情報セキュリティマネジメント試験の過去問
2026年度 公開問題 科目A・B 15問
- 問1残留リスクはリスク対応後に残るリスクで、保有分や未特定分も含む
- 問2CSIRTマテリアルはJPCERT/CCによるCSIRT構築・運用の支援資料
- 問3DMZは公開サーバを置く、外部と内部の間の緩衝ネットワーク
- 問4チャレンジレスポンスは毎回変わる問いかけへの演算結果を返す認証
- 問5ホワイトボックステストは内部構造を踏まえて脆弱箇所を検査する
- 問6セキュアOSは強制アクセス制御と管理者権限の分割・最小化が要
- 問7電子計算機損壊等業務妨害はデータ破壊等で業務を妨げる行為
- 問8フォローアップは指摘事項への改善措置を監査人が確認すること
- 問9サービスレベル目標は測定可能な数値で約束するサービス特性
- 問10ネットワークアドレスはIPとサブネットマスクのビット積で求める
- 問11収集・整備・分析・活用のうち、分析は傾向を導き出す工程
- 問12期待費用は各費用に発生確率を掛けて合計し比較する
- 問13入館証は1回限り、階の移動は認証とアテンドで制限する
- 問14RPOは遡れる時点、復旧時間はフルと増分の合計で見積もる
- 問15機密文書は開示範囲を守り、離席時は必ず施錠保管する
2025年度 公開問題 科目A・B 15問
- 問1リスクアセスメントは特定→分析→評価の順で、分析はリスクレベルの理解
- 問2SIEMは多数機器のログを集約し相関分析で攻撃の兆候を見つける
- 問3ゼロトラストは社内も信頼せず、すべてのアクセスを検証する考え方
- 問4不正のトライアングルは機会・動機・正当化の3要素
- 問5キャッシュポイズニング対策はオープンリゾルバにしないこと
- 問6CVSSの現状評価基準は時間で変化する攻撃コードと対策の状況を評価
- 問7特定電子メール法はオプトイン方式で、送信者と委託者に義務を課す
- 問8懲戒手続は事実確認を経て開始すべきで、疑い段階での着手は不適切
- 問9目標達成率は加重平均で求めた実績値を目標値で割る
- 問10RASISは信頼性=MTBF、可用性=稼働率、保守性=MTTR
- 問11データマートはDWHから目的別に切り出した分析用データ集合
- 問12DXは組織横断で業務を変革し顧客起点の価値を生む段階
- 問13可用性の重要度は停止時に顧客まで影響が及ぶかで決まる
- 問14アクセス権取消しで漏えいを止め、ダウンロード記録の無で不発を確認
- 問15匿名加工は識別子を削除し、分析に要る項目は一般化や丸めで残す
2024年度 公開問題 科目A・B 15問
- 問1リスクアセスメントはリスク特定・分析・評価の三つで構成される
- 問2ラベル付けは情報の管理レベルを取扱者に明示する対策
- 問3ビヘイビア法だけは実際に動かして振る舞いから判定する
- 問4サイバーキルチェーンは攻撃の手口を段階に分けたモデル
- 問5リスクベース認証は普段と違うアクセスにだけ追加認証を課す
- 問6認証局の公開鍵はサーバ証明書の正当性検証に使う
- 問7個人情報保護法の対象は生存する個人を識別できる情報
- 問8統制活動は業務に組み込まれた承認・照合などの手続
- 問9稼働率はMTBF÷(MTBF+MTTR)、MTBFを伸ばせば向上する
- 問10プロキシサーバは中継とキャッシュを担いセキュリティにも役立つ
- 問11RPAは業務プロセスを見直した上で定型作業から適用する
- 問12特性要因図は原因と結果の関連を魚の骨の形で体系化する
- 問13社外利用にはIP制限の解除と多要素認証の追加をセットで行う
- 問14媒体破損に備えるにはバックアップを別媒体にも二重に保持する
- 問15偽警告は指示に従わずブラウザを閉じるのが正しい対応
2023年度 公開問題 科目A・B 15問
- 問1管理基準はマネジメント基準と管理策基準の二本立てで規格と整合
- 問2アンチパスバックは入退室記録の対応をみてカードの使い回しを防ぐ
- 問3デジタルフォレンジックスは法的証拠となるデータの保全と分析
- 問4大量データの暗号化は処理の速い共通鍵暗号方式が向く
- 問5SHA-256の値が一致すれば内容は同じと判断してよい
- 問6SPFはDNSに登録した正規送信サーバのIPアドレスで判定する
- 問7SQLインジェクション対策の基本はプレースホルダの利用
- 問8要件を満たす電子署名には押印と同様の推定効力がある
- 問9インシデントの連絡経路は種類や影響度に応じて分けるべき
- 問10cookieはHTTPヘッダでやり取りされブラウザ側に保存される
- 問11BPMは業務プロセスを継続的に分析・改善する管理手法
- 問12特性要因図は結果と要因を魚の骨の形に整理する図
- 問13リスク値は重要度×脅威×脆弱性、しきい値超えだけ対応する
- 問14設定ミスのリスクには照合による検出と複数名での確認が効く
