、一般ユーザー権限から管理者権限など、より高い権限を脆弱性の悪用によって不正に取得する攻撃。横方向への権限昇格（Lateral）と垂直方向への権限昇格（Vertical）がある。
攻撃者が標的のコンピューティングリソースを不正に利用して暗号資産（仮想通貨）のマイニングを行う行為を何と呼ぶか。
解答・解説を見る
正解: A. A. クリプトジャッキング（Cryptojacking）
正解の根拠・詳細解説
クリプトジャッキングは、標的のCPU・GPUリソースを不正に利用して暗号資産のマイニング処理を行わせる攻撃。被害者のシステムパフォーマンス低下や電力コスト増加を引き起こす。
侵害の痕跡（Indicators of Compromise, IoC）として一般的に分析対象となるものはどれか。
解答・解説を見る
正解: A. A. 異常なネットワークトラフィックパターンや不審なファイルハッシュ値
正解の根拠・詳細解説
IoC（侵害の痕跡）は、侵害が発生したことを示す手がかりであり、異常なトラフィック、不審なファイルハッシュ、未知のプロセス、異常なレジストリ変更などが該当する。これらをSIEM等で分析し早期検知につなげる。
分散型サービス拒否攻撃（DDoS）の目的として最も適切なものはどれか。
解答・解説を見る
正解: B. B. 標的システムやネットワークに過剰な負荷をかけ、正規利用者がサービスを利用できなくする
正解の根拠・詳細解説
DDoS攻撃は、多数の踏み台端末（ボットネット）から標的に大量のトラフィックやリクエストを送り、可用性を侵害してサービス利用を妨害することを目的とする。
無線LANにおいて、正規のアクセスポイントになりすました偽のアクセスポイントを設置する攻撃を何と呼ぶか。
解答・解説を見る
正解: A. A. イビルツイン（Evil Twin）攻撃
正解の根拠・詳細解説
イビルツイン攻撃は、正規のWi-Fiアクセスポイントと同じSSID名を持つ偽のアクセスポイントを設置し、利用者を誤って接続させて通信を傍受する攻撃。
OS・ファームウェア・ハードウェアいずれにも該当しうる「サプライチェーン」起因の脆弱性に対する最も基本的な緩和策は何か。
解答・解説を見る
正解: A. A. ベンダーの信頼性評価とソフトウェア構成管理（SBOM）の活用
正解の根拠・詳細解説
サプライチェーンリスクの緩和には、ベンダーのセキュリティ体制評価や、ソフトウェア部品表（SBOM: Software Bill of Materials）を用いた依存関係の可視化・脆弱性管理が有効。
メールの送信元アドレスを偽装し、信頼できる相手からのメールであるかのように装う技術を何と呼ぶか。
解答・解説を見る
正解: A. A. メールスプーフィング（Email Spoofing）
正解の根拠・詳細解説
メールスプーフィングは、送信者アドレス（Fromヘッダー）を偽装し、信頼できる送信者からのメールであるかのように見せかける技術。フィッシングやBECの手段としてよく使われる。SPF/DKIM/DMARCがその対策となる。
ソーシャルエンジニアリングの一種で、共連れによって認証を経ずに物理的な区域へ侵入する手法を何と呼ぶか。
解答・解説を見る
正解: A. A. ピギーバッキング（Piggybacking）
正解の根拠・詳細解説
ピギーバッキングは、正規の権限を持つ人物がドアを開けた直後に、本人の意図的な許可（あるいは無自覚）のもとで部外者が一緒に入室してしまう物理的侵入手法。共連れ防止ゲート（マンドアップトラップ）が対策の一つ。
攻撃者が事前に偽の状況・人物像を作り込んで標的から情報を引き出すソーシャルエンジニアリング手法を何と呼ぶか。
解答・解説を見る
正解: A. A. プリテキスティング（Pretexting）
正解の根拠・詳細解説
プリテキスティングは、攻撃者があらかじめもっともらしい口実（プリテキスト）と人物像を作り込み、標的が疑いを抱かずに情報を渡してしまう状況を演出するソーシャルエンジニアリング手法です。情報システム部門の担当者や監査人、取引先の担当者などを装い、事前にSNSや公開情報から集めた社内用語や実在する人物の名前を織り交ぜることで信憑性を高め、パスワードのリセットや機密情報の口頭での確認を求めます。電話、メール、対面と経路を問わず成立し、ビジネスメール詐欺やヴィッシングの下地としても使われます。対策としては、本人確認の手順を明文化して例外を認めないこと、機密情報の要求は必ず既知の連絡先へ折り返して確認すること、そしてこの手口を題材にした継続的な訓練が有効です。タイポスクワッティングは入力の打ち間違いを狙って本物によく似たURLを登録しておく手口、ウォーターホール攻撃は標的がよく訪れるサイトを改ざんして待ち伏せる手法であり、いずれも作り話によって標的へ直接働きかけるものではありません。
クラウドサービスモデルのうち、利用者がOSやミドルウェアの管理から解放され、アプリケーションのコードのみを実行できる形態を何と呼ぶか。
解答・解説を見る
正解: A. A. サーバーレス（Serverless）コンピューティング
正解の根拠・詳細解説
サーバーレスコンピューティング（FaaS等）は、利用者がサーバーのプロビジョニングや管理を意識せずに、イベント駆動でコードを実行できるモデル。AWS LambdaやAzure Functionsが代表例。
インフラ構成をコードで定義し、再現可能かつバージョン管理可能な形で自動構築する手法を何と呼ぶか。
解答・解説を見る
正解: A. A. IaC（Infrastructure as Code）
正解の根拠・詳細解説
IaCは、Terraform・CloudFormation等のツールを使い、インフラ構成をコードとして記述・管理する手法。手動構築によるヒューマンエラーや構成ドリフトを防ぎ、一貫性のある環境構築を実現する。
