見出し画像

【セキュマネ】平成30年度秋期科目Aの解説（情報セキュリティマネジメント試験, SG, 午前）

せんないの過去問解説Note

このNoteでは「情報セキュリティマネジメント試験（SG）」平成30年度秋期科目Aを解説します。徹底的に解説してます。

なかなか合格できない時、学習の姿勢を間違えてる可能性が高いです。

SGは、半年に1回の紙試験から、いつでも受験できるCBT試験になって、問題数が膨大になっています。用語を覚えるのは効果的ですが、過去問や事例は大量に作られているので、イントロクイズでは絶対に合格できません。

対して現在の問題公開は、1年に1回の20問未満だけ。旧SGの50問を大事に使って対策するしかありません。

このNoteでは、従来の「正解を理解する」「他選択肢も理解する」に加えて、問題の優先順・関連知識・解答を選ぶコツなどまで深く/広く解説しています。

圧倒的な情報量のNoteを作りました。1周目は正解だけ、2周目3周目で復習を深く広くしていってください。

私がIT専門学校で教えてきたノウハウを詰め込みました。長年の授業実績がある解説です。資格になかなか合格しない学生さんを沢山見てきました。このNoteは面倒ですが、何周もすることで「本質的な理解」「考える力」そして「学習してスキルアップする経験」を得られます。

今後のIT資格・他の資格・仕事のキャリアアップなど広く適用できるスキル/経験が積めるので、面倒でも「学習する姿勢」に真摯に向き合ってみてください。

このNoteが少しでもキッカケになったら嬉しいです。


SGはITパスポート（Iパス）と基本情報技術者（FE）の中間レベルです。

Iパス合格してSGを目指す方も多いかもですが、私のIT専門学校ではFEが主目的です。FE科目Aに合格できないならIパスから。Iパス合格してFE科目AorBに合格しなかったらSGへ。というキャリアプランです。

SGの問題を私なりに分類すると以下。

合格ラインは50問×60%=30問。「★必ず正解する」問題だけで27問。あとは勘でも合格できます（23×25%=5.06問, 27+5.06=32.06問>30問）。

  • ★：27問：必ず正解する

  • ☆：03問：正解できるようになる

  • 推：12問：覚えず消去法/推測で対応

  • 捨：08問：対応しない/捨てる

今回は捨て問がめっちゃ多かったです。8問も"捨てて良いよ"って、我ながら先生として💦。令和元年秋は3問, 平成31年春は1問でした。でも、見返すと"そこ問う？もっと大事なトコあるよ"とか"SGには難し過ぎる"と思う問題が多かったです。
＞【SG】令和元年度秋期科目Aの解説Note
＞【SG】平成31年度春期科目Aの解説Note

このNoteでは、Iパス/FEとのシナジーを大事に、知識の重要度まで言及してます。学習を無駄にしないし/させません。

それでは始めましょう！


私のNoteは500記事以上あります（2025/11/30）。

＞全Noteへのリンク
＞Iパスの無料51Note
＞Iパスの過去問解説マガジン
＞Iパスの法律20テーマ（メン限）
＞FEの無料58Note
＞FEの科目A過去問解説マガジン
＞FEの科目Bマガジン（セキュリティ）

※このNoteは、いずれマガジンにすると考えています。その際に単品価格よりお得になることはご了承下さい。とはいえ、作成が大変で数溜めてマガジン化するまで時間がかかりそうです。当面は、メンシブの無料期間を使った閲覧がお薦めです。早期購入の方に損をさせたくありません。いつもご理解/応援ありがとうざいます。


問01捨 | 正解になったなら対応する

正答はア。

JPCERT/CC：セキュリティ/インシデントの情報発信団体。＞【SC】令和3年度春期午後2問1設問3(1)cの解説Note

選択肢は覚える気が全くないですが、関連する知識は重要です。



問02推 | 組織的な取り組み

正答はエ。消去法で良いでしょう。事細かに覚えても全く同じ事例は出ないかと。

問題文の解釈をします。

「トップマネジメント」とは「経営陣」のこと。「（ISOやJIS）
27000」は、「ISMS」の規格（ISOなら国際, JISなら日本版）。「ISMS」は、組織へセキュリティを導入/運用すること。

