収録問題 60問 ／ 10問ランダム出題
ランダムに出題・即時フィードバック・間違えた問題の復習機能付き
情報セキュリティの三要素のうち「機密性」の説明として適切なものはどれですか？
答え： 認可された者だけが情報にアクセスできること
機密性は認可された者だけがアクセスできる状態を指します。完全性は正確性、可用性は利用可能性です。
情報セキュリティの三要素のうち「完全性」を脅かす事象はどれですか？
答え： データが不正に書き換えられる
完全性は情報が正確で改ざんされていない状態です。不正な書き換えは完全性への脅威です。
情報セキュリティの三要素のうち「可用性」を高める対策はどれですか？
答え： システムを冗長化し、障害時も継続稼働できるようにする
可用性は必要なときに使える状態です。冗長化やバックアップで障害時の継続性を高めます。
リスクアセスメントの説明として最も適切なものはどれですか？
答え： リスクを特定・分析・評価する一連の活動
リスクアセスメントはリスク特定・分析・評価からなり、対応の優先順位付けの基礎になります。
リスク対応のうち「リスク移転」の例として適切なものはどれですか？
答え： サイバー保険に加入して損失負担を移す
リスク移転は保険や委託で損失負担を第三者へ移す対応です。回避・低減・受容とは区別します。
組織が情報セキュリティを継続的に管理する仕組みを示す用語はどれですか？
答え： ISMS（情報セキュリティマネジメントシステム）
ISMSはISO/IEC 27001に基づき、PDCAで情報セキュリティを継続的に維持・改善する管理の仕組みです。
組織の情報セキュリティに関する基本方針や規程をまとめた文書体系はどれですか？
答え： 情報セキュリティポリシー
情報セキュリティポリシーは基本方針・対策基準・実施手順などからなり、組織の取り組みの基礎になります。
内部不正が発生しやすくなる「不正のトライアングル」の3要素はどれですか？
答え： 動機・機会・正当化
不正のトライアングルは動機・機会・正当化の3要素がそろうと不正が起きやすいとする考え方です。
セキュリティインシデントに対応するために組織内に設ける専門チームはどれですか？
答え： CSIRT
CSIRTはインシデントの検知・対応・再発防止を担う専門チームで、被害の最小化と復旧を目指します。
離席時に書類を片付け、画面をロックする習慣を表す対策はどれですか？
答え： クリアデスク・クリアスクリーン
クリアデスク・クリアスクリーンは離席時に情報をのぞき見・持ち出しされないようにする基本的な物理・運用対策です。
ファイルを暗号化して使用不能にし、復号と引き換えに金銭を要求するマルウェアはどれですか？
答え： ランサムウェア
ランサムウェアはデータを暗号化し、復号鍵と引き換えに身代金を要求します。バックアップが有効な対策です。
他のプログラムに寄生せず、自己複製してネットワーク経由で感染を広げるマルウェアはどれですか？
答え： ワーム
ワームは単独で自己複製し、ネットワークを通じて自動的に感染を拡大します。
正規のソフトに見せかけて侵入し、裏で不正な動作を行うマルウェアはどれですか？
答え： トロイの木馬
トロイの木馬は有用なソフトを装ってインストールされ、内部で情報窃取やバックドア設置などを行います。
特定の組織を狙い、業務関係者を装ったメールなどで侵入を試みる攻撃はどれですか？
答え： 標的型攻撃
標的型攻撃は特定組織を狙い、業務を装った巧妙なメールなどで段階的に侵入を図ります。
技術的手段ではなく、人の心理や行動の隙を突いて情報を聞き出す手口はどれですか？
答え： ソーシャルエンジニアリング
ソーシャルエンジニアリングは電話やなりすまし、のぞき見などで人を欺き情報を入手します。
入力値の検査不備を突き、データベースを不正に操作する攻撃はどれですか？
答え： SQLインジェクション
SQLインジェクションは入力欄に不正なSQLを混入させ、データ窃取や改ざんを狙います。入力値検証やプレースホルダで防ぎます。
考えられるパスワードを片端から試して認証突破を狙う攻撃はどれですか？
