一問一答
情報セキュリティの三要素は、機密性、完全性、可用性である。
記録
記録はこの端末だけに保存
練習できる範囲
問題のある科目
- 科目A80問
- 科目B20問
形式の違い・注
- ここは○×と4択だけです。本試験は「CBT方式。科目A・科目Bを合わせて120分、60問（科目Aは四肢択一の48問、科目Bは多肢選択式の12問）。」です。
- 問題の数・時間配分・記述や計算・実技の練習にはなりません。正解できても、情報セキュリティマネジメントの合格を約束するものではありません。
- 同じ科目でも、論点の一部だけを扱っています。科目の名前は、このサイトが問題の分野を公式の科目に当てはめたものです。
- 公式の資料・条文から作った問題で、過去問の転載ではありません。本試験の形式・範囲の全部の代わりにはなりません。
問題の一覧
問1情報セキュリティの三要素は、機密性、完全性、可用性である。
答え：○（正しい）
機密性は許可された者だけが利用できること、完全性は正確で完全であること、可用性は必要なときに利用できること。
問2完全性とは、許可された者だけが情報にアクセスできる特性をいう。
問3可用性とは、必要なときに情報や情報システムを利用できる特性をいう。
問4サイバー保険に加入して損失を補てんするのは、リスク対応のうちリスク移転の例である。
問5リスクの原因となる業務自体をやめることは、リスク回避にあたる。
問6リスク保有（受容）とは、リスクの発生確率を下げるための対策を講じることをいう。
問7ISMS（情報セキュリティマネジメントシステム）の要求事項を定める規格として、JIS Q 27001（ISO/IEC 27001）がある。
問8情報セキュリティポリシーは、一般に基本方針、対策基準、実施手順といった階層で構成される。
答え：○（正しい）
基本方針で組織の姿勢を示し、対策基準で守るべきルールを、実施手順で具体的な操作を定める。
問9BCP（事業継続計画）は、災害や事故で事業が中断しても、重要な業務を継続・早期復旧するための計画である。
問10CSIRTは、情報セキュリティインシデントの発生時に対応を行う組織内の体制である。
残りの90問を見る
問11最小権限の原則とは、業務に必要な最小限の権限だけを利用者に与えるという考え方である。
問12ゼロデイ攻撃とは、脆弱性に対する修正プログラムが提供される前に、その脆弱性を突く攻撃である。
問13ショルダーハッキングとは、ネットワーク上の通信を盗聴する攻撃である。
問14WAFは、Webアプリケーションの脆弱性を狙った攻撃から保護するための仕組みである。
問15IDSは、不正な通信を検知するだけでなく、自動的に遮断することを本来の目的とする。
問16SPFは、電子メールの送信元IPアドレスが正当かどうかを検証する送信ドメイン認証の仕組みである。
問17パスワードを保存する際は、平文ではなくハッシュ値にし、ソルトを加えると、攻撃への耐性が高まる。
答え：○（正しい）
ソルトはハッシュ化前に加えるランダムな値。同じパスワードでも異なるハッシュ値になり、辞書攻撃や事前計算された表を使った攻撃を防ぎやすい。
問18多要素認証は、知識、所持、生体のような異なる種類の要素を二つ以上組み合わせる認証である。
問19DMZは、外部に公開するサーバを、内部ネットワークから分離して置くための区画である。
問20標的型攻撃メールは、不特定多数に同じ内容を一斉に送る攻撃である。
問21バックアップを本番システムと同じ場所だけに保管しておけば、災害時にも復旧できる。
問22パッチを適用することは、既知の脆弱性を修正する基本的な対策である。
問23不正アクセス禁止法では、他人のIDとパスワードを無断で使って、アクセス制御された機能を利用できる状態にする行為が禁止されている。
問24営業秘密として不正競争防止法の保護を受けるには、秘密管理性、有用性、非公知性の三つの要件を満たす必要がある。
問25個人情報取扱事業者は、個人データの漏えい等が一定の事態にあたる場合、個人情報保護委員会への報告と本人への通知が求められる。