OSカーネルを共有しながら、アプリケーションを軽量に分離・実行する仮想化技術を何と呼ぶか。
解答・解説を見る
正解: A. A. コンテナ化（Containerization）
正解の根拠・詳細解説
コンテナ化（Docker等）は、ホストOSのカーネルを共有しつつ、アプリケーションとその依存関係を軽量なコンテナ単位で分離・実行する技術。仮想マシンに比べて起動が高速でリソース効率が良い。
工場の生産設備等を制御する産業制御システムを総称して何と呼ぶか。
解答・解説を見る
正解: A. A. ICS/SCADA（Industrial Control System / Supervisory Control and Data Acquisition）
正解の根拠・詳細解説
ICS/SCADAは、工場・発電所・水処理施設等の物理的なプロセスを監視・制御する産業制御システムの総称。可用性と安全性が最優先されるため、ITシステムとは異なるセキュリティアプローチが必要。
時間的制約の厳しい処理を確定的な時間内に完了させることを保証するOSを何と呼ぶか。
解答・解説を見る
正解: A. A. RTOS（Real-Time Operating System）
正解の根拠・詳細解説
RTOS（リアルタイムOS）は、タスクの応答時間が厳密に保証される必要がある組み込みシステムや産業制御機器で使用されるOS。医療機器や自動車制御システムなどで採用される。
ネットワークセグメンテーションの目的として最も適切なものはどれか。
解答・解説を見る
正解: B. B. ネットワークを論理的・物理的に分割し、侵害が発生した際の影響範囲（ラテラルムーブメント）を限定すること
正解の根拠・詳細解説
セグメンテーションはVLANやサブネット、ファイアウォールでネットワークを分割し、ある区画が侵害されても他区画への侵害拡大（ラテラルムーブメント）を防ぐことを目的とする、ゼロトラストの基本要素。
ファイアウォールやIPSの動作モードで、機器障害時に通信を遮断する設定を何と呼ぶか。
解答・解説を見る
正解: A. A. フェイルクローズ（Fail-closed）
正解の根拠・詳細解説
フェイルクローズは、セキュリティ機器が故障・停止した際に通信を遮断する設定で、可用性よりも機密性・セキュリティを優先する場合に選択される。逆にフェイルオープンは可用性を優先し故障時も通信を許可する。
ネットワーク機器の配置に関して、外部とDMZ・内部ネットワークを論理的に分離する境界に設置される代表的な機器は何か。
解答・解説を見る
正解: A. A. ファイアウォール
正解の根拠・詳細解説
ファイアウォールは、インターネット（外部）・DMZ・内部ネットワークなどセキュリティレベルの異なるゾーン間の境界に設置され、ゾーン間の通信を制御するゲートウェイの役割を担う。
ネットワークトラフィックをミラーリングし、本流に影響を与えずに監視・分析するために用いられる手法を何と呼ぶか。
解答・解説を見る
正解: A. A. TAP（Test Access Point）/ポートミラーリング
正解の根拠・詳細解説
TAPやポートミラーリング（SPAN）は、ネットワークトラフィックのコピーを監視機器に送り、本来の通信フローに介入せず（パッシブに）分析を行う仕組み。IDSのセンサー配置などで利用される。
Webアプリケーションへの攻撃（SQLインジェクション・XSS等）をHTTPレイヤーで検知・防御する専用機器・機能を何と呼ぶか。
解答・解説を見る
正解: A. A. WAF（Web Application Firewall）
正解の根拠・詳細解説
WAFは、HTTP/HTTPSトラフィックを検査し、SQLインジェクションやXSSなどWebアプリケーション特有の攻撃パターンを検知・遮断する専用のセキュリティ機器・サービス。
IEEE 802.1Xは主にどの目的で使用される規格か。
解答・解説を見る
正解: A. A. 有線・無線LANへの接続時にポートベースでの認証を行う
正解の根拠・詳細解説
IEEE 802.1Xは、有線・無線ネットワークへの接続時にRADIUSサーバー等と連携してポートベースの認証を行う規格。許可されたデバイス・ユーザーのみがネットワークに参加できるよう制御する（NAC基盤としても利用）。
複数の拠点間をインターネット経由で暗号化された仮想的な専用線のように接続する技術を何と呼ぶか。
解答・解説を見る
正解: A. A. VPN（Virtual Private Network）
正解の根拠・詳細解説
VPNは、インターネットのような公衆網上に暗号化トンネルを構築し、拠点間や個人とネットワーク間を仮想的な専用線のように安全に接続する技術。IPsecやSSL/TLS VPNなどの方式がある。
クラウド利用の拡大に伴い、SD-WANとセキュリティ機能（SWG, CASB, ZTNA等）を統合して提供するアーキテクチャを何と呼ぶか。
解答・解説を見る
正解: A. A. SASE（Secure Access Service Edge）
正解の根拠・詳細解説
SASEは、ネットワーク機能（SD-WAN）とセキュリティ機能（セキュアWebゲートウェイ、CASB、ZTNA、FWaaS等）をクラウド経由で統合的に提供するアーキテクチャ。リモートワークやマルチクラウド環境のセキュリティ確保に適する。
データのライフサイクルにおける「保管中（At Rest）」のデータを保護する代表的な手法は何か。
解答・解説を見る
正解: A. A. ディスク暗号化やデータベース暗号化
正解の根拠・詳細解説
保管中（At Rest）のデータ保護には、ディスク全体の暗号化（フルディスク暗号化）やデータベースレベルでの暗号化（TDE等）が用いられる。通信中（In Transit）のデータはTLS等で保護する。
特定の国や地域の法令により、データを物理的にその地域内のサーバーに保存することが求められる概念を何と呼ぶか。
