分野 S｜セキュリティ 重点分野
組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）
今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『6 情報セキュリティ管理策／組織的管理策』
最終更新
問われ方
- インシデント時の、法的な証拠の収集・保管・調査分析を選ぶ形
- 問われるとしたら：情報の分類とラベル付けの正しい扱いを選ぶ形
- 問われるとしたら：委託先との契約に入れる内容を選ぶ形
- 問われるとしたら：職務の分離を、業務の割当てから選ぶ形
覚えること
- 管理策の区分：組織的、人的、物理的、技術的。ここは組織的管理策を扱う
- 情報セキュリティのための方針群：経営者が承認して周知し、見直す
- 情報セキュリティの役割及び責任：担当を決めて割り当て、責任を明確にする
- 職務の分離（相反する職務を分ける）：不正や誤りの機会を減らす
- 脅威インテリジェンス（脅威の分析情報）：集めて分析し、対策に生かす
- 情報及びその他の関連資産の目録（資産の一覧）：資産ごとに所有者を決める
- 情報及びその他の関連資産の許容される利用：取扱いの規則を決めて周知する
- 情報の分類：機密性などの重要度に応じて区分を定め、取扱いを決める
- 情報のラベル付け：区分を文書や媒体に表示し、見分けられるようにする
- 情報の転送：転送の規則を決め、区分に応じた手段を使う
- 認証情報：割当てと管理の手続を決める（仕組みは別のテーマ）
- アクセス権：業務に必要な範囲で与え、定期的に見直す
- 供給者関係における情報セキュリティ：委託先の対策まで考える
- 供給者との合意における情報セキュリティの取扱い：責任と対策を契約書に明記する
- 情報セキュリティインシデントへの対応：手順と役割を決め、報告を受けて対応する
- 証拠の収集：証拠となり得る情報を、手順に従い特定、収集、取得、保持する
- デジタルフォレンジックス：法的な証拠となるデータを収集、保管し、調査分析する
- 事業継続のためのICTの備え：停止しても業務を続けられるよう、前もって備える
- 法令・規制・契約上の要求事項：該当するものを特定し、順守する
- プライバシー及びPIIの保護：PII（個人を識別できる情報）は法令などに従い保護する
ひっかけ
- デジタルフォレンジックス（証拠の収集と分析）と、脅威情報の共有の取りちがえ
- 分類（区分を決める）とラベル付け（区分を表示する）の取りちがえ
- 証拠の収集（特定〜保持）と、フォレンジックス（調査分析まで）の範囲
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
委託先との合意に関する対応として、最も適切なものはどれか。
A 社の購買部の責任者の B さんは、顧客の個人情報を扱う入力作業を、外部の事業者に委託する契約を結ぶ。B さんは、情報セキュリティ管理者と協力して、契約書に書く内容を確認している。
正解：ウ 提供する情報の範囲、委託先が実施する対策、事故が起きた時の報告を、契約書に記載して合意する
ポイント
委託先との合意に入れる内容を問う問題です。
考え方と解き方
委託元は、委託先の取扱いを監督する立場にあります。この立場なら、契約の前に、責任と対策を文書で合意できているかを先に考えます。
- 委託先でも自社と同等の対策が行われるよう、契約書に委託先の責任と実施すべき対策を明記して合意します。提供する情報の範囲と、事故時の報告もその中身です。
- したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 委託先の方針に任せると、委託元が求める対策を実施する合意がありません。契約書には、委託先が実施すべき対策を明記します。
- イ 認証の範囲が委託する作業を含むかを確かめずに記載を省くと、対策を実施する合意が残りません。認証は合意の代わりにはなりません。
- エ 事故のあとの協議では、報告や調査への協力を求める根拠がありません。事故時の対応は、事前に契約書に記載して合意します。
覚えておくこと
- 供給者関係における情報セキュリティ：委託先の対策まで考える
- 供給者との合意における情報セキュリティの取扱い：責任と対策を契約書に明記する
（テーマ・覚えること）
情報の分類、ラベル付け、転送の扱いとして、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の B さんは、情報の取扱いの規則を、次の a〜c にまとめた。
