分野 E｜セキュリティ・倫理
情報セキュリティの脅威（なりすまし・ソーシャルエンジニアリング・シャドーIT）
今の制度の過去問（3回分）では、脅威と脆弱性の用語、IoT 機器の脅威と対策、ダークウェブが、合わせて5問出ています。
シラバス案 Ver.0.1（2026年8月31日公表）の『6-23-1 脅威の種類』
最終更新
よく出る形
- 脅威（損害の原因）と脆弱性（弱点）の説明や組合せを選ぶ（3回分で2問）
- IoT 機器の脅威と、ソーシャルエンジニアリング（人の隙を突く手口）の対策を選ぶ（3回分で2問）
- ダークウェブ（匿名性の高い Web）の説明を選ぶ（3回分で1問）
- 問われるとしたら：事例で、ビジネスメール詐欺（偽メールで送金させる詐欺）への対応を選ぶ形
- 問われるとしたら：不正のトライアングル（不正の三条件）の a〜c や、シャドーIT（無断利用）の例を選ぶ形
覚えること
- 脅威：情報資産に損害を与える原因となるもの
- 脆弱性：情報資産の価値を損なう可能性をもつ弱点。セキュリティホールとも呼ばれる
- 不正アクセス：アクセス権限のない人が、サーバや情報システムに侵入する行為
- なりすまし：悪意のある人が別の人物のふりをして、システムなどを不正に使うこと
- 盗聴と改ざん：通信内容を盗み見るのが盗聴、データを不正に書き換えるのが改ざん
- ビジネスメール詐欺（BEC）：偽メールで送金させる詐欺。振込先の変更は、メール以外の手段で確認する
- ソーシャルエンジニアリング：人の心理的な隙などを突いて、侵入に必要な情報を盗み出すこと
- ソーシャルエンジニアリングの例：ショルダハッキング（入力の盗み見）、トラッシング（ごみ箱あさり）
- 内部不正：組織の内部関係者による、機密情報の持ち出しや改ざんなどの不正行為
- シャドーIT：組織が許可していない機器やサービスを、従業員が勝手に使うこと
- ダークウェブ：検索エンジンで見つからず、特別な方法で入る、匿名性の高い Web サイトの総称
- リークサイト：攻撃者が、盗んだ機密情報を公開する Web サイト
- 不正のトライアングル：動機・プレッシャー、機会、正当化の三つがそろうと不正が起きやすいという考え
- 不正のトライアングルへの対策：権限管理で機会を減らし、ルールの周知で正当化を防ぐ
- 不正侵入への対策：機器の初期パスワードのまま使わず、変更する
- 廃棄時の対策：記憶装置を物理的に破壊し、ごみ箱あさりによる情報漏えいを防ぐ
- SNSの悪用：SNS で標的に接触し、機密情報をだまし取る手口がある
- 迷惑メール（スパム）：求めていないのに、一方的に送られてくる電子メール
- 参考：今のシラバスの「人的脅威」「技術的脅威」などの区分は、案にはない
- 参考：「二重脅迫」「人的脆弱性」は、今のシラバスにあり案にない。「リークサイト」は案で加わった
ひっかけ
- 脅威は損害の原因、脆弱性は付け込まれる弱点
- シャドーIT は、従業員が許可なく使うこと。外部の攻撃者の行為ではない
想定問題
4問（四肢択一）。選ぶと、その場で正解と解説が開きます。
B さんの対応として、最も適切なものはどれか。
A 社の経理担当の B さんは、取引先の担当者を名乗る人から、振込先の口座を変更したいという電子メールを受け取った。メールの文面や送信元は、これまでのやり取りと同じに見えるが、今日中の変更を求めている。
正解：イ あらかじめ知っている電話番号で取引先に連絡し、依頼が本当かを確かめる。
ポイント
取引先を装った口座変更のメールに、どう対応するかを問う問題です。
考え方と解き方
ビジネスメール詐欺では、文面や送信元がこれまでと同じに見えるように偽装されます。急がせる文面は、確かめる時間を与えないための手口の一つです。
- B さんが受け取ったメールは、取引先を装って攻撃者の口座へ送金させる、ビジネスメール詐欺のおそれがあります。
- 振込先の変更依頼は、メールとは別の手段で、あらかじめ知っている連絡先に確かめてから判断します。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 返信の宛先は、メールを送ってきた相手そのものです。偽の相手に確かめても、本物かどうかは分かりません。
- ウ 期日を急がせるのは、確かめさせないための手口の一つです。先に変更すると、攻撃者の口座へ送金するおそれがあります。
- エ 送信元が同じに見えても、偽装やアカウントの乗っ取りの可能性は残ります。メールだけを根拠に変更するのは不適切です。
覚えておくこと
- ビジネスメール詐欺（BEC）：偽メールで送金させる詐欺。振込先の変更は、メール以外の手段で確認する
（テーマ・覚えること）
適切なものだけを全て挙げたものはどれか。
A 社の情報システム部は、内部不正を防ぐ対策を検討するために、不正のトライアングルについて整理している。
- a 不正のトライアングルは、動機・プレッシャー、機会、脆弱性の三つがそろうと、不正が起きやすいとする考え方である。
- b アクセス権を職務に必要な範囲に絞って管理することは、不正を行う機会を減らす対策になる。