- 問15定義ファイルの更新間隔が長いと公開直後の検体を取りこぼす
2022年度 公開問題 科目A・B 60問
- 問1残留リスクの受容はリスク所有者の承認が必須
- 問2退職間際は監視強化。IDは速やかに無効化する
- 問3是正処置は原因除去で再発防止、修正は現象の除去
- 問4サポートユーティリティは電気・空調など供給設備
- 問5リスクレベル＝結果の大きさ×起こりやすさ
- 問6NISCは内閣官房に置かれた政府のセキュリティ司令塔
- 問7CRYPTRECは電子政府推奨暗号を評価・監視する
- 問8人の心理を突く情報詐取はソーシャルエンジニアリング
- 問9VDIは閲覧処理を隔離しPCへの直接ダウンロードを防ぐ
- 問10ハッシュ値の一致で証拠の同一性・完全性を示す
- 問11抜き取り対策はドライブ側のHDDパスワードや暗号化
- 問12ルートキットは侵入痕跡と不正ツールを隠蔽する
- 問13BECは取引先を装う偽メールでの送金詐欺
- 問14C&Cサーバはボットへ指令を出す攻撃者側の司令塔
- 問1580番は許可されやすくC&C通信の隠れ蓑になる
- 問16パスワードの使い回しがリスト攻撃の成立条件
- 問17汚染キャッシュを引く利用者だけが誤誘導される
- 問18ランダムサブドメイン攻撃は権威DNSを過負荷にする
- 問19SEOポイズニングは検索上位に悪性サイトを出す手口
- 問20同一鍵で暗復号する共通鍵暗号の代表はAES
- 問21本文は共通鍵、その鍵は公開鍵で送るのがハイブリッド
- 問22署名は秘密鍵で作り公開鍵で検証する
- 問23MACは共有鍵で作る改ざん検知用の検証値
- 問24リスクベース認証は普段と違う状況だけ認証を強める
- 問25CAPTCHAは人か自動化プログラムかを見分ける仕組み
- 問26HTTPSは通信の暗号化とサーバ証明書による認証
- 問27SPFは送信元IPをDNSで照合しドメイン詐称を検知
- 問28送信時の利用者認証はSMTP-AUTH
- 問29動的解析は実行して挙動を観測、静的解析は実行しない
- 問30ポートスキャンで不要な稼働サービスを洗い出す
- 問31個人番号は社会保障・税・災害対策の事務にしか使えない
- 問32マルウェアによるデータ消去は刑法で処罰される
- 問33広告宣伝メールは事前同意のオプトインが原則
- 問34外注したプログラムの著作権は特約がなければ受託者
- 問35システムテスト監査の要はテストケースの網羅性
- 問36監査人は評価のみ。作成・制定・運用に関与しない
- 問37内部統制の整備・運用の最終責任は経営者にある
- 問38エラープルーフ化は注意力でなく仕組みでミスを防ぐ
- 問39インシデントはサービスの中断・品質低下の事象そのもの
- 問40WBSは作業を階層分解し管理可能な単位にする
- 問41PERTは作業の順序と所要時間から日程を計画する技法
- 問42デュプレックスは現用系稼働中に他方が待機する構成
- 問43監査ログの目的は操作の事後追跡と調査
- 問44プロキシサーバは内部PCに代わり外部へアクセスを代行する
- 問45BPOは非中核の業務プロセスを外部へ委託すること
- 問46雇用創出と環境対策の便益は近隣地域社会が受ける
- 問47先入先出法の期末在庫は新しい仕入単価から構成される
- 問48売上総利益=売上高-(期首製品+当期製品製造原価-期末製品)
- 問49公開された初期設定は複合機を装う偽メールに悪用される
- 問50重要度は機密性・完全性・可用性の評価値の最大値
- 問51最新化には自動適用ツールと非標準ソフトの排除が要る
- 問52媒体からの持込み禁止で防げるのは持込み側の感染リスク
- 問53共連れは認証強化でなく注意喚起と相互牽制で抑える
- 問54バックアップ間隔を短くすれば失われる期間が縮まる
- 問55偽サイトへ誘導し認証情報を入力させる攻撃の訓練
- 問56共用端末への認証情報保存は権限制御を無効化する
- 問57OKの根拠は実際の設定状況を確認した事実
- 問58変更がなくても年1回以上の診断が必要
- 問59入力と承認を分け、承認は委託元側が担う
- 問60本物らしさの演出は類似ドメインと過去メールの引用
2019年度 秋期 午前 50問
- 問1BECは取引先等になりすました偽メールで送金させる金銭詐欺
- 問2J-CSIPはIPAを情報ハブとする組織間の攻撃情報共有の枠組み
- 問3残留リスクの受容はリスク所有者が承認する必要がある
- 問4退職間際の情報持出しは監視強化で抑止する
- 問5是正処置は原因を除去して再発を防ぐ、修正は不適合を直すだけ
- 問623番はTelnet。初期パスワード放置のIoT機器が狙われる
- 問7SPFはDNS公開のIPアドレスで送信元ドメインの詐称を検出する
