見出し画像

【セキュマネ】平成30年度春期科目Aの解説（情報セキュリティマネジメント試験, SG, 午前）

せんないの過去問解説Note

このNoteでは「情報セキュリティマネジメント試験（SG）」平成30年度春期科目Aを解説します。徹底的に解説してます。

なかなか合格できない時、学習の姿勢を間違えてる可能性が高いです。

SGは、半年に1回の紙試験から、いつでも受験できるCBT試験になって、問題数が膨大になっています。用語を覚えるのは効果的ですが、過去問や事例は大量に作られているので、イントロクイズでは絶対に合格できません。

対して現在の問題公開は、1年に1回の20問未満だけ。旧SGの50問を大事に使って対策するしかありません。

このNoteでは、従来の「正解を理解する」「他選択肢も理解する」に加えて、問題の優先順・関連知識・解答を選ぶコツなどまで深く/広く解説しています。

圧倒的な情報量のNoteを作りました。1周目は正解だけ、2周目3周目で復習を深く広くしていってください。

私がIT専門学校で教えてきたノウハウを詰め込みました。長年の授業実績がある解説です。資格になかなか合格しない学生さんを沢山見てきました。このNoteは面倒ですが、何周もすることで「本質的な理解」「考える力」そして「学習してスキルアップする経験」を得られます。

今後のIT資格・他の資格・仕事のキャリアアップなど広く適用できるスキル/経験が積めるので、面倒でも「学習する姿勢」に真摯に向き合ってみてください。

このNoteが少しでもキッカケになったら嬉しいです。


SGはITパスポート（Iパス）と基本情報技術者（FE）の中間レベルです。

Iパス合格してSGを目指す方も多いかもですが、私のIT専門学校ではFEが主目的です。FE科目Aに合格できないならIパスから。Iパス合格してFE科目AorBに合格しなかったらSGへ。というキャリアプランです。

SGの問題を私なりに分類すると以下。

合格ラインは50問×60%=30問。「★必ず正解する」問題だけで19問。ちょっと勘では足りません（31×25%=7.75問, 19+7.75=26.75問<30問）。他回（新しい問題）と同じ問題が7問あるので、19+7+(24×25%)=19+7+6=32>30問。復習が大事ですね。

  • ★：21問：必ず正解する

  • ☆：03問：正解できるようになる

  • 同：07問：新しい問題に流用された

  • 推：19問：覚えず消去法/推測で対応

  • 捨：02問：対応しない/捨てる

まぁ同を新設したので★が減ってるってのもありますが。

今回でSG解説は4回目。流用が7問もでたのは驚きました。この頃は紙の半年に1回実施なのに流用って手抜きじゃないですかね、と先生として😅。
＞【SG】令和元年度秋期の解説Note
＞【SG】平成31年度春期の解説Note
＞【SG】平成30年度秋期の解説Note

このNoteでは、Iパス/FEとのシナジーを大事に、知識の重要度まで言及してます。学習を無駄にしないし/させません。

それでは始めましょう！


私のNoteは500記事以上あります（2025/11/30）。

＞全Noteへのリンク
＞Iパスの無料51Note
＞Iパスの過去問解説マガジン
＞Iパスの法律20テーマ（メン限）
＞FEの無料58Note
＞FEの科目A過去問解説マガジン
＞FEの科目Bマガジン（セキュリティ）

※このNoteは、いずれマガジンにすると考えています。その際に単品価格よりお得になることはご了承下さい。とはいえ、作成が大変で数溜めてマガジン化するまで時間がかかりそうです。当面は、メンシブの無料期間を使った閲覧がお薦めです。早期購入の方に損をさせたくありません。いつもご理解/応援ありがとうざいます。


問01捨 | 組織名は厳選したい

正答はエ。

サイバーレスキュー隊（J-CRAT）は、IPAに設置された標的型攻撃の相談窓口。

過去問で出会った順に優先付けて覚えていくのが良いかと。私は、イ＞ア＞エかな。たくさん出るから網羅はキビシイですね。

覚え易い順、覚えられる数で学習を進めてください。リンクした別問題も見ても良いかと。



問02★ | リスク対応４種

正答はウ。必ず正解して下さい。

リスク対応4種類はIパスで必須でしたね。＞【Iパス】リスク対応のNote

  • 低減（軽減）は、リスクが顕在化する確率・損害規模を小さくする対策です。

  • 回避は、リスクを完全に回避します。個人情報漏えいを完全回避するには、個人情報を「取り扱わない」のが一番です。

  • 共有（移転, 転嫁）は、保険加入などをして社外組織とリスクを共有・移転します。

  • 保有（受容）では特に対策しません。発生確率や規模が小さい場合、判断します。

  • ア：リスク低減（軽減）。「（可能性）を低減」で判断。

  • イ：リスク共有（移転, 転嫁）。「保険」で判断。

  • ウ：リスク回避。「やめる」で判断。サービスしなければサービス起因のリスクないですから。

  • エ：リスク保有（受容）。「対応をとらない」で判断。


リスク対応4種はIパスレベルなので正解必須。
＞【Iパス】リスク対応のNote
＞【SG】令和01年問03のNote
なおSGで「適用宣言書」が出ましたがひとまず無視。
＞【SG】平成30秋問06のNote

