分野 S｜セキュリティ 重点分野
情報セキュリティ方針と諸規程
今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
シラバス案 Ver.0.1（2026年9月30日公表）の『3 情報セキュリティ諸規程／情報セキュリティポリシーを含む組織内規程』
最終更新
問われ方
- 問われるとしたら：基本方針・対策基準・実施手順のどれかを、場面から選ぶ形
- 問われるとしたら：教育の規程に定める内容を選ぶ形
- 問われるとしたら：マルウェア感染時の初期対応を、規程の定めから選ぶ形
- 問われるとしたら：プライバシーポリシーなど、文書の種類を説明から選ぶ形
覚えること
- 情報セキュリティ方針（ポリシー）：目的や対象範囲など、組織の対策の基本的な考え方
- 基本方針は、経営者が定め、従業員や関係者に周知する
- 基本方針に書く項目の例：管理体制の整備、法令の順守、対策の実施、継続的改善
- 対策基準：基本方針に沿って、守るべき具体的な対策の基準を示す
- 実施手順：対策基準の内容を、個別のシステムや業務で実施するための手順
- 基本方針、対策基準、実施手順の順に、内容が具体的になる
- 規程の名前の例：情報管理規程、秘密情報管理規程、文書管理規程
- 規程の名前の例：職務規程、罰則の規程、対外説明の規程、例外の規程
- 規程の名前の例：規則更新の規程、規程の承認手続
- 情報セキュリティ目的、情報セキュリティ対策：用語例
- マルウェア感染時の対応：ネットワークから切断し、システム管理者に連絡する
- インシデント対応規程：発見者は、起きた事象と想定される被害を管理者に報告する
- 教育の規程：入社時、就業中、必要に応じて異動時や役割の変更時に説明する
- 教育の内容の例：ウイルス感染の予防、機密区分の取扱い、インシデント時の対応
- 罰則の規程：違反時の懲戒は、就業規則に準じる例がある
- 承認手続の例：委託先の選定や利用者アカウントの登録は、責任者の承認を得る
- プライバシーポリシー（個人情報保護方針）：個人情報の取扱いについての基本的な考え方
- ソーシャルメディアガイドライン（SNS 利用ポリシー）：SNS を使う時の決まり
ひっかけ
- 基本方針（考え方）と実施手順（具体的な手順）の取りちがえ
- 感染の疑いがあれば、様子を見ずに、まずネットワークから切断する
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
B さんが作る文書の位置づけとして、最も適切なものはどれか。
A 社では、経営者が定めた情報セキュリティ基本方針と、それに沿った対策基準がある。情報システム部の B さんは、新しい受注システムの運用担当者が日々の作業で使えるように、バックアップを取る時刻、操作の手順、失敗した時の連絡先を書いた文書を作る。
正解：ウ 実施手順：対策基準の内容を、個別のシステムで実施するための手順を示す文書
ポイント
文書が、基本方針・対策基準・実施手順のどれに当たるかを問う問題です。
考え方と解き方
文書は、基本方針、対策基準、実施手順の順に具体的になります。管理者の立場では、その文書が考え方なのか、守る基準なのか、作業の手順なのかを、書かれている内容の細かさから先に考えます。
- 時刻、操作の手順、連絡先は、個別のシステムで対策を実施するための具体的な手順です。
- 考え方や基準ではなく、手順を示す文書なので、実施手順に当たります。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 基本方針は、目的や対象範囲など、基本的な考え方を示す文書です。操作の手順までは書きません。
- イ 対策基準は、守るべき具体的な対策の基準を示す文書です。個別のシステムの操作の手順を示す文書ではありません。
- エ プライバシーポリシーは、個人情報の取扱いについての基本的な考え方を示す文書です。バックアップの手順を示す文書ではありません。
覚えておくこと
- 実施手順：対策基準の内容を、個別のシステムや業務で実施するための手順
- 基本方針、対策基準、実施手順の順に、内容が具体的になる
- 対策基準：基本方針に沿って、守るべき具体的な対策の基準を示す
（テーマ・覚えること）
情報セキュリティ教育の規程の内容として、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ責任者の B さんは、公的機関が公開している規程のひな形を参考に、従業員向けの情報セキュリティ教育の規程に定める内容を、次の a〜c にまとめた。
