分野 S｜セキュリティ
セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）
今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『1 セキュア開発・実装／アプリケーション開発のセキュリティ』『1 セキュア開発・実装／IoT・制御システムのセキュリティ』『3 セキュリティ評価／脆弱性評価』
最終更新
問われ方
- SQLインジェクションなど、脆弱性に合う対策の説明を選ぶ形
- CVSS の基本・現状・環境の各評価基準の特徴を選ぶ形
- ホワイトボックステストなど、検査の方法とポートスキャナの目的を選ぶ形
- 問われるとしたら：対策を、根本的解決か保険的対策かで選ぶ形
- 問われるとしたら：CVE・CWE・JVN・JC-STAR の役割を選ぶ形
覚えること
- 根本的解決：脆弱性の原因をなくす。保険的対策：攻撃されたときの被害を減らす
- セキュアプログラミング：脆弱性を作り込まないように書く方法。安全なウェブサイトの作り方もその一つ
- SQLインジェクション対策：根本的解決はプレースホルダ。保険的対策はエラー非表示、DB権限の最小化
- クロスサイトスクリプティング対策：根本的解決は出力のエスケープ。入力値チェックは保険的対策
- バッファオーバーフロー対策：メモリを直接扱わない言語で書く。扱う部分は最小限、ライブラリは修正済みを使う
- 他の対策：セッションIDは推測困難にする。OSコマンドインジェクションはシェルを起動させない
- 委託先に求める：コードの中身ではなく、対策の実施と検査の結果
- JC-STAR：IoTのセキュリティを共通の物差しで評価し、適合ラベルで示す制度
- ★1は共通の最低限の要件。★1・★2はベンダーの自己宣言、★3・★4は第三者の評価をもとに認証
- 適合ラベルは、完全なセキュリティを保証するものではない
- JVN：国内で使われる製品の脆弱性情報と対策情報を提供するポータルサイト
- CVE：脆弱性を一つずつ見分ける識別子。CWE：脆弱性の種類を識別する基準
- CVSS v3.1：脆弱性の深刻度を、共通の基準で比べる評価手法
- CVSS v3.1 基本評価基準：脆弱性そのものの特性。時間や利用環境で変わらない
- CVSS v3.1 現状評価基準：攻撃の可能性や対策の有無で、時間とともに変わる
- CVSS v3.1 環境評価基準：利用者の環境を含める。利用者が対応を決めるのに使う
- 脆弱性診断：脆弱性や設定の不備を検出し、優先付けして報告する
- ペネトレーションテスト：攻撃者と同様の手法で、実際に侵入できるかを試験する
- ホワイトボックステスト：内部構造や仕様を基に検査。内部を見ない検査はブラックボックス（ファジングなど）
- ポートスキャナ：Web サーバなどで稼働しているサービスを列挙し、不要な物を確認する
ひっかけ
- 記号の除去や入力値の検査を、SQLインジェクションの根本的解決と取りちがえる
- 基本評価基準（変わらない）と現状評価基準（変わる）の取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが委託先に求める対応として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、委託先が開発した会員向けウェブアプリの検査結果の報告を受けた。検索画面は、利用者が入力した文字列を連結して SQL 文を組み立てる実装だった。委託先は、入力値から特定の記号を取り除く処理を追加し、対応済みと報告した。
正解：ウ SQL文の組立てをプレースホルダを使う実装に改め、再検査の結果を示すよう求める。
ポイント
SQL インジェクションの対策を、根本的解決と保険的対策に分けて選ぶ問題です。
考え方と解き方
脆弱性の対策は、原因をなくす根本的解決と、被害を減らす保険的対策に分かれます。記号の除去は根本的解決に当たらないので、これだけでは終わりにできません。この立場なら、原因をなくす対策が報告に入っているかを先に考えます。
- SQL 文を文字列の連結で組み立てていることが原因です。根本的解決の一つは、SQL 文の組立てを全てプレースホルダで実装することです。
- 委託先には、実装の修正と、その再検査の結果を求めます。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 記号を取り除く処理は、根本的解決（プレースホルダなど）に当たりません。原因の文字列の連結が残るので、適切ではありません。
- イ エラーメッセージを表示しないのは、攻撃の手がかりを減らす保険的対策です。脆弱性そのものは残るので、適切ではありません。
- エ 権限を絞るのは、被害を減らす保険的対策です。実装の修正を不要にはしないので、適切ではありません。
覚えておくこと
- 根本的解決：脆弱性の原因をなくす。保険的対策：攻撃されたときの被害を減らす
- SQLインジェクション対策：根本的解決はプレースホルダ。保険的対策はエラー非表示、DB権限の最小化
（テーマ・覚えること）
C さんの判断として、最も適切なものはどれか。
A 社の情報システム部の C さんは、事務所の入退室を管理する IoT 機器を調達する。候補の製品には、JC-STAR の★2の適合ラベルが付いている。設置先は、重要な情報を扱う部署の事務所である。
正解：イ 適合ラベルは完全な保証ではないので、設置場所の要件も確かめ、必要なら追加の対策を決める。
ポイント
