分野 S｜セキュリティ 重点分野
人的・物理的・技術的管理策の分類（ISMSの管理策の区分）
今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『6 情報セキュリティ管理策／人的管理策』『6 情報セキュリティ管理策／物理的管理策』『6 情報セキュリティ管理策／技術的管理策』
最終更新
問われ方
- サーバ室の空調など、設備を支えるもの（サポートユーティリティ）を選ぶ形
- 問われるとしたら：対策を、人的、物理的、技術的のどの区分かで分ける形
- 問われるとしたら：雇用の各段階（採用から終了後）の適切な対応を選ぶ形
- 問われるとしたら：持出し端末の紛失に備える技術的管理策を選ぶ形
覚えること
- 人的管理策：人を対象にした対策。雇用の前から終了後までを扱う
- 物理的管理策：建物や設備など、場所と機器を守る対策
- 技術的管理策：システムや機器の設定、ソフトウェアで実現する対策
- 区分は対策の中身で見る（入退の記録は物理的、ログ取得は技術的）
- 選考、雇用条件：法令の範囲で経歴を確認し、契約に責任を明記する
- 情報セキュリティの意識向上・教育・訓練：役割に応じて、繰り返し実施する
- 懲戒手続：違反時の手続を前もって決め、従業員に周知する
- 雇用の終了又は変更後の責任：終了後も守る責任を、本人に伝える
- 雇用の終了時の手続：返却や権限の無効化は、組織的管理策の資産・アクセス権の管理と合わせて行う
- 秘密保持契約又は守秘義務契約：守る情報を特定して結ぶ
- リモートワーク：端末の盗難や盗み見に備えた手順を決める
- 情報セキュリティ事象の報告：気づいたら、決めた窓口へ速やかに知らせる
- 物理的セキュリティ境界、物理的入退：区画を施錠などで区切り、入室者と記録を管理する
- クリアデスク・クリアスクリーン：離席時に、書類や媒体と画面を放置しない
- サポートユーティリティ：サーバ室の空調など、設備を支えるもの（物理的管理策）
- 利用者エンドポイント機器：紛失に備え、遠隔消去や画面ロックを設定する
- 特権的アクセス権、情報へのアクセス制限：必要な人にだけ、必要な範囲で与える
- マルウェアに対する保護、構成管理：対策ソフトの更新と、設定の記録・変更管理
- 情報の削除、データマスキング：不要な情報は復元できないよう消し、一部は伏せて使う
- データ漏えい防止、ログ取得：持出しの経路を制限し、操作の記録を残す
- 情報のバックアップ：復旧に備え、複製を取って別の場所に保管する
ひっかけ
- クリアデスク（書類・媒体・画面）を、画面ロックだけと取りちがえる
- 雇用の終了後は責任が消える、と取りちがえる（終了後も守る責任は残る）
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが整える人的管理策として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、人事部と協力して、新しく採用する従業員に対する人的管理策を整えている。
正解：イ 雇用契約や就業規則に、情報セキュリティの責任と違反時の懲戒手続を定め、入社時に周知する
ポイント
雇用の段階ごとの人的管理策を問う問題です。
考え方と解き方
人的管理策は、採用の前から終了後まで、段階ごとに考えます。管理者の立場なら、責任と違反時の手続を、事が起きる前に決めて周知することを先に考えます。
- 雇用条件には、従業員の情報セキュリティの責任を明記し、違反時の懲戒手続は前もって定めて周知します。入社時に周知すれば、従業員は責任を知ったうえで働けます。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 選考で確認するのは、法令の範囲で、採用の判断に必要な経歴などです。可能な限り広く集めるのは、適切ではありません。
- ウ 懲戒の手続を違反のあとに決めると、従業員は事前に基準を知れません。前もって決めて周知します。
- エ 教育は、役割に応じて繰り返し実施します。配置換えや役割の変更で扱う情報が変わるので、そのたびの実施も必要です。
覚えておくこと
- 選考、雇用条件：法令の範囲で経歴を確認し、契約に責任を明記する
- 懲戒手続：違反時の手続を前もって決め、従業員に周知する
- 情報セキュリティの意識向上・教育・訓練：役割に応じて、繰り返し実施する
（テーマ・覚えること）
雇用の終了に伴う手続として、最も適切なものはどれか。
利用部門の責任者の C さんの部下の D さんが、今月末に退職する。D さんは、会社が貸与したノート PC と USB メモリを使って、顧客の情報を扱ってきた。C さんは、人事部と情報セキュリティ管理者に協力して、雇用の終了に伴う手続を進める。
