収録問題 70問 ／ 10問ランダム出題
ランダムに出題・即時フィードバック・間違えた問題の復習機能付き
情報セキュリティの三要素のうち「機密性」の説明として適切なものはどれですか？
答え： 認可された者だけが情報にアクセスできること
機密性は認可された者だけがアクセスできる状態を指します。完全性は正確性、可用性は利用可能性です。
情報セキュリティの三要素のうち「完全性」を脅かす事象はどれですか？
答え： データが不正に書き換えられる
完全性は情報が正確で改ざんされていない状態です。不正な書き換えは完全性への脅威です。
情報セキュリティの三要素のうち「可用性」を高める対策はどれですか？
答え： システムを冗長化し、障害時も継続稼働できるようにする
可用性は必要なときに使える状態です。冗長化やバックアップで障害時の継続性を高めます。
リスクアセスメントの説明として最も適切なものはどれですか？
答え： リスクを特定・分析・評価する一連の活動
リスクアセスメントはリスク特定・分析・評価からなり、対応の優先順位付けの基礎になります。
リスク対応のうち「リスク移転」の例として適切なものはどれですか？
答え： サイバー保険に加入して損失負担を移す
リスク移転は保険や委託で損失負担を第三者へ移す対応です。回避・低減・受容とは区別します。
組織が情報セキュリティを継続的に管理する仕組みを示す用語はどれですか？
答え： ISMS（情報セキュリティマネジメントシステム）
ISMSはISO/IEC 27001に基づき、PDCAで情報セキュリティを継続的に維持・改善する管理の仕組みです。
組織の情報セキュリティに関する基本方針や規程をまとめた文書体系はどれですか？
答え： 情報セキュリティポリシー
情報セキュリティポリシーは基本方針・対策基準・実施手順などからなり、組織の取り組みの基礎になります。
内部不正が発生しやすくなる「不正のトライアングル」の3要素はどれですか？
答え： 動機・機会・正当化
不正のトライアングルは動機・機会・正当化の3要素がそろうと不正が起きやすいとする考え方です。
セキュリティインシデントに対応するために組織内に設ける専門チームはどれですか？
答え： CSIRT
CSIRTはインシデントの検知・対応・再発防止を担う専門チームで、被害の最小化と復旧を目指します。
離席時に書類を片付け、画面をロックする習慣を表す対策はどれですか？
答え： クリアデスク・クリアスクリーン
クリアデスク・クリアスクリーンは離席時に情報をのぞき見・持ち出しされないようにする基本的な物理・運用対策です。
ファイルを暗号化して使用不能にし、復号と引き換えに金銭を要求するマルウェアはどれですか？
答え： ランサムウェア
ランサムウェアはデータを暗号化し、復号鍵と引き換えに身代金を要求します。バックアップが有効な対策です。
他のプログラムに寄生せず、自己複製してネットワーク経由で感染を広げるマルウェアはどれですか？
答え： ワーム
ワームは単独で自己複製し、ネットワークを通じて自動的に感染を拡大します。
正規のソフトに見せかけて侵入し、裏で不正な動作を行うマルウェアはどれですか？
答え： トロイの木馬
トロイの木馬は有用なソフトを装ってインストールされ、内部で情報窃取やバックドア設置などを行います。
特定の組織を狙い、業務関係者を装ったメールなどで侵入を試みる攻撃はどれですか？
答え： 標的型攻撃
標的型攻撃は特定組織を狙い、業務を装った巧妙なメールなどで段階的に侵入を図ります。
技術的手段ではなく、人の心理や行動の隙を突いて情報を聞き出す手口はどれですか？
答え： ソーシャルエンジニアリング
ソーシャルエンジニアリングは電話やなりすまし、のぞき見などで人を欺き情報を入手します。
入力値の検査不備を突き、データベースを不正に操作する攻撃はどれですか？
答え： SQLインジェクション
SQLインジェクションは入力欄に不正なSQLを混入させ、データ窃取や改ざんを狙います。入力値検証やプレースホルダで防ぎます。
考えられるパスワードを片端から試して認証突破を狙う攻撃はどれですか？
答え： ブルートフォース（総当たり）攻撃
ブルートフォース攻撃は総当たりでパスワードを試します。アカウントロックや長く複雑な認証情報が対策になります。