問26正当な理由なく、他人のコンピュータで実行させる目的でウイルスを作成することは、刑法の不正指令電磁的記録に関する罪にあたる。
問27リスクアセスメントで、リスク分析の結果をリスク基準と比較して、対応が必要かどうかを判断する段階はどれか。
- 1. リスク特定
- 2. リスク分析
- 3. リスク評価
- 4. リスク移転
答え：3. リスク評価
リスクアセスメントはリスク特定、リスク分析、リスク評価の順。評価の結果に基づいて、どう対応するかを決める。
問28共通鍵暗号方式で、10人が互いに別々の鍵で秘密に通信するとき、必要な鍵の総数はどれか。
問29公開鍵暗号方式で、10人がそれぞれ鍵の対（公開鍵と秘密鍵）を持つとき、鍵の総数はどれか。
- 1. 10
- 2. 20
- 3. 45
- 4. 100
答え：2. 20
1人あたり2個なので10×2=20。共通鍵方式より鍵の数が少なくて済む。
問30マルウェア感染が疑われる端末を見つけたときの初動として、最も適切なものはどれか。
- 1. 感染が疑われる端末をネットワークから切り離す
- 2. 原因が判明するまで放置する
- 3. ウイルス対策ソフトを削除する
- 4. 端末を初期化して証拠を消す
答え：1. 感染が疑われる端末をネットワークから切り離す
被害の拡大を防ぐため、まずネットワークから切り離す。証拠となる情報は保全し、報告手順に従う。
問31DDoS攻撃によって主に損なわれる情報セキュリティの特性はどれか。
- 1. 機密性
- 2. 完全性
- 3. 可用性
- 4. 真正性
答え：3. 可用性
大量の通信でサービスを停止させるため、利用できる状態が損なわれる。
問32MDMの主な目的はどれか。
- 1. スマートフォンなどの携帯端末を一元的に管理し、紛失時に遠隔でデータを消去できるようにする
- 2. ネットワークの通信量を増やす
- 3. メールを暗号化せずに送る
- 4. パスワードを自動的に共有する
答え：1. スマートフォンなどの携帯端末を一元的に管理し、紛失時に遠隔でデータを消去できるようにする
MDMは携帯端末の設定管理や、紛失・盗難時のリモートロック・データ消去などを行う仕組み。
問33ログを取得して保管する目的として、最も適切なものはどれか。
- 1. 通信速度を落とすため
- 2. インシデント発生時の追跡や原因調査と、不正行為の抑止のため
- 3. 利用者のパスワードを保存するため
- 4. ディスク容量を使い切るため
答え：2. インシデント発生時の追跡や原因調査と、不正行為の抑止のため
誰がいつ何をしたかを記録することで、事後の調査に使え、不正の抑止にもなる。
問34公衆回線上で暗号化した通信を行い、専用線のように安全に通信できるようにする技術はどれか。
- 1. DMZ
- 2. VPN
- 3. WAF
- 4. MDM
答え：2. VPN
VPNは仮想的な専用線を作る技術。テレワークでの社内接続などに使う。
問35ファイアウォールの主な機能はどれか。
- 1. ルールに基づいて通信を許可または拒否する
- 2. ウイルスを自動的に作成する
- 3. メールを自動で返信する
- 4. ファイルを圧縮する
答え：1. ルールに基づいて通信を許可または拒否する
ファイアウォールは、送信元・宛先・ポート番号などのルールにより通信を制御する。
問36個人データの取扱いを委託する場合の、委託元の義務として適切なものはどれか。
- 1. 委託先への監督は不要である
- 2. 委託先に対して必要かつ適切な監督を行う
- 3. 委託先が再委託しても責任はない
- 4. 委託先にすべて任せて、契約は不要である
答え：2. 委託先に対して必要かつ適切な監督を行う
個人情報取扱事業者は、委託先に対して必要かつ適切な監督を行わなければならない。
問37情報資産には、電子データだけでなく紙の文書も含まれる。
答え：○（正しい）