リスク対応4種の次は、リスクアセスメント3種を学びます。ちょうど問03で学びます。＞【Iパス】リスクアセスメントのNote

学習の順番は、リスク対応4種→リスクアセスメント3種（→適用宣言書）。



問03同 | リスクアセスメント３種

正答はイ。ほぼ同じ出題あり。＞【SG】平成30秋問07のNote（イウエが同じ）

「リスクアセスメント（特定→分析→評価）」は3工程。＞【Iパス】リスクアセスメントのNote

  1. リスク特定：リスクを発見して特定します

  2. リスク分析：起こる確率や損害規模などを見積もる

  3. リスク評価：分析結果から、事前に決めたリスク基準と比較して、優先順位をつける

  • ア：リスク対応。「対策を講じる」で判断。

  • イ：リスク評価。「リスク分析の結果をリスク基準と比較」で判断。リスク分析の次ですし。

  • ウ：リスク分析。「特質を理解」「リスクレベルを決定」で判断

  • エ：リスク特定。「発見」で判断。他にも「洗い出し」の旨の言葉も有効。

工程としては、リスクアセスメント→リスク対応。
リスクアセスメントもIパスレベル。
＞【Iパス】リスクアセスメントのNote
＞【SG】令和01年問05のNote
＞【SG】平成30秋問07のNote（イウエが同じ）



問04同 | 怪しい言葉を探す

正答はエ。同じ出題あり。＞【SG】令和01年秋問04のNote
怪しい言葉を見つけて消去法が良いかと。

事例は無限に作れるので、暗記はキリないです。脳容量を消費するなら、別の重要用語に使いたいですね。

  • ア：「秘密保持の対象を明示せず」が怪しい。明記しないと困るし勝手に判断されるかも。

  • イ：「就業避止」なんて、権利侵害ですよね。

  • ウ：退職した従業員のアカウントは削除ですね。外部からは入れたり、他人に使われるかも。データが消えるなら凍結させたり、パスワードを変えるなどが実際の所かなぁ。

  • エ：正しい。退職した後に連絡は原則できないので、漏れないようにする旨なので。



問05捨 | マイナー用語は様子見

正答はウ。

情報セキュリティ事象は、セキュリティに関わる状況など。うち、情報セキュリティインシデントは、セキュリティが脅かされる状況など。インシデントが事象の一部って解釈で。

インシデントは覚えますが、情報セキュリティ事象は覚えないかなぁ。

インシデントは厳密には、リスク/可能性の段階とのことですが、実際の用途としては、事故/不具合/障害を指している印象です。サービスマネジメントであれば「計画外の中断」「品質の低下」など。
＞【SG】令和元年秋問41のNote
＞【SG】平成31年春問41のNote



問06推 | その場で理解する

正答はエ。

「評価2」なので、自社事業や取引先・顧客にも「大きな」「深刻」な影響があるものを探します。

  • ア：「機会損失」なので自社事業への影響。評価1ぐらいかな。利用できない類なので「可用性」であり題意の「機密性」ではない。

  • イ：「廃版～閲覧される」のは、既に廃盤なので自社への影響なし。評価0。

  • ウ：自社事業に影響が出てるので評価1。また「変更」は「完全性」であり「機密性」ではない。

  • エ：正しい。「競争優位性が失われ」ると今後長期/永劫の影響。評価2の「深刻」「大きな」影響と判断できるので。



問07推 | サーバ管理者の作業

正答はウ。

管理特権とは、PC/サーバ/システムであらゆる操作が可能な権利。管理者アカウントが持つ権限。ファイルの閲覧/編集/削除もシステムの設定変更もできます。

ウの「バージョンアップ」は管理者アカウントの特権でだけできる作業。アイエは、一般利用者アカウントの権限で充分実現できます。

権限絡みはSCまで使えます。＞【SC】試験に出たLinux基礎のまとめNote



問08推 | CIAとRASISの次に

正答はア。

用語の優先順は、エ（否認防止）＞ウ（責任追跡性）＞イ（信頼性）＞ア（真正性）かな。


「～性」は多いので優先を付けます。私は「CIA（機密性C, 完全性I, 可用性A）」（→営業秘密3要件@不正競争防止法, 秘密管理性, 有用性, 非公知性）→RASIS（信頼性R, 可用性A, 保守性S, 保全性/完全性I, 安全性/機密性S）かな。機密性がCとSなのがややこい。
＞【Iパス】CIAのNote
＞【Iパス】法律➒：不正競争防止法Note