解答・解説を見る
正解: A. A. データレジデンシー／データソブリンティ（Data Sovereignty）
正解の根拠・詳細解説
データソブリンティ（データ主権）は、データがその生成・収集された国や地域の法律に従う、あるいは物理的にその地域内に保管されるべきという概念。GDPR等の規制対応で重要になる。
データの一部を実際の値とは異なるが構造を保った別の値に置き換え、本番データを使わずにテスト等を行える状態にする手法を何と呼ぶか。
解答・解説を見る
正解: A. A. データマスキング（Data Masking）
正解の根拠・詳細解説
データマスキングは、クレジットカード番号の一部を「\*\*\*\*」に置き換える等、データの機密部分を別の値で隠蔽し、開発・テスト環境などで安全にデータを扱えるようにする手法。
事業継続計画（BCP）において、災害発生時に即座に業務を引き継げるよう、本番環境と同等の設備・データを常時稼働させておく代替拠点を何と呼ぶか。
解答・解説を見る
正解: A. A. ホットサイト（Hot Site）
正解の根拠・詳細解説
ホットサイトは、本番環境とほぼ同等のハードウェア・ソフトウェア・データをリアルタイムまたはそれに近い形で同期させた代替拠点で、最も早く切替（フェイルオーバー）できるが、コストも最も高い。
高可用性（High Availability）を実現するための基本的な設計手法として最も適切なものはどれか。
解答・解説を見る
正解: A. A. 単一障害点（SPOF）を排除し、冗長構成を組む
正解の根拠・詳細解説
高可用性の実現には、単一障害点（SPOF: Single Point of Failure）を排除し、サーバー・ネットワーク・電源等を冗長化（クラスタリング、ロードバランシング等）することが基本となる。
バックアップ戦略における「3-2-1ルール」の説明として正しいものはどれか。
解答・解説を見る
正解: B. B. 3つのコピーを2種類の異なるメディアに保存し、1つはオフサイト（遠隔地）に置く
正解の根拠・詳細解説
3-2-1ルールは、データの少なくとも3つのコピーを、2種類の異なるメディア（ディスク・テープ・クラウド等）に保存し、そのうち1つはオフサイト（災害時にも被害を免れる遠隔地）に保管するというバックアップのベストプラクティス。
事業継続計画のテスト手法のうち、関係者が会議室に集まり、シナリオに基づいて対応手順を口頭で確認する最も簡易な方法を何と呼ぶか。
解答・解説を見る
正解: A. A. テーブルトップエクササイズ（Tabletop Exercise）
正解の根拠・詳細解説
テーブルトップエクササイズは、実際にシステムを停止させずに、関係者が議論形式でインシデント対応手順を確認する最も低コスト・低リスクな訓練方法。本番環境への影響がない一方、実運用上の問題発見には限界がある。
特定の単一クラウドベンダーへの依存（ベンダーロックイン）リスクを低減するために採用される戦略を何と呼ぶか。
解答・解説を見る
正解: A. A. マルチクラウド戦略（Multi-cloud）
正解の根拠・詳細解説
マルチクラウド戦略は、複数のクラウドプロバイダーを併用することで、特定ベンダーへの依存（ロックイン）リスクや、単一プロバイダー障害時の事業継続リスクを分散させる戦略。
無停電電源装置（UPS）の主な役割として最も適切なものはどれか。
解答・解説を見る
正解: A. A. 短時間の電源停止やノイズからシステムを保護し、安全なシャットダウンや発電機起動までのつなぎとする
正解の根拠・詳細解説
無停電電源装置（UPS）は、電源とシステムの間に入ってバッテリーを保持し、停電や瞬時電圧低下、電圧変動、ノイズが発生した際にも電力を供給し続ける装置です。その役割は電力を長時間まかなうことではなく、あくまで数分程度の橋渡しをすることにあります。この時間を使って、サーバーを順序立てて安全にシャットダウンし、書き込み中のデータやファイルシステムの破損を防いだり、非常用発電機が起動して定格出力に達するまでの空白を埋めたりします。したがって、長時間の停電に備える設計では、UPSと発電機を組み合わせるのが一般的です。UPSは可用性を守るための物理的・環境的な管理策であり、機密性を守る暗号化や、ネットワーク帯域の増強、ファイアウォールのルール生成とは目的が根本的に異なります。運用上は、バッテリーが経年によって劣化し想定時間を確保できなくなることを踏まえ、定期的な負荷試験と計画的な交換を行うことが重要です。
OSやアプリケーションの初期設定から不要なサービス・ポート・アカウントを排除し、安全な標準構成を確立することを何と呼ぶか。
解答・解説を見る
正解: A. A. ハードニング（Hardening）
正解の根拠・詳細解説
ハードニングは、不要なサービスの停止、デフォルトアカウントの無効化、最小権限の適用などにより、システムの攻撃対象領域（Attack Surface）を縮小し、安全な標準構成（セキュアベースライン）を確立するプロセス。
企業が従業員所有のモバイル端末を業務利用させつつ、業務データ領域のみを分離して管理するモデルを何と呼ぶか。
解答・解説を見る
正解: A. A. BYOD（Bring Your Own Device）とコンテナ化管理
正解の根拠・詳細解説
BYODは従業員個人所有の端末を業務に利用させるモデル。MDM/MAMによりアプリコンテナで業務データ領域のみを分離・管理し、プライバシーとセキュリティを両立させる運用が一般的。
モバイルデバイス管理（MDM）の機能として、特定の地理的範囲外に端末が出た場合に自動でアクションを発生させる仕組みを何と呼ぶか。
解答・解説を見る
正解: A. A. ジオフェンシング（Geofencing）
正解の根拠・詳細解説