大量のリクエストを送りつけ、サービスを停止に追い込む攻撃はどれですか？
答え： DoS／DDoS攻撃
DoS/DDoSは過剰なアクセスでサービスを停止させ、可用性を侵害します。DDoSは多数の機器から行われます。
共通鍵暗号方式の課題として適切なものはどれですか？
答え： 通信相手ごとに鍵を安全に共有・管理する必要がある
共通鍵暗号は高速ですが、相手ごとに鍵を安全に配送・管理する鍵配送の課題があります。
公開鍵暗号方式で、受信者あてのメッセージを暗号化するときに使う鍵はどれですか？
答え： 受信者の公開鍵
公開鍵暗号では受信者の公開鍵で暗号化し、受信者だけが秘密鍵で復号できます。
ディジタル署名で確認できることとして適切なものはどれですか？
答え： 作成者の正当性と内容が改ざんされていないこと
ディジタル署名は送信者の真正性、内容の完全性、否認防止を提供します。
公開鍵が確かに本人のものであることを証明書で保証する仕組み（基盤）はどれですか？
答え： PKI（公開鍵基盤）と認証局（CA）
PKIでは認証局（CA）が電子証明書を発行し、公開鍵の正当な所有者を保証します。
知識・所持・生体など複数の異なる要素で本人確認する認証方式はどれですか？
答え： 多要素認証
多要素認証は異なる種類の要素を組み合わせ、片方が漏れても突破されにくくします。
利用者に業務上必要な最小限の権限だけを与える原則はどれですか？
答え： 最小権限の原則
最小権限の原則は必要最小限の権限のみ付与し、漏えいや誤操作時の被害範囲を抑えます。
外部に公開するサーバを、内部ネットワークから隔離して配置する区画はどれですか？
答え： DMZ（非武装地帯）
DMZは公開サーバを内部網から分離する緩衝区画で、内部への被害波及を抑えます。
ネットワークやホストへの不正侵入の兆候を検知する仕組みはどれですか？
答え： IDS（侵入検知システム）
IDSは不正侵入の兆候を検知して通知します。検知に加え遮断まで行うのがIPSです。
無線LANの通信を保護する暗号化方式として、現在推奨されるものはどれですか？
答え： WPA2／WPA3
無線LANではWPA2/WPA3が推奨されます。WEPは脆弱で容易に解読されるため使用すべきではありません。
他人のIDやパスワードを無断で利用してログインする行為を禁じる法律はどれですか？
答え： 不正アクセス禁止法
不正アクセス禁止法は、他人の識別符号の無断利用やセキュリティホールを突く侵入などを禁止します。
情報資産を洗い出し、重要度や保管場所、管理責任者を明確にする管理台帳はどれですか？
答え： 情報資産台帳
情報資産台帳は、守るべき情報資産を把握し、分類、所有者、保管場所、重要度などを管理する基礎資料です。
外部委託先に機密情報を扱わせる前に、最も重視すべき対応はどれですか？
答え： 委託先の管理体制を確認し、契約で守秘義務や再委託条件を明確にする
委託先管理では、事前評価、契約条件、守秘義務、再委託管理、定期確認などで情報漏えいリスクを抑えます。
セキュリティインシデント発生時、証拠保全と被害拡大防止のため最初に重要な行動はどれですか？
答え： 定められた手順で関係者へ連絡し、ログや端末状態を保全する
インシデント対応では、連絡、初動判断、証拠保全、封じ込め、復旧、再発防止を手順に沿って進めます。
業務復旧の目標として、障害発生後どれくらいの時間内に復旧するかを示す指標はどれですか？
答え： RTO
RTOは目標復旧時間で、業務やシステムをいつまでに復旧するかを示します。RPOは許容できるデータ損失時点です。
経営者や取引先になりすましたメールで送金や機密情報送付を指示する攻撃はどれですか？
答え： ビジネスメール詐欺（BEC）
BECは信頼できる相手を装い、送金や情報提供をだまし取る攻撃です。手続き確認や多重承認が対策になります。
ランサムウェア被害に備え、バックアップについて特に重要な対策はどれですか？
答え： バックアップを世代管理し、攻撃者から変更・削除されにくい場所にも保管する
ランサムウェア対策では、世代管理、オフライン・イミュータブル保管、復元テストにより復旧可能性を高めます。
