分野 S｜セキュリティ 重点分野
脅威の種類・脆弱性・不正の動機
今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『1 脅威と脆弱性／脅威の種類と動向』『1 脅威と脆弱性／脆弱性』『1 脅威と脆弱性／不正の動機・メカニズム』
最終更新
問われ方
- 不正のトライアングルの構成要素の説明を選ぶ形（6回分で1問）
- ソーシャルエンジニアリングに分類される行為を選ぶ形（6回分で1問）
- BEC に該当する行為の説明を選ぶ形（6回分で1問）
- 問われるとしたら：事例で、BEC や内部不正への対応を立場から選ぶ形
- 問われるとしたら：シャドーIT や二重恐喝の説明を選ぶ形
覚えること
- 脅威：情報資産に損害を与えるおそれのある原因。意図的なものと意図しないものがある
- 意図的な例：盗聴、盗み見、なりすまし、改ざん、不正アクセス、不正利用、破壊、盗難、侵入、クラッキング
- 意図しない原因の例：エラー（操作ミス）、事故、故障、災害、紛失、破損、アクセス権の誤設定
- 情報漏えい：秘密の情報が、権限のない外部に出ること
- 踏み台：乗っ取られ、ほかの攻撃の経由に使われる機器やサーバー
- 脆弱性：脅威に付け込まれる弱点。ソフトウェアの弱点はセキュリティホールとも呼ぶ
- 人的脆弱性は人に由来する弱点、内部統制の不備は承認・確認の仕組みの欠け
- シャドーIT：組織が許可していない機器やサービスを、従業員が使うこと
- ソーシャルエンジニアリング：人の心理的な隙を突き、パスワードなどを聞き出す
- ビジネスメール詐欺（BEC）：取引先や経営者を装う偽メールで、送金させる
- BEC への対応：口座変更の依頼は、普段と別の連絡手段で確認し、支払いは複数人で承認する
- 内部不正：従業員や元従業員など内部関係者による、秘密情報の持ち出しなど
- 不正のトライアングル：不正は、動機・プレッシャー、機会、正当化の3要素がそろった時に起きると考えられる
- 機会は不正を可能にする環境、正当化は不正を自分に納得させる理由付け
- 状況的犯罪予防の5原則：犯行を難しくする、捕まるリスクを高める、見返りを減らす
- 状況的犯罪予防の残り2つ：誘因を減らす、弁明をさせない
- ハクティビズム：主義主張を示すための攻撃。割れ窓理論、サイバーテロリズム
- ダークウェブ：匿名性の高いネットワーク。攻撃の道具やサービスの売買が行われる
- 二重恐喝（多重恐喝）：暗号化に加え、リークサイトでの公開で脅す（IPA の資料では二重脅迫）
- RaaS（Ransomware as a Service）：ランサムウェアの売買や攻撃の代行
- 情報セキュリティ10大脅威：2026年の組織向け1位はランサム攻撃による被害
ひっかけ
- 脅威は損害の原因、脆弱性は付け込まれる弱点
- シャドーIT は従業員が許可なく使うこと。外部の攻撃者の行為ではない
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
経理部の責任者として、このメールの扱いで最も適切なものはどれか。
A 社の経理部の B さんは、取引先の購買担当者名義のメールで、請求書の振込先口座を変更したいとの依頼を受け取った。メールの送信元の表示は、過去のやり取りと同じである。文面には「至急対応してほしい。他の人には伝えないでほしい」とある。B さんは、経理部の責任者に相談した。取引先の連絡先は、契約時に取り決めた電話番号が、取引先の台帳に登録されている。
正解：ウ 台帳に登録された契約時の電話番号で取引先に依頼の事実を確認し、確認できるまでは変更前の口座のまま支払いを保留する
ポイント
事例で BEC への対応を選ぶ問題です。
考え方と解き方
BEC は、取引先を装った偽のメールで送金させる詐欺で、メールの送信元の表示や文面だけでは本物かどうか決められません。経理部の責任者の立場では、依頼のやり取りとは別の、信頼できる確認の手段が使えるかを先に考えます。
- 依頼のメールそのものが偽物であるおそれがあるので、メールの中の連絡先や、メールへの返信での確認は、攻撃者に届く可能性があります。
- 確認は、契約時に取り決めた台帳の連絡先のように、依頼とは別の手段で行います。確認できるまで変更を反映しないことで、誤った送金を防げます。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 依頼のメールに返信して書類を受け取っても、相手が攻撃者なら偽の書類が届くだけです。依頼とは別の連絡手段での確認になっていないので、適切ではありません。
- イ 送信元の表示は偽装できるので、同じ表示であることは本物の根拠になりません。確認なしに振り込むのは適切ではありません。
- エ メールに書かれた電話番号は、攻撃者が用意した可能性があります。事前に取り決めた連絡先で確認していないので、適切ではありません。
覚えておくこと
- ビジネスメール詐欺（BEC）：取引先や経営者を装う偽メールで、送金させる
- BEC への対応：口座変更の依頼は、普段と別の連絡手段で確認し、支払いは複数人で承認する
（テーマ・覚えること）
機会を減らす対策として、最も適切なものはどれか。
A 社の情報セキュリティ管理者の B さんは、従業員による顧客データの不正な持ち出しを防ぐため、不正のトライアングルの3要素のうち、機会を減らす対策を選ぶことにした。現状は、営業部の全員が顧客データを全件ダウンロードでき、操作の記録も確認していない。
正解：ア 顧客データを取り出せる範囲を、業務に必要な権限の従業員だけに絞り、ダウンロードの記録を定期的に確認する
