【セキュマネ】令和07年度科目Aの解説（情報セキュリティマネジメント試験, SG, 午前）

2025年12月28日 09:10

このNoteでは「情報セキュリティマネジメント試験（SG）」令和07年度科目Aを解説します。

このNoteの解説には、過去問の関連問題へのリンクを貼っています。演習しないと学習効果が無くなるので、必ず演習をお願いしますね。

今回の問題を私なりに分類すると以下。

★：02問：必ず正解する
☆：05問：正解できるようになる
同：01問：新しい問題に流用された
推：04問：覚えず消去法/推測で対応
捨：00問：対応しない/捨てる

☆が多いのが印象的でした。他に覚えるべき重要事項があるので、必ず正解（★）ほどじゃないけど、捨てる（捨）ほどでもない。

そもそも問題数が少ないので、実力計測には使えないので、作問者からの「出すからね！」って宣言と捉えて、対策せざるを得ないですね。

このNoteでは、基礎/重要語の補強/リンク、優先順にまで書きましたので、学習に役立てて頂ければ嬉しいです。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。

＞全Noteへのリンク
＞Iパスの無料51Note
＞Iパスの過去問解説マガジン
＞Iパスの法律20テーマ（メン限）
＞FEの無料58Note
＞FEの科目A過去問解説マガジン
＞FEの科目Bマガジン（セキュリティ）

※このNoteは、いずれマガジンにすると考えています。

問01推 | リスクアセスメント３種とリスク対応４種

正答はエ。

「リスクアセスメント」は3工程（特定→分析→評価）。＞【Iパス】リスクアセスメントのNote

リスク特定：リスクを発見して特定します
リスク分析：起こる確率や損害規模などを見積もる
リスク評価：分析結果から、事前に決めたリスク基準と比較して、優先順位をつける

「リスク対応」は、リスクアセスメントの次に行い。各リスクへどんな対応（4種類）をするかの割当などを行います。＞【Iパス】リスク対応のNote

ア：迷うので保有してイ～エから決めます。アセスメント3+対応1(or4)=4～7だから、選択肢で用語が重複しないと仮定すると、アは対応/特定/分析ではないから、「リスク評価」の可能性があるが「優先順/レベルと比較」などの言葉がない。
むしろ「リスクマネジメント」な気がします。「設計P」「実施D」「改善A」で、「効果を保証」が監査Cなのかと。
イ：「対応～選択肢を選定～実施」から「リスク対応」だと判断。
ウ：「リスクを発見」から「リスク特定」だと判断。
エ：正しい。「リスクレベル」など「理解」から「リスク分析」だと判断。

リスク対応とアセスメントは、Iパスから高度資格まで御用達のテーマ。
＞【Iパス】リスク対応のNote
＞【Iパス】リスクアセスメントのNote

工程はアセスメント→対応の順ですが、学習順はリスク対応からがお薦め。出題頻度が高いので。

「リクス対応」の4種類。4択問題と相性抜群。＞【Iパス】リスク対応のNote

低減（軽減）は、リスクが顕在化する確率・損害規模を小さくする対策です。
回避は、リスクを完全に回避します。個人情報漏えいを完全回避するには、個人情報を「取り扱わない」のが一番です。
共有（移転, 転嫁）は、保険加入などをして社外組織とリスクを共有・移転します。
保有（受容）では特に対策しません。発生確率や規模が小さい場合、判断します。

「リスクアセスメント」は3工程（特定→分析→評価）。＞【Iパス】リスクアセスメントのNote

リスク特定：リスクを発見して特定します
リスク分析：起こる確率や損害規模などを見積もる
リスク評価：分析結果から、事前に決めたリスク基準と比較して、優先順位をつける

補強 | 覚えておきたいISO

私が覚えておきたい国際規格（ISO）をまとめます。

ISO27000：組織のISMS（情報セキュリティマネジメントシステム）
- 「ISO27001」は、守るべき「要求事項」。
- 「ISO27002」は、やってるのが望ましい「実践規範」つまりお手本。
ISO14000：組織の環境マネジメント（エコマーク）
ISO15408：機器のセキュリティ設計
ISO15001：個人情報の管理（プライバシーマーク）
ISO9000：組織の品質マネジメント

＞【Iパス】令和06年問11の解説Note

「ISO 31000」=リスクマネジメントは今回の問2でSG2回目。とはいえ問われることはなく、問題文に登場する程度。＞【SG】平成29年秋問05のNote

セキュリティ周りのISOに優先順をつけますね。
「組織」のセキュリティ規格は「ISO 27000」が一番重要。
更にIパス/SGでは、機器のセキュリティ設計「ISO 15408」。
31000は後回しで、最悪忘れても良いかも。