- 問8VDIによるインターネット分離は内部PCへのマルウェア到達を防ぐ
- 問9JIS Q 27017はクラウド固有の管理策を追加した規格
- 問10シャドーITはIT部門の管理外で業務利用される機器やサービス
- 問11ステガノグラフィは情報の存在自体を隠して埋め込む技術
- 問12ハッシュ値が一致すれば内容は同一、出力長は入力長によらず一定
- 問13トランザクション署名は取引内容を別デバイスで確認しMITBを防ぐ
- 問14フォールスポジティブは正常な通信を攻撃と誤検知すること
- 問15C&Cサーバはボット化した端末に攻撃を指示する中枢
- 問16汚染されたDNSを使う側の利用者が、汚染されたFQDNで誘導される
- 問17AESは共通鍵暗号。IPsecのデータ暗号化には共有した共通鍵を使う
- 問18WPA3はWPA2の後継となる無線LANのセキュリティ規格
- 問19リバースブルートフォースはパスワード固定でIDを総当たりする
- 問20ディジタル署名は秘密鍵で作成し公開鍵で検証する
- 問21バックドアは認証を迂回して侵入できる裏口
- 問22動的解析は隔離環境で実行し挙動を観測する手法
- 問23MACはブロック暗号でも生成でき改ざんを検知する
- 問24リスクベース認証は普段と違う状況でだけ追加認証する
- 問25ランダムサブドメイン攻撃は権威DNSサーバを過負荷にする
- 問26ハイブリッド暗号方式が守るのは本文の機密性
- 問27PCI DSSはカード会員データ保護のための業界標準
- 問28SMTP-AUTHは送信時にSMTPサーバが送信者を認証する
- 問29ハニーポットは囮で攻撃手法を観測する仕組み
- 問30ポートスキャナは開いているポートと稼働サービスを列挙する
- 問31媒体経由のマルウェアによるデータ消去は刑法で処罰される
- 問32公益通報者保護法は罰則規定を持たない保護法
- 問33シュリンクラップ契約は包装を開封した時点で成立する
- 問34取決めがなければ著作権は創作した受託者に帰属する
- 問35労働者派遣は派遣先が直接指揮命令する形態
- 問36就業規則の一般規定を個別合意で具体化するのは適切
- 問37コントロールトータルの照合が正確性と網羅性を担保する
- 問38職務分掌による相互牽制は統制活動の代表例
- 問39ウォークスルー法はデータの流れと統制を追跡する技法
- 問40監査人は閲覧して評価する側で業務自体は行わない
- 問41インシデントは計画外の中断や品質低下などの事象
- 問42エラープルーフ化は仕組みで誤りを起こしにくくすること
- 問43リスクは進行につれ減り、変更コストは終盤ほど大きい
- 問44クリティカルパスは所要日数が最長で余裕ゼロの経路
- 問45応答時間は要求完了から応答が返り始めるまでの時間
- 問46デッドロックはDBMSがロールバックで解消する
- 問47DNSは名前からIPアドレスを求める名前解決の仕組み
- 問48RPAはPC上の定型操作をソフトで自動化する技術
- 問49RFPでは要求事項に重要度を設定して示す
- 問50テキストマイニングは文章から単語の傾向を分析する手法
2019年度 春期 午前 50問
- 問1マネジメントレビューでは前回処置・監査結果・不適合の状況を必ず考慮する
- 問2コーディネーションセンターはCSIRT同士をつなぐ調整役
- 問3CRYPTRECは電子政府推奨暗号の安全性を評価・監視する
- 問4サポートユーティリティは電気・空調など設備を支える供給インフラ
- 問5リスクファイナンシングは保険等で損失を金銭的に手当てすること
- 問6リスクレベルは結果と起こりやすさの組合せで表すリスクの大きさ
- 問7リスクの運用管理に責任と権限をもつ主体がリスク所有者
- 問8情報セキュリティ目的の計画では資源と評価方法まで決める
- 問9クラウド上のデータも含め情報資産は漏れなく台帳に記入する
- 問10DNSキャッシュポイズニングは偽応答でキャッシュを汚染する攻撃
- 問11SPFはDNSの情報で送信元ドメインのなりすましを検知する
- 問123で読み書き可・実行不可なら値4のビットが実行に対応する
- 問13アンチパスバックは入室記録のないカードでの退室を認めない
- 問14カードセキュリティコードは承認後は誰も保存してはならない
- 問15IPSは不正通信を検知して遮断まで行う侵入防止装置
- 問16パスワードリスト攻撃は流出した認証情報の使い回しを突く
- 問17IPマスカレードはアドレスとポートを変換し内部アドレスを隠す
- 問18ペネトレーションテストは実際に侵入できるかを試して確かめる
- 問1980番はWeb用に開いているため指令サーバとの通信に悪用される
- 問20無断接続対策はWPA2-PSKと長い事前共有鍵が最も有効
- 問21CAPTCHAは応答から人間の操作かどうかを判定する仕組み
