分野 S｜セキュリティ 重点分野
届出制度・評価制度・ガイドライン（ISMAP・CSF）
今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
シラバス案 Ver.0.1（2026年9月30日公表）の『4 情報セキュリティ関連組織・関連制度／情報セキュリティに関する制度・基準』
最終更新
問われ方
- 問われるとしたら：事例で、不正アクセスや脆弱性などの届出先を選ぶ形
- 問われるとしたら：SECURITY ACTION、ISMAP などの制度の目的を選ぶ形
- 問われるとしたら：PCI DSS、NIST CSF などの基準の対象を選ぶ形
- 問われるとしたら：ガイドラインや基準の a〜c の組合せの形
覚えること
- コンピュータウイルス届出制度、コンピュータ不正アクセス届出制度：IPA が受け付ける
- ウイルスや不正アクセスの被害の届出と、脆弱性の届出は、別の制度
- ソフトウェア等の脆弱性関連情報に関する届出制度：製品の脆弱性を IPA が受け付ける
- 脆弱性の届出では、JPCERT/CC が製品開発者への連絡や公表の調整を行う
- これらの届出制度は、経済産業省の告示にもとづく
- コンピュータウイルス対策基準、コンピュータ不正アクセス対策基準：経済産業省の告示
- IPA のウイルス・不正アクセスの被害の届出は、この2つの基準にもとづく
- 情報セキュリティサービス基準：経済産業省が定める。適合サービスの一覧を IPA が公開
- ISMAP：政府が求めるセキュリティ要求を満たすクラウドサービスを評価、登録する
- SECURITY ACTION：中小企業が、対策に取り組むことを自ら宣言する制度。IPA が運営
- 中小企業の情報セキュリティ対策ガイドライン：IPA が公開。経営者編、実践編、付録で構成
- 付録に、5分でできる自社診断、基本方針のサンプル、資産管理台帳のサンプルなどがある
- サイバーセキュリティ経営ガイドライン：経営者が認識すべき3原則と、担当幹部に指示する重要10項目
- PCI DSS：カード会員データなどを保存、処理、伝送する事業者などが対象の基準
- NISTサイバーセキュリティフレームワーク（CSF）2.0：統治、特定、防御、検知、対応、復旧の六つの機能
- CSF は、リスク管理の成果を整理した枠組み。達成の方法までは定めない
ひっかけ
- 被害の届出（ウイルス・不正アクセス）と、脆弱性の届出の取りちがえ
- CSF 2.0 の機能は、五つではなく、統治を加えた六つ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが届け出る制度として、最も適切なものはどれか。
A 社の情報システム担当の B さんは、自社の Web サーバーに外部の者が不正にログインし、被害が出たことを確認した。原因は従業員のパスワードの漏えいで、ウイルスの感染は確認されていない。B さんは、国の制度に基づく届出をしたい。
正解：ア コンピュータ不正アクセス届出制度：不正アクセスの被害を IPA に届け出る。
ポイント
被害や脆弱性の内容から、届出の制度を選ぶ問題です。
考え方と解き方
届出の制度は、何が起きたかで分かれます。不正アクセスの被害、ウイルスの発見や感染、製品の脆弱性の発見、の3つを見分けます。管理者の立場なら、起きたことの種類を先に決めてから、制度を選びます。
- 起きたのは、外部の者による不正ログインの被害です。原因はパスワードの漏えいで、ウイルスの感染も、製品の脆弱性の発見もありません。
- 不正アクセスの被害は、コンピュータ不正アクセス届出制度で、IPA が受け付けます。したがって、最も適切なのは ア です。
ほかの選択肢
- イ ソフトウェア等の脆弱性関連情報に関する届出制度は、製品の脆弱性を届け出る制度です。今回は脆弱性の発見ではなく、不正ログインの被害です。
- ウ コンピュータウイルス届出制度は、ウイルスの発見や感染を届け出る制度です。今回はウイルスの感染が確認されていません。
- エ 情報セキュリティサービス基準は、監査や脆弱性診断などのサービスが満たす基準です。被害を届け出る制度ではありません。
覚えておくこと
- コンピュータウイルス届出制度、コンピュータ不正アクセス届出制度：IPA が受け付ける
- ウイルスや不正アクセスの被害の届出と、脆弱性の届出は、別の制度
- ソフトウェア等の脆弱性関連情報に関する届出制度：製品の脆弱性を IPA が受け付ける
（テーマ・覚えること）
ガイドラインや基準に関する記述のうち、適切なものだけを全て挙げたものはどれか。
情報セキュリティ管理者の B さんは、部門の勉強会の資料に、ガイドラインや基準の説明を次の a〜c にまとめた。
- a NISTサイバーセキュリティフレームワーク（CSF）2.0 の機能は、統治、特定、防御、検知、対応、復旧の六つである。
- b 情報セキュリティサービス基準は経済産業省が定め、適合するサービスの一覧を IPA が公開している。
- c サイバーセキュリティ経営ガイドラインは、経営者が認識すべき3原則と、担当幹部に指示する重要10項目で構成される。
正解：イ a、b、c
ポイント
ガイドラインや基準の中身を、取りちがえずに確かめる問題です。
考え方と解き方