ジオフェンシングは、地理的境界（仮想的な「フェンス」）を設定し、デバイスがその境界を出入りした際にアラート発生やアクセス制限などのアクションを自動実行する機能。デバイス紛失・盗難対策にも活用される。
無線LANのセキュリティ規格のうち、現行の最新かつ最も強力な暗号化方式を採用しているものはどれか。
解答・解説を見る
正解: A. A. WPA3
正解の根拠・詳細解説
WPA3は、WPA2の後継として導入された最新の無線LAN暗号化規格で、より強固な暗号化（AES-256, SAEハンドシェイク等）とブルートフォース攻撃への耐性向上が図られている。WEPは脆弱性が多く既に推奨されない。
脆弱性管理プロセスにおいて、発見された脆弱性の深刻度を標準化されたスコアで評価する仕組みを何と呼ぶか。
解答・解説を見る
正解: A. A. CVSS（Common Vulnerability Scoring System）
正解の根拠・詳細解説
CVSSは、脆弱性の深刻度を攻撃の容易さや影響範囲などの指標に基づき0.0〜10.0のスコアで定量的に評価する業界標準のフレームワーク。優先度付けの判断材料として利用される。CVEは脆弱性そのものの識別子。
脆弱性発見者がベンダーに事前連絡し、修正パッチが提供されるまで一定期間情報を公開しない倫理的な開示方法を何と呼ぶか。
解答・解説を見る
正解: A. A. 責任ある開示（Responsible Disclosure）
正解の根拠・詳細解説
責任ある開示は、脆弱性発見者がまずベンダーに非公開で報告し、パッチ提供等の対応期間を確保した上で情報を公開する倫理的なプロセス。バグバウンティプログラムもこの考え方に基づく。
実際の攻撃者と同様の手法でシステムへの侵入を試み、組織の防御力を実証的に評価する手法を何と呼ぶか。
解答・解説を見る
正解: A. A. 侵入テスト（Penetration Testing）
正解の根拠・詳細解説
侵入テストは、許可された担当者が実際の攻撃手法を模倣してシステムへの侵入を試み、検知可能な脆弱性や防御の不備を実証的に評価する手法。脆弱性スキャンは自動化された既知の脆弱性検出に留まる点で異なる。
複数のソースから収集したログやアラートを集約し、相関分析を行ってインシデントを検知するシステムを何と呼ぶか。
解答・解説を見る
正解: A. A. SIEM（Security Information and Event Management）
正解の根拠・詳細解説
SIEMは、ファイアウォール・サーバー・エンドポイント等から収集したログ・イベントを一元的に集約し、相関分析・アラート生成を行うことで、セキュリティ運用チームのインシデント検知・対応を支援するシステム。
SIEMと連携し、検知後の対応プレイブックに基づいて調査・対応作業を自動化する仕組みを何と呼ぶか。
解答・解説を見る
正解: A. A. SOAR（Security Orchestration, Automation, and Response）
正解の根拠・詳細解説
SOARは、SIEM等からのアラートをトリガーに、あらかじめ定義したプレイブック（手順）に従って調査・トリアージ・対応アクションを自動化し、対応速度の向上とアナリストの作業負荷軽減を実現する仕組み。
エンドポイント上での不審な挙動をリアルタイムに監視・検知し、調査や対応（隔離等）を行うソリューションを何と呼ぶか。
解答・解説を見る
正解: A. A. EDR（Endpoint Detection and Response）
正解の根拠・詳細解説
EDRは、エンドポイント（PC・サーバー）上のプロセス挙動を継続的に監視・記録し、不審な活動を検知した際にアラートを発生させ、調査・隔離などの対応を可能にするソリューション。従来型アンチウイルスより高度な検知能力を持つ。
機密情報がメールやUSBメモリ等を通じて組織外へ流出することを防止する技術・製品を何と呼ぶか。
解答・解説を見る
正解: A. A. DLP（Data Loss Prevention）
正解の根拠・詳細解説
DLPは、機密情報（クレジットカード番号、個人情報等のパターン）を検知し、メール送信やUSBへのコピー、クラウドへのアップロード等を通じた意図的・偶発的な情報流出を防止する技術。
ネットワークに接続を試みるデバイスのセキュリティ状態（パッチ適用状況等）を検証し、ポリシーに合致しない場合は接続を拒否・隔離する仕組みを何と呼ぶか。
解答・解説を見る
正解: A. A. NAC（Network Access Control）
正解の根拠・詳細解説
NACは、ネットワークへの接続要求に対し、デバイスの認証状態やセキュリティ姿勢（パッチ適用状況、アンチウイルス有効化等）を検証し、ポリシーに準拠しないデバイスを隔離・制限するアクセス制御の仕組み。
SSHプロトコルが、Telnetと比較して優れている最大のセキュリティ上の理由は何か。
解答・解説を見る
正解: A. A. 通信内容が暗号化される
正解の根拠・詳細解説
SSH（Secure Shell）は通信内容を暗号化した上でリモートログインやコマンド実行を行うプロトコル。平文で通信するTelnetと異なり、盗聴や認証情報の窃取に対する耐性が大きく向上している。
送信元ドメインの正当性をDNSのTXTレコードで検証し、メールの送信元偽装を防止するプロトコルの一つは何か。
解答・解説を見る
正解: A. A. SPF（Sender Policy Framework）
正解の根拠・詳細解説
SPFは、ドメイン所有者がそのドメインから送信を許可するメールサーバーのIPアドレスをDNSのTXTレコードに公開し、受信側がそれを検証することでメールの送信元偽装（スプーフィング）を防ぐ仕組み。DKIM・DMARCと併用される。
ファイルやシステムの重要な構成要素が改ざんされていないかをハッシュ値の比較で継続的に検証する仕組みを何と呼ぶか。
解答・解説を見る
正解: A. A. ファイル整合性監視（FIM: File Integrity Monitoring）