答え： ブルートフォース（総当たり）攻撃
ブルートフォース攻撃は総当たりでパスワードを試します。アカウントロックや長く複雑な認証情報が対策になります。
大量のリクエストを送りつけ、サービスを停止に追い込む攻撃はどれですか？
答え： DoS／DDoS攻撃
DoS/DDoSは過剰なアクセスでサービスを停止させ、可用性を侵害します。DDoSは多数の機器から行われます。
共通鍵暗号方式の課題として適切なものはどれですか？
答え： 通信相手ごとに鍵を安全に共有・管理する必要がある
共通鍵暗号は高速ですが、相手ごとに鍵を安全に配送・管理する鍵配送の課題があります。
公開鍵暗号方式で、受信者あてのメッセージを暗号化するときに使う鍵はどれですか？
答え： 受信者の公開鍵
公開鍵暗号では受信者の公開鍵で暗号化し、受信者だけが秘密鍵で復号できます。
ディジタル署名で確認できることとして適切なものはどれですか？
答え： 作成者の正当性と内容が改ざんされていないこと
ディジタル署名は送信者の真正性、内容の完全性、否認防止を提供します。
公開鍵が確かに本人のものであることを証明書で保証する仕組み（基盤）はどれですか？
答え： PKI（公開鍵基盤）と認証局（CA）
PKIでは認証局（CA）が電子証明書を発行し、公開鍵の正当な所有者を保証します。
知識・所持・生体など複数の異なる要素で本人確認する認証方式はどれですか？
答え： 多要素認証
多要素認証は異なる種類の要素を組み合わせ、片方が漏れても突破されにくくします。
利用者に業務上必要な最小限の権限だけを与える原則はどれですか？
答え： 最小権限の原則
最小権限の原則は必要最小限の権限のみ付与し、漏えいや誤操作時の被害範囲を抑えます。
外部に公開するサーバを、内部ネットワークから隔離して配置する区画はどれですか？
答え： DMZ（非武装地帯）
DMZは公開サーバを内部網から分離する緩衝区画で、内部への被害波及を抑えます。
ネットワークやホストへの不正侵入の兆候を検知する仕組みはどれですか？
答え： IDS（侵入検知システム）
IDSは不正侵入の兆候を検知して通知します。検知に加え遮断まで行うのがIPSです。
無線LANの通信を保護する暗号化方式として、現在推奨されるものはどれですか？
答え： WPA2／WPA3
無線LANではWPA2/WPA3が推奨されます。WEPは脆弱で容易に解読されるため使用すべきではありません。
他人のIDやパスワードを無断で利用してログインする行為を禁じる法律はどれですか？
答え： 不正アクセス禁止法
不正アクセス禁止法は、他人の識別符号の無断利用やセキュリティホールを突く侵入などを禁止します。
情報資産を洗い出し、重要度や保管場所、管理責任者を明確にする管理台帳はどれですか？
答え： 情報資産台帳
情報資産台帳は、守るべき情報資産を把握し、分類、所有者、保管場所、重要度などを管理する基礎資料です。
外部委託先に機密情報を扱わせる前に、最も重視すべき対応はどれですか？
答え： 委託先の管理体制を確認し、契約で守秘義務や再委託条件を明確にする
委託先管理では、事前評価、契約条件、守秘義務、再委託管理、定期確認などで情報漏えいリスクを抑えます。
セキュリティインシデント発生時、証拠保全と被害拡大防止のため最初に重要な行動はどれですか？
答え： 定められた手順で関係者へ連絡し、ログや端末状態を保全する
インシデント対応では、連絡、初動判断、証拠保全、封じ込め、復旧、再発防止を手順に沿って進めます。
業務復旧の目標として、障害発生後どれくらいの時間内に復旧するかを示す指標はどれですか？
答え： RTO
RTOは目標復旧時間で、業務やシステムをいつまでに復旧するかを示します。RPOは許容できるデータ損失時点です。
経営者や取引先になりすましたメールで送金や機密情報送付を指示する攻撃はどれですか？
答え： ビジネスメール詐欺（BEC）
BECは信頼できる相手を装い、送金や情報提供をだまし取る攻撃です。手続き確認や多重承認が対策になります。
ランサムウェア被害に備え、バックアップについて特に重要な対策はどれですか？