○。情報資産は媒体の種類を問わず管理します。紙の文書も情報漏えいや紛失の対象となります。
問38多層防御は、一つの対策だけに依存して情報を守る考え方である。
答え：×（誤り）
×。複数の対策を組み合わせて守る考え方です。一つの対策が突破されても別の対策で被害を抑えます。
問39対策を行った後にも残っているリスクを何というか。
- 1. 監査証拠
- 2. 公開鍵
- 3. サービスカタログ
- 4. 残留リスク
答え：4. 残留リスク
残留リスクです。対策の実施後も評価し、必要な追加対応を検討します。
問40リスク所有者は、組織内のリスクに責任を持つ役割と無関係である。
答え：×（誤り）
×。リスク所有者はリスクを管理する責任や権限を持つ人です。担当するリスクと責任を明確にします。
問41定性的なリスク分析では、影響や発生可能性を高・中・低などの段階で評価することがある。
答え：○（正しい）
○。厳密な金額で表す方法だけが分析ではありません。段階や尺度を定めて比較する方法も使います。
問42ISMSのマネジメントレビューは、経営層が関わらず末端の担当者だけで行う評価を指す。
答え：×（誤り）
×。マネジメントレビューには経営層が関わります。マネジメントシステムの適切性や有効性などを評価します。
問43情報セキュリティ管理策の指針を示す規格はどれか。
- 1. JIS Q 27002
- 2. HTML
- 3. SMTP
- 4. RAID 0
答え：1. JIS Q 27002
JIS Q 27002です。ISMSの要求事項を定めるJIS Q 27001とは役割が異なります。
問44ISMS認証を受ければ、組織のすべての業務が必ず認証範囲に含まれる。
問45インシデントのトリアージでは、重要度や緊急度に応じて対応の優先順位を決める。
問46情報セキュリティの方針や体制について、経営層は責任を持たなくてよい。
答え：×（誤り）
×。経営層のリーダーシップが必要です。方針や体制を通じて組織の情報セキュリティを支えます。
問47セキュリティに関する監視や分析を継続的に行う拠点・体制はどれか。
- 1. ERP
- 2. POS
- 3. SOC
- 4. RFI
答え：3. SOC
SOCです。セキュリティの監視や分析などを行います。
問48災害や故障は、情報セキュリティ上の脅威に含まれる。
答え：○（正しい）
○。脅威は悪意ある攻撃だけではありません。災害、故障、誤操作なども情報資産に影響します。
問49脆弱性と脅威は同じ意味であり、区別する必要はない。
問50不正のトライアングルの要素はどれか。
- 1. 機密性・完全性・可用性
- 2. 計画・実行・評価
- 3. 入力・演算・出力
- 4. 機会・動機・正当化
答え：4. 機会・動機・正当化
機会・動機・正当化です。不正が起こる要因を考える枠組みです。
問51情報セキュリティの脆弱性は、プログラムのバグだけに限られる。
問52情報の発信元が、主張されている本人であることを確かめられる特性はどれか。
問53暗号学的ハッシュ関数は、ハッシュ値から元のデータを容易に復元するために使う。
答え：×（誤り）
×。元のデータを容易に復元できない性質が求められます。暗号の復号とは別の処理です。
問54ディジタル署名の検証には、署名者の公開鍵を使う。
問55失効した公開鍵証明書を列挙するものはどれか。
- 1. CRL
- 2. WBS
- 3. SLA
- 4. SQL
答え：1. CRL
CRLです。証明書の有効期限だけでなく、失効の確認にも使います。
問56公開鍵証明書は、対応する秘密鍵そのものを利用者に公開する資料である。
問57チャレンジレスポンス認証は、毎回同じ応答を送るだけで再送攻撃を防ぐ。
答え：×（誤り）
×。変化するチャレンジに対応した応答を使います。以前の応答をそのまま再利用する攻撃を防ぎます。
問58一度の認証で複数の連携サービスを利用できる仕組みはどれか。
- 1. フルバックアップ
- 2. ディスクのミラーリング
- 3. 静的経路制御
- 4. シングルサインオン