正解の根拠・詳細解説
ファイル整合性監視（FIM）は、重要なシステムファイルや設定ファイルのハッシュ値を記録し、定期的に再計算・比較することで、不正な改ざんを早期に検知する仕組み。
アクセス制御モデルのうち、組織のロール（職務）に基づいて権限を割り当てる方式を何と呼ぶか。
解答・解説を見る
正解: A. A. RBAC（Role-Based Access Control）
正解の根拠・詳細解説
RBACは、ユーザーの職務（ロール）に基づいて権限セットを割り当てる方式で、人事異動等に応じてロールを変更するだけで権限管理が行えるため、大規模組織で広く採用されている。
システムが、ユーザーの所属部署・時刻・場所といった複数の属性を組み合わせて動的にアクセス可否を判断する制御モデルを何と呼ぶか。
解答・解説を見る
正解: A. A. ABAC（Attribute-Based Access Control）
正解の根拠・詳細解説
ABACは、ユーザー属性（部署、役職）・リソース属性（機密レベル）・環境属性（時刻、場所、デバイス）など複数の属性を組み合わせ、ポリシーに基づいて動的にアクセス可否を判断する、よりきめ細かい制御モデル。Zero Trustとの相性が良い。
多要素認証（MFA）における「知識要素（Something you know）」の例として正しいものはどれか。
解答・解説を見る
正解: A. A. パスワードやPINコード
正解の根拠・詳細解説
知識要素はユーザーが「知っている」情報（パスワード、PIN、秘密の質問）。所有要素（Something you have）はスマートフォンやセキュリティトークンの「所持」、生体要素（Something you are）は指紋・虹彩などの身体的特徴を指す。
シングルサインオン（SSO）の主な利点として最も適切なものはどれか。
解答・解説を見る
正解: A. A. 一度の認証で複数の連携システムにアクセスできるようになり、利便性とパスワード管理の負担軽減につながる
正解の根拠・詳細解説
SSOは、一度の認証で連携した複数のアプリケーション・システムにアクセスできるようにする仕組みで、利用者の利便性向上とパスワード再利用リスクの低減に寄与する。SAMLやOAuth/OIDCで実装される。
特権アカウントの認証情報を安全に保管し、利用時のみ一時的に発行・記録する仕組みを何と呼ぶか。
解答・解説を見る
正解: A. A. PAM（Privileged Access Management）／パスワードボールティング
正解の根拠・詳細解説
PAM（特権アクセス管理）は、管理者権限などの特権アカウントの認証情報を専用のボールト（金庫）で保管し、必要な時だけ一時的に権限を付与（Just-in-Time）し、すべての利用を記録・監査する仕組み。
従業員の入社・異動・退職に応じてアカウントの作成・権限変更・削除を適切に行うプロセス全体を何と呼ぶか。
解答・解説を見る
正解: A. A. プロビジョニング／デプロビジョニング（Provisioning/Deprovisioning）
正解の根拠・詳細解説
プロビジョニングは入社時等にアカウント・権限を新規作成すること、デプロビジョニングは退職・異動時に不要な権限を速やかに削除・無効化することを指す。退職者アカウントの放置は重大なセキュリティリスクとなる。
セキュリティ運用における定型的な調査・対応作業をスクリプトやAPI連携で自動化することの主な利点は何か。
解答・解説を見る
正解: A. A. 対応の一貫性・速度の向上と、アナリストの繰り返し作業負荷の軽減
正解の根拠・詳細解説
自動化（オーケストレーション）は、典型的な調査ステップ（IP評価照会、ログ収集等）や対応アクション（隔離等）を自動実行することで、対応の一貫性とスピードを高め、アナリストがより高度な判断業務に集中できるようにする。一方で誤検知時の過剰な自動対応リスクには注意が必要。
インシデント対応プロセスの一般的な順序として正しいものはどれか。
解答・解説を見る
正解: A. A. 準備→検知・分析→封じ込め→根絶→復旧→教訓の振り返り
正解の根拠・詳細解説
インシデント対応プロセスは一般に、事前準備（Preparation）→検知・分析（Detection & Analysis）→封じ込め（Containment）→根絶（Eradication）→復旧（Recovery）→事後の教訓の振り返り（Lessons Learned）という順序で進められる（NIST SP800-61に基づく）。
インシデント対応において、影響範囲の拡大を防ぐために脅威を隔離・遮断する段階を何と呼ぶか。
解答・解説を見る
正解: A. A. 封じ込め（Containment）
正解の根拠・詳細解説
封じ込めは、検知された脅威がそれ以上拡大しないよう、感染端末のネットワーク隔離やアカウントの一時停止などを行う段階。この後、根絶（マルウェア除去等）、復旧（正常状態への復帰）と進む。
デジタルフォレンジック調査において、証拠の収集から保管・分析・提出までの一連の取扱い経緯を記録し続けることを何と呼ぶか。
解答・解説を見る
正解: A. A. チェーン・オブ・カストディ（Chain of Custody／証拠保全の連続性）
正解の根拠・詳細解説
チェーン・オブ・カストディは、デジタル証拠が誰によっていつどこで収集・保管・移送・分析されたかを記録し続けることで、証拠としての完全性・信頼性を法的に証明可能にするプロセス。
インシデント発生後、明確化された脅威の挙動パターンに基づき、まだ検知されていない潜在的な侵害を能動的に探索する活動を何と呼ぶか。
解答・解説を見る
正解: A. A. スレットハンティング（Threat Hunting）
正解の根拠・詳細解説
