分野 S｜セキュリティ 重点分野
脅威インテリジェンスとインシデント管理
今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
シラバス案 Ver.0.1（2026年9月30日公表）の『1 組織的管理策に関する技術・手法／脅威インテリジェンス』『1 組織的管理策に関する技術・手法／インシデント管理』
最終更新
問われ方
- 問われるとしたら：インシデント発生時に、先にする対応を選ぶ形
- 問われるとしたら：事象に応じた届出先や報告の期限を選ぶ形
- 問われるとしたら：複数の事象から、対応の順を選ぶ形（トリアージ）
覚えること
- インシデントの例：漏えい、改ざん、破壊・消失、システムの停止など
- インシデントハンドリング：検知から初動、報告、復旧、再発防止までの対応
- 検知したら、まず情報セキュリティ責任者に報告する
- 責任者が対応すべきと判断したら、経営者に速やかに報告する
- 初動：被害が広がるおそれがあれば、遮断、隔離、停止を行う
- 初動では、電源を切るなどで、機器に残った記録を消さない
- トリアージ：事象の重要性と緊急度を見極め、対応の優先順位を決める
- 第一報のあと、分かったことに応じて第二報、最終報を出す
- 個人情報の漏えい等の報告先は、原則として個人情報保護委員会
- 届出先：犯罪性があれば警察、ウイルス感染や不正アクセスは IPA
- 報告が必要な漏えい等：速報は速やかに（目安は3〜5日以内）、確報は30日以内
- 不正の目的のおそれがある漏えい等の確報は、発覚から60日以内
- 復旧：正しく修復できたと確認してから、停止した機能を再開する
- 再発防止：根本原因を分析し、技術、ルール、教育、体制を見直す
- 証拠保全：訴訟などに備え、ログや機器内のデータを保全する
- OSINT（公開情報）の利用、テイクダウン、サイバー保険：用語名
- 用語名：法令に基づく報告及び本人への通知、関係機関への届出
ひっかけ
- IPA（ウイルス、不正アクセス）と個人情報保護委員会（個人情報）の取りちがえ
- 初動で電源を切ることと、ネットワークから切り離すことの取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
C さんの最初の対応として、最も適切なものはどれか。
営業部の従業員の C さんは、業務で使う PC の画面に、ファイルを暗号化したという脅迫文が表示されているのを見つけた。C さんの部門の責任者は外出中である。社内には情報セキュリティ責任者が置かれている。
正解：ウ PC をネットワークから切り離し、電源は入れたまま、情報セキュリティ責任者に報告する。
ポイント
感染が疑われる時に、利用部門の従業員が最初にする対応を問う問題です。
考え方と解き方
従業員の立場なら、被害を広げないこと、決められた報告先に伝えること、機器の記録を残すことを先に考えます。自分で直したり、相手とやり取りしたりするのは、先にすることではありません。
- 被害が広がるおそれがあるので、ネットワークから切り離します。電源を切ると機器の記録が消えるおそれがあるので、入れたままにします。
- 検知したら、まず情報セキュリティ責任者に報告します。部門の責任者の不在は、報告先を変える理由になりません。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 再起動すると、機器に残った記録が消えるおそれがあります。ネットワークにつながったままで被害も広がります。また、報告先は情報セキュリティ責任者です。
- イ ファイルを移すと、感染が広がるおそれがあります。また、報告をせずに業務を続けるのは適切ではありません。
- エ 要求に応じる連絡は、対応方針を決める立場の判断です。従業員が連絡すると状況が悪化するおそれがあり、まず切り離して報告します。
覚えておくこと
- 検知したら、まず情報セキュリティ責任者に報告する
- 初動：被害が広がるおそれがあれば、遮断、隔離、停止を行う
- 初動では、電源を切るなどで、機器に残った記録を消さない
（テーマ・覚えること）
D さんが最初に行うこととして、最も適切なものはどれか。
A 社の情報セキュリティ責任者の D さんは、午前中に次の 3 件の報告を受けた。(1) 顧客情報を保管する Web サーバーに、見覚えのない接続が続いている。(2) 営業部の PC 1 台の動作が、ここ数日遅い。(3) 不審なメール 1 通を、開かずに削除したと従業員から連絡があった。対応できる要員は、D さんを含めて 2 名である。