- c 不正を禁じるルールを定めて社内に周知することは、不正を行う人に正当化をさせない対策になる。
正解：ウ b、c
ポイント
不正のトライアングルの三つの要素と、内部不正を防ぐ対策の関係を、a〜c で判定する問題です。
考え方と解き方
不正のトライアングルは、不正が起きる要因を三つに分けた考え方で、対策も要素ごとに考えます。要素の名前を一つ入れちがえて覚えていると、a を適切としてしまいます。
- a は不適切です。三つの要素は、動機・プレッシャー、機会、正当化で、脆弱性は含まれません。
- b は適切です。権限を必要な範囲に絞るのは、不正を実行できる状況（機会）を減らす対策です。
- c は適切です。ルールを周知すると、不正を行う人が自分の行為を正当化する余地を減らせます。
- したがって、適切なのは b、c で、ウ です。
ほかの選択肢
- ア a は不適切で、c は適切です。a、b としているので、c が足りず、a が余分です。
- イ a、b、c の全てとしていますが、a は不適切なので、含められません。
- エ c は適切ですが、b も適切なので、c だけでは足りません。
覚えておくこと
- 不正のトライアングル：動機・プレッシャー、機会、正当化の三つがそろうと不正が起きやすいという考え
- 不正のトライアングルへの対策：権限管理で機会を減らし、ルールの周知で正当化を防ぐ
（テーマ・覚えること）
シャドーIT に該当するものはどれか。
正解：ア 従業員が、会社の許可を得ないまま、私物のスマートフォンで業務の資料を扱う。
ポイント
シャドーIT に当たる行為を、ほかの脅威と区別して選ぶ問題です。
考え方と解き方
許可を得ているかどうかで分かれます。ほかの人の ID を使う行為も社内の不正に見えるので、シャドーIT と思って選びがちです。
- シャドーIT は、組織が許可していない機器やサービスを、従業員が勝手に使うことです。
- 会社の許可を得ないまま、私物のスマートフォンで業務の資料を扱う行為が、これに当たります。
- したがって、該当するのは ア です。
ほかの選択肢
- イ 配布された業務用 PC を、定められた手順で更新するのは、組織が認めた適切な使い方で、シャドーIT ではありません。
- ウ 盗んだ ID でログインするのは、なりすましによる不正アクセスです。許可されていない機器やサービスを使う行為ではありません。
- エ 退職後に在職中の ID を使うのは、アカウントの悪用による不正アクセスです。許可されていない機器やサービスを使う行為ではありません。
覚えておくこと
- シャドーIT：組織が許可していない機器やサービスを、従業員が勝手に使うこと
（テーマ・覚えること）
情報セキュリティの脅威に関する記述として、最も適切なものはどれか。
正解：エ 不正アクセスとは、正当な権限を持たない人が、サーバや情報システムに侵入することである。
ポイント
情報セキュリティの脅威の用語を、それぞれの意味と合わせて選ぶ問題です。
考え方と解き方
似た用語は、何をするかで区別します。盗み見る、書き換える、別人のふりをする、人の隙を突く、侵入する、の動作を、用語ごとに結び付けて覚えます。
- 不正アクセスは、正当な権限を持たない人が、サーバや情報システムに侵入する行為です。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 通信の途中で内容を盗み見るのは盗聴です。なりすましは、別の人物のふりをして不正を行うことです。
- イ 別の人物のふりをして不正に使うのはなりすましです。改ざんは、データや Web ページの内容を不正に書き換えることです。
- ウ 人の心理的な隙を突いて、侵入に必要な情報を盗み出すのが、ソーシャルエンジニアリングです。ソフトウェアの欠陥を突くのは、脆弱性を悪用した攻撃です。
覚えておくこと
- 不正アクセス：アクセス権限のない人が、サーバや情報システムに侵入する行為
- なりすまし：悪意のある人が別の人物のふりをして、システムなどを不正に使うこと
- 盗聴と改ざん：通信内容を盗み見るのが盗聴、データを不正に書き換えるのが改ざん
（テーマ・覚えること）
このテーマの過去問
- 令和6年度 問73IoT機器のセキュリティ対策のうち，ソーシャ…四肢択一
- 令和6年度 問87通常の検索エンジンでは検索されず匿名性が高い…四肢択一
- 令和7年度 問93情報セキュリティにおける脅威の説明として，適…四肢択一
- 令和8年度 問55IoTのセキュリティに関する次の記述中のa，…四肢択一
- 令和8年度 問89情報セキュリティに関する次の記述中のa，bに…四肢択一・まずこの1問
同じ分野のテーマ（セキュリティ・倫理）
- マルウェアの種類（ランサムウェア・トロイの木馬・スパイウェア）今の制度の過去問（3回分）では、ランサムウェアの説明が1問出ています。
- SQLインジェクション・XSS・DoS攻撃・パスワードリスト攻撃今の制度の過去問（3回分）では、バッファオーバーフローへの対策と、ゼロデイ攻撃・DDoS 攻撃・ブルートフォース攻撃の区別が、合わせて2問出ています。