問02★ | まずは基礎から

正答はア。＞【SC】SIEM, CASBのNote

SIEM：各機器のログを収集・分析し管理者に通知。

ア：正しい。「様々な機器のログ」「集中管理」「分析」や「可視化」で「SIEM」だと判断。
イ：通信の中身まで見てるので、IDS/IPS/WAFかと。しかし暗号化されてるので、チェックはできないでしょう。無意味。前段でSSLアクセラレータなどで複号する必要があります。
ウ：「UTM」は、FWだけでなく様々なセキュリティ対策機能を持ったデラックスな機器。
エ：多分FIM（ファイル整合性監視）。改ざんや破損を検出する技術で、検出したら調査や修復をするとのこと。(アイディネットワーク社, SCSK社, wikipedia英語)。wikipediaも英語ですしまだ新しい技術みたいなので、＞＊問03で特集するSIEM, CASB, EDR, DLPからを薦めます。

今回はセキュリティ機器を補強して、次問03でSIEMなど流行語を補強しますね。

セキュリティ機器の基礎。

FW（ファイアウォール）：データの送信元・送信先から通過可否の判断をする門番
IDS：攻撃を検知したら、管理者に通知する
- NIDS：ネットワークの通信を監視
- HIDS：ホスト（端末）の通信を監視
IPS：攻撃を検知したら、通信を遮断する
WAF：Webサーバ（アプリ）への攻撃を防ぐ
UTM：FWだけでなく様々なセキュリティ対策機能を持ったデラックスな機器。

＞【FE】NW❻セキュリティ機器のNote
＞【NW】AM2㊶セキュリティ機器のNote

SIEMなど流行語は次＞問03＊で特集します。

問03★ | 次は流行語

正答はイ。

ゼロトラスト：従来の境界防御（FW）ではなく、情報への全アクセスを信頼せずに疑う考え方/セキュリティ施策

ア："残っている脆弱性"以外の言い方はなさそう。「ゼロデイ攻撃」に突かれる脆弱性だと分かるのが大事。＞【SG】平成30秋問13のNote
イ：正しい。「内部ネットワーク」がキーワードになりやすいです。意外とSG出題実績なしで、今回初。
ウ：多分、ゼロ知識証明（wikipedia）。覚えるかは一旦保留で。
エ：「振る舞い」からマルウェアを「検知」で判断。「ビヘイビア法」。ビヘイビア（Behavior）は「立ち振る舞い」のこと。「コンペア法」（=ファイルを原本と比べる）と一緒に出てます。
＞【SG】令和06年度問03のNote
＞【SG】サンプル問29のNote
＞【SG】令和01年春問22のNote
＞【SG】平成30年春問23のNote
＞【SG】平成28年秋問18のNote

選択肢の学習優先は、ア（ゼロデイ攻撃）＞イ（ゼロトラスト）エ（ビヘイビア法）＞ウ「ゼロ知識照明」。

邪推ですけど、エだけ"ゼロ"が付いてない。ゼロなんたらって用語があるのかなぁ。作問者視点として揃えることがあります。例えば”デジタル～”とか”データ～”とか。

令和以降の出題実績がある流行語をまとめます。他にも増えてますが一旦これで。IパスからSCまで幅広く役立ちますよ。

ゼロトラスト：従来の境界防御（FW）ではなく、情報への全アクセスを信頼せずに疑う
SIEM：各機器のログを収集・分析し管理者に通知
CASB：各社員のクラウド利用の可視化
EDR：端末を監視し異常や不審な動きがあれば、ネットワーク切断・プロセス終了
DLP：機密情報を自動的に特定し、送信や出力などを検知しブロック

SIEMとDLPはSG出題実績あり。重複はご容赦。
SIEM
＞【SG】平成31年春問30のNote
＞【SG】平成30年春問12のNote
＞【SG】平成29年秋問14のNote
＞【SG】平成28年秋問15のNote
DLP
＞【SG】平成29年秋問13のNote
＞【SG】平成28年秋問15のNote

問04同 | 不正のトライアングル

正答はア。全く同じ出題あり。＞【SG】平成29年春問27のNote

不正のトライアングル：「機会」「動機」「正当化」が揃うほど不正が起こり易い。

ア：正しい。できちゃう環境にあると、やっちゃう機会に。
イ：「情報と伝達」は不正のトライアングルに含まれてないので。
ウ：誤り。「プレッシャ」は「動機」に該当。
エ：誤り。「責任転嫁」「自分勝手な理由付け」は「正当化」に該当。

