分野 S｜セキュリティ 重点分野
通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）
今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『6 技術的管理策に関する技術・手法（情報システムの適正利用の管理）／ネットワークセキュリティの技術規格・プロトコル』
最終更新
問われ方
- TLS・HTTPS で実現できることや、サーバー証明書の検証を選ぶ形
- SPF の仕組みや目的、SMTP-AUTH を選ぶ形
- 問われるとしたら：無線 LAN の規格と認証の使い分けを選ぶ形
- 問われるとしたら：OP25B と送信ドメイン認証の役割を選ぶ形
覚えること
- TLS：通信を暗号化し、サーバー証明書で接続先のサーバーを確認する
- サーバー証明書は、認証局の公開鍵で署名を検証して正当性を確かめる
- HTTPS で確かめられるのはサーバーの正当性。端末のウイルスや侵入は防げない
- IPsec：IP 層で通信を暗号化・認証する。拠点間や在宅の VPN に使う
- RADIUS：認証サーバーの方式。アクセスポイントや VPN 装置が認証を依頼する
- WPA3：無線 LAN のセキュリティ方式（暗号化・認証）。WPA2 の後継
- 利用者ごとの認証をしたい時は、認証サーバー（RADIUS）に任せる方式を使う
- SMTP-AUTH：メールの送信時に、メールサーバーが送信者を認証する
- OP25B：ISP が、動的 IP の利用者回線から ISP の外への 25 番ポートの通信を止める
- SPF：送信側が DNS に登録した正規サーバーの IP か、受信側が確かめる
- DKIM：送信側がメールに電子署名し、受信側が DNS の公開鍵で検証する
- SPF も DKIM も、自社ドメインのなりすましを受信側が見分けるための設定
ひっかけ
- SPF（IP アドレスの確認）と DKIM（署名の検証）の取りちがえ
- SMTP-AUTH（送信者の認証）と OP25B（ISP の制限）の取りちがえ
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが行う対策として、最も適切なものはどれか。
A 社の情報システム部の B さんは、取引先から『A 社を名のる偽のメールが届いた』と連絡を受けた。B さんは、A 社のドメインを使ったなりすましメールを、取引先の側で見分けられるようにしたい。A 社のメールサーバーは、自社の拠点から社外へ送信している。
正解：ウ 正規のメールサーバーの IP アドレスを DNS に登録し、送信メールに電子署名を付ける
ポイント
自社ドメインのなりすましを、受信側で見分けられる設定を選ぶ問題です。
考え方と解き方
見分けるのは取引先、つまり受信側です。受信側が確かめられる情報を、送信側が先に公開しておく必要があります。管理者の立場では、送信側の認証と受信側の確認を取りちがえないようにします。
- 受信側が確かめられるようにするには、送信側のドメインの DNS に正規の送信元の IP アドレスを登録します（SPF）。
- あわせて送信メールに電子署名を付け、受信側が DNS の公開鍵で検証できるようにします（DKIM）。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア SMTP-AUTH は、自社の利用者が自社のメールサーバーを使う時の認証です。取引先がなりすましを見分ける材料にはなりません。
- イ 取引先から届くメールの検査は、自社が受信する側の対策です。自社を名のる偽のメールを取引先が見分ける対策ではありません。
- エ OP25B は、ISP が動的 IP の利用者回線から ISP の外への 25 番ポートの通信を止める仕組みです。自社ドメインのなりすましの確認には使えません。
覚えておくこと
- SPF：送信側が DNS に登録した正規サーバーの IP か、受信側が確かめる
- DKIM：送信側がメールに電子署名し、受信側が DNS の公開鍵で検証する
- SPF も DKIM も、自社ドメインのなりすましを受信側が見分けるための設定
（テーマ・覚えること）
C さんが返す意見として、適切なものだけを全て挙げたものはどれか。
A 社の情報システム部の C さんは、部門から出た通信の保護に関する要望に対し、次の a〜c の意見を返すことにした。
- a 在宅勤務者が社内のファイルサーバーを使う通信は、IPsec を使った VPN で保護する。
- b 取引先向けの受注サイトは、HTTPS にして、サーバー証明書で接続先を確かめられるようにする。
- c 受注サイトを HTTPS にすれば、利用者の PC がマルウェアに感染することも防げると説明する。
正解：ア a、b
ポイント
通信を保護する方式の使いどころと限界を、部門への意見から問う問題です。
考え方と解き方
規格は、守る範囲で区別します。IPsec は IP 層の VPN、TLS（HTTPS）は通信路とサーバーの確認です。守れないことまで説明するのも、管理者の仕事です。この立場なら、要望が規格の守る範囲に入るかを先に考えます。
