分野 S｜セキュリティ 重点分野
アクセス制限と暗号化（最小特権・ストレージ暗号化）
今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『4 技術的管理策に関する技術・手法（情報アクセスの管理）／情報へのアクセス制限』
最終更新
問われ方
- セキュア OS のアクセス制御と管理者権限管理の組みを選ぶ形
- ストレージを抜き取られた時に効く対策を選ぶ形
- 問われるとしたら：持ち出しに備えた暗号化の対象と、権限設定との使い分けを選ぶ形
覚えること
- 最小特権：利用者やプログラムに、業務に必要な最小限の権限だけを与えること
- 管理者権限は、管理の分野ごとに別のアカウントに分け、必要最小限の特権を与える
- 全権限をもつ特権アカウントに集めると、乗っ取られた時の被害が大きい
- セキュア OS：管理者が定めた方針でアクセス権を一元的に制御し、所有者は変更できない
- 所有者がアクセス権を保持し制御する方式は、設定の誤りで公開範囲が広がり得る
- HDD パスワード：ストレージ自体に掛けるので、別の PC につないでも解除しない限り読めない
- OS のログインパスワードや権限設定は、ストレージを別の PC に接続されると回避される
- ストレージ暗号化：ストレージ全体を暗号化。抜き取られても別の PC で読めない
- ファイル暗号化：ファイル単位で暗号化。送付や共有する特定のファイルを守る
- データベース暗号化：データベースのデータを暗号化して保存。ファイルが持ち出されても読めない
- 権限の設定は使える人を絞り、暗号化は持ち出されても読めなくする。目的で使い分ける
- 暗号化した物とは別に鍵を保管し、鍵を使える者を限る
- 異動や担当の終了で不要になった権限は、速やかに外す
ひっかけ
- 権限の設定（人を絞る）と暗号化（持ち出されても読めない）の取りちがえ
- OS や BIOS のパスワードを、ストレージの抜き取り対策と誤る
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが採用する対策として、最も適切なものはどれか。
A 社の情報システム部の B さんは、顧客データベースのバックアップを、遠隔地の保管業者が預かる媒体に書き出す運用にする。保管業者は媒体を保管庫で預かるだけで、中身を扱う必要はない。媒体が輸送中に紛失しても、中身を読まれないようにしたい。
正解：イ バックアップのデータを暗号化して媒体に書き出し、鍵は媒体とは別に管理する
ポイント
媒体が組織の外に出ても読まれない対策を、事例から選ぶ問題です。
考え方と解き方
権限の設定は、組織の仕組みの中で使える人を絞るもので、媒体が持ち出された後は効きません。管理者の立場では、まず『媒体が手元を離れた後も守れるか』を考えます。
- 目的は、媒体が輸送中に失われても中身を読まれないことです。媒体の中のデータそのものを暗号化すれば、読むには鍵が要ります。
- 鍵を媒体とは別に管理しておけば、媒体だけが手に入っても読めません。したがって、最も適切なのは イ です。
ほかの選択肢
- ア データベースへの接続を絞る権限設定は、稼働中のデータベースを守るものです。媒体に書き出されたデータには効きません。
- ウ フォルダーの読取り権限は、書き出し元の OS の中での制御です。媒体を別の機器につなげば回避されます。
- エ 管理者アカウントを分けるのは最小特権の実現で、特権の乱用や乗っ取りの被害を抑えます。媒体の紛失には対応しません。
覚えておくこと
- データベース暗号化：データベースのデータを暗号化して保存。ファイルが持ち出されても読めない
- 権限の設定は使える人を絞り、暗号化は持ち出されても読めなくする。目的で使い分ける
- 暗号化した物とは別に鍵を保管し、鍵を使える者を限る
（テーマ・覚えること）
最小特権の方針として、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の D さんは、最小特権を実現する方針について、次の a〜c の案を検討した。
- a 新任の担当者には、まず広い権限を付けておき、問題が起きてから狭める。
- b 異動した担当者の元の権限は、次の棚卸しの時期まで残しておく。
- c プログラムも、処理に必要な権限だけをもつアカウントで実行する。
正解：エ c
ポイント
最小特権を、権限の付け方・外し方・プログラムの実行から問う問題です。
考え方と解き方