以上より問題文は、"ISMSにおいてJIS27000に記載されたトップマネジメントの記述はどれか"と解釈できます。

  • ア：経営陣が「適用範囲から独立」は無理ですね。ISMSは組織全体の話、経営陣も社員。

  • イ：「代表取締役」しかなれないのか。たしかに経営者ではあるけど、限定されすぎて怪しい。保留。

  • ウ：「部門の長」が経営陣とは限らない、むしろ現場の長だから、経営陣でないのでは。

  • エ：「組織」の「指揮」「管理」は如何にも経営陣。「複数名で構成」も良いでしょう。むしろ複数名であるべき。

以上より、ア, ウ, イ, エの順で削っていけます。保留のイ、良さそうなエを比べたらエだなと。


トップマネジメントの役割は「情報セキュリティポリシー」を学習すると良いですよ。
＞【SG】平成31春問07の解説Note
＞【Iパス】情報セキュリティポリシーNote
＞【Iパス】法律⓱：情報セキュリティポリシーNote



問03推 | 一番"良い"のを選ぶ

正答はイ。注意点/例外がない限りは"良い"ものを探せば良いです。怪しい点を難癖つけて探して消去法でも確認します。

JIS何たらはISO何たらの日本アレンジ版。「ISO27000」シリーズのは「ISMS（組織のセキュリティマネジメント）」の国際規格。「27017」はクラウドに関する規格。＞【SG】令和01年問09の解説Note

  • ア：「だけ」が怪しい。提供してなくても利用してるだけでもセキュリティ必要でしょうし。

  • イ：「どちらにも」は良さそう。

  • ウ：「だけ」「適用できない」が怪しい。アと同じ考え。

  • エ：「適用できない」が怪しい。むしろ他社に提供するなら尚更セキュリティ必要でしょう。

イが一番良いので解答します。もし不正解なら、注意点/例外があるので学んで次回正解すればOK。


重要なのは「ISO27000シリーズ」。

  • 「ISO27000」は、組織におけるセキュリティの国際規格。

  • 「ISO27001」は、守るべき「要求事項」。

  • 「ISO27002」は、やってるのが望ましい「実践規範」。いわばお手本やテンプレ。

  • 「JIS27000」は、ISO27000を基に日本版にアレンジした規格。「JIS」は定規にマークありますよね。

  • 「ISO27017」「JIS27017」は、クラウドの普及に対応して制定（2015年）。


覚えて置きたい国際規格（ISO）をまとめます。

私は暗記が苦手なので、正直ISO27000しか覚えてないです。逆にISO27000だけは絶対に忘れてはダメです。

  • ISO27000：組織のISMS（情報セキュリティマネジメントシステム）

  • ISO14000：組織の環境マネジメント（エコマーク）

  • ISO15408：機器のセキュリティ設計

  • ISO15001：個人情報の管理（プライバシーマーク）

  • ISO9000：組織の品質マネジメント

＞【Iパス】令和06年問11の解説Note



問04捨 | 正解でも覚えたくないなぁ

正答はエ。

アが重要。次はウ。

  • ア：「ISMS」は組織にセキュリティを導入すること。国際規格は「ISO27000シリーズ」。「ISMS適合性評価制度」は「JIPDEC」による認証精度。
    ＞【SG】令和01年問27の解説Note

  • イ：「ISMS認証」や「JISEC」の意。「JISEC」：IT関連製品のセキュリティ機能の適切性/確実性を評価する。IPA公式Web。「ISMS認証」で手一杯なので「JISEC」は正解になったら対応しようかな。
    ＞【SG】令和01年問02の解説Note
    ＞【SG】平成31春問03の解説Note

  • ウ：JVNは、脆弱性情報のポータルサイト。MyJVNは、情報を提供するサービス。APIなどあり。運営はIPAとJPCERT/CC、問2で触れましたね。組織に更にサービスとはややこしいなぁ。

