支援士

一問一答

40問オリジナル問題4科目中4科目

1 / 40

情報セキュリティマネジメント○×

経営戦略で事業の重点が変わったとき、情報セキュリティ方針も新たな要求に照らして見直す。

記録

0解いた

—正解率

0間違えた

記録はこの端末だけに保存

記録はこの端末のこのブラウザ（localStorage）にだけ残り、サーバーには送りません（会員登録なし）。別の端末には引き継がれず、ブラウザのサイトのデータを消したときなどに消えます。最後に間違えた問題が「間違えた問題」に入ります。

練習できる範囲

問題のある科目

情報セキュリティマネジメント10問
情報システムのセキュリティ確保10問
セキュリティ対策の適用10問
情報セキュリティインシデント管理10問

形式の違い・注

ここは○×と4択だけです。本試験は「CBT方式。科目A-1：四肢択一30問・50分、科目A-2：四肢択一25問・40分、科目B：記述式4問中2問・150分。」です。
問題の数・時間配分・記述や計算・実技の練習にはなりません。正解できても、支援士の合格を約束するものではありません。
同じ科目でも、論点の一部だけを扱っています。科目の名前は、このサイトが問題の分野を公式の科目に当てはめたものです。
公式の資料・条文から作った問題で、過去問の転載ではありません。本試験の形式・範囲の全部の代わりにはなりません。

問題の一覧

問1経営戦略で事業の重点が変わったとき、情報セキュリティ方針も新たな要求に照らして見直す。
答え：○（正しい）
正しいです。シラバス1-1は、経営戦略や事業戦略から生じる要求を方針に反映する能力を求めています。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問2情報資産の損失を評価するとき、原因究明や復旧に要する費用は除外する。
答え：×（誤り）
誤りです。シラバス1-2では、原因究明と復旧の費用も資産損失の評価対象です。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問3リスク対応計画を説明するときは、対策後にも残るリスクを併せて伝える。
答え：○（正しい）
正しいです。シラバス1-3は、対応計画と残留リスクを併せて説明する能力を求めています。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問4情報セキュリティ諸規程は、法令や技術動向が変わっても見直す必要がない。
答え：×（誤り）
誤りです。シラバス1-4では、法令や技術の変化を踏まえた規程のレビューが求められます。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問5セキュリティ監査後の改善策は、業務やシステムの制約も踏まえて実現可能性を検討する。
答え：○（正しい）
正しいです。シラバス1-5は、制約を考慮した管理策の検討と助言を求めています。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問6脅威情報の収集では、情報源が多ければ内容の信頼性を検証しなくてよい。
答え：×（誤り）
誤りです。シラバス1-6では、収集した情報の信頼性と正確さの検証が求められます。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問7外部機関から得た脅威情報は、自組織への影響や対応の緊急性を評価して報告する。
答え：○（正しい）
正しいです。シラバス1-6は、情報の収集に加えて組織への影響や緊急性の評価を求めています。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問8経営層にセキュリティ課題を説明する際、最も適切な内容はどれか。
1. 1. 事業への影響と必要な対策
2. 2. 製品の型番だけ
3. 3. 専門用語の一覧だけ
4. 4. 担当者の好みだけ
答え：1. 事業への影響と必要な対策
事業への影響と必要な対策が正解です。シラバス1-7では、課題と必要な対策を組織の各層に伝える能力が求められます。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問9リスク対応策の選定で、費用とともに検討すべきものはどれか。
1. 1. 画面の色
2. 2. 対象リスクに対する管理策の効果
3. 3. 製品名の文字数
4. 4. 担当者の通勤距離
答え：2. 対象リスクに対する管理策の効果
対象リスクに対する管理策の効果が正解です。対象リスクに適した管理策を選び、実施費用も考慮します。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問10組織内外の情報連携の窓口として適切な活動はどれか。
1. 1. 他組織との連絡を全て拒否する
2. 2. 脅威情報を担当者だけに留める
3. 3. 他のCSIRTと情報を共有し対応に活用する
4. 4. 未検証の噂を確定情報として配る
答え：3. 他のCSIRTと情報を共有し対応に活用する
他のCSIRTと情報を共有し対応に活用するが正解です。シラバス1-7には、CSIRTなどとの情報共有と活用が含まれます。
根拠：情報処理安全確保支援士シラバス Ver.2.1

