分野 E｜セキュリティ・倫理
情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）
今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『6-24-1 情報セキュリティの考え方』
最終更新
よく出る形
- 機密性（漏らさない）・完全性（正確）・可用性（使える）の区別を選ぶ（3回分で3問）
- ゼロトラスト（内側も信頼しない考え方）に基づく対策の例を選ぶ（3回分で1問）
- ISMS（情報セキュリティ管理の仕組み）の最初の手順を選ぶ（3回分で1問）
- 経営者の役割を選ぶ（3回分で1問）
- 情報セキュリティインシデント（事故や出来事）の管理の記述を選ぶ（3回分で1問）
- 問われるとしたら：設計から守る考え方の、a〜c の組合せの形
覚えること
- 情報セキュリティの3要素：機密性、完全性、可用性
- 機密性：許可された人だけが、情報にアクセスできる状態
- 完全性：情報や処理方法が、正確で完全な状態
- 可用性：許可された人が、必要なときに情報にアクセスできる状態
- 対策の例：アクセス制御や本人確認は機密性、デジタル署名は完全性、二重化は可用性
- 損なわれた例：漏えいは機密性、誤った内容や改ざんは完全性、停止は可用性
- 境界型セキュリティ：境界で内と外を分け、内側は信頼できる前提の考え方
- ゼロトラスト：境界の内側も侵害されうると考え、要求ごとに必要最小の権限で制御
- セキュリティバイデザイン（セキュアバイデザインとも）：企画・設計の段階から守る考え方
- プライバシーバイデザイン：設計の初期段階から個人情報の保護を組み込む考え方
- 情報セキュリティポリシー：3要素を維持するための方針や行動指針
- ISMS：組織が情報セキュリティを運用・管理する仕組み
- ISMS の実施項目で最初に行うのは、適用範囲の決定
- 経営者の役割：方針の検討、予算と人材の割当て、実施状況の確認を自ら行う
- 情報セキュリティインシデント：漏えい、改ざん、システム停止、またはそれにつながる事象
- 情報セキュリティ事象は、評価してから、インシデントかどうかを分類する
- 事象に備え、適切な管理者へ速やかに報告できる連絡経路を用意しておく
- インシデントの対応手順は、あらかじめ文書にし、得た知識は管理策の強化に使う
ひっかけ
- 完全性は正確さ、可用性は使えること。どちらも漏えいの話ではない
- ゼロトラストは、境界での遮断だけに頼らない考え方
- 事象は、報告された時点でインシデントに決まるわけではない
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
完全性を確保する対策として、最も適切なものはどれか。
正解：ウ 保存時に記録した検査用の値と照合して、書き換えを見つける。
ポイント
完全性を確保する対策を、機密性や可用性の対策と区別して選ぶ問題です。
考え方と解き方
暗号化を、情報を守る対策としてひとまとめに考えると、イを選んでしまいます。見られないようにするのか、書き換えに気づけるようにするのかで分けます。
- 完全性は、情報や処理方法が、正確で完全な状態を守る要素です。
- 保存時に記録した検査用の値と照合して書き換えを見つけるのは、情報が正確なままかを確かめる対策です。
- したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 閲覧できる利用者を絞るのは、許可された人だけが情報にアクセスできる状態を守る、機密性の対策です。
- イ 通信の暗号化も、情報を見られないようにする、機密性の対策です。
- エ バックアップは、障害のときに情報を使える状態へ戻すための、可用性の対策です。
覚えておくこと
- 完全性：情報や処理方法が、正確で完全な状態
- 損なわれた例：漏えいは機密性、誤った内容や改ざんは完全性、停止は可用性
（テーマ・覚えること）
ゼロトラストの考え方として、最も適切なものはどれか。
正解：イ 内側のネットワークも侵害されうるので、要求ごとに必要最小の権限で制御する。
ポイント
ゼロトラストが前提とする考え方と、アクセスの制御の仕方を問う問題です。
考え方と解き方
ゼロトラストは、内側だから安全とは考えない点が特徴です。内側を信頼する前提だと境界型セキュリティになり、ゼロトラストとは逆の考え方になります。
- ゼロトラストは、境界の内部が侵害されることも想定したうえで、情報システムやサービスへの要求ごとに、必要最小の権限でアクセスを制御する考え方です。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 内側を信頼できるとして権限を広く与えるのは、境界型セキュリティの前提です。ゼロトラストは、内側からの要求も確認の対象にします。