- 問22抜き取り対策はストレージ側に効くHDDパスワードや暗号化
- 問23S/MIMEの署名で分かるのは作成者と改ざんの有無だけ
- 問24XML署名は部分署名や多重署名など柔軟な署名に対応できる
- 問25アカウントには業務に必要な最小限の権限だけを与える
- 問26メッセージ認証符号は共有鍵で改ざんの有無を検証する
- 問27楕円曲線暗号はRSAより短い鍵長で同等の安全性を得られる
- 問28ハイブリッド暗号は公開鍵で鍵を配り共通鍵で本文を暗号化する
- 問29SSH公開鍵認証はサーバが公開鍵で検証しクライアントが秘密鍵で署名
- 問30ハニーポットは攻撃を誘い込んで挙動を観察するおとり
- 問31書面で直接取得する個人情報は事前に書面で明示し同意を得る
- 問32統一基準は機密性・完全性・可用性の観点で情報を格付する
- 問33広告宣伝メールは事前同意を得るオプトインが原則
- 問34個人番号は税・社会保障等の法定事務以外に使ってはならない
- 問35著作者人格権は公表権・氏名表示権・同一性保持権の三つ
- 問36出向では出向先が指揮命令し、派遣では雇用は派遣元に残る
- 問37外観上の独立性は被監査部門から独立した所属で担保する
- 問38セキュリティ機能の試験は開発期間中に計画的に実施する
- 問39指摘事項は証拠に基づき事実確認を経て監査人が判断する
- 問40保証型監査は結果の開示で利害関係者の信頼確保に役立つ
- 問41インシデントはサービスの中断や品質低下を招く事象そのもの
- 問42入力段階でのエラー検出が手戻りを減らし効率がよい
- 問43プロジェクトは有期で独自の成果を生む活動を指す
- 問44クライアントサーバは要求側と提供側で役割を分けた分散処理
- 問45排他制御は同時アクセスによる処理結果の矛盾を防ぐ
- 問46メール送信はSMTP、受信はPOP3またはIMAP4
- 問47BPOは中核でない業務プロセスを外部の専門企業に委託すること
- 問48必要な年間利益は投資額を回収期間で割って求める
- 問49ベンダ選定は提案を受ける前に評価基準と手順を定めておく
- 問50グリーン購入は環境負荷の小さい製品を優先して調達する取組
2018年度 秋期 午前 50問
- 問1CSIRT構築・運用の手引きはJPCERT/CCのCSIRTマテリアル
- 問2トップマネジメントは個人でも複数名の集まりでもよい
- 問3JIS Q 27017はクラウドの利用側・提供側の双方が対象
- 問4SECURITY ACTIONは中小企業の対策取組みを自己宣言する制度
- 問5SaaSでも利用者管理と運用の責任は利用者側に残る
- 問6適用宣言書は必要な管理策と附属書Aを比較して作る
- 問7リスク分析はリスクレベルを決定するプロセス
- 問8情報セキュリティガバナンスとITガバナンスは一部が重複する
- 問9小規模組織はポリシを2階層に簡略化してもよい
- 問10経営者の役割は方針策定・見直し・脅威動向の把握
- 問11ラベル付けは「知らなかった」という弁明を封じる対策
- 問12軽微な違反の放置が大きな不正を招くのが割れ窓理論
- 問13ゼロデイ攻撃はパッチ提供前の空白期間を突く攻撃
- 問14C&Cサーバはボットへ指令を出す攻撃者側の司令塔
- 問15WannaCryはSMBv1の脆弱性で拡散するランサムウェア
- 問16シャドーITは無許可で業務利用される機器やサービス
- 問17セキュアブートは起動時に署名検証して不正コードを排除する
- 問18時刻同期はNTP（UDP/123）を許可する
- 問19hostsで外部FQDNが127.0.0.1に向くのは改ざんの疑い
- 問20公衆無線LANでは端末間通信の遮断が有効な対策
- 問21APTは特定組織を長期間執拗に狙う隠密な標的型攻撃
- 問22認証局の公開鍵はサーバ証明書の署名検証に使う
- 問23EDoSは従量課金を膨らませて経済的損失を与える攻撃
- 問24ステガノグラフィはメッセージの存在自体を隠す技術
- 問25ソフトウェアへの署名は改ざん検知と発行元確認のため
- 問26暗号化と復号で同じ鍵を使う共通鍵暗号の代表がAES
- 問27共通鍵暗号は相手が増えるほど鍵管理の負担が増える
- 問28CVSSはベンダ非依存の共通尺度で深刻度を0〜10で表す
- 問29SSHはリモート操作の通信を暗号化するプロトコル
- 問30WAFのリストは通信データのパターンで許否を判定する
- 問31サイバーセキュリティ戦略本部は内閣に置かれる
- 問32他人のID・パスワードの提供が不正アクセスの助長行為
- 問33要件を満たす電子署名には押印と同様の推定効が生じる
- 問34選択・配列に創作性のあるリンク集は編集著作物になり得る
- 問35ボリュームライセンスは台数を定めてマスタを受ける契約