  • エ：SECURITY ACTIONは、中小企業が自己宣言する仕組み（問題文の通り）。運営はIPA。正解とはいえ覚えなくないですね。

個人的な優先順は、ア（ISMS周り）、イ（JISEC）かウ（JVN）、最後にエ。出題印象のある順に。



問05推 | 提供と自前の境界

正答はウ。

「SaaS」は、アプリまで提供してくれるサービス。例えば、私の専門学校で使ってるMicrosoft Team。遠隔授業やファイル共有などできますし、教員はアカウント管理もできます。ハードウェアやOSの管理はしません。

  • ア：利用者は運用はします。

  • イ：アクセス管理も運用の範疇。管理者アカウントや一般利用者アカウントなどありますからね。＞【SC】試験に出たLinux基礎Note

  • ウ：SaaSではアプリまで提供してくれるので、利用者は設定やデータや運用をします。

  • エ：さすがに「管理担当者の設置」は必要でしょう。常識的に考えて。


「クラウドサービス」は、ネットワークを介してコンピュータ資源をサービスとして提供してくれます。提供する境界で大きく3つに分類されます。＞【FE】令和06年06月修了試験問47の解説Note

  • HaaS/IaaS：ハード（サーバや回線など）を提供してくれる

  • PaaS：ハード・OSを提供してくれる

  • SaaS：ハード・OS・アプリを提供してくれる

    • ASP：SaaSを提供してる業者

なおクラウドの対義語は「オンプレミス」。自社にサーバを配置して管理運用する形態。



問06捨 | リスクアセスメント→リスク対応

正答はイ。

適用宣言書は、リスクアセスメントの後、リスク対応の工程で作成するとのこと（対応策→宣言書→計画）。ややこしい。私は覚えないかな。どうしても詳細を見たい方は過去問道場さんへ。

  • ア：誤り。宣言→計画が正しいので（設問文は逆）。

  • イ：正しい。対応策→宣言書が正しいので。

  • ウ：誤り。対応策→宣言書が正しいので（設問文は逆）。

  • エ：誤り。「リスクを特定」はリスクアセスメント。リスクアセスメント→リスク対応（対応策→宣言書→計画）なので（設問文は逆）。

適用宣言書は私は初めて出題を見ました。ひとまずIパス/FEレベルで、リスクアセスメント（特定→分析→評価）→リスク対応（対応策4種から選択）で良いかと。すごく余裕があるなら、今回のリスク対応（対応策4種から選択→宣言書→計画書）も。

「リスク対応」4種類は、アセスメントより重要です。
＞【Iパス】リスク対応のNote
＞【SG】令和01年問03の解説Note

リスク対応が完璧になったらアセスメントへ。
＞【Iパス】リスクアセスメントのNote
＞【SG】令和01年問05の解説Note



問07★ | リスクアセスメント3種＋対応4種

正答はウ。

問06で触れたばっかりですが。「リスク分析」と云えば、「リスクアセスメント（特定→分析→評価）」の一工程。

  1. リスク特定：リスクを発見して特定します

  2. リスク分析：起こる確率や損害規模などを見積もる

  3. リスク評価：分析結果から、事前に決めたリスク基準と比較して、優先順位をつける

  • ア：「管理策」より「リスク対応」。

  • イ：「リスク基準と比較」より「リスク評価」。

  • ウ：「リスクの特質を理解」より「リスク分析」。「リスクレベルを決定」も注目点。

  • エ：「リスクを発見」より「リスク特定」。


リスク対応4種類を先に学習するのがお薦めです。
＞【Iパス】リスク対応のNote
＞【SG】令和01年問03の解説Note

  • 低減（軽減）は、リスクが顕在化する確率・損害規模を小さくする対策です。

  • 回避は、リスクを完全に回避します。個人情報漏えいを完全回避するには、個人情報を「取り扱わない」のが一番です。

  • 共有（移転, 転嫁）は、保険加入などをして社外組織とリスクを共有・移転します。

  • 保有（受容）では特に対策しません。発生確率や規模が小さい場合、判断します。

＞【Iパス】リスクアセスメントのNote
＞【SG】令和01年問05の解説Note



問08☆ | ガバナンスと統制を整理

正答はア。

情報セキュリティガバナンスを覚える気はないですが、出題の多いガバナンス周りは固めます。

  • 「コーポレートガバナンス」（＝ガバナンス, 経営統治, 企業統治）は、企業の健全性（収益・遵守）を管理すること。＞法律⓫：コーポレートガバナンスNote

  • 「ITガバナンス」は、ガバナンスのうちITに絡むもの（IT戦略など）。例えば、業務効率を上げるために全社員にタブレット端末を導入する施策など。＞法律⓭：ITガバナンスNote