CSF 2.0 は、従来の五つに統治を加えた六つの機能です。古い版の五つで覚えていると、a を不適切と読んでしまいます。基準を定める機関と、一覧を公開する機関も、分けて覚えます。三つの記述を一つずつ判断します。
- a は適切です。CSF 2.0 の機能は、統治を加えた六つです。b は適切です。基準は経済産業省が定め、適合サービスの一覧は IPA が公開します。c は適切です。経営者が認識すべき3原則と、担当幹部に指示する重要10項目で構成されます。
- したがって、適切なのは a、b、c の全てで、イ です。
ほかの選択肢
- ア c も適切なので、a、b では組合せが合いません。
- ウ b も適切なので、a、c では組合せが合いません。
- エ a も適切なので、b、c では組合せが合いません。
覚えておくこと
- NISTサイバーセキュリティフレームワーク（CSF）2.0：統治、特定、防御、検知、対応、復旧の六つの機能
- 情報セキュリティサービス基準：経済産業省が定める。適合サービスの一覧を IPA が公開
- サイバーセキュリティ経営ガイドライン：経営者が認識すべき3原則と、担当幹部に指示する重要10項目
（テーマ・覚えること）
B さんが、取組みを示すために使う制度として、最も適切なものはどれか。
従業員 50 人の製造業の A 社は、取引先から、情報セキュリティ対策に取り組んでいることを示すよう求められた。A 社は、クラウドサービスも、情報セキュリティ関連のサービスも提供していない。専任の担当者はおらず、情報システム担当の B さんが、まず取組みを始めることにした。
正解：ウ SECURITY ACTION：中小企業が、対策に取り組むことを自ら宣言する制度。
ポイント
事例から、中小企業が取組みを示す制度を選ぶ問題です。
考え方と解き方
制度は、対象が違います。クラウドサービスの提供者向け、サービスの提供者向け、被害の届出、そして中小企業の自己宣言です。管理者の立場なら、自社が何を提供する事業者かを先に確かめます。
- A 社は、クラウドサービスも、セキュリティ関連のサービスも提供していません。求められているのは、被害の届出ではなく、取組みを示すことです。
- 中小企業が、ガイドラインに示された対策に取り組むことを自ら宣言する制度は、SECURITY ACTION です。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア ISMAP は、政府が求めるセキュリティ要求を満たすクラウドサービスを評価、登録する制度です。A 社はクラウドサービスの提供者ではないので、合いません。
- イ 情報セキュリティサービス基準は、監査や脆弱性診断などのサービスが満たす基準です。A 社はこれらのサービスを提供していません。
- エ コンピュータウイルス届出制度は、ウイルスの発見や感染を届け出る制度です。取組みを示す制度ではありません。
覚えておくこと
- SECURITY ACTION：中小企業が、対策に取り組むことを自ら宣言する制度。IPA が運営
- 中小企業の情報セキュリティ対策ガイドライン：IPA が公開。経営者編、実践編、付録で構成
- ISMAP：政府が求めるセキュリティ要求を満たすクラウドサービスを評価、登録する
（テーマ・覚えること）
B さんが準拠を求められている基準として、最も適切なものはどれか。
通販サイトを運営する A 社の情報セキュリティ管理者の B さんは、利用者から受け取ったクレジットカード番号を、自社のサーバーに保管している。カード会社から、決められたセキュリティ基準への準拠を求められた。
正解：エ PCI DSS：カード会員データなどを扱う事業者が対象の基準。
ポイント
事例から、決済データを扱う事業者向けの基準を選ぶ問題です。
考え方と解き方
「利用者のカード番号を自社で保管している」という扱うデータが決め手です。CSF は成果を整理した枠組みで、事業者に準拠を課す基準とは性格が違います。管理者の立場なら、自社が何のデータを扱うかで基準を選びます。
- A 社は、利用者のカード番号を自社のサーバーに保管する事業者として、カード会社から基準への準拠を求められています。
- カード会員データなどを保存、処理、伝送する事業者が対象の基準は、PCI DSS です。したがって、最も適切なのは エ です。
ほかの選択肢
- ア SECURITY ACTION は、中小企業が取組みを自ら宣言する制度です。カード会員データの扱いに対する基準ではありません。
- イ ISMAP は、政府が求めるセキュリティ要求を満たすクラウドサービスを評価、登録する制度です。A 社が求められた基準とは対象が違います。
- ウ CSF は、リスク管理の成果を整理した枠組みで、達成の方法までは定めません。カード会員データを扱う事業者を対象にした基準ではありません。
覚えておくこと
- PCI DSS：カード会員データなどを保存、処理、伝送する事業者などが対象の基準
- CSF は、リスク管理の成果を整理した枠組み。達成の方法までは定めない
- NISTサイバーセキュリティフレームワーク（CSF）2.0：統治、特定、防御、検知、対応、復旧の六つの機能
（テーマ・覚えること）
同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。