- 問36信頼性は承認どおり漏れなく正確に記録・処理されること
- 問37リスク受容基準はアセスメントより先に定める
- 問38外部委託は契約で委託側の監査権を確保しておく
- 問39署名生成日と検証日の両方が証明書の有効期間内であること
- 問40可用性はサービス提供時間を分母に稼働割合で計算する
- 問41SLAやサービスカタログの文書維持はサービス提供者の責任
- 問42上位・専門グループへの引継ぎが段階的取扱い
- 問43WBSは作業を階層分解し管理可能な単位に細分化する
- 問44フェールセーフは故障時に安全側へ倒す設計
- 問45監査ログは事後追跡のための操作の証跡
- 問46ポート番号はホスト内のアプリケーションを識別する
- 問47データサイエンティストは分析で事業課題の解決を支援する
- 問48情報格差の解消はリテラシ向上と利用環境整備の両輪
- 問49要件定義は利害関係者のニーズと制約条件を識別する
- 問50成熟した組織では権限委譲型のリーダシップが適する
2018年度 春期 午前 50問
- 問1J-CRATは標的型攻撃の被害低減と連鎖遮断を支援する
- 問2回避はリスクを生む活動そのものをやめること
- 問3リスク評価は分析結果をリスク基準と比べ受容可否を決める
- 問4退職間際は監視を強め、退職後のIDは速やかに無効化する
- 問5事象のうち危険度が高いものがインシデントに分類される
- 問6機密性は漏えい時の影響で評価し、改ざんや停止と区別する
- 問7特権とはシステム制御を上書きできる管理者権限のこと
- 問8真正性は本人・本物であることを確かめられる特性
- 問9LANアナライザは通信を丸見えにするため厳重に管理する
- 問10SPFはDNS公開のIPと実送信元を照合し詐称を見抜く
- 問11UPSは電源の瞬断からデータと処理を守る設備対策
- 問12WAFはHTTPの中身を見てアプリ層の攻撃を遮断する
- 問13不要サービスの停止で攻撃される入口自体を減らす
- 問14セキュリティは企画・設計の段階から作り込む
- 問15共用PCでは認証情報を本人の管理下から離さない
- 問16ハッシュ照合で分かるのは完全一致の既知検体だけ
- 問17パッチ管理の前提は資産と導入バージョンの正確な把握
- 問18SMTPはサーバ側25番、クライアント側は1024以上の動的ポート
- 問19戦略の原則は自由な流通・法の支配・開放性・自律性・連携
- 問20ドメイン名ハイジャックはDNSの登録情報を書き換える攻撃
- 問21閲覧しただけで感染させるのがドライブバイダウンロード
- 問22FRRとFARはしきい値を介したトレードオフの関係
- 問23動的解析は検体を実際に動かして挙動を観測する
- 問24MACは共有鍵で作る改ざん検知用の認証符号
- 問25リスクベース認証は普段と違うときだけ認証を強める
- 問26危殆化は時とともに既存暗号の安全性が下がる現象
- 問27ブルートフォースは鍵を全通り試す総当たり解読
- 問28メール本文の暗号化と署名にはS/MIMEを使う
- 問29署名で分かるのは本人性と非改ざん、秘匿は別問題
- 問30認証局は証明書の発行と失効情報の公開を担う
- 問31基本法は国・自治体・事業者・国民まで責務を定める
- 問32マルウェアによる破壊行為は刑法で処罰される
- 問33要配慮個人情報は人種・信条・病歴・犯罪歴などが対象
- 問34侵害になるのはコードの複製であり、機能の一致ではない
- 問35周知の他社表示に似せて混同させる行為は不正競争
- 問36派遣は原則3年の期間制限があり、直接雇用が受け皿になる
- 問37合計値の突合でデータの欠落や重複を検出する
- 問38内部監査計画は前回の監査結果を踏まえて立てる
- 問39監査証拠は結論の裏付けとなる客観的な事実の記録
- 問40被監査部門は協力する側、監査の設計には関与しない
- 問41BCPは優先順位付けと平時の周知・訓練があって機能する
- 問42ローカル型は利用者の近くに置き現地事情に応じて対応する
- 問43短縮はクリティカルパス上を狙い、並んだ経路も同時に詰める
- 問44RAID5は3台以上でパリティ分散、1台故障まで復旧可能
- 問45PaaSは開発・実行のプラットフォームを提供する形態
- 問46排他制御はロックで同時更新の矛盾を防ぐ技法
- 問47Bccは秘匿のため配送時に取り除かれるヘッダ
- 問48活用工程は実績評価に基づく継続的な改善が中心
- 問49CSR調達は環境・人権への配慮を取引先にも求める
- 問50仕掛品と製品の棚卸を順に調整して売上原価を求める
2017年度 秋期 午前 50問
- 問1経営者はセキュリティ人材の処遇と予算の確保を指示する
- 問2本文の要求事項は必須、附属書Aの管理策は理由があれば除外可
- 問3コーディネーションセンターはCSIRT間の連携と調整を担う