- a は適切です。IPsec は IP 層で通信を保護し、在宅勤務者の VPN に使えます。b は適切です。HTTPS はサーバー証明書で接続先を確かめられます。c は不適切です。HTTPS で守るのは通信路とサーバーの確認で、利用者の PC の感染は防げません。
- したがって、適切なのは a、b の全てで、ア です。
ほかの選択肢
- イ c は不適切なので含められません。また、b も適切なので、a、c では組合せが合いません。
- ウ c は不適切なので含められません。また、a も適切なので、b、c では組合せが合いません。
- エ b も適切なので、a だけでは足りません。
覚えておくこと
- IPsec：IP 層で通信を暗号化・認証する。拠点間や在宅の VPN に使う
- TLS：通信を暗号化し、サーバー証明書で接続先のサーバーを確認する
- HTTPS で確かめられるのはサーバーの正当性。端末のウイルスや侵入は防げない
（テーマ・覚えること）
C さんが採用する方式として、最も適切なものはどれか。
A 社の情報システム部の C さんは、社内の無線 LAN で全従業員が同じパスフレーズを共有している点を見直す。要件は、退職した従業員の接続を、その人の分だけ止められること、だれが接続したかを利用者単位で記録できること、無線区間の暗号化を最新の方式にすること、の 3 つである。
正解：エ WPA3 に切り替え、利用者ごとの認証を認証サーバー（RADIUS）に任せる方式にする
ポイント
無線 LAN の暗号化規格と、利用者ごとの認証の組合せを選ぶ問題です。
考え方と解き方
要件は 3 つあり、1 つでも欠ける案は外れます。暗号化の規格だけを新しくしても、共通のパスフレーズでは人ごとの管理ができません。管理者の立場なら、要件を 1 つずつ満たすか確かめます。
- 利用者単位で接続を止め、記録するには、利用者ごとに認証する仕組みが要ります。認証サーバー（RADIUS）に認証を任せる方式なら、接続の停止と記録の要件を満たせます。
- 暗号化は WPA3 にすれば、方式の要件も満たします。したがって、最も適切なのは エ です。
ほかの選択肢
- ア パスフレーズを分けて変更しても、使う人は共通のままで、利用者単位の停止や記録にはなりません。
- イ MAC アドレスの登録は端末の単位で、利用者の単位ではありません。共通のパスフレーズのままでは、接続の停止と記録の要件を満たせません。
- ウ WPA3 で暗号化は強くなりますが、共通のパスフレーズのままでは、接続の停止と記録の要件を満たせません。
覚えておくこと
- WPA3：無線 LAN のセキュリティ方式（暗号化・認証）。WPA2 の後継
- 利用者ごとの認証をしたい時は、認証サーバー（RADIUS）に任せる方式を使う
- RADIUS：認証サーバーの方式。アクセスポイントや VPN 装置が認証を依頼する
（テーマ・覚えること）
OP25B の説明として、最も適切なものはどれか。
正解：イ ISP が、動的 IP の利用者回線から ISP の外へ向かう 25 番ポートの通信を止める仕組み
ポイント
メールの対策の仕組みを、取りちがえずに選ぶ問題です。
考え方と解き方
メールの対策は、だれが何をするかで区別します。ISP が行うのか、受信側が確かめるのか、送信側が署名するのか、メールサーバーが利用者を確認するのかです。
- OP25B は、ISP が動的 IP の利用者回線から ISP の外へ向かう 25 番ポートの通信を止める仕組みです。迷惑メールを大量に送る機器の通信を、ISP の側で抑えます。
- 他の説明は、別の仕組みの説明です。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 受信側が送信元 IP アドレスを DNS の登録と照らし合わせるのは、SPF の説明です。
- ウ 電子署名を付けて受信側が公開鍵で検証するのは、DKIM の説明です。
- エ メールサーバーが送信する利用者を確認するのは、SMTP-AUTH の説明です。
覚えておくこと
- OP25B：ISP が、動的 IP の利用者回線から ISP の外への 25 番ポートの通信を止める
- SMTP-AUTH：メールの送信時に、メールサーバーが送信者を認証する
- SPF：送信側が DNS に登録した正規サーバーの IP か、受信側が確かめる
（テーマ・覚えること）
このテーマの過去問
- 令和6年度 問6A社のWebサーバは，サーバ証明書を使ってT…科目A（四択）
- 令和5年度 問6迷惑メール対策のSPF（SenderPoli…科目A（四択）・まずこの1問
- サンプル問題（2022年12月） 問26HTTPoverTLS（HTTPS）を用いて…科目A（四択）
- サンプル問題（2022年12月） 問27SPF（SenderPolicyFramew…科目A（四択）
- サンプル問題（2022年12月） 問28電子メールをドメインAの送信者がドメインBの…科目A（四択）
同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。