【セキュマネ】平成31年度春午後問2の解説（情報セキュリティマネジメント試験, SG, 科目B）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成31年度春午後（科目B）問2を解説します。

人によって失点ヵ所は散在しますが、7割は切らない印象です。SNSの利用経験があればかなり解き易いですね。公式アカウントの振る舞い、社会人/プライベートの切り分けなど。

設問3(2)は、SGっぽいイジワル。全選択肢は、セキュリティ的に正しいのに、問われていることに関係なければ不正解。でも理不尽に合格の妨げをしてるわけじゃないので、呑めるかな。

このNoteでは、選択肢の全てを解説しています。正答/不正答の理由だけでなく、重要用語もたくさんあるので、復習を大きく充実できるように作りました。

少しでもお役に立てば嬉しいです。

このNoteには、私がIT専門学校で授業したことを基に作成しています。専門学生は更に上位のFE, APを目指します。SGは通過点に過ぎません。意識を高く持って、合格以上の収獲を得て欲しいと思い解説を作りました。

このNoteが過去問演習の品質を高め、少しでも合格や学びの役に立ったら嬉しいです。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。
SG科目A/午前も解説作りました。
＞全Noteへのリンク（SG）

設問1 | 過不足の過/不足

正答は、アイカ。
ア：追加資産の記載
イ：資産重要度の適正確認
カ：廃棄資産の目録からの削除

アは確定。カも拾っておきたいです。イはエと迷うかもですが、「三つ」の中にあと一つとなるとイを選択できるでしょう。

下線①「（各部での）情報資産目録の見直し」なので、問題点や懸念点が問題文にあるかなと。

目録への記載の「過不足」の話でしたね。

16頁後半「情報資産目録の見直しについてS課長から説明」があり、「各部において情報資産～目録を作成し～毎年見直すことになっている」が、「記載の過不足が見つかっていることから～よく確認するよう～注意を促した」。

「過不足」なので、
過：記載しなくて良いことが記載されているとか
不足：記載すべきことが記載されていないとか。

ア：〇：新たに追加された～記載する➡追加し忘れは「不足」なので。
イ：△？：重要度が適切か➡見直すかもだけど？
ウ：×：リスクを低減➡目録ではどうにもならない。対応策の検討/実施するべき。
エ：△？：アクセス権を設定➡たしかに目録は大事かな？不正に編集されても困るし。でも「過不足」か？
オ：×：有効性を評価。➡監査ですべきでは？
カ：〇？：廃棄された～目録から削除➡載ってても棚卸しで探しても見つかるわけない、捨てたんだから。「過不足」の「過」。

アは確定ですね。追加したのに記載しなかったら、「過不足」の「不足」なので。

カも「過不足」の「過」。
なお"削除したら情報がなくなってコワイ"と思った慎重な方は、私と同じですね😅。でも、廃棄した機器の記録は、旧版の目録に記載されたまま残りますし、別途廃棄目録を設けているかも。

イとエは迷いました。

イ。重要度が適切かは「見直し」に該当。時代の変化で重要度が増したのに重要度を改訂しなかったら記載「不足」なので。

エのアクセス権は、閲覧は作業に必要ですし、編集を制限していれば内部不正も防げるかなぁ。判断が難しい。

イとエを比べたら、「毎年～見直し」で確認すべき点はイ（重要度）かなと。アクセス権は「各部」で「毎年」は見直さなくても良いし、必要になった時に組織全体で決定すれば良いし。

設問2(1) | 通販の法律と云えば

正答は、ケ。
法令：特定商取引に関する法律
X文書：適用法規制一覧

下線②前「通信販売の開始」による見直し。

たぶん作問者はシンプルに考えて欲しかったんでしょう。通信販売を開始→通販, ECといえば「特定商取引に関する法律」。

Iパスではメインではないですが、他法律の問題で選択肢にちょいちょい出てきてました。
＞法律➎：製造物責任法Note
＞法律➒：不正競争防止法Note
＞法律⓰：不正アクセス禁止法Note

X文書：適用法規制一覧、は判断に困りますね。
下線②が「法令への対応」と「それに伴う～文書の見直し」なので、適用”法規制”一覧を見直す、という筋なのかと。特定商品取引に関する法律への対応を追加するので一覧に追加するのでしょう。