- 問4CRYPTRECは電子政府推奨暗号の安全性を評価・監視する
- 問5リスク特定ではリスク源・事象・原因と結果を洗い出す
- 問6リスクファイナンシングは保険など損失の資金手当てを行う対応
- 問7リスク評価は分析結果をリスク基準と比較して受容可否を決める
- 問8リスク所有者はリスク管理の説明責任と権限をもつ主体
- 問9リスクは脅威と脆弱性がそろって初めて顕在化する
- 問10是正処置は不適合の原因を除去し再発を防ぐ処置
- 問11否認防止は行為の事実と主体を後から否定させない特性
- 問12サポートユーティリティは電力や空調などの支援設備を指す
- 問13DLPは機密情報を判別して持出し操作を警告・遮断する
- 問14SIEMは各種機器のログを統合分析して兆候を洗い出す
- 問15アンチパスバックは入退室記録の整合を求め不正通行を拒否する
- 問16シャドーITはIT部門が把握していない業務利用の機器やサービス
- 問17ステガノグラフィは情報の存在自体を気付かせずに埋め込む技術
- 問18パスワードはハッシュ値で保存し入力値のハッシュと比較する
- 問19無線LANの部外者接続は事前共有鍵の都度変更で防ぐ
- 問20WAFはWebアプリあての通信内容を検査し不正な要求を遮断する
- 問21C&Cサーバは感染端末へ指令を送るボットネットの司令塔
- 問22DNSキャッシュポイズニングは偽の名前解決情報で偽サイトへ誘導
- 問23RSAは素因数分解の困難さを安全性の根拠とする公開鍵暗号
- 問24署名は送信者の秘密鍵で作り、本人確認と改ざん検知に使う
- 問25アカウントには業務に必要な最小限の権限だけを与える
- 問26ルート認証局は自己署名の信頼の起点で運用規程を公開する
- 問27ワームは単独で自己増殖し自ら感染を広げるマルウェア
- 問28秘匿目的の暗号化には受信者の公開鍵を使う
- 問29HTTPSは通信の暗号化と証明書によるサーバ認証を実現する
- 問30ファジングは異常なデータを送り挙動から脆弱性を見つける
- 問31個人情報は生存する個人を識別できる情報が対象
- 問32広告宣伝メールは事前同意を得るオプトインが原則
- 問33プログラム言語・規約・解法は著作権の保護対象外
- 問34類似ドメイン名の不正取得は不正競争防止法で規制される
- 問35インストール数条件のライセンスは総設置台数で判断する
- 問36派遣先は事前特定や性別指定を行えず、苦情処理の責任も負う
- 問37入力誤りの発見には入力データと原票の照合が有効
- 問38システム間の受渡しは金額と件数の合計照合で網羅性を確保する
- 問39システム監査はコントロールを評価しITガバナンスに寄与する
- 問40監査調書は監査手続の実施記録で監査意見の根拠となる
- 問41Actは点検結果を受けて継続的改善の処置を実施する段階
- 問42稼働率は提供時間から停止時間を引いて提供時間で割る
- 問43逓減課金は使用量が増えるほど単価が下がり傾きが緩む
- 問44ガントチャートは作業期間の予定と実績を横棒で示す図表
- 問45MTBFは平均故障間隔、MTTRは平均修復時間
- 問46ビッグデータ時代は大量データからのパターン発見が中心
- 問47NATはプライベートIPとグローバルIPを相互変換する
- 問48KGIが最終目標、CSFが成功要因、KPIが達成度を測る指標
- 問49企画プロセスではシステム化構想と計画を立案する
- 問50CIOは経営戦略を支える情報化戦略と投資最適化を担う
2017年度 春期 午前 50問
- 問1トップは方針を定め人々を指揮し、ISMSを本業に統合する
- 問2自社だけでなく委託先・取引先まで含めた対策確認が必要
- 問3CSIRT構築の手引きはJPCERT/CCのCSIRTマテリアル
- 問4RPOは戻せるデータの時点、RTOは復旧までの時間
- 問5リスクマネジメントは組織に合わせ、動的で業務と一体
- 問6特定・分析・評価がリスクアセスメント、その後に対応
- 問7リスクレベル＝影響の大きさ×起こりやすさの組合せ
- 問8委託しても責任は委託元、手順と連絡経路を事前に定める
- 問9危殆化は技術進歩で既存暗号の強度が相対的に落ちること
- 問10タイムスタンプは存在証明と以後の非改ざんを証明する
- 問11全員が認識すべきは方針・自らの貢献・不適合の意味
- 問12JVNは脆弱性情報と対策情報を公開する国内ポータル
- 問13NIDSは通信を監視して侵入の兆候を検知・通知する
- 問14内部不正の早期発見にはアクセスログの定期的な点検
- 問15フォレンジックスは証拠性を保った保全・収集・分析
- 問16盗聴には暗号化、総当たりには試行回数制限で対応する
- 問17公開サーバはDMZ、重要データは内部セグメントに置く
- 問182要素認証は知識・所持・生体から異なる種類を組み合わせる