不正のトライアングルの出題実績。
＞【Iパス勉強法】3用語のNote
＞【SG】平成30年秋問12のNote
＞【SG】平成29年春問27のNote
＞【SG】平成28年秋問11のNote
＞【SG】平成28年春問09のNote

問05☆ | DNSキャッシュポイズニング

正答はイ。

「DNSキャッシュポイズニング」は、DNSサーバに謝った情報を登録する攻撃。DNSサーバ利用者を誤ったWebサイトに誘導します。＞【SC】出題さらえた攻撃73種Note

手口は、DNSサーバが問合せを出したとき、問い合わせたDNSサーバからの応答よりも先に、偽の応答を伝えるもの。

ア：ポート番号はランダムにした方が良いです。通信の宛先にはIPアドレスとポート番号を使います。送る窓口が変わった方が偽の通信が通過しにくいですよね。
イ：正しい。外部からの問合せを受ける設定だと、攻撃者は問合せをして、DNSサーバがインターネットへ問合せを出すので、すぐに偽の応答を返して攻撃を成立できます。
ウ：ポート番号と同じで固定にすると、偽装が簡単になるので。
エ：特段問題なし。権威DNSサーバは管轄しているドメインについて返答するのが役目。外部に問合せはしないので、攻撃成立に無関係です。

選択肢の中ではア最優先。DNSキャッシュポイズニングの対策=ポート番号のランダム化、が一番基礎です。

「再帰的問合せ」は難しいので一旦保留して良いですが一応解説。

「再帰的問合せ」とは、繰り返す問合せ。例えば「www.google.co.jp」のIPアドレスを調べる時、
1：ルートDNSにjpのDNSサーバのIPアドレスを聞く
2：jpのDNSサーバに、coのDNSサーバの～
3：googleのDNSサーバに、www(Webサーバ)のIPアドレスを聞く
これで、私たちはgoogleのwebサーバにアクセスしてるんです。
難しいのでSGでは一旦保留でもOK。もっと大事な用語や仕組みがありますから。

DNSキャッシュポイズニングの出題実績。
＞【SG】サンプル問17のNote
＞【SG】令和元年秋問16のNote
＞【SG】令和元年秋問25のNote
＞【SG】平成31年春問10のNote
＞【SG】平成30年春問20のNote
＞【SG】平成29年秋問22のNote

問06☆ | CVE/CWE/CVSS→CVSS詳細

正答はア。

ア：「攻撃コードの出現の有無」を"現在の対応状況"と解釈し「時間～変化」もあるので、「CVSS現状値」だと判断。
イ：「利用者ごとに」を”環境を考慮”と解釈して「CVSS環境値」だと判断。
ウ：「時間～変化しない」で「CVSS基本値」かなと判断できるかなぁ。少なくとも「CVSS現状値」ではない。
エ：「環境によらず」「時間～変化しない」で「CVSS基本値」だと判断。

CVSSを用いた判定は、SCで最近出ましたが難しいですよ。＞【SC】令和7年春午後問2の解説Note

解くまでの知識インプットが多いですねぇ。CVE/CWE/CVSSは必須ですが、CVSSの詳細は私は捨てたいかなぁ

脆弱性の3点セット。
＞【SC】平成30年秋午後1問2設問1deの解説Note
＞【SC】平成30年秋午後1問3設問2aの解説Note
＞【SC】令和7年春午後問2の解説Note

CVE：脆弱性識別子。つまりID
CWE：脆弱性の種類。つまりカテゴリ
CVSS：脆弱性の深刻度
※4文字なので一番「深い」と覚えてます。

ここまでは、Iパス/SG/FEレベル。

最近CVSSだけ深堀されます。SCでさえ難しいので、SGでは捨てて良いんじゃないかなぁと。＞【SC】令和7年春午後問2の解説Note

CVSS基本値：脆弱性の特性の評価値。変更されない。
CVSS現状値：脆弱性への現在の対応状況に応じた評価値。時間的に変化していく。外部機関が算出してれば情報収集の手間が省ける。算出されていない場合が多い。
CVSS環境値：利用環境も含めて最終的な深刻度を評価する。ユーザごとに変化する値。算出に専門知識が必要。
CVSS補足評価基準
※v4.0で追加。いずれ補足値と呼ばれるかも？

最近CVSSだけ深堀されます（基本値, 現状値, 環境値）。SCでさえ難しいので、SGで出たけど捨てて良いんじゃないかなぁと。
＞【SG】平成30年秋問28のNote