最小特権は、必要な権限だけを、必要な間だけ与える考え方です。付けてから狭める順は逆で、不要になった権限を残すのも、必要最小限ではありません。管理者の立場では、人だけでなくプログラムの実行権限も対象に考えます。
- a は不適切です。広い権限を先に付けると、必要以上の権限をもつ期間ができます。b は不適切です。異動で不要になった権限は、速やかに外します。c は適切です。プログラムも、処理に必要な権限だけにします。
- したがって、適切なのは c の全てで、エ です。
ほかの選択肢
- ア a は不適切です。また、c が適切なので、a だけでは合いません。
- イ b は不適切です。また、c が適切なので、b だけでは合いません。
- ウ a、b はどちらも不適切です。c が適切です。
覚えておくこと
- 最小特権：利用者やプログラムに、業務に必要な最小限の権限だけを与えること
- 異動や担当の終了で不要になった権限は、速やかに外す
（テーマ・覚えること）
暗号化に関する説明として、最も適切なものはどれか。
正解：ア ストレージ暗号化は、ストレージ全体を暗号化するので、抜き取られても別の PC では内容を読めない。
ポイント
3 つの暗号化の対象と、権限の設定との区別を問う問題です。
考え方と解き方
暗号化は、何を対象にするかで呼び分けます。ストレージ全体、ファイル 1 つ、データベースの中のデータです。権限で人を絞る話と、通信経路の暗号化は別の話です。
- ストレージ暗号化は、ストレージ全体を対象に暗号化します。抜き取られても、鍵がなければ別の PC で内容を読めません。
- 他の説明は、別の対象や別の仕組みの説明です。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 一括でストレージ全体を暗号化するのは、ストレージ暗号化の説明です。ファイル暗号化は、ファイル単位で暗号化します。
- ウ 見られる人を読取り権限で絞るのは、アクセス権の設定の説明です。データベース暗号化は、持ち出されても読めなくするものです。
- エ 通信経路上のデータを暗号化して盗聴を防ぐのは、TLS や VPN の説明です。ストレージ暗号化は保存されたデータが対象です。
覚えておくこと
- ストレージ暗号化：ストレージ全体を暗号化。抜き取られても別の PC で読めない
- ファイル暗号化：ファイル単位で暗号化。送付や共有する特定のファイルを守る
- データベース暗号化：データベースのデータを暗号化して保存。ファイルが持ち出されても読めない
（テーマ・覚えること）
最小特権の考え方に沿った対応として、最も適切なものはどれか。
A 社の情報システム部の C さんは、外部の保守事業者に、業務システムのサーバーの保守を委託する。保守事業者の担当者 2 人には、決められた保守作業の期間だけ、サーバーに入って作業してもらう。作業の内容は、ログの確認とサービスの再起動に限られる。
正解：ウ ログの確認と再起動だけを許可した個別のアカウントを作り、期間が終わったら無効にする
ポイント
外部の担当者に渡す権限を、最小特権で選ぶ問題です。
考え方と解き方
最小特権は、必要な権限だけを必要な間だけ与えます。記録を取る、期間後に無効にする、のどちらも大切ですが、権限の広さがまず問われます。管理者の立場なら、作業の内容から必要な操作を先に洗い出します。
- 作業内容はログの確認と再起動です。その操作だけを許可した個別のアカウントなら、必要最小限の権限になります。
- 個別にするので担当者ごとの操作を区別でき、期間後に無効にすれば不要な権限も残りません。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 管理者の共通アカウントは、全権限をもつうえに担当者を区別できません。パスワードを変えても、作業中の権限は過大です。
- イ 操作の記録は後から確かめるためのもので、全権限という過大な権限は変わりません。
- エ 将来の範囲の増加に備えて広い権限を付けるのは、必要最小限ではありません。範囲が変わった時に見直して付け直します。
覚えておくこと
- 最小特権：利用者やプログラムに、業務に必要な最小限の権限だけを与えること
- 管理者権限は、管理の分野ごとに別のアカウントに分け、必要最小限の特権を与える
- 全権限をもつ特権アカウントに集めると、乗っ取られた時の被害が大きい
（テーマ・覚えること）
このテーマの過去問
過去問を解く（2問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。