- 問19証明書と署名で確認できるのは送信者の真正性と完全性
- 問20ハッシュは固定長・一方向・衝突困難という性質をもつ
- 問21ソーシャルエンジニアリングは技術でなく人の隙を突く手口
- 問22署名は秘密鍵で作成し、公開鍵で検証する
- 問23ディレクトリトラバーサルはパス指定を悪用した不正閲覧
- 問24真正性は主張どおりか、信頼性は結果が一貫しているか
- 問25CRLは有効期間中に失効した証明書の一覧
- 問26PCI DSSはカード会員データ保護のための具体的要件
- 問27不正は動機・機会・正当化の三つがそろうと起こる
- 問28IPsecはネットワーク層でAHとESPを使い通信を保護する
- 問29WAFは通信パターンの黒白リストで攻撃を遮断する
- 問30ポートスキャナで開放ポートと稼働サービスを洗い出す
- 問31要件を満たす電子署名には押印と同等の推定効がある
- 問32電子商取引の契約成立は承諾通知が到達した時点
- 問33営業秘密は秘密管理性・有用性・非公知性の三要件が必要
- 問34著作権が守るのは表現、アイディアや解法は守らない
- 問35法定時間外労働には36協定の締結と届出が必須
- 問36発見的統制の要は貸出記録と実利用ログの突合
- 問37システムテストは異常系まで網羅されているかを確認する
- 問38報告書原案の意見交換は事実誤認の確認が目的
- 問39連絡・報告ルートは障害の影響度に応じて分けるべき
- 問40利用者は業務手順どおりに動くかを最優先で確認する
- 問41OLAは社内の内部グループとの間で結ぶサービス合意
- 問42問題管理は根本原因を潰して再発を防ぐプロセス
- 問43最短完了日数はクリティカルパスの長さで決まる
- 問44ホットスタンバイは待機系を常時動かし自動で即切替え
- 問45データマイニングは大量データから傾向や規則を発掘する
- 問46404はサーバには届いたが該当資源が無いという応答
- 問47情報戦略は中長期の経営計画と整合させて立案する
- 問48抜本的な再設計はあるべき姿から発想し現行を前提にしない
- 問49非機能要件は性能・可用性など品質面の要求を定める
- 問50BCPは有事に重要業務を継続するための事前の行動計画
2016年度 秋期 午前 50問
- 問1所持と記憶の二要素は経路を分けて渡すのが原則
- 問2保険加入は損失負担を他者と分けるリスク共有
- 問3JPCERT/CCは中立の立場でインシデント対応を調整する
- 問4JVNは脆弱性対策情報を公開する国内ポータルサイト
- 問5可用性を高めるのは冗長化など止まらない工夫
- 問6ベースラインアプローチは基準と現状のギャップ分析
- 問7現存IDと在籍者名簿の突合せで削除漏れが見える
- 問8リスク評価は分析結果を基準と比べ受容可否を決める
- 問9残留リスクは対策後も残り、受容には承認が要る
- 問10教育対象は雇用形態を問わず情報を扱う全員
- 問11特権者の単独作業を避け、相互牽制を働かせる
- 問12C&Cサーバはボットへ指令を出す攻撃者側の司令塔
- 問13MDMはモバイル端末の設定と利用を一元管理する
- 問14rootkitはバックドア設置と侵入痕跡の隠蔽を行う
- 問15SIEMはログを集約・相関分析して脅威を検知する
- 問16SPFはDNSで送信サーバを公開し送信元詐称を検知
- 問17経路の一部しか暗号化されないならファイル自体を暗号化
- 問18ビヘイビア法は実行時の挙動を監視して検出する
- 問19時刻同期はNTP（UDP 123）だけを許可する
- 問20CAPTCHAは人間とプログラムを判別し自動入力を防ぐ
- 問21改ざんは完全性、盗聴は機密性、DoSは可用性への脅威
- 問22XSSは他人のブラウザで悪意のスクリプトを実行させる
- 問23サイバーセキュリティ戦略の基本原則に開放性が含まれる
- 問24スクリプトキディは公開ツールをなぞって攻撃する者
- 問25人の心理を突いて聞き出すのがソーシャルエンジニアリング
- 問26パスワードリスト攻撃は流出した認証情報の使い回しを突く
- 問27ランサムウェアはファイルを人質に金銭を要求する
- 問28送信者の正当性は認証局が裏付けた電子署名で確認する
- 問29認証局は証明書の発行と失効リストの公開を担う
- 問30コモンクライテリアはISO/IEC 15408
- 問31権利侵害を知らないプロバイダの放置は責任が制限される
- 問32機械に虚偽情報を与えて利益を得るのが電子計算機使用詐欺
- 問33個人番号は法定事務に限定、委託は監督付きで可
- 問34広告メールは事前同意を得るオプトインが原則
- 問35不正アクセス目的でIDを取得した時点で処罰対象になる
- 問36準委任は完成義務でなく善管注意義務を負う契約
- 問37内部監査は前回結果を考慮して監査計画を立てる