＞【SG】平成28年秋問04のNote
＞【SG】平成30年春問17のNote
＞【SG】平成30年秋問28のNote

問07推 | 迷惑メール防止法（オプトイン）

正答はエ。

特定なんちゃら法、いわゆる「迷惑メール防止法」では、事前同意を得てから送信する「オプトイン」が原則。＞【Iパス】法律➏：特定電子メール法Note

オプトイン：同意を得てから送信する。法律が支持。
オプトアウト：送信して拒否申請があれば止める。法的にダメ。

ア：「受託した事業者だけ」が怪しい。委託しなければ自分たちで勝手に送信できるのかと、んなわけない。
イ：「オプトアウト」なのでダメ。
ウ：迷惑メールを規制するのであって、監視/走査する法律ではない。「通信傍受」も怪しい。通信の秘密（電気通信事業法）があるので。＞【SG】平成28年秋問31のNote
覚えなくて良いですが、走査については通信傍受法に定めているようです。
エ：「送信者～に対する義務」は良いですね。また「送信委託者」も対象なのは、勉強になりました。

＞【Iパス】法律➏：特定電子メール法Note
＞【SG】サンプル問33のNote
＞【SG】平成31年春問33のNote
＞【SG】平成30年秋問13のNote
＞【SG】平成29年秋問32のNote
＞【SG】平成28年秋問34のNote
＞【SG】平成28年春問34のNote

問08推 | 指摘事項=悪いこと

正答はア。

「監査人が監査報告書え～指摘事項」とは、つまり悪いこと。

ア：指摘すべき。「直ちに懲戒手続き」が怪しい。「直ちに」するのは被害/再発を対策すことで、当人へは調査など時間をかけるはず。ヒトの人生に影響が出ますし、不正できる環境については組織が改善すべきです。
イ：「影響度」「教育の実施状況」を考慮して「段階別の対応」も実現性があって良いですね。
ウ：「公平な取り扱い」は良いですね。
エ：「細則を策定」だけでなく「周知徹底」まで考えてて良いですね。

監査は一大テーマです。＞【Iパス】監査Note（Iパス後もずっと使える）

学習順は、監査人の立場・監査の手順。指摘事項は、覚えなくてOK。事例は無限に作れるのでキリないので。"改善が必要だな"と常識とセンスで解きます。

SGでの出題は超多いので、★からがお薦めです。
＞【SG】平成31年春問37のNote（監査★）
＞【SG】平成29年秋問41のNote（PDCA★）

問09☆ | その場で理解する

正答はエ。

問題文に数式がある場合は覚えず、その場で解釈して計算します。

「満足度の平均点」=（満足度×回答数）/総回答数なので、
=(5×50+4×250+3×150+2×50+1×0)/(50+250+150+50+0)
=(250+1000+450+100+0/500
=1800/500
=3.6

「満足度の目標値」は、問題文から4.0。

「目標達成率」=「満足度の平均点」÷「満足度の目標値」なので、
=3.6÷4.0
=0.9なので、エ（0.9）。

覚える公式や計算法は、技術と会計をメインに。
＞【FE】計算シリーズ
＞【AP】計算シリーズ

問10☆ | RASIS→「～性」, 稼働率計算

正答はア。

RASIS（信頼性R, 可用性A, 保守性S, 保全性/完全性I, 安全性/機密性S）。機密性がCIAではCなのは、ちょっとだけ注意。＞【Iパス】CIAのNote

ア：正しい。安定して動き続けること。「MTBF（平均故障間隔）」が長いほど良い。＞【SG】平成30年春問08のNote
イ：ちょっと惜しい。「稼働している時間」ではなく、稼働している時間の比率「稼働率」。計算問題あり。＞【FE】計算⑬MTBFとMTTRのNote
ウ：保守性の指標は「MTTR」（復旧に要する平均時間）。
エ：「完全性I」はシステムの処理内容/結果/データが正しいことなので。＞【Iパス】CIAのNote
なお選択肢文の「故障率」は 1/MTBF。故障率の計算問題は出てないので、稼働率の計算問題を重視。
＞【SG】平成29年秋問45のNote
＞【FE】計算⑬MTBFとMTTRのNote
＞【AP】計算⑦稼働率のNote

「～性」は多いので優先を付けます。私は「CIA（機密性C, 完全性I, 可用性A）」（→営業秘密3要件@不正競争防止法, 秘密管理性, 有用性, 非公知性）→RASIS（信頼性R, 可用性A, 保守性S, 保全性/完全性I, 安全性/機密性S）かな。機密性がCとSなのがややこい。
＞【Iパス】CIAのNote
＞【Iパス】法律➒：不正競争防止法Note

