分野 E｜セキュリティ・倫理
情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン
今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『6-24-4 情報セキュリティポリシーを含む組織内規程』
最終更新
よく出る形
- 情報セキュリティ方針（組織の対策の基本方針）の記述を選ぶ（3回分で1問）
- ポリシーを作る作業の順番を選ぶ（3回分で1問）
- CSIRT（事故に対処する体制）の活動の例を選ぶ（3回分で1問）
- 問われるとしたら：事例で、マルウェアに感染したときの対応を選ぶ形
- 問われるとしたら：J-CRAT（相談窓口）、SOC（監視組織）、ISMAP（クラウド評価）の説明を選ぶ形
- 問われるとしたら：届出制度や SECURITY ACTION（自己宣言）の a〜c の組合せの形
覚えること
- 情報セキュリティ方針（ポリシー）：組織全体で定める、対策の基本方針
- 方針に含める物：情報セキュリティを継続的に改善する、組織の約束
- 情報セキュリティ対策基準：基本方針にもとづき、具体的な対策を定めた基準
- 規程の階層：基本方針、対策基準、実施手順の順に、内容が具体的になる
- 策定の順：責任者と担当者の決定、基本方針、資産の洗い出し、リスク分析
- プライバシーポリシー（個人情報保護方針）：個人情報の取扱いについての基本方針
- ソーシャルメディアガイドライン：SNS で情報発信するときの決まり
- 情報セキュリティ委員会：対策基準などを審議する組織
- マルウェア感染時：機器の利用を止めてネットから切り離し、すぐ報告する
- CSIRT：組織内の情報セキュリティインシデントに対処する体制
- CSIRT の活動例：影響範囲を調べ、被害拡大を防ぐ対策の実施を支援する
- SOC：通信や機器のログを監視し、攻撃の検知や対策の助言を行う組織
- サイバーレスキュー隊（J-CRAT）：標的型攻撃を受けた組織の被害低減を支援
- 届出制度：ウイルス感染や不正アクセスを IPA に届け出る。国の対策基準が根拠
- ISMAP：政府が求める基準を満たすクラウドサービスを、事前に評価して登録する制度
- SECURITY ACTION：中小企業が対策への取組を自己宣言する制度。認定ではない
- ガイドライン：経営者向けは経営ガイドライン、中小企業向けは対策ガイドライン
- PCI DSS：カード情報を扱う事業者向けの、国際的なセキュリティ基準
ひっかけ
- CSIRT は事故への対処、SOC は監視と検知が中心
- SECURITY ACTION は自己宣言で、IPA が認定する制度ではない
- 基本方針は組織全体で定める物で、部門ごとに別々には定めない
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
B さんの対応として、最も適切なものはどれか。
B さんは、勤務先の PC で業務を行っていたところ、突然、見覚えのない警告が画面に表示された。マルウェアに感染した疑いがある。
正解：エ ネットワークから切り離して PC の利用を止め、責任者にすぐ報告する。
ポイント
マルウェアに感染した疑いがあるときの、最初の対応を問う問題です。
考え方と解き方
感染の疑いがあるときは、被害を広げないことと、すぐ知らせることが先です。自分だけで駆除できたと判断すると、ほかの機器への広がりに気づけません。
- マルウェアへの感染が疑われるときは、まず感染した PC の利用を止め、ネットワークから切り離して、被害の拡大を防ぎます。
- そのうえで、責任者にすぐ報告します。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア つないだまま業務を続けると、ほかの機器や外部に被害が広がるおそれがあります。
- イ 駆除できたように見えても、自分だけで判断せず、報告が必要です。
- ウ 報告は、被害が分かってからではなく、疑いがある時点ですぐ行います。
覚えておくこと
- マルウェア感染時：機器の利用を止めてネットから切り離し、すぐ報告する
（テーマ・覚えること）
標的型サイバー攻撃を受けた組織からの相談を受けて、被害の低減と攻撃の連鎖の遮断を支援するものはどれか。
正解：イ J-CRAT
ポイント
標的型サイバー攻撃を受けた組織を支援する活動を、ほかの体制や組織と区別して問う問題です。
考え方と解き方
事故への対処の体制（CSIRT）や、監視の組織（SOC）、対策基準を審議する委員会と、攻撃を受けた組織を外から支援するものを混ぜると誤ります。