答え：4. シングルサインオン
シングルサインオンです。サービスごとのログインの負担を減らします。
問59リプレイ攻撃は、過去の正当な通信データを再送して認証などを突破しようとする。
問60パスワードリスト攻撃は、候補文字を総当たりする手口だけを指す。
問61CVSSは、個々の脆弱性の深刻度を評価するための共通の仕組みである。
問62攻撃を模擬し、侵入できるかなどを検証するテストはどれか。
- 1. 負荷分散
- 2. 名称変更
- 3. ペネトレーションテスト
- 4. 日常の帳票印刷
答え：3. ペネトレーションテスト
ペネトレーションテストです。実施対象や範囲を合意した上で安全に行います。
問63SIEMは、複数の機器のログを一切組み合わせずに管理するための仕組みである。
答え：×（誤り）
×。複数の機器のログなどを集約し、相関分析などに使います。異常の検知や調査を支援します。
根拠：NIST SP 800-92 3.4 Security Information and Event Management Software
問64端末上の不審な活動を検知し、調査や対応を支援する仕組みはどれか。
- 1. RFP
- 2. ERP
- 3. PPM
- 4. EDR
答え：4. EDR
EDRです。端末の挙動を監視し、脅威への対応を支援します。
問65許可リスト方式は、登録したもの以外をすべて許可する方式である。
答え：×（誤り）
×。許可リスト方式は許可した対象を認める方式です。登録されていないものを無条件には認めません。
問66フォールスポジティブは、実際の攻撃を見逃すことをいう。
答え：×（誤り）
×。正常なものを攻撃などと誤って検知することです。見逃しはフォールスネガティブです。
問67電子メールに署名を付け、受信側が送信ドメインの公開鍵で検証する仕組みはどれか。
- 1. DKIM
- 2. DHCP
- 3. ARP
- 4. NAT
答え：1. DKIM
DKIMです。メールに付けた署名を使って送信ドメインと内容を検証します。
問68ハニーポットは、組織の本番データを必ず保存し業務の中心として使うサーバである。
答え：×（誤り）
×。攻撃者を誘導して活動を観察するための仕組みです。通常の業務用サーバとは目的が異なります。
問69システム監査人は、被監査部門から独立した客観的な立場で評価する。
問70監査の結論は、監査証拠を確認せずに印象だけで出してよい。
問71プロジェクトの作業を階層的に分解したものはどれか。
- 1. DNS
- 2. VPN
- 3. WBS
- 4. CRL
答え：3. WBS
WBSです。作業の範囲を整理し、計画や管理に活用します。
問72クリティカルパス上の作業が遅れても、他の条件が変わらなければ全体の終了日は変わらない。
答え：×（誤り）
×。クリティカルパスは全体の所要期間を決める経路です。この経路の遅れは全体の終了に影響します。
問73サービスの中断をできるだけ早く回復する活動はどれか。
- 1. 市場セグメンテーション
- 2. ソースコードの字句解析
- 3. ディスクの初期化
- 4. インシデント管理
答え：4. インシデント管理
インシデント管理です。業務への影響を抑え、サービスを回復します。
問74問題管理は、サービスの根本原因や再発防止を扱わない活動である。
答え：×（誤り）
×。問題管理は原因の特定と再発防止を図ります。サービスを早く回復するインシデント管理とは役割を区別します。
問75SLAは、提供するサービスと合意した水準を明確にする文書である。
答え：○（正しい）
○。提供者と顧客の間でサービスの条件などを合意します。サービス品質の管理に用います。
問76サーバ台数を増やして負荷への対応力を上げる方法はどれか。
- 1. スケールアップ
- 2. スケールアウト
- 3. ロールバック
- 4. デフラグ
答え：2. スケールアウト
スケールアウトです。一台の性能を上げる方法はスケールアップです。