RASISの特性が出る問題
＞【SG】平成30年秋問36のNote
＞【SG】平成30年春問08のNote
＞【SG】平成29年秋問11のNote
＞【SG】平成29年春問24のNote

個人的にはRASISの「～性」よりは、CIAや営業秘密を優先したいですが、わざわざ数少ない公開問題に入れてるので捨てもできないですね。Iパスレベルとは悩ましい。Sが2つあるし、機密性SがCIAの機密性Cと文字が違うのが嫌な所。

RASISをほどほどに、
・CIAや営業秘密の「～性」覚え
　＞【Iパス】CIAのNote
　＞【Iパス】法律➒：不正競争防止法Note
・稼働率計算(MTBF, MTTR)演習
　＞【FE】計算⑬MTBFとMTTRのNote
を行って下さい。

問11☆ | 「データ～」シリーズ

正答はイ。似た問題は出てますが、今回のは個人的にはマイナーかな。でも数少ない公開問題なので、今後出すって宣言なんでしょうね。＞【SG】平成29年春問45のNote

ア：データの目録。どんなデータがどこにあるかのリストのような。（Oracle社）
イ：正しい。データマートは、データウェアハウスのビジネスに絞ったものとのこと。（Oracle社）
ウ：データリネージは、データの時間変化（作成, 変更）を記録したもの。（IBM社）
エ：データレイクは、大量の未加工データを保管したもの。集約/クレンジング/構造化などを行ったら「データウェアハウス」に。（Oracle社）

覚えるかは個人差がありそうです。私はデータリネージとデータレイクを優先するかなぁ。なんか出る気がします。

SGでは「データウェアハウス」、データディクショナリも出ています。
＞【SG】平成29年春問45のNote
＞【SG】平成28年春問44のNote
データウェアハウス/データレイクの違いを知りたい方はIBM社へ。

問12推 | その場で理解する

正答はウ。

ア：デジタイゼーション。現実の製造物を撮影してデジタル画像にしているので、「物理データのデジタルデータ化」だと判断。
イ：デジタライゼーション。アと同じ考え。「熟練工の所作」をカメラとセンサーでデータにしているので。
ウ：正しい。デジタルトランスフォーメーション（DX）。「サプライチェーン全体」が「全体の業務～のデジタル化」だと判断。
エ：デジタライゼーション。「出荷時検品作業を効率化」を「個別の業務～のデジタル化」と判断。全体ではないので、ＤＸではないと判断。

DX以外を覚えるかは微妙ですね。APやSCなど高度資格なら、問題文に用語/計算/仕様の説明があったら、次回からは説明なしで出題する布石と思えますが、SGなら大丈夫かな。

それより「デジタル～」を補強。

「デジタル～」はIパスで良く出ましたね。

デジタルトランスフォーメーション（DX）：AI・IOT・クラウド・モバイルなどの新技術を使ってビジネスや生活を革新すること
デジタルサイネージは、ITを使った電光掲示板。
デジタルディバイドは、ITに接する環境の差・ITを使いこなす能力の差が、経済格差につながること。ディバイドが「分ける」という意味。
エのデジタルネイティブとは、生まれた時からIT機器を利用してきた世代のこと。

＞令和5年問11（DX）のNote
＞令和6年問29（デジタルディスラプション）のNote
＞【Iパス】実はIoTじゃない新用語Note

まとめ

お疲れ様でした！

☆が多めで「こんなのまで対策要るのかぁ」と思っちゃいましたね。まずは関連リンクの基礎を固めて、余裕を作ってから取り組むのが良いと思いました。

新SGの公開問題は数が少ないので、わざわざ組み込んだのは「出すよ」ってこと。不意打ちを喰らわないで済むだけアリガタイと思うことにしましょうか。

これにてSG科目Aの対策は終わりです。科目B/午後も作成したいですが、2026/12/25にAP/SC/DBの模範解答が公開されたので、送れると思います。私を待たずに学習/受験をしていって下さいね。お力になれずすみません。

私のNoteにはIパスやFEのも沢山あるので、SGへ活かす/FEへ活かすこともできます。更に高度なAP, SC, DB, NWまで作成を進めています。

是非ご活用下さい。少しでも参考になる部分があったら嬉しいです。

またお会いしたいです。気が向いたが覗きにきてやってください。でわでわ！（＞ω＜*▼）ノシ

他資格から/他資格へ活かすには以下をどうぞ！

いいなと思ったら応援しよう！

学習方法・問題特集のNoteは全て無料提供を続けます▼ もしご覧になったNoteが有益だったり、私の志に共感されたりしましたら、サポート頂けますと励みになります▼ もちろんコメントでも結構です(・ω・▼)ノシ