PCやサーバ上の不審な挙動を継続的に監視し、侵害後の調査や封じ込めに役立てる仕組みはどれですか？
答え： EDR
EDRはエンドポイントの挙動を監視し、検知、調査、隔離などを支援します。従来型ウイルス対策だけでは見えにくい挙動も追跡します。
既知の脆弱性を悪用されるリスクを下げるため、最も基本的な対策はどれですか？
答え： 修正プログラムを適用し、脆弱性情報を継続的に確認する
脆弱性管理では、資産把握、脆弱性情報の収集、影響確認、パッチ適用や緩和策を継続的に行います。
社内外の境界だけで判断せず、利用者・端末・状況を都度確認してアクセスを制御する考え方はどれですか？
答え： ゼロトラスト
ゼロトラストはネットワーク内外を問わず信頼を前提にせず、認証、認可、端末状態などに基づいてアクセスを制御します。
複数機器のログを集約し、相関分析して不審な兆候を検知する仕組みはどれですか？
答え： SIEM
SIEMはログやイベントを集約し、相関分析やアラートによりインシデントの早期検知を支援します。
SQLインジェクションやクロスサイトスクリプティングなど、Webアプリへの攻撃を検知・遮断する仕組みはどれですか？
答え： WAF
WAFはWebアプリケーションへのHTTP/HTTPS通信を監視し、代表的な攻撃パターンを検知・遮断します。
大規模な情報流通プラットフォームに対し、権利侵害情報への対応や透明性確保などを求める法律はどれですか？
答え： 情報流通プラットフォーム対処法
情報流通プラットフォーム対処法は、特定の大規模プラットフォームに削除対応の迅速化や運用状況の透明化などを求める法律です。
顧客情報、社内限定資料、公開資料で保護方法を変えたい。最初に行うべきことはどれですか？
答え： 情報資産を分類し、分類ごとの取扱基準と責任者を定める
情報資産の分類と取扱基準を定めると、重要度に応じたアクセス制御、暗号化、持出し、廃棄を一貫して適用できます。
リスク評価で「高」となった古い業務システムを直ちに更新できない。適切な対応はどれですか？
答え： 代替策、責任者、期限を定めて残余リスクを承認し、更新計画を追跡する
直ちに解消できないリスクは、ネットワーク分離や監視などの代替策を実施し、残余リスクを正式承認して期限付きで管理します。
個人情報を扱うクラウドサービスを新規導入する際、委託先確認で最も重要な組合せはどれですか？
答え： 責任分界、データ保管場所、再委託、事故通知、削除・返却条件を確認する
クラウド利用では、組織と提供者の責任、データライフサイクル、再委託先、インシデント対応を契約前に確認します。
ランサムウェア対応訓練で、経営層・法務・広報・ITの連携不足が判明した。次に行うべきことはどれですか？
答え： 課題、責任者、期限を記録し、対応計画と連絡手順を改訂して再訓練する
訓練は問題点を改善へつなげることが目的です。役割、判断基準、連絡経路を更新し、是正の有効性を再確認します。
重要業務のRTOを4時間と定めた。復旧手順の妥当性を確認する最も適切な方法はどれですか？
答え： 実際に復旧訓練を行い、業務再開までの時間と不足資源を測定する
RTOは業務再開までの時間目標です。復元、切替、確認、関係者連絡を含むend-to-end訓練で実現可能性を確認します。
内部監査で退職者アカウントの削除漏れが繰り返し見つかった。適切な是正措置はどれですか？
答え： 人事手続とアカウント停止を連携し、実施記録と定期棚卸しで有効性を確認する
再発する不適合は根本原因を除き、プロセス連携、責任、証跡、定期レビューで是正措置の有効性を確認します。
異動後も以前の部署の機密共有フォルダへアクセスできる利用者が多い。適切な管理はどれですか？
答え： 異動と権限変更を連動し、オーナーによる定期アクセスレビューを行う
joiner-mover-leaver管理と定期的な権限棚卸しにより、職務変更後の不要権限を除去し最小権限を維持します。
取引先社長を名乗るメールで振込先変更を急かされた。最も適切な対応はどれですか？
答え： 登録済みの別連絡先で本人確認し、複数人承認の手続を守る
BEC対策では、メール経路とは独立した確認、振込先変更手続、職務分離を徹底し、緊急性に流されないことが重要です。