答え： バックアップを世代管理し、攻撃者から変更・削除されにくい場所にも保管する
ランサムウェア対策では、世代管理、オフライン・イミュータブル保管、復元テストにより復旧可能性を高めます。
PCやサーバ上の不審な挙動を継続的に監視し、侵害後の調査や封じ込めに役立てる仕組みはどれですか？
答え： EDR
EDRはエンドポイントの挙動を監視し、検知、調査、隔離などを支援します。従来型ウイルス対策だけでは見えにくい挙動も追跡します。
既知の脆弱性を悪用されるリスクを下げるため、最も基本的な対策はどれですか？
答え： 修正プログラムを適用し、脆弱性情報を継続的に確認する
脆弱性管理では、資産把握、脆弱性情報の収集、影響確認、パッチ適用や緩和策を継続的に行います。
社内外の境界だけで判断せず、利用者・端末・状況を都度確認してアクセスを制御する考え方はどれですか？
答え： ゼロトラスト
ゼロトラストはネットワーク内外を問わず信頼を前提にせず、認証、認可、端末状態などに基づいてアクセスを制御します。
複数機器のログを集約し、相関分析して不審な兆候を検知する仕組みはどれですか？
答え： SIEM
SIEMはログやイベントを集約し、相関分析やアラートによりインシデントの早期検知を支援します。
SQLインジェクションやクロスサイトスクリプティングなど、Webアプリへの攻撃を検知・遮断する仕組みはどれですか？
答え： WAF
WAFはWebアプリケーションへのHTTP/HTTPS通信を監視し、代表的な攻撃パターンを検知・遮断します。
大規模な情報流通プラットフォームに対し、権利侵害情報への対応や透明性確保などを求める法律はどれですか？
答え： 情報流通プラットフォーム対処法
情報流通プラットフォーム対処法は、特定の大規模プラットフォームに削除対応の迅速化や運用状況の透明化などを求める法律です。
顧客情報、社内限定資料、公開資料で保護方法を変えたい。最初に行うべきことはどれですか？
答え： 情報資産を分類し、分類ごとの取扱基準と責任者を定める
情報資産の分類と取扱基準を定めると、重要度に応じたアクセス制御、暗号化、持出し、廃棄を一貫して適用できます。
リスク評価で「高」となった古い業務systemを直ちに更新できない。適切な対応はどれですか？
答え： 代替策、責任者、期限を定めて残余リスクを承認し、更新計画を追跡する
直ちに解消できないリスクは、ネットワーク分離や監視などの代替策を実施し、残余リスクを正式承認して期限付きで管理します。
個人情報を扱うcloud serviceを新規導入する際、委託先確認で最も重要な組合せはどれですか？
答え： 責任分界、データ保管場所、再委託、事故通知、削除・返却条件を確認する
cloud利用では、組織と提供者の責任、データライフサイクル、再委託先、インシデント対応を契約前に確認します。
ランサムウェア対応訓練で、経営層・法務・広報・ITの連携不足が判明した。次に行うべきことは？
答え： 課題、責任者、期限を記録し、対応計画と連絡手順を改訂して再訓練する
訓練は問題点を改善へつなげることが目的です。役割、判断基準、連絡経路を更新し、是正の有効性を再確認します。
重要業務のRTOを4時間と定めた。復旧手順の妥当性を確認する最も適切な方法は？
答え： 実際に復旧訓練を行い、業務再開までの時間と不足資源を測定する
RTOは業務再開までの時間目標です。復元、切替、確認、関係者連絡を含むend-to-end訓練で実現可能性を確認します。
内部監査で退職者アカウントの削除漏れが繰り返し見つかった。適切な是正措置は？
答え： 人事手続とアカウント停止を連携し、実施記録と定期棚卸しで有効性を確認する
再発する不適合は根本原因を除き、プロセス連携、責任、証跡、定期レビューで是正措置の有効性を確認します。
異動後も以前の部署の機密共有フォルダへアクセスできる利用者が多い。適切な管理は？
答え： 異動と権限変更を連動し、ownerによる定期アクセスレビューを行う
joiner-mover-leaver管理と定期的な権限棚卸しにより、職務変更後の不要権限を除去し最小権限を維持します。