- 標的型サイバー攻撃を受けた組織の被害の低減と、攻撃の連鎖の遮断を支援する活動が、サイバーレスキュー隊（J-CRAT）で、IPA が行っています。
- したがって、該当するのは イ です。
ほかの選択肢
- ア CSIRT は、組織内で起きた情報セキュリティインシデントに対処する体制です。
- ウ SOC は、通信や機器のログを監視し、攻撃の検知や対策の助言を行う組織です。
- エ 情報セキュリティ委員会は、対策基準などを審議する組織です。
覚えておくこと
- サイバーレスキュー隊（J-CRAT）：標的型攻撃を受けた組織の被害低減を支援
- CSIRT：組織内の情報セキュリティインシデントに対処する体制
- SOC：通信や機器のログを監視し、攻撃の検知や対策の助言を行う組織
（テーマ・覚えること）
公的な制度に関する記述として、適切なものだけを全て挙げたものはどれか。
D 社は、自社の情報セキュリティ対策の取組について、公的な制度を調べている。
- a SECURITY ACTION は、IPA が中小企業の対策の状況を審査して認定する制度である。
- b ISMAP は、政府が求めるセキュリティ要求を満たしているクラウドサービスを、あらかじめ評価・登録する制度である。
- c コンピュータウイルスの被害は、IPA に届け出る制度がある。
正解：ウ b、c
ポイント
SECURITY ACTION、ISMAP、届出制度の説明を、a〜c で判定する問題です。
考え方と解き方
制度は、だれが何を行うかで見分けます。SECURITY ACTION は自己宣言であって、審査や認定の制度ではありません。審査して認定する制度と考えると、a を適切としてしまいます。
- a は不適切です。SECURITY ACTION は、中小企業が自ら対策に取り組むことを宣言する制度で、IPA が審査して認定する制度ではありません。
- b は適切です。ISMAP は、政府が求めるセキュリティ要求を満たしているクラウドサービスを、あらかじめ評価して登録する制度です。
- c は適切です。コンピュータウイルスの被害は、IPA に届け出る制度があります。
- したがって、適切なのは b、c で、ウ です。
ほかの選択肢
- ア a は不適切なのに入っており、c が適切なのに入っていません。
- イ 不適切な a が入っています。a は審査して認定する制度ではありません。
- エ b が適切なのに入っておらず、c だけになっています。
覚えておくこと
- SECURITY ACTION：中小企業が対策への取組を自己宣言する制度。認定ではない
- ISMAP：政府が求める基準を満たすクラウドサービスを、事前に評価して登録する制度
- 届出制度：ウイルス感染や不正アクセスを IPA に届け出る。国の対策基準が根拠
（テーマ・覚えること）
情報セキュリティ対策基準に定める内容として、最も適切なものはどれか。
正解：ア 基本方針を実現するために、守るべき具体的な対策の内容
ポイント
情報セキュリティ対策基準に定める内容を、基本方針や実施手順の内容と区別して問う問題です。
考え方と解き方
規程は、文書ごとに書く内容の具体さが違います。目的や考え方を示す文書や、作業の進め方を示す文書と混ぜると誤ります。
- 対策基準は、基本方針にもとづいて、守るべき具体的な対策の内容を定めた基準です。
- 基本方針、対策基準、実施手順の順に、内容が具体的になります。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ 組織全体の目的と基本的な考え方を示すのは、基本方針です。
- ウ 対策基準の内容を、個別の業務で実施するための具体的な手順を定めるのは、実施手順です。
- エ 個人情報の取扱いについての組織の考え方を示すのは、プライバシーポリシーです。
覚えておくこと
- 情報セキュリティ対策基準：基本方針にもとづき、具体的な対策を定めた基準
- 規程の階層：基本方針、対策基準、実施手順の順に、内容が具体的になる
（テーマ・覚えること）
このテーマの過去問
- 令和6年度 問94企業において情報セキュリティポリシー策定で行…四肢択一
- 令和7年度 問68CSIRTとして行う活動の例として，最も適切…四肢択一・まずこの1問
- 令和7年度 問84ISMSにおける情報セキュリティ方針に関する…四肢択一
同じ分野のテーマ（セキュリティ・倫理）
- 情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。