分野 S｜セキュリティ 重点分野
人的対策（内部不正防止・訓練・守秘）
今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『2 人的管理策に関する技術・手法／人的管理』
最終更新
問われ方
- 内部不正防止ガイドラインに照らして、退職者に関する適切な対策を選ぶ形
- 問われるとしたら：標的型メールに関する訓練の結果の生かし方を選ぶ形
- 問われるとしたら：机上演習の説明を、他の訓練と見分けて選ぶ形
- 問われるとしたら：内部不正対策の考え方や誓約書の記述の適切さを選ぶ形
覚えること
- 組織における内部不正防止ガイドライン：IPA が示す、内部不正対策の手引き（第5版）
- ガイドラインは、10の観点・33項目で対策を示す
- 経営者は、内部不正を事業リスクとして捉えて対処する
- 対策が行き過ぎて、活力や情報の利活用を損なわないよう、経営者が判断する
- 退職予定者には、重要情報へのアクセスや媒体の持出しの監視を強化する
- 退職時には、付与した ID と権限を無効にし、貸与品を返却させる
- 秘密保持契約・誓約書：守る重要情報を、客観的に特定できるよう記載する
- 対象を示さない誓約書や、範囲を決めない競業避止義務契約は適切でない
- 退職予定者が誓約書を拒む場合に備え、入社時や配属時にも契約を結ぶ
- モニタリングは、目的などを就業規則で周知してから行う
- モニタリングの目的：従業員の適正な就業の支援と、内部不正からの保護
- 情報セキュリティ訓練（標的型メールに関する訓練）：模擬メールで行動を確かめ、教育に生かす
- 机上演習：想定した事案をもとに、対応の手順と役割を話し合って確かめる
- 用語例：セキュリティクリアランス
ひっかけ
- 標的型メールに関する訓練（従業員の行動）と、机上演習（手順の確認）の取りちがえ
- 誓約書の対象は、広く書くほどよい、と取りちがえる（客観的に特定する）
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
従業員のモニタリングを導入する際の対応として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、内部不正への対策として、従業員の重要情報に関する操作を記録して確かめるモニタリングを導入することにした。従業員のプライバシーへの配慮も必要だと考えている。
正解：エ 実施の前に、目的と対象を就業規則などで従業員に周知し、従業員を内部不正から守ることが目的だと示す
ポイント
モニタリング導入時の周知を問う問題です。
考え方と解き方
モニタリングは、不正の抑止と調査に役立ちますが、従業員の権利にも関わります。管理者の立場なら、何のために何を記録するのかを、前もって周知することを先に考えます。
- モニタリングを行う場合は、目的などを就業規則で周知して実施します。目的は、従業員を内部不正から守ることだと、あわせて示します。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 知らせずに実施し、結果の使い道も限定しないと、従業員のプライバシーに配慮した運用になりません。目的などを周知します。
- イ 就業規則での周知を後回しにすると、従業員は記録される範囲を前もって知れません。周知してから実施します。
- ウ 操作の記録を取らないと、問題が起きた時に事実を確かめられません。記録を取り、目的に合う範囲で扱います。
覚えておくこと
- モニタリングは、目的などを就業規則で周知してから行う
- モニタリングの目的：従業員の適正な就業の支援と、内部不正からの保護
（テーマ・覚えること）
結果の生かし方として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、全従業員を対象に、標的型メールに関する訓練を実施した。模擬メールを受けた 200 人のうち、添付ファイルを開いた人が 30 人、不審だと情報システム部に報告した人が 20 人だった。B さんは、この結果を次の教育に生かしたい。
正解：イ 開いた人数と報告した人数を集計し、報告の手順や見分け方を、次の教育の内容に反映する
ポイント
標的型メールに関する訓練の結果の生かし方を問う問題です。
考え方と解き方
訓練は、従業員の行動を確かめて、教育に生かすために行います。この立場なら、開いた人を責めることより、結果を教育の内容にどうつなげるかを先に考えます。
- 開いた人数と報告した人数の両方を集計すると、見分け方と報告の手順の、どちらが弱いかが分かります。その結果を、次の教育の内容に反映します。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 開いた人だけを対象にすると、報告の手順を知らない従業員が残ります。報告の手順は全従業員に必要です。
- ウ 報告した人も、役割に応じた教育を繰り返し受ける必要があります。一度の結果で対象から外しません。
- エ 報告した人数は、不審だと見分けて報告できているかを示します。開いた人数だけでは、報告の手順の弱さが分かりません。
覚えておくこと
- 情報セキュリティ訓練（標的型メールに関する訓練）：模擬メールで行動を確かめ、教育に生かす
（テーマ・覚えること）
机上演習の説明として、最も適切なものはどれか。
正解：ウ 想定した事案をもとに、参加者が、対応の手順と役割を話し合って確かめる訓練
ポイント
机上演習を、他の訓練や検査と見分ける問題です。
考え方と解き方
訓練や検査は、何を確かめるのかで見分けます。机上演習は、システムを動かさずに、手順と役割を話し合って確かめる点が特徴です。
- 机上演習は、想定した事案をもとに、参加者が対応の手順と役割を話し合って確かめる訓練です。
- したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 模擬メールで従業員の行動を確かめるのは、標的型メールに関する訓練の説明です。
- イ 実際のシステムを動かして復旧を確かめるのは、実機での復旧訓練の説明です。
- エ 外部の専門家が攻撃を試みて弱点を探すのは、ペネトレーションテスト（侵入検査）の説明です。
覚えておくこと
- 机上演習：想定した事案をもとに、対応の手順と役割を話し合って確かめる
- 情報セキュリティ訓練（標的型メールに関する訓練）：模擬メールで行動を確かめ、教育に生かす
（テーマ・覚えること）
内部不正の対策に関する記述として、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の B さんは、IPA の組織における内部不正防止ガイドラインを読み、自社の対策を、次の a〜c にまとめた。
- a 経営者は、内部不正を事業リスクとして捉えて、対策に取り組む。
- b 退職予定者が誓約書の提出を拒む場合に備え、入社時や重要な業務への配属時にも秘密保持契約を結んでおく。
- c 内部不正の対策は、厳しいほど望ましいので、情報の利活用に支障が出ても、監視と制限を最大限にする。
正解：ア a、b
ポイント
内部不正防止ガイドラインの考え方を問う問題です。
考え方と解き方
ガイドラインは、経営者に、内部不正を事業リスクとして対処させつつ、行き過ぎた対策で活力や情報の利活用を損なわないよう求めます。厳しいほどよい、という考えは取りちがえです。
- a は適切です。経営者が事業リスクとして対処します。b は適切です。拒まれる場合を想定して、入社時などにも契約を結びます。c は不適切です。行き過ぎた対策は、活力や利活用を損なうので、経営者が的確に判断します。
- したがって、適切なのは a、b の全てで、ア です。
ほかの選択肢
- イ c は不適切なので、a、b、c の全てとはなりません。
- ウ b も適切なので、a、c では組合せが合いません。c は不適切です。
- エ a も適切なので、b、c では組合せが合いません。c は不適切です。
覚えておくこと
- 経営者は、内部不正を事業リスクとして捉えて対処する
- 対策が行き過ぎて、活力や情報の利活用を損なわないよう、経営者が判断する
- 退職予定者が誓約書を拒む場合に備え、入社時や配属時にも契約を結ぶ
（テーマ・覚えること）
このテーマの過去問
過去問を解く（1問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。