- フィッシング・標的型攻撃・中間者攻撃とAIを悪用した攻撃今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方とマネジメント（機密性・完全性・可用性・ゼロトラスト）今の制度の過去問（3回分）では、3要素の区別、ゼロトラスト、ISMS の最初の手順、経営者の役割、インシデントの管理が、合わせて7問出ています。
- リスクアセスメント（情報資産台帳・リスク分析・リスク評価）今の制度の過去問（3回分）では、ISMS の活動としての、情報資産の洗い出しとリスクの特定・分析・評価が、1問出ています。
- リスク対応（リスク回避・移転・分散・保有）今の制度の過去問（3回分）では、リスク共有の例と、リスク対応の分類の記述が、合わせて2問出ています。
- 情報セキュリティポリシー・CSIRT・ISMAP・各種ガイドライン今の制度の過去問（3回分）では、情報セキュリティ方針の記述、ポリシーを作る作業の順番、CSIRT の活動の例が、合わせて3問出ています。
- マルウェア対策とランサムウェア対策（パターンマッチング・バックアップ）今の制度の過去問（3回分）では、ランサムウェア対策のバックアップが2問、マルウェア感染を防ぐ対策が1問、合わせて3問出ています。
- 暗号（共通鍵暗号・公開鍵暗号・ハッシュ関数）今の制度の過去問（3回分）では、共通鍵暗号方式と公開鍵暗号方式が2問、ハッシュ関数が1問、ブロックチェーンの適用例が1問、合わせて4問出ています。
- デジタル証明書・デジタル署名・PKI今の制度の過去問（3回分）では、PKI と認証局、CRL、デジタル署名、リスクベース認証が、合わせて5問出ています。
- 利用者認証（多要素認証・パスキー・ワンタイムパスワード）今の制度の過去問（3回分）では、利用者認証の用語の説明を選ぶ問題が1問、所有を使った認証の例を選ぶ問題が1問、合わせて2問出ています。
- 生体認証（顔認証・静脈認証・本人拒否率FRR・他人受入率FAR）今の制度の過去問（3回分）では、生体認証の例を選ぶ問題が1問、他人受入率と本人拒否率の関係を選ぶ問題が2問、合わせて3問出ています。
- 脆弱性対策とセキュリティ製品（ファイアウォール・WAF・IDS・IPS・EDR）今の制度の過去問（3回分）では、WAF と IDS の説明が、合わせて2問出ています。
- 情報モラルとネチケット（メール誤送信・BCC・デジタルタトゥー）今の制度の過去問（3回分）では、電子メールの宛先欄（Cc と Bcc）に関する問題が、合わせて2問出ています。
- フェイクニュースとデータの不正（ねつ造・盗用・エコーチェンバー）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- AI倫理とAIのリスク（ハルシネーション・説明可能なAI・生成AIの利用上の注意）今の制度の過去問（3回分）では、ハルシネーションと、AI を使うときの留意点が、合わせて2問出ています。
- 著作権・特許法・商標法・不正競争防止法（営業秘密）今の制度の過去問（3回分）では、著作権、産業財産権、不正競争防止法（限定提供データ）が、合わせて6問出ています。
- 労働基準法・労働契約法・36協定（労働時間と働き方）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 労働者派遣法・偽装請負・パワハラ防止法・公益通報者保護法今の制度の過去問（3回分）では、労働者派遣と偽装請負が、合わせて2問出ています。
- 特定商取引法・景品表示法・資金決済法（取引関連法規）今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 民法と契約（請負契約・準委任契約・守秘契約NDA・ライセンス契約）今の制度の過去問（3回分）では、請負契約の注文者と請負業者の権利と義務が、1問出ています。
- AI基本法・デジタル社会形成基本法・リサイクル法（デジタル・環境関連法規）今の制度の過去問（3回分）では、官民データ活用推進基本法で、官民データを所有する組織を問う問題が、1問出ています。
- 個人情報保護法（個人データ・要配慮個人情報・匿名加工情報）今の制度の過去問（3回分）では、匿名加工情報の説明を選ぶ問題が、1問出ています。
- マイナンバー法・GDPR・忘れられる権利今の制度の過去問（3回分）には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- オプトイン・オプトアウト・第三者提供・データマスキング（同意の取得）今の制度の過去問（3回分）では、個人データの提供で本人の同意が要らない場合が、1問出ています。
- 不正アクセス禁止法（アクセス制御機能・不正アクセス行為）今の制度の過去問（3回分）では、不正アクセス禁止法で規制される行為を選ぶ問題が、1問出ています。
- ウイルス作成罪・サイバーセキュリティ基本法・特定電子メール法今の制度の過去問（3回分）では、サイバーセキュリティ基本法が2問、特定電子メール法が1問、合わせて3問出ています。