ポイント
不正のトライアングルの3要素のうち、機会を減らす対策を選ぶ問題です。
考え方と解き方
3要素は、どれかを減らすと不正が起きにくくなりますが、対策は要素ごとに別です。管理者の立場では、システムや記録の仕組みで整えられるのは、不正を可能にする環境、つまり機会だと先に考えます。
- 現状は、全員が全件ダウンロードでき、記録も見ていないので、不正の実行が可能で見つかりにくい環境です。権限を絞り、記録を確認すると、この環境が変わります。
- 営業目標や相談窓口は動機・プレッシャーに、不正を許さない教育は正当化に、それぞれ働きかける対策です。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 目標が過大にならないようにするのは、動機・プレッシャーを減らす対策で、機会を減らす対策ではありません。
- ウ 不正は許されないと伝える教育は、正当化を防ぐ対策です。権限や記録の環境は変わらないので、機会を減らす対策ではありません。
- エ 悩みを抱えた従業員の支援は、動機・プレッシャーを減らす対策です。機会を減らす対策ではありません。
覚えておくこと
- 不正のトライアングル：不正は、動機・プレッシャー、機会、正当化の3要素がそろった時に起きると考えられる
- 機会は不正を可能にする環境、正当化は不正を自分に納得させる理由付け
- 内部不正：従業員や元従業員など内部関係者による、秘密情報の持ち出しなど
（テーマ・覚えること）
情報セキュリティの脅威や脆弱性に関する記述 a〜c のうち、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の B さんは、従業員向けの勉強会の資料に、次の a〜c を載せた。
- a 脆弱性とは、情報資産に損害を与える原因となるものである。
- b 従業員が組織の許可を得ずに、私物のクラウドサービスへ業務データを保存することは、シャドーIT に当たる。
- c 元従業員が、在職中に得た秘密情報を持ち出して公開することも、内部不正に含まれる。
正解：エ b、c
ポイント
脅威と脆弱性、シャドーIT、内部不正の記述を、a〜c で見分ける問題です。
考え方と解き方
脅威は損害の原因、脆弱性は付け込まれる弱点で、逆に書くのがよくある取りちがえです。a〜c は互いに独立なので、一つずつ適切かどうかを決めてから、組合せを探します。
- a は不適切です。情報資産に損害を与える原因となるものは脅威で、脆弱性は付け込まれる弱点です。b は適切です。許可なく私物のクラウドサービスに業務データを保存するのは、シャドーIT です。c は適切です。元従業員も内部関係者に含まれ、秘密情報の持ち出しは内部不正に当たります。
- したがって、適切なのは b、c の全てで、エ です。
ほかの選択肢
- ア a は不適切なので、含められません。また、c も適切なので、a、b では組合せが合いません。
- イ a は不適切なので、a、b、c の全てとはなりません。
- ウ a は不適切です。また、b も適切なので、a、c では組合せが合いません。
覚えておくこと
- 脅威：情報資産に損害を与えるおそれのある原因。意図的なものと意図しないものがある
- 脆弱性：脅威に付け込まれる弱点。ソフトウェアの弱点はセキュリティホールとも呼ぶ
- シャドーIT：組織が許可していない機器やサービスを、従業員が使うこと
（テーマ・覚えること）
ランサムウェアによる二重恐喝（多重恐喝）の説明として、最も適切なものはどれか。
正解：イ データを暗号化して金銭を要求することに加え、窃取した情報の公開を示して、支払いを迫る
ポイント
二重恐喝（多重恐喝）の意味を、似た用語と取りちがえずに選ぶ問題です。
考え方と解き方
二重恐喝は、脅しが重なる手口の名前です。暗号化の要求だけか、情報の公開も使うかが分かれ目です。リークサイトや RaaS、ダークウェブなど周辺の用語が選択肢に入れかわっていないかを見ます。
- 二重恐喝（多重恐喝）は、データの暗号化による金銭の要求に加え、窃取した情報の公開でも脅す手口です。
- 他の選択肢は、暗号化だけの恐喝か、別の用語の説明です。したがって、最も適切なのは イ です。
ほかの選択肢
- ア 暗号化による要求だけを行う手口で、情報の公開による脅しが加わっていないので、二重恐喝ではありません。
- ウ ランサムウェアの売買と攻撃の代行を提供する、RaaS の説明です。
- エ 匿名性の高い Web サイトの売買の説明で、ダークウェブの市場の説明に当たります。二重恐喝の説明ではありません。
覚えておくこと
- 二重恐喝（多重恐喝）：暗号化に加え、リークサイトでの公開で脅す（IPA の資料では二重脅迫）
- RaaS（Ransomware as a Service）：ランサムウェアの売買や攻撃の代行
（テーマ・覚えること）
このテーマの過去問
- 令和7年度 問4不正が発生する際には“不正のトライアングル”…科目A（四択）・まずこの1問
- サンプル問題（2022年12月） 問8緊急事態を装って組織内部の人間からパスワード…科目A（四択）
- サンプル問題（2022年12月） 問13BEC（BusinessE-mailComp…科目A（四択）
同じ分野のテーマ（セキュリティ）
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- マルウェア対策とランサムウェア対策（検出手法・バックアップ）今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。