スレットハンティングは、既知のアラートに依存せず、仮説や脅威インテリジェンスに基づいて、ネットワークやエンドポイント内に潜む未検知の脅威を分析者が能動的に探索する活動。
セキュリティ監視で活用される「NetFlow」データが主に提供する情報は何か。
解答・解説を見る
正解: A. A. 通信の送受信元IP・ポート・プロトコル・トラフィック量などのフローメタデータ
正解の根拠・詳細解説
NetFlowは、ネットワーク機器（ルーター等）が出力する通信フローのメタデータ（送受信元IP、ポート、プロトコル、バイト数等）で、パケットの内容そのものは含まないが、通信パターンの異常検知や帯域分析に有効。
ネットワーク機器の状態変化（インターフェースダウン等）を、管理サーバーに即時通知する仕組みを何と呼ぶか。
解答・解説を見る
正解: A. A. SNMPトラップ（SNMP Trap）
正解の根拠・詳細解説
SNMPトラップは、SNMP対応のネットワーク機器が、特定のイベント（リンクダウン、しきい値超過等）発生時に、ポーリングを待たずに即座に管理サーバーへ通知を送る仕組み。
セキュリティコンテンツの自動化された脆弱性チェック・コンプライアンス検証を標準化するプロトコル群を何と呼ぶか。
解答・解説を見る
正解: A. A. SCAP（Security Content Automation Protocol）
正解の根拠・詳細解説
SCAPは、システムの脆弱性やコンプライアンス（CISベンチマーク等への準拠状況）を自動的かつ標準化された形式でチェックするための米NIST策定のプロトコル群。
パケットキャプチャ（PCAP）データの主な活用目的として最も適切なものはどれか。
解答・解説を見る
正解: A. A. 通信内容の詳細な調査やインシデントの根本原因分析
正解の根拠・詳細解説
パケットキャプチャは、ネットワーク上を流れる通信の生データを記録するもので、不審な通信の詳細解析やマルウェア感染経路の特定、インシデントの根本原因分析（RCA）に活用される。
ユーザーの通常時の挙動パターンを学習し、異常な操作（普段と異なる時間・場所からのアクセス等）を検知する技術を何と呼ぶか。
解答・解説を見る
正解: A. A. UEBA（User and Entity Behavior Analytics）
正解の根拠・詳細解説
UEBA（ユーザー・エンティティ行動分析）は、機械学習等を用いてユーザーやデバイスの通常の振る舞いをベースライン化し、そこから逸脱する異常な行動（インサイダー脅威や乗っ取られたアカウントの兆候）を検知する技術。
パッチ管理プロセスにおいて、本番環境へ適用する前に必ず実施すべきこととして最も重要なものはどれか。
解答・解説を見る
正解: A. A. テスト環境での動作確認と影響評価
正解の根拠・詳細解説
パッチ管理では、本番適用前にテスト環境で動作確認や互換性検証を行い、予期しないシステム障害やサービス停止のリスクを最小化することが重要。検証後に段階的な展開（カナリアリリース等）を行うのが望ましい。
クラウド環境において、複数アカウント・サービスの設定が、セキュリティのベストプラクティスに準拠しているかを継続的に評価するツールを何と呼ぶか。
解答・解説を見る
正解: A. A. CSPM（Cloud Security Posture Management）
正解の根拠・詳細解説
CSPMは、クラウド環境（AWS/Azure/GCP等）の設定をベストプラクティスやコンプライアンス基準と継続的に比較し、誤設定（ミスコンフィギュレーション）やリスクを可視化・アラートするツール。
システムログを集中管理し、改ざん検知や長期保管を行う際に重要となる対策は何か。
解答・解説を見る
正解: A. A. ログを暗号化し、改ざん防止のためログサーバーへの書き込み専用権限を最小化する
正解の根拠・詳細解説
ログを集中管理する目的は、端末やサーバーが侵害された際に攻撃者が痕跡を消せないようにし、複数の機器のログを突き合わせて事象の全体像を再構成できるようにすることです。ログが発生元の機器にしか存在しなければ、その機器を掌握した攻撃者に削除や改ざんをされ、調査そのものが成立しなくなります。そのため、生成後すみやかにログ集約サーバーやSIEMへ転送し、転送経路をTLSなどで暗号化して盗聴と改変を防ぎ、集約側では追記のみを許す設計、すなわち書き込み権限を必要最小限に絞ったうえで、変更や削除ができないWORM形式での保管やハッシュ・電子署名による完全性の検証を組み合わせます。加えて、すべての機器の時刻をNTPで同期しておかなければ、時系列を並べた相関分析が成り立ちません。保管期間は法令や社内規程に基づいて定めるべきで、一律に削除する運用やローカル端末にのみ保存する運用は、証跡としての価値を大きく損ないます。
組織のセキュリティに関する大きな方向性や経営層の意図を示す、最も上位の文書を何と呼ぶか。
解答・解説を見る
正解: A. A. セキュリティポリシー（Policy）
正解の根拠・詳細解説
ポリシーは組織全体のセキュリティに関する経営層の意図・方向性を示す最上位文書。標準はポリシーを満たすための具体的な技術要件、手順は作業の詳細な実施手順、ガイドラインは推奨事項（任意）を示すという階層構造になっている。
データそのものの内容や利用方法について最終的な責任・決定権を持つ役割を何と呼ぶか。
解答・解説を見る
正解: A. A. データオーナー（Data Owner）
正解の根拠・詳細解説
データオーナーは、特定のデータセットに対する分類、アクセス権限の決定、利用目的の判断など最終的な責任を負う役割（通常は事業部門の管理職）。データカストディアンは、オーナーの指示に基づき技術的な保管・管理を担う役割（IT部門等）。
リスク管理戦略のうち、リスクの発生確率や影響度を軽減するための管理策を導入する対応を何と呼ぶか。
解答・解説を見る
正解: A. A. リスク低減（Mitigate）
正解の根拠・詳細解説
