分野 S｜セキュリティ 重点分野
情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）
今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『1 情報セキュリティの考え方／情報セキュリティの考え方』『1 情報セキュリティの考え方／情報セキュリティマネジメントの考え方』
最終更新
問われ方
- ゼロトラストの説明を、ほかの用語の説明と区別して選ぶ形
- 問われるとしたら：事例で、損なわれた特性（機密性・完全性・可用性）を選ぶ形
- 問われるとしたら：クラウド利用で、利用者が管理する範囲を選ぶ形
- 問われるとしたら：業務に必要な範囲だけのアクセス権を決める形
覚えること
- 機密性：情報が漏えいしないようにすること
- 完全性：改ざんや誤りがないようにすること
- 可用性：必要な時に、必要な人が利用できるようにすること
- 機密性・完全性・可用性に加え、真正性、責任追跡性、否認防止、信頼性が関わる
- 多層防御（Defense in Depth）：複数の対策を重ねて守る考え方
- 境界型セキュリティ：境界で内と外を遮断し、内側は信頼できる前提
- ゼロトラスト：境界の内部の侵害も想定し、要求ごとに必要最小限の権限で制御する考え方
- ゼロトラストは考え方（概念）で、特定の製品を指すものではない
- セキュリティバイデザイン：企画・設計の段階から情報セキュリティを確保する
- プライバシーバイデザイン：設計の初期から個人情報の保護を組み込む
- 情報セキュリティ事象：情報セキュリティに関係し得る出来事。まず評価する
- 情報セキュリティインシデント：事象のうち、事業や情報セキュリティを脅かす確率が高いもの
- 利用者アクセス権の管理（need-to-knowの原則）：業務上必要な者に、必要な範囲だけ与える
- 責任共有モデル：クラウドの事業者と利用者が、責任を分けて共有する考え方
- 責任の範囲は一律でなく、契約で明示する
- SaaS：利用者は、扱うデータと外部からのアクセス権限の設定を管理する
- IaaS：利用者は、OS から上（OS・ミドルウェア・アプリケーション）とデータの管理、脆弱性対応を担う
- 外部委託・クラウド・生成 AI サービスの利用も、管理の対象に含めて考える
ひっかけ
- 可用性（使えること）と完全性（正確であること）の取りちがえ
- クラウドを使っても、設定とアクセス権の管理は利用者の側に残る
- ゼロトラストは、製品を入れれば実現するものではない
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが、A 社が管理すべき事項として挙げるものとして、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、営業部が契約した、事業者が提供するファイル共有の SaaS を、全社で使い始める。このサービスには、フォルダーごとに社外への共有リンクの公開範囲を設定する機能と、利用者アカウントの権限を設定する機能がある。B さんは、利用者側として自社で管理する事項を整理している。
正解：エ 共有リンクの公開範囲と、利用者アカウントの権限の設定
ポイント
クラウドの責任共有モデルで、利用者側の管理範囲を問う問題です。
考え方と解き方
責任共有モデルでは、事業者が管理する範囲と、利用者が管理する範囲が分かれます。管理者の立場では、事業者に任せられず自社で設定を選べる部分は、自社の責任として先に考えます。
- SaaS では、利用者は、扱うデータと、外部からのアクセス権限の設定などを管理します。アプリケーション層以下の実装、設定、更新及び運用は、事業者が管理します。
- 共有リンクの公開範囲と利用者アカウントの権限は、利用者が設定する事項です。したがって、最も適切なのは エ です。
ほかの選択肢
- ア 建物への入退室の管理は、データセンターを運用する事業者が管理する事項です。
- イ サーバーの OS の更新は、アプリケーション層以下を管理する事業者の仕事です。
- ウ ネットワーク機器の設定と運用も、データセンター内の基盤として事業者が管理します。
覚えておくこと
- 責任共有モデル：クラウドの事業者と利用者が、責任を分けて共有する考え方
- SaaS：利用者は、扱うデータと外部からのアクセス権限の設定を管理する
- 責任の範囲は一律でなく、契約で明示する
（テーマ・覚えること）
損なわれた情報セキュリティの特性の判断として、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の B さんは、報告された事象を、損なわれた特性ごとに分類している。分類の案を次の a〜c にまとめた。