残りの30問を見る

問11ログイン成功後もログイン前のセッションIDをそのまま使い続ければ、セッション固定化を防げる。
答え：×（誤り）
誤りです。ログイン成功時にセッションを作り直すなどの対策が必要です。
根拠：IPA 安全なウェブサイトの作り方 1.4
問12セッションIDは、時刻だけから容易に予測できる値を避けて生成する。
答え：○（正しい）
正しいです。暗号論的擬似乱数などを用い、第三者に予測されにくくします。
根拠：IPA 安全なウェブサイトの作り方 1.4
問13セッションIDをURLに入れても、Refererを通じて外部サイトへ漏れることはない。
答え：×（誤り）
誤りです。リンク先へ送られるRefererにセッションIDが含まれるおそれがあります。
根拠：IPA 安全なウェブサイトの作り方 1.4
問14HTTPS用のセッションCookieにSecure属性を付けると、HTTP通信への送出を抑えられる。
答え：○（正しい）
正しいです。Secure属性は安全な通信での送出に制限します。
根拠：IPA 安全なウェブサイトの作り方 1.4
問15管理機能のURLを画面上で隠しておけば、サーバ側での認可確認は不要である。
答え：×（誤り）
誤りです。利用者がURLを直接指定する可能性があります。サーバ側で権限を確認します。
根拠：IPA 安全なウェブサイトの作り方 1.11
問16ダウンロード対象を固定の一覧から選ばせる設計は、任意のパス指定を避ける対策となる。
答え：○（正しい）
正しいです。外部入力で自由にファイル名を指定させない方式が根本的対策です。
根拠：IPA 安全なウェブサイトの作り方 1.3
問17HTTPレスポンスヘッダに外部入力を埋め込む際、改行を無条件に許可してよい。
答え：×（誤り）
誤りです。改行がヘッダの区切りとして解釈され、任意のヘッダが挿入されるおそれがあります。
根拠：IPA 安全なウェブサイトの作り方 1.7
問18iframeに重ねた偽の表示で利用者に意図しないクリックをさせる攻撃はどれか。
1. 1. 辞書攻撃
2. 2. ポートスキャン
3. 3. セッション固定化
4. 4. クリックジャッキング
答え：4. クリックジャッキング
クリックジャッキングが正解です。見た目を欺いて、背後のページを操作させる攻撃です。
根拠：IPA 安全なウェブサイトの作り方 1.9
問19メールの宛先ヘッダへ外部入力を連結する処理で、特に防ぐべき入力はどれか。
1. 1. 新たなヘッダを作る改行
2. 2. 通常のひらがな
3. 3. 正規の宛先の文字数表示
4. 4. 本文の句点
答え：1. 新たなヘッダを作る改行
新たなヘッダを作る改行が正解です。改行を許すと、別の宛先などを挿入されるおそれがあります。
根拠：IPA 安全なウェブサイトの作り方 1.8
問20固定長バッファへデータを書き込む前に確認すべきものはどれか。
1. 1. 開発者の氏名
2. 2. 書込み量がバッファの境界を超えないこと
3. 3. 利用者の住所
4. 4. 画面の背景色
答え：2. 書込み量がバッファの境界を超えないこと
書込み量がバッファの境界を超えないことが正解です。領域を超えた書込みを防ぎます。
根拠：IPA 安全なウェブサイトの作り方 1.10
問21HMACの計算と検証には、当事者が共有する秘密鍵を用いる。
答え：○（正しい）
正しいです。HMACは秘密鍵とハッシュ関数を組み合わせたメッセージ認証方式です。
根拠：RFC 2104 §1
問22HMACを付けるだけで、元のメッセージの内容も暗号化される。
答え：×（誤り）
誤りです。HMACはメッセージ認証のための値です。機密性を得るには暗号化を別途行います。
根拠：RFC 2104 §1
問23X.509証明書の有効期間は、notBeforeとnotAfterで表される。
答え：○（正しい）
正しいです。RFC 5280の4.1.2.5に開始時刻と終了時刻が定義されています。
根拠：RFC 5280 §4.1.2.5
問24証明書は有効期間内であれば、失効していても常に信頼してよい。
答え：×（誤り）
誤りです。秘密鍵の漏えいなどで、有効期間満了前に失効する場合があります。
根拠：RFC 5280 §3.3
問25異動で業務が変わった利用者のアクセス権は、新しい担当業務に照らして見直す。
答え：○（正しい）
正しいです。シラバス3-8には、異動や担当変更時のアクセス権レビューが含まれます。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問26サーバ室の物理的セキュリティでは、不正入室だけを対象とし、火災や浸水は対象外とする。
答え：×（誤り）
誤りです。シラバス3-7では、火災や水などの環境的脅威も物理的セキュリティ管理の対象です。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問27複数機器のログで事象の前後関係を調べるため、機器の時刻を同期させる。
答え：○（正しい）
正しいです。シラバス3-4では、ログに正確な時刻を記録するための同期が求められます。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問28X.509証明書で、主体の公開鍵を格納するフィールドはどれか。