郵便物のQRコードから偽の勤怠サイトへ誘導され、認証情報を入力した。この攻撃はどれですか？
答え： QR phishing（quishing）
QRフィッシングはQRコードで悪性URLを隠し、モバイル端末などから偽サイトへ誘導します。URL確認と耐フィッシング認証が有効です。
クラウドストレージの公開設定ミスにより顧客ファイルが外部閲覧可能になった。主な原因分類はどれですか？
答え： security misconfiguration
クラウドの公開範囲、権限、暗号化などの誤設定は代表的な漏えい原因です。標準設定、ポリシー検査、変更レビューで防ぎます。
退職予定者が業務上不要な顧客リストを大量ダウンロードしている。最も適切な初動はどれですか？
答え： 事実と権限を確認し、必要に応じてアクセス制限・証拠保全・関係部門連携を行う
内部不正の疑いでは、権限と業務必要性を確認し、被害拡大を抑えつつ証拠を保全し、人事・法務・CSIRTと連携します。
パスワードをサーバーへ保存せず、偽サイトでの認証情報窃取にも強い認証方式はどれですか？
答え： FIDO2/WebAuthn passkey
パスキーは端末内の秘密鍵とサービスごとの公開鍵を使い、パスワード共有を避けてオリジンバインディングによりフィッシング耐性を高めます。
自社ドメインを使ったなりすましメールを受信側で拒否させたい。SPFとDKIMの結果に基づく方針を公開する仕組みはどれですか？
答え： DMARC
DMARCはSPF/DKIMの認証とFrom domainの整合を評価し、失敗時の扱いと集計report先をDNSで公開します。
バックアップジョブは毎日成功しているが、障害時に復元できるか不明である。必要な対策はどれですか？
答え： 定期的なリストアテストと復旧結果の記録
バックアップは復元できて初めて有効です。リストアテストで完全性、手順、所要時間、依存関係を確認します。
暗号化された顧客データベースの鍵を安全に管理する方法はどれですか？
答え： KMS等で鍵をデータと分離し、権限・ローテーション・利用ログを管理する
鍵を暗号化対象から分離し、最小権限、ローテーション、監査ログ、バックアップを含む鍵ライフサイクルを管理します。
多数のクラウドアカウントで公開ストレージや過剰権限を継続的に検出したい。適切な仕組みはどれですか？
答え： CSPMによる設定評価とポリシー違反検知
CSPMはクラウド設定を継続評価し、公開範囲、暗号化、権限、loggingなどのbaseline違反を可視化します。
紛失した会社支給スマートフォンから業務データを保護するため、平時から必要な管理はどれですか？
答え： MDMで画面ロック、暗号化、remote lock・wipeを強制する
MDMは端末設定、compliance、remote対応を一元管理します。端末台帳と迅速な紛失報告も必要です。
社内LANへ未管理端末が接続されるのを防ぎ、端末状態に応じて接続先を制限したい。適切な技術はどれですか？
答え： NAC
NACは利用者・端末の認証やcomplianceを確認し、許可、隔離、限定ネットワークへの割当てを制御します。
個人情報を利用目的の達成に必要な範囲を超えて扱う場合の基本的な考え方はどれですか？
答え： 法令上の例外を除き、本人同意など適法な根拠を確認する
個人情報は特定・通知等した利用目的の範囲で扱い、範囲を超える利用は法令上の例外や本人同意などの適法性を確認します。
個人データの処理を外部事業者へ委託した企業に求められる基本的な管理はどれですか？
答え： 適切な委託先を選定し、契約と必要な監督で安全管理を確保する
委託元は委託先の安全管理措置を確認し、契約、取扱状況の把握、再委託管理など必要かつ適切な監督を行います。
不審なメールのリンク先で会社のパスワードを入力した直後、偽サイトかもしれないと気付きました。従業員の対応として最も適切なのはどれですか？
答え： 直ちに所定窓口へ報告し、正規の経路で認証情報を変更する
実害が確認できなくても、認証情報の漏えいが疑われた時点で報告します。入力時刻やサイトなどを伝え、正規の窓口・サイトから変更を行い、担当部署によるセッション失効や利用履歴の確認につなげます。確認のために偽サイトを再訪する必要はありません。