IoT 製品の調達で、JC-STAR の適合ラベルが示すことを選ぶ問題です。
考え方と解き方
適合ラベルは、完全なセキュリティを保証するものではありません。等級ごとに、評価の主体もちがいます。この立場なら、ラベルで足りる所と、自社の設置条件で足す所を分けて考えます。
- ★1・★2はベンダーの自己宣言で、★3・★4が第三者の評価をもとにした認証です。適合ラベルは、完全なセキュリティの保証ではありません。
- 重要な情報を扱う部署に置くので、設置場所の要件を確かめ、必要なら追加の対策を決めます。したがって、最も適切なのは イ です。
ほかの選択肢
- ア ★2はベンダーの自己宣言です。第三者の認証を受けた等級ではないので、適切ではありません。
- ウ 適合ラベルは完全なセキュリティを保証しません。設置後の脆弱性情報の確認も自社で必要なので、適切ではありません。
- エ ★の数は、満たしているセキュリティ要件の等級を表します。処理性能を表すものではないので、適切ではありません。
覚えておくこと
- JC-STAR：IoTのセキュリティを共通の物差しで評価し、適合ラベルで示す制度
- ★1は共通の最低限の要件。★1・★2はベンダーの自己宣言、★3・★4は第三者の評価をもとに認証
- 適合ラベルは、完全なセキュリティを保証するものではない
（テーマ・覚えること）
D さんが委託先に依頼する検査として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の D さんは、公開前のウェブサイトの検査を委託先に依頼する。経営層からは、公開前に、サイトのどこに弱点があるかの一覧と、直す順番を知りたいと求められている。攻撃者が実際に侵入できるかの確認までは、求められていない。
正解：エ 委託先に脆弱性診断を依頼し、検出された弱点についての結果報告を受け取る。
ポイント
脆弱性診断とペネトレーションテストを、目的から選ぶ問題です。
考え方と解き方
検査は、何を知りたいかで選びます。弱点を洗い出して優先付けしたいなら脆弱性診断、実際に侵入できるかを知りたいならペネトレーションテストです。この立場なら、経営層の求めが洗い出しか、侵入の実証かを先に考えます。
- 求められているのは、弱点の一覧と、直す順番を決める材料です。脆弱性や設定の不備を検出して優先付けして報告する、脆弱性診断の目的に当たります。
- 侵入できるかの確認は求められていないので、ペネトレーションテストは要りません。したがって、最も適切なのは エ です。
ほかの選択肢
- ア 実際に侵入できるかを試験する、ペネトレーションテストの説明です。求められていない確認なので、適切ではありません。
- イ ポートスキャナで分かるのは稼働しているサービスです。弱点の一覧と直す順番にはならないので、適切ではありません。
- ウ 公開前に一覧を得ることが求められています。連絡があった画面だけを調べると、範囲が足りないので、適切ではありません。
覚えておくこと
- 脆弱性診断：脆弱性や設定の不備を検出し、優先付けして報告する
- ペネトレーションテスト：攻撃者と同様の手法で、実際に侵入できるかを試験する
（テーマ・覚えること）
脆弱性の情報に関する記述 a〜c のうち、適切なものだけを全て挙げたものはどれか。
A 社の情報システム部の E さんは、脆弱性情報の見方を社内に説明するため、次の a〜c を資料にまとめた。
- a CVE は、脆弱性を一つずつ見分ける共通の識別子で、異なる組織の対策情報が同じ脆弱性を指すかの判断に使える。
- b CWE は、脆弱性の種類を識別する共通の基準で、脆弱性の原因となる弱点の型を整理して示すものである。
- c JVN は、脆弱性を一つずつ見分けるために、CVE-年-連番の形で番号を割り当てる識別子である。
正解：ア a、b
ポイント
CVE、CWE、JVN の役割を、取りちがえずに選ぶ問題です。
考え方と解き方
3つは名前が似ていても、役割がちがいます。CVE は個々の脆弱性の識別子、CWE は脆弱性の種類の基準、JVN は脆弱性情報と対策情報を提供するサイトです。
- a は適切です。CVE は、脆弱性を一つずつ見分ける識別子です。b は適切です。CWE は、脆弱性の種類を識別する基準です。c は不適切です。番号を割り当てる識別子は CVE で、JVN は脆弱性情報と対策情報を提供するポータルサイトです。
- したがって、適切なのは a、b の全てで、ア です。
ほかの選択肢
- イ c は不適切なので、a、b、c の全てとはなりません。
- ウ b も適切なので、a、c では組合せが合いません。また、c は不適切です。
- エ a も適切なので、b、c では組合せが合いません。また、c は不適切です。
覚えておくこと
- CVE：脆弱性を一つずつ見分ける識別子。CWE：脆弱性の種類を識別する基準
- JVN：国内で使われる製品の脆弱性情報と対策情報を提供するポータルサイト
（テーマ・覚えること）
このテーマの過去問
- 令和8年度 問5情報セキュリティでの脆弱性の検出に用いられる…科目A（四択）
- 令和7年度 問6CVSSv3について，基本評価基準，現状評価…科目A（四択）・まずこの1問
- 令和5年度 問7Webアプリケーションにおけるセキュリティ上…科目A（四択）
- サンプル問題（2022年12月） 問30Webサーバの検査におけるポートスキャナの利…科目A（四択）
同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。