正解：エ 貸与した PC と媒体の返却を受け、ID とアクセス権を退職日に無効にし、終了後も守秘義務が続くと伝える
ポイント
雇用の終了時に行う手続を問う問題です。
考え方と解き方
雇用が終わる日は、情報資産の持出しと、不要になった権限の悪用が起きやすい日です。この立場なら、貸与品、権限、終了後の責任の3つが漏れなく揃っているかを先に考えます。
- 貸与した PC と媒体は全て返却させ、ID とアクセス権は退職日に無効にします。終了後も守る責任があることを、本人に伝えます。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 次の棚卸しまで有効にすると、その間、退職者が情報にアクセスできます。権限は退職日に無効にします。
- イ 雇用の終了後も、在職中に知った秘密を守る責任は残ります。伝えないのは適切ではありません。
- ウ USB メモリを本人の処分に任せると、業務の情報が本人の手元に残ります。媒体も返却を受けます。
覚えておくこと
- 雇用の終了時の手続：返却や権限の無効化は、組織的管理策の資産・アクセス権の管理と合わせて行う
- 雇用の終了又は変更後の責任：終了後も守る責任を、本人に伝える
（テーマ・覚えること）
技術的管理策として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、テレワークで使うノート PC の紛失に備えて、対策を管理策の区分ごとに整理している。区分は、組織的、人的、物理的、技術的の4つである。
正解：ア 紛失時の遠隔消去と、画面の自動ロックを、利用者のノート PC に設定する
ポイント
対策を管理策の区分で見分ける問題です。
考え方と解き方
区分は、対策が何で実現されているかで見分けます。人に知らせる・教えるのは人的、場所や保管は物理的、機器やソフトの設定は技術的、規則を定めるのは組織的です。
- 遠隔消去と画面の自動ロックは、機器の設定で実現する対策なので、技術的管理策です。
- 他の3つは、教育、保管と記録、規則の対策です。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 窓口への報告を教育に入れるのは、従業員の行動を対象にした人的管理策です。
- ウ キャビネットでの保管と持出しの記録は、場所と機器を守る物理的管理策です。
- エ 承認を得る規則を方針群に定めるのは、組織の決めごとを作る組織的管理策です。
覚えておくこと
- 技術的管理策：システムや機器の設定、ソフトウェアで実現する対策
- 区分は対策の中身で見る（入退の記録は物理的、ログ取得は技術的）
- 利用者エンドポイント機器：紛失に備え、遠隔消去や画面ロックを設定する
（テーマ・覚えること）
物理的管理策の記述として、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の B さんは、物理的管理策の考え方を、次の a〜c にまとめた。
- a 物理的セキュリティ境界は、重要な設備を置く区画を、施錠できる壁や扉で区切って守る。
- b クリアデスクは、画面の自動ロックの設定を指し、机上の書類や媒体は対象にしない。
- c 物理的入退は、入れる人を限り、入退の記録を残して、後から確かめられるようにする。
正解：ウ a、c
ポイント
物理的管理策の記述の適切さを問う問題です。
考え方と解き方
物理的管理策は、場所と設備を守る対策です。クリアデスクは、画面だけでなく、机上の書類や媒体も対象にする点で、取りちがえやすい用語です。
- a は適切です。区画を施錠などで区切るのは、境界の対策です。b は不適切です。クリアデスクは、離席時に書類や媒体を放置しないことで、画面を放置しないクリアスクリーンと並びます。c は適切です。入室者を限り、記録を残します。
- したがって、適切なのは a、c の全てで、ウ です。
ほかの選択肢
- ア b は不適切なので、a、b では組合せが合いません。c は適切です。
- イ b は不適切なので、a、b、c の全てとはなりません。
- エ b は不適切です。また、a も適切なので、b、c では組合せが合いません。
覚えておくこと
- 物理的セキュリティ境界、物理的入退：区画を施錠などで区切り、入室者と記録を管理する
- クリアデスク・クリアスクリーン：離席時に、書類や媒体と画面を放置しない
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。