よって「情報セキュリティガバナンス」は「ガバナンス」のうちセキュリティに関するものと想像。ITに関するものもあれば、ITじゃないもの（物理的：入退室, 紙媒体など）もあるでしょう。

  • ア：正しい。「重複」するでしょう。セキュリティには物理的/電子的（IT）の両方が含まれるので。

  • イ：誤り。「重複しない」が誤り。アと同じ考え。

  • ウ：誤り。ITガバナンスにはセキュリティ以外も含まれるので、セキュリティガバナンスに完全包含はしないでしょう。

  • エ：誤り。セキュリティにはIT以外もあるので。アと同じ考え。

「ガバナンス」とか「統制」とか面倒ですよね。検索しても曖昧だったり。私が調べてIPAの過去問と整合させた結果のイメージ。

＞法律➓：コンプライアンスNote
＞法律⓫：コーポレートガバナンスNote
＞法律⓬A：内部統制（定義）Note
＞法律⓬B：内部統制（職務分掌）Note
＞法律⓬C：内部統制（法律/責任）Note
＞法律⓬D：内部統制（プロセス）Note
＞法律⓭：ITガバナンスNote
＞法律⓮：IT統制Note



問09推 | 情報セキュリティポリシー

正答はイ。

組織のセキュリティ（ISMS）の取り組みは3層。

  • 基本方針：組織としての宣言・思想・方針

  • 対策基準：方針を基に作成した指針・基準

  • 実施手順：基準を基に作成した具体的な手順・規則

「情報セキュリティポリシー ＝ 基本方針」と思って大丈夫です。＞【Iパス】情報セキュリティポリシーNote


  • ア：誤り。適用範囲は全社員。組織的な取り組みなので。

  • イ：正しい。消去法で良いでしょう。正直、対策基準ってわざわざ別にするかなぁと内心思ってましたよね。

  • ウ：誤り。基本方針は、組織の方針なので共通１つ。システムに依存しません。

  • エ：誤り。方針→対策基準→実施手順の順。

＞【Iパス】情報セキュリティポリシーNote
＞【Iパス】法律⓱：情報セキュリティポリシーNote



問10推 | リーダーシップが及ぶ範囲

正答はエ（b, c, d）。＊キャプチャしなおし。7つあるらしいですが、過去問道場さんへ。

問題文の「経営者」の「リーダーシップ」や範囲を考えます。

  • a：監査計画は監査人が立てるべきかな。＞【Iパス】監査のNote

  • b：適切。「対策を定期又は随時に見直す」は良いですね。

  • c：適切。「方針」は「組織的に実施する意思」でしょうね。

  • d：適切。「最新動向の収集」も良いですね。



問11推 | 言い訳させない布石

正答はエ。覚えなくて良いです。

全ての選択肢は何らかの効果はありますが、"持ち出してダメだと知らなかった"を潰すには、ブツなりデータなりにデカデカと表記するのは自然な発想。図書館の本にだって"持出禁"などシール貼ってますからね。