取引先社長を名乗るメールで振込先変更を急かされた。最も適切な対応は？
答え： 登録済みの別連絡先で本人確認し、複数人承認の手続を守る
BEC対策では、メール経路とは独立した確認、振込先変更手続、職務分離を徹底し、緊急性に流されないことが重要です。
郵便物のQR codeから偽の勤怠siteへ誘導され、認証情報を入力した。この攻撃は？
答え： QR phishing（quishing）
QR phishingはQR codeで悪性URLを隠し、mobile端末などから偽siteへ誘導します。URL確認と耐phishing認証が有効です。
cloud storageの公開設定ミスにより顧客fileが外部閲覧可能になった。主な原因分類は？
答え： security misconfiguration
cloudの公開範囲、権限、暗号化などの誤設定は代表的な漏えい原因です。標準設定、policy検査、変更reviewで防ぎます。
退職予定者が業務上不要な顧客listを大量downloadしている。最も適切な初動は？
答え： 事実と権限を確認し、必要に応じてaccess制限・証拠保全・関係部門連携を行う
内部不正の疑いでは、権限と業務必要性を確認し、被害拡大を抑えつつ証拠を保全し、人事・法務・CSIRTと連携します。
passwordをserverへ保存せず、偽siteでの認証情報窃取にも強い認証方式はどれですか？
答え： FIDO2/WebAuthn passkey
passkeyは端末内の秘密鍵とserviceごとの公開鍵を使い、password共有を避けてorigin bindingによりphishing耐性を高めます。
自社domainを使ったなりすましmailを受信側で拒否させたい。SPFとDKIMの結果に基づく方針を公開する仕組みは？
答え： DMARC
DMARCはSPF/DKIMの認証とFrom domainの整合を評価し、失敗時の扱いと集計report先をDNSで公開します。
backup jobは毎日成功しているが、障害時に復元できるか不明である。必要な対策は？
答え： 定期的なrestore testと復旧結果の記録
backupは復元できて初めて有効です。restore testで完全性、手順、所要時間、依存関係を確認します。
暗号化された顧客databaseの鍵を安全に管理する方法はどれですか？
答え： KMS等で鍵をdataと分離し、権限・rotation・利用logを管理する
鍵を暗号化対象から分離し、最小権限、rotation、監査log、backupを含む鍵lifecycleを管理します。
多数のcloud accountで公開storageや過剰権限を継続的に検出したい。適切な仕組みは？
答え： CSPMによる設定評価とpolicy違反検知
CSPMはcloud設定を継続評価し、公開範囲、暗号化、権限、loggingなどのbaseline違反を可視化します。
紛失した会社支給smartphoneから業務dataを保護するため、平時から必要な管理は？
答え： MDMで画面lock、暗号化、remote lock・wipeを強制する
MDMは端末設定、compliance、remote対応を一元管理します。端末台帳と迅速な紛失報告も必要です。
社内LANへ未管理端末が接続されるのを防ぎ、端末状態に応じて接続先を制限したい。適切な技術は？
答え： NAC
NACは利用者・端末の認証やcomplianceを確認し、許可、隔離、限定networkへの割当てを制御します。
個人情報を利用目的の達成に必要な範囲を超えて扱う場合の基本的な考え方は？
答え： 法令上の例外を除き、本人同意など適法な根拠を確認する
個人情報は特定・通知等した利用目的の範囲で扱い、範囲を超える利用は法令上の例外や本人同意などの適法性を確認します。
個人データの処理を外部事業者へ委託した企業に求められる基本的な管理は？
答え： 適切な委託先を選定し、契約と必要な監督で安全管理を確保する
委託元は委託先の安全管理措置を確認し、契約、取扱状況の把握、再委託管理など必要かつ適切な監督を行います。