「適用法規制一覧」は、覚えなくて良いかなと思います。もし今後出たら試験対策を考えますか。

設問2(2)a | クレカと云えば

正答は、オ（PCI DSS）。

【空欄a】周辺は「クレジットカード決済」の話。これだけで選んで大丈夫です。作問者は設問2(1)と同じく、シンプルに解いてほしいみたい。

科目Aにも出てます。
＞【SG】令和元年秋科目A問27のNote
＞【SG】平成31年春科目A問14のNote
＞【SG】平成30年秋科目A問29のNote
＞【SG】平成29年春科目A問26のNote

復習なので選択肢は全部調べて、優先順を付けます。
★→☆の順番でお薦めです。

なおISOは国際規格、JISはISOを基に日本用にアレンジした日本版です。数値だけ覚えておけばOKです。

• ア：☆JIS Q 15001：個人情報の管理（プライバシーマーク）。＞【Iパス】法律⓯B：個人情報保護法（事業者）Note（プライバシーマーク）

• イ：JIS Q 20000：サービスマネジメントの企画。「ITIL」ならIパス御用達でしたよね。ITILがレシピなら、ISO2000は合格ライン。＞【Iパス】ITサービスマネジメントのNote

• ウ：★JIS Q 27017：組織のISMS（ISO27000）のうち、クラウドに関するセキュリティ規格。

• エ：NIST SP 800-171：アメリカの国立標準技術研究所（NIST）のガイドライン。セキスペではNIST SP 800-61が良く出ます。一旦保留で。＞【SC】平成30年秋午後2問2の解説Note

• オ：★PCI DSS：クレジットカード絡みのセキュリティ基準。

• カ：情報セキュリティサービス基準：セキュリティ企業のサービス信頼性の基準。

ISO27000シリーズが一番重要なので、次節で特集します。

特集 | 覚えておきたいISO/出題実績

私が覚えておきたい国際規格（ISO）をまとめます。

最新の公開問題解説のと同じのを貼っておきますね。＞【SG】令和7年科目Aの解説Note

• ISO27000：組織のISMS（情報セキュリティマネジメントシステム）

  • 「ISO27001」は、守るべき「要求事項」。

  • 「ISO27002」は、やってるのが望ましい「実践規範」つまりお手本。

  • 「ISO27017」は、クラウドの普及に対応して制定（2015年）

• ISO14000：組織の環境マネジメント（エコマーク）

• ISO15408：機器のセキュリティ設計

• ISO15001：個人情報の管理（プライバシーマーク）

• ISO9000：組織の品質マネジメント

＞【Iパス】令和06年問11の解説Note

セキュリティ周りのISOに優先順をつけますね。
「組織」のセキュリティ規格は「ISO 27000」が一番重要。
更にIパス/SGでは、機器のセキュリティ設計「ISO 15408」。
31000は後回しで、最悪忘れても良いかも。

ISO27000関連。
沢山あるので完璧は目指さないでOK。
＞【SG】令和05年度問01のNote
＞【SG】令和01年秋問09のNote
＞【SG】平成30年秋問02のNote
＞【SG】平成30年秋問03のNote
＞【SG】平成30年春問38のNote
＞【SG】平成29年秋問02のNote
＞【SG】平成28年秋問08のNote
＞【SG】平成28年秋問10のNote
＞【SG】平成28年秋問30のNote
＞【SG】平成28年秋問37のNote
＞【SG】平成28年秋問40のNote
＞【SG】平成28年春問06のNote
＞【SG】平成28年春問08のNote
ISO15408の出題実績。
＞【SG】平成28年秋問30のNote
ISO31000の出題実績。
※問題文にチラ見程度なので対策不要。
＞【SG】平成28年秋問02のNote
＞【SG】平成28年秋問09のNote
＞【SG】平成29年春問05のNote

「ISO 31000」=リスクマネジメント はSGでちら見せで出るので追加しておきました。とはいえ問われることはなく、問題文に登場する程度。＞【SG】平成29年秋問05のNote

設問2(3) | 多い用語は優先度をつけて

正答は、カ（ソーシャルエンジニアリング）。

下線③は、攻撃者がSNSの投稿から情報収集する手口。IT的でない泥臭い手法なので「ソーシャルエンジニアリング」と判断します。

ソーシャルエンジニアリング：ITを使わないスパイ行為。＞【Iパス】ソーシャルエンジニアリングのNote

ショルダーハッキング：他人の画面を肩越しに覗き見る
トラッシング（スキャベンジング）：ゴミ箱をあさる
緊急事態を装って 、関係者を装って、聞き出すなども含まれます。

全ての選択肢の用語は重要です。
Iパスでも9割は知ってるレベルかと。