正解：ア 3 件の影響の大きさと緊急度を見極め、被害が広がるおそれの大きい件から着手する。
ポイント
複数の報告を受けた時の、対応の優先順位を問う問題です。
考え方と解き方
要員が限られる時は、受け付けた順ではなく、重要性と緊急度で順を決めます。責任者の立場なら、まず事象を見極める作業を先に考えます。
- トリアージは、事象の重要性と緊急度を見極め、対応の優先順位を決めることです。
- 顧客情報を保管するサーバーへの不審な接続は、被害が広がるおそれが大きいので先に着手します。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 受け付けた順に最後まで進めると、重大な件への着手が遅れます。優先順位は、重要性と緊急度で決めます。
- ウ 原因の調査を終えてから優先順位を決めると、重大な件への着手が遅れ、被害が広がるおそれがあります。優先順位は、重要性と緊急度で先に決めます。
- エ 優先順位を決めずに各自に任せると、重大な件が後回しになるおそれがあります。対応の優先順位は、責任者が決めます。
覚えておくこと
- トリアージ：事象の重要性と緊急度を見極め、対応の優先順位を決める
- 責任者が対応すべきと判断したら、経営者に速やかに報告する
（テーマ・覚えること）
インシデント対応について、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ責任者の E さんは、従業員向けの資料に、次の a〜c を書いた。
- a ウイルス感染や不正アクセスの届出先は、個人情報保護委員会である。
- b 個人情報の漏えい等の報告先は、原則として個人情報保護委員会である。
- c 収束した後は、根本原因を分析し、再発防止策を検討して実施する。
正解：エ b、c
ポイント
届出先と、収束後の対応を問う問題です。
考え方と解き方
届出先は、事象で決まります。個人情報の漏えいと、ウイルス感染や不正アクセスを取りちがえやすい所です。復旧で終わらせず、再発防止まで行います。
- a は不適切です。ウイルス感染や不正アクセスの届出先は IPA です。b は適切です。個人情報の漏えい等の報告先は、原則として個人情報保護委員会です。c は適切です。根本原因を分析して、再発防止策を実施します。
- したがって、適切なのは b、c の全てで、エ です。
ほかの選択肢
- ア a は不適切なので、a、b とはなりません。また、c も適切なので、含まれていないと合いません。
- イ a は不適切なので、a、b、c の全てとはなりません。
- ウ a は不適切なので、a、c とはなりません。また、b も適切なので、含まれていないと合いません。
覚えておくこと
- 個人情報の漏えい等の報告先は、原則として個人情報保護委員会
- 届出先：犯罪性があれば警察、ウイルス感染や不正アクセスは IPA
- 再発防止：根本原因を分析し、技術、ルール、教育、体制を見直す
（テーマ・覚えること）
B 社が個人情報保護委員会に行う報告として、最も適切なものはどれか。
B 社は、個人情報の漏えいが発覚した。個人情報保護委員会への報告が必要な事態に当たり、不正の目的によるおそれはない。
正解：イ 発覚から速やかに、3〜5 日以内を目安に速報を行い、30 日以内に確報を行う。
ポイント
個人情報保護委員会への報告の期限を問う問題です。
考え方と解き方
報告は、速報と確報の2段階です。速報は速やかに行い、3〜5日以内は目安です。確報の期限は日数で決まっているので、取りちがえないように覚えます。不正の目的のおそれがある時だけ、確報の期限が60日になります。
- 報告が必要な漏えい等は、速報を速やかに（目安は発覚から3〜5日以内）、確報を30日以内に行います。
- 不正の目的のおそれはないので、確報の期限は30日です。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 速報と確報の日数が、ずれています。確報の60日は、不正の目的のおそれがある場合の期限です。
- ウ 調査の完了を待たず、発覚から3〜5日以内に速報を行います。報告を1回にまとめることは求められていません。
- エ 3〜5日以内を目安に行うのは速報で、確報は30日以内です。速報が求められていないという説明は適切ではありません。
覚えておくこと
- 報告が必要な漏えい等：速報は速やかに（目安は3〜5日以内）、確報は30日以内
- 不正の目的のおそれがある漏えい等の確報は、発覚から60日以内
（テーマ・覚えること）
同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。