問77RAID 0では、ディスクが故障しても冗長なデータから必ず復旧できる。
答え：×（誤り）
×。RAID 0は冗長性を持ちません。構成するディスクの故障でデータを失うおそれがあります。
問78ネットワークのレスポンスタイムは、要求から応答までの時間を表す。
問79取引先へ調達条件を示し、提案書の提出を依頼する文書はどれか。
- 1. RFP
- 2. CRL
- 3. CSV
- 4. SMTP
答え：1. RFP
RFPです。対象範囲やサービス要件などの提案依頼事項を示します。
問80セキュリティに関する要求は、システムの調達が終わってから初めて検討すればよい。
答え：×（誤り）
×。要件定義や調達の段階から明確にします。後から追加すると設計や費用への影響が大きくなります。
問81取引先を名乗るメールで振込先の変更を求められた。従来から把握している電話番号で確認する。
問82私物のクラウドサービスに顧客資料を置いても、便利なら社内の利用規則を確認しなくてよい。
答え：×（誤り）
×。業務利用の可否や情報の取扱規則を確認します。管理者が把握していないサービス利用は管理上の弱点になります。
問83機密資料を印刷した。印刷後の対応として適切なものはどれか。
- 1. 共用プリンタに放置する
- 2. 来客に自由に配る
- 3. 不要なら廊下に置く
- 4. 速やかに回収して管理する
答え：4. 速やかに回収して管理する
速やかに回収して管理します。紙の資料も漏えいを防ぐ管理が必要です。
問84退勤時に、機密資料を施錠できる保管場所に片付ける。
答え：○（正しい）
○。机上に放置せず適切に保管します。クリアデスクは紙の情報などの漏えいを防ぐ対策です。
問85退職者のアカウントは、本人がもう使わないと約束すれば有効なまま残してよい。
答え：×（誤り）
×。不要になったアカウントは利用できない状態にします。異動や退職に合わせて管理します。
問86顧客データを外部へ送る前に、宛先と添付内容を確認する。
答え：○（正しい）
○。誤送信を防ぐため、送る相手と内容を確認します。情報の転送も組織のルールに従います。
問87顧客データを開発用の試験データにするとき、保護を考えず本番データを丸ごと渡すのが適切である。
答え：×（誤り）
×。試験データにも適切な保護が必要です。必要に応じてマスキングなどを行い、不用意な持出しを防ぎます。
問88記録媒体を廃棄するときの対応として適切なものはどれか。
- 1. ファイル名だけを消して渡す
- 2. パスワードを書いて添付する
- 3. 規定に従ってデータを消去し処分する
- 4. 中身を確認せず中古販売する
答え：3. 規定に従ってデータを消去し処分する
規定に従ってデータを消去し処分します。復元のおそれを考慮し、媒体に合った方法を用います。
問89委託契約が終わったら、渡した資料の回収や廃棄と、その実施結果を確認する。
答え：○（正しい）
○。委託終了時にも情報の管理が必要です。契約担当者などと協力し、結果を確認します。
問90バックアップの取得に成功すれば、復元できるかどうかを確かめる必要はない。
答え：×（誤り）
×。復旧に使えることを確認する必要があります。バックアップだけでなくリストアの手順も準備します。
問91制限区域に入る来訪者への対応として適切なものはどれか。
- 1. 社員に続いて無確認で入れる
- 2. 入館記録を省略する
- 3. 通行証を自由に貸し出す
- 4. 権限を確認して定めた入退管理を行う
答え：4. 権限を確認して定めた入退管理を行う
権限を確認して定めた入退管理を行います。来訪者にも入退室のルールを適用します。
問92緊急の作業なら、情報セキュリティ規程の例外を担当者だけで無条件に認めてよい。
答え：×（誤り）
×。例外の扱いも規程に従って判断・承認します。緊急性だけで必要な手続を省略することはできません。
問93私物端末を業務に使う場合、組織が定めた利用条件を確認する。
答え：○（正しい）
○。BYODにも情報保護などのルールが必要です。組織が認める条件に従って利用します。