- 問38証拠を改変せず収集・保全する技法がフォレンジックス
- 問39BCPは最新の情報に保たれて初めて有事に機能する
- 問40監査基準は行為規範、管理基準は判断の尺度
- 問41移行テストは切替え手順の確実性と問題点を確認する
- 問42インシデントはサービスの計画外中断そのものを指す
- 問43前日まで戻すには日次の差分バックアップが必要
- 問44ステークホルダには外部や不利益を被る者も含まれる
- 問45Webクライアント化で端末側の配布・更新作業が減る
- 問46E-R図は実体と関連でデータ構造を表す概念モデル
- 問47DHCPはブロードキャストで探すためサーバ指定が不要
- 問48BPOは非中核の業務プロセスを外部へ一括委託すること
- 問49企画プロセスは経営ニーズと業務課題を明確にする
- 問50マトリックス組織は職能と事業の二重所属が特徴
2016年度 春期 午前 50問
- 問1CSIRTはインシデントの受付・調査・対応を担う専門チーム
- 問2クリアデスクは机上に書類や媒体を放置せず施錠保管する対策
- 問3独立した立場でコントロールを検証し保証・助言するのが情報セキュリティ監査
- 問4紛失時の漏えい対策はリモートからのデータ消去が有効
- 問5残留リスクの受容にはリスク所有者の承認が必要
- 問6情報セキュリティ方針は従業員や外部関係者へ周知する文書
- 問7内部不正対策では情報の持出し経路をフィルタで制限する
- 問8特権的アクセス権はシステム設定や更新を行える管理者権限
- 問9不正は機会・動機・正当化の3要素がそろうと発生する
- 問10アクセスログは定期的に確認してこそ不正の早期発見に効く
- 問11BYODは私物端末の業務利用で管理外ゆえのリスクが増える
- 問12IDSは不審な挙動を検知して管理者へ通知する監視システム
- 問13WAFはHTTPの中身を検査してWebアプリへの攻撃を遮断する
- 問14マルウェア対策の基本はOSとアプリの修正パッチ適用
- 問15管理者の不正防止には第三者による監視で相互牽制を効かせる
- 問16ハッシュ値の一致で証拠の原本と複製の同一性を証明する
- 問17廃棄前はディスク全領域を複数回上書きしてデータを消去する
- 問182要素認証は知識・所持・生体のうち異なる2種類を組み合わせる
- 問19APTは特定組織を標的に長期間気付かれず執拗に続ける攻撃
- 問20HDD抜取りによる読出しはHDDパスワードで防ぐ
- 問21XSSは応答に埋め込まれた不正スクリプトが閲覧者側で実行される
- 問22クリックジャッキングは透明化した標的ページを重ねて誤操作させる
- 問23署名検証でわかるのは改ざんの有無と署名者の正当性だけ
- 問24認証局は公開鍵の持ち主を保証する証明書を発行する
- 問25ドライブバイダウンロードは閲覧しただけで不正プログラムを送り込む
- 問26パスワードリスト攻撃は他サイト流出の認証情報の使い回しを突く
- 問27バックドアは認証を回避して再侵入するための裏口
- 問28AESは共通鍵暗号なので双方で共有した共通鍵を使う
- 問29ポートスキャンは侵入前に狙えるサービスを探す事前調査
- 問30公開鍵で暗号化した情報は対の秘密鍵の持ち主だけが復号できる
- 問31データ内容の原則は目的に沿った正確・完全・最新の維持を求める
- 問32個人を識別できる生存者の情報はすべて個人情報に当たる
- 問33データ改ざんで業務を妨げるのが電子計算機損壊等業務妨害
- 問34特定電子メール法は同意なき広告メールの送信を規制する
- 問35営業秘密は秘密管理性・有用性・非公知性の3要件で保護される
- 問36請負では雇用主が自ら指揮命令する。契約先の指示は偽装請負
- 問37スプレッドシートのロジック変更は承認と履歴管理が要る
- 問38守秘義務は雇用終了後も存続させる定めが必要
- 問39情報セキュリティ監査は情報資産全般が対象。紙の部署も必要
- 問40SLAはサービス内容と目標を定めた提供者と顧客の合意文書
- 問41RTOは復旧までに許容される時間、RPOはどこまで遡るかの時点
- 問42内訳と合計の推移を同時に示すなら積上げ棒グラフ
- 問43レスポンスタイムは入力終了から結果が出始めるまでの時間
- 問44データウェアハウスは意思決定支援のためにデータを統合蓄積する
- 問45ルータはネットワーク層でIPアドレスを見て経路を選び中継する
- 問46プロキシサーバは代理アクセスとキャッシュで高速化と統制を担う
- 問47SaaSは必要な機能を必要なときにネット経由で使う提供形態
- 問48調達はRFI→RFP→供給者選定→契約締結の順に進む
- 問49BCPは許容できる損失を超えるリスクから優先的に対処する
- 問50コーポレートガバナンスは経営を監督し透明性を確保する仕組み