- a 情報の分類の区分は、機密性などの重要度に応じて定め、区分ごとに取扱いを決める。
- b 情報のラベル付けは、分類の区分を文書や媒体に表示して、取り扱う人が見分けられるようにする。
- c 情報の転送は、分類の区分ではなく、受け取る側の都合に合わせて、送る人が毎回手段を決める。
正解：ア a、b
ポイント
情報の分類・ラベル付け・転送の関係を問う問題です。
考え方と解き方
分類は区分を決めること、ラベル付けは区分を見える形にすること、転送は区分に応じた手段を選ぶことです。区分が手段を決める、という順で整理します。
- a は適切です。区分は重要度に応じて定め、取扱いも区分ごとに決めます。b は適切です。ラベル付けは、区分を表示して見分けられるようにします。c は不適切です。転送は、区分に応じた手段を使います。
- したがって、適切なのは a、b の全てで、ア です。
ほかの選択肢
- イ c は不適切なので、a、b、c の全てとはなりません。
- ウ b も適切なので、a、c では組合せが合いません。c は不適切です。
- エ a も適切なので、b、c では組合せが合いません。c は不適切です。
覚えておくこと
- 情報の分類：機密性などの重要度に応じて区分を定め、取扱いを決める
- 情報のラベル付け：区分を文書や媒体に表示し、見分けられるようにする
- 情報の転送：転送の規則を決め、区分に応じた手段を使う
（テーマ・覚えること）
B さんが行う業務の割当ての見直しとして、最も適切なものはどれか。
A 社の経理部には 6 人の担当者がいる。取引先への支払について、同じ担当者が支払の申請を起票し、承認も行い、振込の操作もしている。情報セキュリティ管理者の B さんは、不正や誤りの機会を減らす観点で、この業務の割当てを見直すことにした。
正解：エ 申請する担当者、承認する担当者、振込の操作をする担当者を、別々の人に割り当てる
ポイント
職務の分離を、業務の割当てから選ぶ問題です。
考え方と解き方
職務の分離は、1人で不正や誤りを完結できないようにする考え方です。この立場なら、人数が足りているかを先に確かめ、足りていれば担当を分けることを先に考えます。
- 相反する職務は、別の人に割り当てて、不正や誤りの機会を減らします。経理部には 6 人いるので、申請、承認、振込を別の人にできます。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 申請と承認を同じ担当者が続けると、1人で不正な支払を作り、承認までできます。相反する職務が分かれていません。
- イ 事後の確認は、同じ担当者が全てできる状態を変えません。人数が足りているので、先に担当を分けます。
- ウ パスワードの再入力は、本人の確認です。申請者と承認者が同じ人であることは変わりません。
覚えておくこと
- 職務の分離（相反する職務を分ける）：不正や誤りの機会を減らす
- 情報セキュリティの役割及び責任：担当を決めて割り当て、責任を明確にする
（テーマ・覚えること）
B さんが行う証拠の収集として、最も適切なものはどれか。
A 社の情報システム部の B さんは、従業員が社外へ顧客データを持ち出した疑いを、ログから見つけた。会社は、懲戒や訴訟などの法的な手続に進む可能性があるとして、証拠の収集を求めている。調査の対象は、その従業員が使っていたノート PC である。
正解：イ ノート PC の記録内容を複製して調査に使い、元の媒体は変更せず保管し、保管の経過を記録する
ポイント
法的な手続に備えた証拠の収集の進め方を問う問題です。
考え方と解き方
証拠は、後から改ざんされていないと示せることが大切です。この立場なら、元の記録を変えずに残すことを先に考え、調べる作業は複製で行います。
- 証拠となり得る情報は、元の媒体を変えずに保管し、調査には複製を使います。保管の経過を記録して、改ざんされていないと示せるようにします。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 初期化すると、証拠になる記録が消えます。調査の前に、元の記録を残します。
- ウ 元の PC を起動してファイルを開くと、日時などの記録が変わります。調査は複製で行います。
- エ 元のログを削除すると、抜き出した部分が正しいと示せません。元のログを保管します。
覚えておくこと
- 証拠の収集：証拠となり得る情報を、手順に従い特定、収集、取得、保持する
- 情報セキュリティインシデントへの対応：手順と役割を決め、報告を受けて対応する
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。