1. 1. issuer
2. 2. serialNumber
3. 3. subjectPublicKeyInfo
4. 4. notAfter
答え：3. subjectPublicKeyInfo
subjectPublicKeyInfoが正解です。RFC 5280の4.1.2.7に定義されています。
根拠：RFC 5280 §4.1.2.7
問29マルウェアの振る舞いを観察する環境として適切なものはどれか。
1. 1. 経理の本番端末
2. 2. 共有の業務サーバ
3. 3. 顧客向けの稼働環境
4. 4. 本番から隔離した解析環境
答え：4. 本番から隔離した解析環境
本番から隔離した解析環境が正解です。感染拡大や業務への影響を避けて安全に解析します。シラバス3-2と4-3が対象です。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問30委託先とのセキュリティ要求について適切な進め方はどれか。
1. 1. 契約に要求事項を盛り込み対応状況を評価する
2. 2. 契約後は確認を全て省く
3. 3. 料金だけで安全性を判断する
4. 4. 委託先の宣伝だけを証拠とする
答え：1. 契約に要求事項を盛り込み対応状況を評価する
契約に要求事項を盛り込み対応状況を評価するが正解です。シラバス3-10は、契約への要求追加と対応状況の評価を求めています。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問31セキュリティ事象の対応順位は、受信した順番だけで決めればよい。
答え：×（誤り）
誤りです。シラバス4-1と4-2では、優先順位の判断基準やトリアージが求められます。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問32初期報告では、確認済みの事実と未確認の推測を区別して整理する。
答え：○（正しい）
正しいです。シラバス4-2は、事実を確認し客観的に原因や被害を分析する能力を求めています。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問33インシデントの連絡経路は、発生するまで決めておく必要がない。
答え：×（誤り）
誤りです。シラバス4-2では、連絡と報告のフローを設計することが求められます。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問34証拠を受け渡すときは、誰が扱い何を行ったかを記録して管理の連続性を保つ。
答え：○（正しい）
正しいです。Chain of Custodyの記録で、証拠の取扱いを追跡できるようにします。
根拠：NIST SP 800-86 §3.1.2
問35RAMの内容を証拠として残すなら、まず電源を切れば内容をそのまま保存できる。
答え：×（誤り）
誤りです。揮発性データは電源断で失われます。保全の要否と採取手順を先に判断します。
根拠：NIST SP 800-86 §5.2.1
問36調査結果から得た対応上の教訓を、次の教育や訓練に反映する。
答え：○（正しい）
正しいです。シラバス4-3は、再発防止と対応改善の教訓を訓練へ反映する能力を求めています。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問37サービスを復旧できた時点で、インシデント対応手順の評価や改善は不要になる。
答え：×（誤り）
誤りです。シラバス4-3には、対応を評価し手順を改善する能力も含まれます。
根拠：情報処理安全確保支援士シラバス Ver.2.1
問38媒体の未使用領域も含めて証拠用の複製を作る方式はどれか。
1. 1. 必要な文書だけの印刷
2. 2. ビットストリームイメージ
3. 3. ファイル名一覧の保存
4. 4. 画面の拡大
答え：2. ビットストリームイメージ
ビットストリームイメージが正解です。媒体をビット単位で複製し、通常のファイルコピーでは対象外の領域も含めます。
根拠：NIST SP 800-86 §4.2.2
問39証拠の原本と複製が一致するかの確認に用いるものはどれか。
1. 1. 壁紙の色
2. 2. フォルダの表示順
3. 3. 暗号学的ハッシュ値
4. 4. キーボード配列
答え：3. 暗号学的ハッシュ値
暗号学的ハッシュ値が正解です。取得前後の比較などで、内容の同一性を確認します。
根拠：NIST SP 800-86 §3.1.2
問40デジタルフォレンジックに専門的な判断が必要な場合の適切な対応はどれか。
1. 1. 根拠なしに結論を断定する
2. 2. 証拠を削除してから相談する
3. 3. 担当者だけで全ての法的判断をする
4. 4. 専門家への依頼を検討する
答え：4. 専門家への依頼を検討する
専門家への依頼を検討するが正解です。シラバス4-4は、フォレンジックや法的措置の専門家への依頼を支援することを求めています。
根拠：情報処理安全確保支援士シラバス Ver.2.1

支援士の試験日・合格率を見る公式の過去問のページ（1件）

出典と注（2026年10月確認）11件

注

問題と解説はこのサイトで作ったものです。根拠は各問題の解説の下にリンクしています。法令の改正などで答えが変わることがあります。直したところは訂正履歴に残します。