問94部門の情報資産の管理者が変わっても、情報資産台帳を更新しなくてよい。
答え：×（誤り）
×。管理者の変更を台帳へ反映します。実際の管理状況に合わせて維持する必要があります。
問95情報セキュリティ対策の導入後に行う活動として適切なものはどれか。
- 1. 有効性を点検し改善する
- 2. 導入の事実だけで終了する
- 3. 問題の報告を止める
- 4. 点検結果を捨てる
答え：1. 有効性を点検し改善する
有効性を点検し改善します。導入後も運用状況を確認して継続的に改善します。
問96ソフトウェアの部品一覧に脆弱なライブラリがあっても、自社開発部分でなければ調査は不要である。
答え：×（誤り）
×。利用している部品も脆弱性管理の対象です。SBOMなどを使って影響を調べます。
根拠：IPA 情報セキュリティマネジメント試験シラバス Ver.4.1 情報セキュリティ対策・SBOMを利用した脆弱性管理
問97SNSに業務情報を投稿する場合、公開済みかどうかや社内規則を確認しなくてよい。
答え：×（誤り）
×。業務情報の発信は組織のルールに従います。非公開情報の漏えいにつながらないか確認します。
問98重要な送金の申請者が、自分で最終承認もできる運用だけにすると内部不正を防ぎやすい。
問99システムの変更が失敗した場合に備えて、あらかじめ決めておくものはどれか。
- 1. 担当者の趣味
- 2. 来客用の献立
- 3. 元の状態へ戻す手順
- 4. 広告の配色
答え：3. 元の状態へ戻す手順
元の状態へ戻す手順です。変更の影響と失敗時の復旧を事前に検討します。
問100複数サーバのログの時系列を調べるとき、時計のずれは調査に影響しない。
答え：×（誤り）
×。時計がずれると事象の順序を誤って判断するおそれがあります。時刻の整合性を確かめて分析します。
根拠：NIST SP 800-92 5.5 Provide Other Operational Support（共通の時刻源との同期）
出典と注（2026年10月確認）20件
- IPA 情報セキュリティマネジメント試験（試験区分ページ）
- IPA スケジュール、手数料など
- IPA 情報処理技術者試験（IP・SG・FE）CBT方式パンフレット
- IPA 試験要綱・シラバス
- IPA 情報セキュリティマネジメント試験 統計情報
- IPA 情報セキュリティマネジメント試験 推移表（Excel）
- 情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1
- 情報セキュリティマネジメント試験 受験申込みページ（CBT-Solutions）
- IPA 過去問題
- IPA 情報処理技術者試験・情報処理安全確保支援士試験 推移表（年度合計）
- IPA 情報処理技術者試験・情報処理安全確保支援士試験 試験要綱Ver.5.6
- NIST CSRC 用語集 Residual risk（残留リスク）
- NIST CSRC 用語集 Vulnerability（脆弱性）
- NIST CSRC 用語集 Cryptographic hash function（暗号学的ハッシュ関数）
- NIST CSRC 用語集 Authenticity（真正性）
- NIST CSRC 用語集 Challenge-response protocol（チャレンジレスポンス認証）
- NIST CSRC 用語集 Separation of Duty（職務の分離）
- NIST SP 800-92 3.4（SIEM）・5.5（ログの時刻同期）
- IPA 中小企業の情報セキュリティ対策ガイドライン 第4.0版 第1部3 経営者は何をやらなければならないのか
- 各試験の学習時間はどれくらいかかりますか？
注
- 問題と解説はこのサイトで作ったものです。根拠は各問題の解説の下にリンクしています。法令の改正などで答えが変わることがあります。直したところは訂正履歴に残します。