リスク低減（軽減）は、暗号化やアクセス制御など管理策を追加導入し、リスクの発生確率や影響を許容可能な水準まで下げる対応。リスク回避は活動自体を停止すること、移転は保険加入や外部委託、受容はリスクをそのまま許容することを指す。
年間予想損失額（ALE: Annualized Loss Expectancy）を算出する計算式として正しいものはどれか。
解答・解説を見る
正解: A. A. ALE = SLE（単一損失予測額）× ARO（年間発生率）
正解の根拠・詳細解説
ALEは、一回のインシデントで想定される損失額（SLE: Single Loss Expectancy）に、そのインシデントが年間に発生する見込み回数（ARO: Annualized Rate of Occurrence）を乗じて算出する、定量的リスク分析の基本指標。
組織が許容できるリスクの最大レベルを定めた指標を何と呼ぶか。
解答・解説を見る
正解: A. A. リスク許容度（Risk Tolerance）
正解の根拠・詳細解説
リスク許容度は、組織が特定のリスクについて受け入れられる最大限の変動幅・限界値を指す。リスクアペタイトは、組織が目標達成のために進んで受け入れる、より広いリスクの種類・量を指し、両者は関連するが厳密には異なる概念。
識別されたリスク・評価結果・対応策・担当者・状況を一元管理する文書を何と呼ぶか。
解答・解説を見る
正解: A. A. リスク登録簿（Risk Register）
正解の根拠・詳細解説
リスク登録簿は、組織内で識別されたすべてのリスクとその評価結果（発生可能性・影響度）、対応策、責任者、現在のステータスを一元的に記録・追跡するための管理文書。
第三者（サプライヤー）のセキュリティリスクを評価するために、委託前に行う調査・確認のプロセスを何と呼ぶか。
解答・解説を見る
正解: A. A. デューデリジェンス（Due Diligence）
正解の根拠・詳細解説
デューデリジェンスは、ベンダーとの契約・委託を行う前に、相手のセキュリティ体制・財務状況・コンプライアンス遵守状況等を事前に調査・評価するプロセス。サードパーティリスク管理の重要な一部。
委託先（ベンダー）との間で、提供されるサービスの品質や応答時間等の保証水準を定める契約文書を何と呼ぶか。
解答・解説を見る
正解: A. A. SLA（Service Level Agreement／サービス品質保証契約）
正解の根拠・詳細解説
SLAは、提供されるサービスの可用性・応答時間・復旧時間目標（RTO等）といった品質水準について、サービス提供者と利用者の間で合意する契約文書。違反時のペナルティ等も定められることが多い。
秘密情報の開示・取扱いについて、当事者間で機密保持の義務を定める契約を何と呼ぶか。
解答・解説を見る
正解: A. A. NDA（Non-Disclosure Agreement／秘密保持契約）
正解の根拠・詳細解説
NDAは、業務上知り得た機密情報を第三者に開示しないことを当事者間で約束する契約。ベンダーや業務委託先との契約締結時に、機密性確保のため広く用いられる。
GDPR（EU一般データ保護規則）が定める、データ主体が自身の個人データの削除を要求できる権利を何と呼ぶか。
解答・解説を見る
正解: A. A. 消去権（Right to Erasure／忘れられる権利）
正解の根拠・詳細解説
消去権（忘れられる権利）は、GDPRが定めるデータ主体の権利の一つで、特定の条件下で自身の個人データの削除を事業者に要求できる権利。これに対応するため、組織はデータの保管場所・削除手順を整備する必要がある。
クレジットカード情報を取り扱う事業者に求められる業界標準のセキュリティ基準を何と呼ぶか。
解答・解説を見る
正解: A. A. PCI DSS（Payment Card Industry Data Security Standard）
正解の根拠・詳細解説
PCI DSSは、クレジットカード情報を処理・保管・伝送する事業者が遵守すべき業界標準のセキュリティ基準。HIPAAは米国の医療情報保護法、GDPRはEUの個人データ保護規則、SOX法は米国の企業会計改革法。
コンプライアンス違反が発生した場合に組織が受ける可能性のある結果として最も適切なものはどれか。
解答・解説を見る
正解: A. A. 罰金・行政処分・取引停止・信用失墜などの法的・事業上の不利益
正解の根拠・詳細解説
コンプライアンス違反は、規制当局からの罰金・業務停止命令、取引先からの契約解除、ブランドイメージの低下による顧客離れなど、法的・財務的・事業継続上の重大な不利益につながる可能性がある。
内部関係者ではなく、組織外の独立した立場の専門家が客観的にセキュリティ体制を評価するプロセスを何と呼ぶか。
解答・解説を見る
正解: A. A. 外部監査（External Audit）
正解の根拠・詳細解説
外部監査は、組織と利害関係のない第三者機関・専門家が客観的な立場から監査を実施するもので、利害関係者（株主・規制当局・取引先等）に対する信頼性・客観性の証明として重視される。内部監査は組織内部の監査部門が実施する。
侵入テストにおいて、テスターが対象システムの内部構造に関する事前情報を一切与えられずに実施する手法を何と呼ぶか。
解答・解説を見る
正解: A. A. ブラックボックステスト（Black-box Testing）
正解の根拠・詳細解説
ブラックボックステストは、テスターが対象の内部構造・ソースコード・設計情報を持たない状態で、外部の攻撃者と同じ視点でテストを行う手法。ホワイトボックスは内部情報を完全に開示した状態、グレーボックスはその中間（限定的な情報を提供）で実施する。
監査において、第三者が監査対象組織の管理策の有効性を保証する文書（報告書）を発行することを何と呼ぶか。
解答・解説を見る
正解: A. A. アテステーション（Attestation／証明）