- a サーバーの障害で停止し、営業時間中に利用できなくなった受注システム：可用性が損なわれた。
- b 誤った入力で、数量が違う値に書き換わった受注データ：機密性が損なわれた。
- c 権限のない者に閲覧された顧客リスト：機密性が損なわれた。
正解：ウ a、c
ポイント
事象から、損なわれた特性を見分ける問題です。
考え方と解き方
機密性は漏えいしないこと、完全性は改ざんや誤りがないこと、可用性は必要な時に使えることです。事象の結果が、見られたのか、変わったのか、使えなくなったのかを先に見分けます。
- a は適切です。必要な時に利用できなくなったのは、可用性が損なわれた例です。b は不適切です。値が書き換わったのは、完全性が損なわれた例で、機密性ではありません。c は適切です。権限のない者に閲覧されたのは、機密性が損なわれた例です。
- したがって、適切なのは a、c の全てで、ウ です。
ほかの選択肢
- ア b は不適切なので含められません。また、c も適切なので、a、b では組合せが合いません。
- イ b は不適切なので、a、b、c の全てとはなりません。
- エ b は不適切です。また、a も適切なので、b、c では組合せが合いません。
覚えておくこと
- 機密性：情報が漏えいしないようにすること
- 完全性：改ざんや誤りがないようにすること
- 可用性：必要な時に、必要な人が利用できるようにすること
（テーマ・覚えること）
C さんが付与する権限として、最も適切なものはどれか。
営業部の利用部門責任者の C さんは、他部門から異動してきた D さんに、共有フォルダーの権限を付ける。営業部の共有フォルダーには、顧客ごとの注文書のフォルダーと、全担当者の取引条件と見積原価をまとめたフォルダーがある。D さんの担当は、顧客 X の注文対応だけである。
正解：ア 顧客 X の注文書のフォルダーに、注文対応に要る閲覧と編集の権限だけを付ける。
ポイント
利用者アクセス権を、業務上必要な範囲に決める問題です。
考え方と解き方
need-to-know の原則は、業務上その情報を知る必要がある者にだけ、必要な範囲で権限を与える考え方です。利用部門の責任者の立場では、便利さや将来の備えよりも、今の担当業務に必要な範囲かを先に考えます。
- D さんの担当は顧客 X の注文対応だけなので、必要なのは、顧客 X の注文書のフォルダーに対する権限だけです。取引条件と見積原価のフォルダーは、業務に必要がありません。
- したがって、最も適切なのは ア です。
ほかの選択肢
- イ 担当替えへの備えは、今の業務に必要な範囲ではありません。全体への編集の権限は、必要を超えています。
- ウ 閲覧だけでも、担当外の取引条件と見積原価を見られるので、必要な範囲を超えています。
- エ 期限を付けても、全体に権限を付ける点は変わらず、担当業務に必要な範囲を超えています。
覚えておくこと
- 利用者アクセス権の管理（need-to-knowの原則）：業務上必要な者に、必要な範囲だけ与える
（テーマ・覚えること）
B さんの見直しの方針として、最も適切なものはどれか。
A 社では、テレワークの拡大に伴い、社外から VPN で社内ネットワークに接続して、社内システムを使う従業員が増えた。情報セキュリティ管理者の B さんは、ゼロトラストの考え方に基づいて、社内システムへのアクセスの扱いを見直す。
正解：イ 社内からも VPN 経由でも、要求ごとに利用者と端末の状態を確認し、必要最小限の権限だけを許可する。
ポイント
ゼロトラストの考え方に基づく対応を選ぶ問題です。
考え方と解き方
境界型は、内側を信頼できる前提にします。ゼロトラストは、境界の内部が侵害されることも想定するので、接続元が社内か社外かで確認を省けません。この立場なら、接続元ではなく、要求ごとの確認と権限の絞り込みを先に考えます。
- ゼロトラストは、境界の内部の侵害も想定したうえで、要求ごとに必要最小限の権限でアクセス制御を行う考え方です。VPN 経由か社内かは、確認を省く理由になりません。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア VPN に接続できたことで、社内と同じとみなして確認を省くのは、内側を信頼する境界型の前提です。
- ウ 接続時に一度確認しただけで、期間を決めずに全体への接続を許可するのは、要求ごとの確認でも、必要最小限の権限でもありません。
- エ 社内からの要求の確認を省くのは、内側を信頼する前提です。ゼロトラストでは社内でも確認します。
覚えておくこと
- ゼロトラスト：境界の内部の侵害も想定し、要求ごとに必要最小限の権限で制御する考え方
- 境界型セキュリティ：境界で内と外を遮断し、内側は信頼できる前提
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。