  • ア：電子データ化は漏えい対策にはなる面はありますが、言い訳を潰せません。

  • イ：「信頼関係の維持」「職場環境の整備」は、不正の動機付けの対策になる面はありますが、言い訳を潰せません。

  • ウ：「送信データ量の制限」は、大量漏えいは防げる面はありますが、言い訳を潰せません。

  • エ：ブツに「持出禁」ラベルを貼っておけば、知らなかった・管理側の不備だ、と言い逃れできないでしょう。


営業秘密の3要件も復習しましょう。

  • 秘密として管理されている（秘密管理性）
    ※ラベル貼り、施錠できるキャビネットに収納

  • 事業に有用である（有用性）
    ※設計図や営業先リストなど業務に役立つ

  • 公然と知られていない（非公性）
    ※他社や一般的に知られていない

私は「～性」は覚えてなかったのですが、SCで書かせる問題で出ました。せめて選択肢にして欲しかった。＞【SC】平成31年度春期午後2問2設問1abcの解説Note



問12捨 | 不正解の方が大事

正答はエ。

エ「割れ窓理論」とは、小さなホコロビを放置してると、悪意ある者に「誰も気づいてないのかな」と隙と判断され、付け入られ大きな犯罪の発生に繋がってしまう考え。

ウ「不正のトライアングル」が一番大事ですね。「機会」「動機」「正当化」が揃うほど不正が起こり易い。＞【Iパス勉強法】3用語のNote

アとイは、覚える気がないです。出ないだろうし、出たとしても正解に絡むと思えない。どうしても知りたい方は、過去問道場さんへ。



問13★ | 書けるようにもなっておく

正答はア。

「ゼロデイ攻撃」とは、ソフトウェアの脆弱性への修正プログラムが提供される前に、当該脆弱性を突く攻撃。＞【Iパス】令和7年問72の解説Note

  • ア：正しい。

  • イ：「DDoS攻撃」は多数の機器から1つのサーバに行う「DoS攻撃」。「DoS攻撃」は、大量のパケットを送り付けてサービス不能にする攻撃。
    ＞【Iパス】DoS攻撃を先生で例えるNote
    ＞【SC】出題された73個の攻撃Note

  • ウ：フィッシング詐欺。メールのURLをクリックしたらダメですね。

  • エ：「チェーンメール」とは、拡散をさせるよう仕向ける迷惑メール（スパムメール）。"このメールを5人に転送しないと不幸になります"のような。2000年周辺の手口なので、今もあるのかなぁ。現在はSNSでありそう。


イ「DDoS攻撃」は少し奥深いです。

他にも「DRDoS」「EDos」もあるので復習を。
＞【Iパス】DoS攻撃を先生で例えるNote
＞【SC】出題された73個の攻撃Note


ア「ゼロデイ攻撃」は、SCで書かせる問題が出ました。＞【SC】令和4年秋午後1問3設問1(4)の解説Note

エ「不正中継が可能なメールサーバ」の設定を「オープンリレー」と云うのも重要。オープンリレー設定は必ずOFFにします。＞【SC】平成31年度春期午後2問2設問2(1)dの解説Note

SCまで使える知識ばっかりでしたね。



問14★ | 最近話題の「CDN」

正答はエ。

全く同じ問題文が出た実績がありますが、設問文は全く違いました。暗記しても仕方がないので、覚えるべき知識に集中しましょう。＞【SG】令和01年問15の解説Note

「ボットネット」は、ボットたち及びC&Cサーバからなる集まり。「C&Cサーバ」は攻撃者が用意したサーバ。「ボット」に指示を出したり、「マルウェア」からの報告を受けたりします。
＞【SG】令和元年秋問15の解説Note
＞【SG】平成31年秋問30の解説Note

エ「C&Cサーバ」は基礎、ア「CDN」が最近重要です。

  • ア：「CDN」。CNDエッジサーバにコンテンツを保存して、ユーザーに近場のCDNにアクセスさせる仕組み。利用者の利便性を上げ、サーバ負荷を分散させつつ、ご本尊のWebサーバへの直接攻撃も防ぎます。2025年11月にでクラウドフレア社のシステム障害で、X（Twitter）などが使えなかったのは、CDNに障害が及んだため。SCでも詳しく取り上げられている話題の技術。＞【SC】令和4年度春期午後2問2の解説Note

  • イ：利用者「認証」の話。「CHAP」はチャレンジレスポンス方式で、PWD＋乱数のハッシュ値で送るプロトコル。通信盗聴によるPWD漏えいを防ぎます。＞【NW】CHAPのNote

  • ウ：利用者「認証」の話。「チャレンジレスポンス方式」は、サーバからチャレンジ（乱数）を送信し、クライアントはパスワードとチャレンジを組み合わせたハッシュ値を計算して送信。サーバ側も同じように計算し、両者を比較。
    ＞【SG】平成31年秋問21の解説Note
    ＞【NW】CHAPのNote
    「ワンタイムパスワード（OTP）」は、一度だけ使える「使い捨てのパスワード」。代表格は、生成に時刻を使う「TOTP」で、生成から一定時間だけ有効なOTP。