正解の根拠・詳細解説
アテステーションは、独立した第三者（監査法人等）が、組織の内部統制やセキュリティ管理策が有効に機能していることを証明する報告書（SOC2レポート等）を発行するプロセス。取引先への信頼性証明として活用される。
セキュリティ意識向上プログラムにおいて、従業員のフィッシング耐性を実践的に評価・教育する代表的な手法は何か。
解答・解説を見る
正解: A. A. 模擬フィッシングキャンペーン（Phishing Simulation）
正解の根拠・詳細解説
模擬フィッシングキャンペーンは、実際のフィッシングメールを模した訓練メールを従業員に送付し、クリック率や報告率を測定・分析することで、組織全体のセキュリティ意識と耐性を実践的に評価・向上させる手法。
セキュリティ意識向上トレーニングにおいて、従業員が不審な活動を発見した際に取るべき最も重要な行動は何か。
解答・解説を見る
正解: A. A. 速やかに定められた手順でセキュリティ部門・ヘルプデスクへ報告する
正解の根拠・詳細解説
セキュリティ意識向上トレーニングでは、不審なメールや異常な挙動を発見した場合、自己判断で対応を試みるのではなく、速やかに定められた報告ルートに従ってセキュリティ部門等へ報告することの重要性を徹底する。早期報告がインシデントの被害拡大防止に直結する。
セキュリティガバナンスにおける「外部要因（External Considerations）」の例として最も適切なものはどれか。
解答・解説を見る
正解: A. A. 法規制・業界標準・地政学的リスクなどの組織外部の動向
正解の根拠・詳細解説
セキュリティガバナンスの外部要因には、新たな法規制の施行、業界標準の更新、地政学的な緊張による脅威変化など、組織が直接制御できない外部環境の変化が含まれ、ガバナンス体制の見直しに影響を与える。
リスク評価手法のうち、リスクの大小を「高・中・低」のような相対的な尺度で評価する手法を何と呼ぶか。
解答・解説を見る
正解: A. A. 定性的リスク分析（Qualitative Risk Analysis）
正解の根拠・詳細解説
定性的リスク分析は、リスクの発生可能性や影響度を数値ではなく「高・中・低」等の相対的な尺度（リスクマトリクス等）で評価する手法。定量的リスク分析は、ALE/SLE/AROのように金額や確率で数値化して評価する手法。
業務委託契約において、提携する組織間で大まかな協力の意図や役割分担を確認するために用いられる、法的拘束力が比較的弱い文書を何と呼ぶか。
解答・解説を見る
正解: A. A. MOU（Memorandum of Understanding／覚書）
正解の根拠・詳細解説
MOU（覚書）は、複数組織間で協力の意図や大まかな役割分担について相互理解を確認する文書で、SLAのような詳細な義務・罰則規定を伴う契約に比べて法的拘束力が弱い場合が多い。
ベンダー管理プロセスにおいて、契約後も継続的にベンダーのセキュリティ状況を監視する活動を何と呼ぶか。
解答・解説を見る
正解: A. A. ベンダーモニタリング（Vendor Monitoring）
正解の根拠・詳細解説
ベンダーモニタリングは、契約締結後もベンダーのセキュリティ体質・コンプライアンス遵守状況を定期的なアンケート・監査・パフォーマンスレビュー等で継続的に監視し、リスクの変化に対応するプロセス。デューデリジェンスは契約前の事前調査を指す。
医療情報を取り扱う米国の事業者に適用される、患者の医療情報保護に関する法律を何と呼ぶか。
解答・解説を見る
正解: A. A. HIPAA（Health Insurance Portability and Accountability Act）
正解の根拠・詳細解説
HIPAAは、米国における患者の医療情報（PHI: Protected Health Information）の保護を義務付ける連邦法。医療機関やその業務委託先（ビジネスアソシエイト）に対し、適切な技術的・管理的安全対策の実施を求める。
セキュリティガバナンスにおいて、取締役会や経営委員会がセキュリティに関する重要事項を審議・承認する体制を何と呼ぶか。
解答・解説を見る
正解: A. A. ガバナンス構造（Governance Structure）／ステアリングコミッティ
正解の根拠・詳細解説
ガバナンス構造は、取締役会や経営委員会（ステアリングコミッティ）などがセキュリティに関する方針・予算・重要リスクの審議・承認を行う、組織のセキュリティに関する意思決定の枠組みを指す。
セキュリティポリシーやガバナンス体制を「一度策定したら終わり」にせず、定期的に見直す理由として最も適切なものはどれか。
解答・解説を見る
正解: A. A. 脅威・法規制・事業環境が変化し続けるため、有効性を維持するには継続的なモニタリングと改訂が必要
正解の根拠・詳細解説
セキュリティポリシーやガバナンス体制は、策定した時点での脅威状況・法規制・事業内容を前提として組み立てられている。しかし攻撃手法は常に進化し、クラウド移行やリモートワークの拡大によって守るべき資産や境界も変化する。個人情報保護に関する法令や業界基準の改正、取引先から求められる要件の変更も定期的に発生する。前提が変われば、当初は妥当だった規定が実態に合わなくなり、現場が守れない、あるいは守っても実効性がないという状態に陥る。そのため、年次などの定期レビューに加え、重大インシデントの発生後や大きな組織変更・システム更改の際にも見直しを行い、監査結果や例外申請の傾向を反映して改訂していくことが求められる。承認されたポリシーの改訂が法律で禁止されているという事実はなく、むしろ多くの標準規格は定期的な見直しを明確に要求している。また、ポリシーは技術部門だけでなく経営層や全従業員が理解して行動できる形になって初めて機能するため、周知と教育も見直しサイクルの一部として組み込む必要がある。