- a 教育は入社時に1回だけ行い、異動や役割の変更があっても、改めて説明はしない。
- b 規程の説明は、入社時のほか、就業中も行い、必要に応じて異動時や役割の変更時にも行う。
- c 説明の内容には、ウイルス感染の予防、機密区分の取扱い、インシデント発生時の対応を含める。
正解：エ b、c
ポイント
教育の規程に定める内容を問う問題です。
考え方と解き方
教育は、入社時だけで終わりにせず、就業中や役割の変わる時にも行います。内容には、日々の業務で起きやすい感染や、機密の扱い、インシデント時の動きを含めます。
- a は不適切です。入社時だけでなく、就業中や、必要に応じて異動時や役割の変更時にも説明します。b は適切です。c は適切です。ウイルス感染の予防、機密区分の取扱い、インシデント発生時の対応を説明の内容に含めます。
- したがって、適切なのは b、c の全てで、エ です。
ほかの選択肢
- ア a は不適切なので含められません。また、c も適切なので、a、b では組合せが合いません。
- イ a は不適切なので、a、b、c の全てとはなりません。
- ウ a は不適切なので含められません。また、b も適切なので、a、c では組合せが合いません。
覚えておくこと
- 教育の規程：入社時、就業中、必要に応じて異動時や役割の変更時に説明する
- 教育の内容の例：ウイルス感染の予防、機密区分の取扱い、インシデント時の対応
（テーマ・覚えること）
D さんがとる初期対応として、最も適切なものはどれか。
A 社の経理部の一般の従業員の D さんは、業務で使っているパソコンが、ウイルスに感染した疑いがあることに気づいた。A 社は、公的機関が公開している規程のひな形に沿って、マルウェア感染時の対応を定めている。
正解：イ そのパソコンをネットワークから切断し、システム管理者に連絡する。
ポイント
マルウェア感染時の初期対応を、規程の定めから選ぶ問題です。
考え方と解き方
感染の疑いがある時は、被害の広がりを止めることと、決められた連絡先に連絡することが先です。一般の従業員の立場では、自分で原因を調べたり広く知らせたりせず、規程の手順に従うことを先に考えます。
- 規程のひな形では、感染した時は、ネットワークからコンピュータを切断し、システム管理者に連絡します。
- したがって、最も適切なのは イ です。
ほかの選択肢
- ア 接続したまま駆除を試みると、被害が広がるおそれがあります。報告も、駆除の後ではなく、切断とあわせて行います。
- ウ 全従業員への注意の呼びかけは、連絡を受けたシステム管理者が行います。従業員がまず行うのは、切断と連絡です。
- エ 様子を見ている間に、被害が広がるおそれがあります。疑いがあれば、確かめを待たずに切断と連絡を行います。
覚えておくこと
- マルウェア感染時の対応：ネットワークから切断し、システム管理者に連絡する
- インシデント対応規程：発見者は、起きた事象と想定される被害を管理者に報告する
（テーマ・覚えること）
プライバシーポリシー（個人情報保護方針）の説明として、最も適切なものはどれか。
正解：ア 個人情報の取扱いについての、組織の基本的な考え方を示す文書
ポイント
プライバシーポリシーの内容を、似た文書と取りちがえずに選ぶ問題です。
考え方と解き方
文書の名前から、何についての決まりかを区別します。プライバシーポリシーは、個人情報保護方針のことで、個人情報の取扱いが対象です。
- プライバシーポリシーは、個人情報の取扱いについての、組織の基本的な考え方を示す文書です。
- 他の説明は、別の文書の説明です。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 情報セキュリティ全般についての基本的な考え方を示すのは、情報セキュリティ方針です。
- ウ SNS で情報を発信する時の決まりを示すのは、ソーシャルメディアガイドライン（SNS 利用ポリシー）です。
- エ 違反時の懲戒の内容を示すのは、罰則の規程です。
覚えておくこと
- プライバシーポリシー（個人情報保護方針）：個人情報の取扱いについての基本的な考え方
- ソーシャルメディアガイドライン（SNS 利用ポリシー）：SNS を使う時の決まり
- 情報セキュリティ方針（ポリシー）：目的や対象範囲など、組織の対策の基本的な考え方
（テーマ・覚えること）
同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。