  • エ：「C&Cサーバ」。「外部（インターネット）から命令（指示）」「（ボットからの）応答を受け取ったり」で攻撃者のサーバ「C&Cサーバ」だと判断。＞【SG】令和元年秋問15の解説Note


「C&Cサーバ」は攻撃者が用意したサーバ。「ボット」に指示を出したり、「マルウェア」からの報告を受けたりします。「ボットネット」は、ボットたち及びC&Cサーバからなる集まり。
＞【SG】令和元年秋問15の解説Note
＞【SG】平成31年秋問30の解説Note


CDNでは、クライアントのアクセスを受けるのが「CDNエッジサーバ（キャッシュサーバ）」。ご本尊は「オリジンサーバ」と云います。＞【SC】令和4年度春期午後2問2の解説Note

エッジサーバに要求されたコンテンツがキャッシュされていれば、エッジサーバが返します。キャッシュされてなければ、エッジサーバはオリジンサーバから取り寄せます。


チャレンジレスポンスは、難しいですね。FE/APから意識するでも良いかも。＞【FE】平成21年秋問4の解説Note

チャレンジレスポンス方式の良い点は、「パスワード＋ランダムなチャレンジのハッシュ値」を通信するので、パスワードそのものが送られず、毎回違う値なので、盗聴されても特定が極めて困難。＞【NW】CHAPのNote

チャレンジレスポンスの図
基本情報技術者試験平成21年秋問4より

チャレンジレスポンス方式では、サーバからチャレンジ（乱数）を送信し、クライアントはパスワードとチャレンジを組み合わせたハッシュ値を計算して送信。サーバ側も同じように計算し比較します。＞【NW】CHAPのNote

ソルトやDH鍵はFEでは出ますが、SGは今後の出題をみて対応するか判断ｈします。



問15捨 | 具体名は覚えたくないなぁ

正答はア。私は覚えないですね。WannaCry=ランサムウェアだけ新しめなので覚えるかも（2017年）。他は、発見が2000年代で古いです。

「マルウェア」は、悪意のあるプログラムの総称。「ウィルス」「ワーム」「トロイの木馬」や「ランサムウェア」など。

「ランサムウェア」は、感染するとPC内のファイルを「勝手に暗号化」して使えなくし、後に復号のための金銭を要求「脅迫」するマルウェア。

Wanna Cryptor（WannaCry）は「ランサムウェア」の固有名（wikipedia）。

  • ア：「暗号化」「（復号のための）金銭を要求」より「ランサムウェア」。

  • イ：BAGLEワーム。スパムメール送信やバックドア作成。「ワーム」は、「マルウェア」の一種。単独で存在でき、寄生するプログラム宿主（ホスト）を必要としない。

  • ウ：SQLスラマー。大量の送信を行い、ネットワークを満たす（wikipedia）。「ワーム」に分類。

  • エ：VBS.LoverLetter。ラブレターを装ったメールを送り、感染させて拡散/破壊活動などをする。（wikipedia）「（スクリプト型）ワーム」に分類。

マルウェアの固有名詞よりは、分類の方が重要です。種類も多いので、正直かつ消えかつ結ぶ固有名詞まで覚えたくないです。

＞【Iパス】マルウェア１：マルウェア３つNote
＞【Iパス】マルウェア２：ランサムウェアNote
＞【Iパス】マルウェア３：スパイウェアNote
＞【Iパス】マルウェア４：ボット・マクロウイルスNote



問16★ | 単発用語→関連用語へ

ここから先は

17,909字 / 49画像
この記事のみ ¥ 500
Amazon Payで支払うと最大2%還元のチャンス！ 9/30まで

■初月無料なので、お試しください。 ■私独自の理解法や詳しい分析を公開したいです。 ■根本を丁寧に見…

【初月無料】Iパス法律/SG/AP計算/DBとSC午後2

¥500 / 月
1ヶ月無料 人数制限あり
ログイン

学習方法・問題特集のNoteは全て無料提供を続けます▼ もしご覧になったNoteが有益だったり、私の志に共感されたりしましたら、サポート頂けますと励みになります▼ もちろんコメントでも結構です(・ω・▼)ノシ