- ウ 一度認証した利用者の以後の要求の確認を省くと、侵害された場合に防げません。ゼロトラストは、要求ごとに制御します。
- エ 外側だけが危険とする考え方は、境界型セキュリティの前提です。外側からの要求だけを絞っても、内側からの侵害は防げません。
覚えておくこと
- ゼロトラスト：境界の内側も侵害されうると考え、要求ごとに必要最小の権限で制御
- 境界型セキュリティ：境界で内と外を分け、内側は信頼できる前提の考え方
（テーマ・覚えること）
新しいシステムの開発にあたっての留意事項として、適切なものだけを全て挙げたものはどれか。
A 社は、会員向けの新しいアプリを開発するにあたり、情報セキュリティの考え方を整理している。
- a 企画・設計の段階から、必要なセキュリティ対策を検討し、仕様に含める。
- b 設計の初期段階から、個人情報の取扱いの方法を検討し、仕様に含める。
- c 情報セキュリティポリシーは、機密性の維持が目的なので、完全性や可用性は対象としなくてよい。
正解：ア a、b
ポイント
セキュリティバイデザイン、プライバシーバイデザイン、情報セキュリティポリシーについて、a〜c を判定する問題です。
考え方と解き方
バイデザインは、企画・設計の段階から組み込む考え方で、完成してから足す形ではありません。ポリシーを機密性だけの方針と見ると、c を適切としてしまいます。
- a は適切です。セキュリティバイデザインは、企画・設計の段階からセキュリティを確保する考え方です。
- b は適切です。プライバシーバイデザインは、設計の初期段階から個人情報の保護を組み込む考え方です。
- c は不適切です。情報セキュリティポリシーは、機密性、完全性、可用性を維持するための方針や行動指針で、機密性だけが対象ではありません。
- したがって、適切なのは a、b で、ア です。
ほかの選択肢
- イ c も適切としていますが、完全性や可用性を対象としない c は不適切です。
- ウ a も適切なのに入っておらず、不適切な c が入っています。
- エ a、b が適切なのに入っておらず、不適切な c だけになっています。
覚えておくこと
- セキュリティバイデザイン（セキュアバイデザインとも）：企画・設計の段階から守る考え方
- プライバシーバイデザイン：設計の初期段階から個人情報の保護を組み込む考え方
- 情報セキュリティポリシー：3要素を維持するための方針や行動指針
（テーマ・覚えること）
情報セキュリティインシデントに該当するものはどれか。
正解：エ 顧客の個人データを入れた USB メモリを、紛失してしまった。
ポイント
情報セキュリティインシデントがどんな事象かを、通常の出来事と区別して問う問題です。
考え方と解き方
セキュリティに関係する作業でも、予定どおり終わった通常の活動は、インシデントではありません。名前に「セキュリティ」や「バックアップ」が付くことだけで選ぶと誤ります。
- 情報セキュリティインシデントは、情報の漏えい、改ざん、破壊・消失、システムの機能停止、またはそれらにつながる可能性のある事象です。
- 顧客の個人データを入れた記録媒体の紛失は、情報の漏えいにつながる事象に当たります。
- したがって、該当するのは エ です。
ほかの選択肢
- ア 情報セキュリティ教育に当たる、予定した通常の活動です。
- イ 脆弱性への対策に使う、通常の情報の公開です。
- ウ 可用性を確保するための、通常の運用です。
覚えておくこと
- 情報セキュリティインシデント：漏えい、改ざん、システム停止、またはそれにつながる事象
- 情報セキュリティ事象は、評価してから、インシデントかどうかを分類する
（テーマ・覚えること）
このテーマの過去問
- 令和6年度 問75情報セキュリティの3要素である機密性，完全性…四肢択一
- 令和7年度 問97情報セキュリティにおいて，可用性が損なわれた…四肢択一
- 令和8年度 問70ISMSにおける情報セキュリティインシデント…四肢択一
- 令和8年度 問77ある企業では，サーバ室への入室管理を暗証番号…四肢択一・まずこの1問
- 令和8年度 問79企業のリスクマネジメントの一環として行われる…四肢択一
- 令和8年度 問92ゼロトラストセキュリティの考え方に基づいた情…四肢択一
- 令和8年度 問93次のISMSにおける実施項目のうち，最初に行…四肢択一
同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。