顧客資料の「リンクを知っている全員」が閲覧できるURLを、誤って別の取引先へ送りました。共有サービスにはリンク失効機能があります。初動として適切なのはどれですか？
答え： リンクを失効させて報告し、閲覧や取得の状況を調べる
リンク失効は今後のアクセスを止めるための封じ込めです。既に取得されたコピーまで消せるわけではないため、社内手順に従って報告し、閲覧・取得の有無や資料の内容から影響を調べます。再共有時は必要な相手だけに権限を限定します。
自分ではログインしていないのに、スマートフォンへ承認型MFAの通知が何度も届きます。最も適切な対応はどれですか？
答え： 承認せずに所定窓口へ報告し、不審な認証要求を調査する
何度も通知を送って承認を誘う攻撃の可能性があります。自分が開始していない認証は承認せず、担当部署へ連絡します。通知だけでパスワード漏えいを断定せず、認証記録を調べて必要な失効・変更を行います。
顧客データを預けていたSaaSの契約を終了します。必要なデータは既に移行しました。終了時の確認として最も適切なのはどれですか？
答え： 合意した返却・削除と保管例外を確認し、連携権限を失効する
契約終了でもデータの複製や連携用の権限が残ることがあります。契約に沿って返却・削除の範囲と完了の証跡を確認し、保存義務やバックアップ保持などの例外も明確にします。不要になったアカウントやAPI連携も失効させます。
同じ条件の訓練メールを、A部署100人、B部署200人へ1通ずつ配信しました。クリックした人はA部署10人、B部署12人です。クリック率について正しい説明はどれですか？
答え： Aは10%、Bは6%で、Aのクリック率が高い
クリック率はクリック人数を配信対象人数で割って求めます。Aは10÷100＝10%、Bは12÷200＝6%で、差は4パーセントポイントです。人数だけで部署を比較せず、対象人数や訓練条件も確認します。
前回より見破りやすい訓練メールに変えたところ、クリック率が下がりました。教育の効果を評価する考え方として適切なのはどれですか？
答え： 難易度や対象者の差を考慮し、報告行動も合わせて評価する
低いクリック率は、教育だけでなくメールの難易度や業務との関連性でも生じます。条件をそろえた比較や難易度の記録を行い、報告率・報告までの時間なども確認して、単一の数値から効果を断定しないようにします。
支払先口座の登録から支払承認まで、同じ担当者が単独で行えます。担当者による不正や誤りを抑える統制として最も適切なのはどれですか？
答え： 登録と承認を別の担当者に分け、変更履歴を記録する
職務分離は、一人で不正な登録と承認を完結できないようにする統制です。別の担当者が変更根拠を確認し、記録を残します。共謀など全ての不正を防げるわけではないため、定期的な確認も組み合わせます。
顧客データを保存したSSD搭載PCを社外へ売却します。担当者はファイル削除とごみ箱の削除だけを行いました。追加対応として適切なのはどれですか？
答え： 媒体に適した消去手段を選び、実施結果を確認・記録する
通常の削除はデータ領域を復元不能にする処理とは限りません。SSDの特性と情報の機密性に適した消去手段を選び、結果を確認して媒体の識別情報とともに記録します。十分な消去を保証できなければ、売却せず破壊など別の処置を検討します。
ランサムウェアの調査中、社内メールも攻撃者に読まれている疑いが出ました。対応チームの連絡方法として最も適切なのはどれですか？
答え： 事前に定めた別経路を使い、相手を確認して情報を共有する
侵害が疑われる連絡基盤を使うと、封じ込め計画が攻撃者へ伝わるおそれがあります。電話など事前に定めた独立した経路を使い、参加者の本人確認と共有範囲の制限を行います。代替連絡先や利用条件は平時から準備します。
入館証が必要な執務室で、知らない人から「社員なので一緒に通してほしい」と頼まれました。安全な対応として最も適切なのはどれですか？
答え： 受付など所定の確認手続へ案内し、認証を省略しない
自己申告だけで入室を認めると、入館管理を回避した共連れを許すことになります。入館証の貸与や本人確認の省略はせず、受付・警備など所定の手続へ案内します。無理に対峙するのではなく、安全を確保して担当者へ連絡します。