問09推 | ミラーポートと機器

正答はイ。

「ミラーポート」。スイッチが受信した全パケットをコピーして出力する接続口。ネットワーク上のデータを監視するために使えます。＞【NW】セキュリティ機器のNote

LANアナライザは、受信したパケットを分析する機器。覚えなくて大丈夫です。「パケットキャプチャ」に分析機能がついたような機器。

  • ア：破棄しませんし、中継もしません。通信に影響は出しません。

  • イ：正しい。「パケットを表示」して、攻撃や盗聴などを検出できるかも。

  • ウ：私は周知しても良いとは思いますが、持ち出し/使用は制限すべきかなと。不正使用されたら盗聴できるわけで。

  • エ：「ケーブルを～抜く必要」はないです。ミラーポートに接続するので。


パケットキャプチャーやネットワークタップなど、ちょいちょい機器が出てきますが、余裕があればでOK。基礎はFW/IDS/IPS/WAFです。
＞【FE】NW❻セキュリティ機器のNote
＞【NW】セキュリティ機器のNote



問10同 | メール受信のセキュリティ

正答はイ。全く同じ出題（選択肢順が変わっただけ）ありました。＞【SG】令和元年秋科目A問07のNote

「SPF」は、届いたメールのメールアドレスのドメイン（@以降）を管轄するDNSサーバに管轄下メールサーバのIPアドレスを問い合わせます。受信したメールの送信元IPアドレスとDNSから得たIPアドレスが同じならOKと判断。＞【SC】メール受信のNote

  • ア：「メール」で「デジタル署名」を使って検証するのは「DKIM」や「DomainKeys」。

  • イ：正しい。「送信元のドメイン情報」でDNSサーバからメールサーバのIPアドレスを教えてもらい、メールの送信元IPアドレスと比較する旨より。

  • ウ：セキュリティ的に良いシステムですが（面倒だけど）、SPFではないです。

  • エ：アーカイブ（バックアップみたいなもの）。

＞【SC】メール受信のNote

  • SPF, SenderID：相手DNSサーバにメールサーバの実在性を問い合わせる

  • DomainKeys, DKIM：相手DNSサーバから公開鍵を入手し、メールのデジタル署名を検証する

これでFE/APまで安泰。SCを学習する時には、DMARCまで理解が必要になります。少しずつ知識を増やしていって下さいね。
＞SC令和元年秋午後1問1の解説Note
＞令和6年秋午後問2の解説Note



問11★ | UPS=バッテリー

正答はウ。

「UPS」は瞬停や停電時に一時的に電力を供給するバッテリー。電力が供給されている間に、PC/サーバにシャットダウン信号を送信し、安全に電源をOFFにしてもらいます。

  • ア：UPSはマルウェア対策とは無関係

    • PLCは電力線を通信回線としても使う技術

    • PoEは通信回線で電力を送電する技術

  • イ：UPSは情報漏えいとは無関係。

  • ウ：正しい。

  • エ：UPSは電子メールとは無関係。

「PLC」と「PoE」は、IパスからIoT絡みで出ています。
＞【Iパス】IoT❷特有の技術Note
＞【Iパス】IoT❸IoT以外の技術Note



問12★ | 基礎と流行りの機器

正答はア。

「WAF」とは、Webサーバ（アプリ）への攻撃を防ぐ機器。データの中身を見て判断します。＞【FE】NW❻セキュリティ機器のNote（WAF）



問13推 | 常識で考えて

正答はイ。

  • ア：フィンガープリント：データが改ざんされてない、端末やサーバの識別に使われるデータ全般。ディジタル署名も一種と見なせる。語源は「指紋」の英語（フィンガー:指、プリント：印刷）。
    ＞【SC】令和3年秋午後1問1設問1(1)aの解説Note
    ＞【SC】令和2年秋午後1問2設問1(1)の解説Note

  • イ：正しい。例えばメールサーバが、Webサービスを公開してたら攻撃者に付け込まれるリスクありますよね。不要な窓は閉じておきます。

  • ウ：バックアップでは、侵入自体は防げません。

  • エ：冗長化も侵入自体は防げません。

サーバで不要なサービスが動いてないか、FWで不要な通信が許可されてないかの確認手段の一つは「ポートスキャン」。「ポートスキャン」は、FWやサーバなどで空いているポートを探す行為。一概に悪い行為ではなく、管理者は隙を埋めるため/攻撃者は隙を探すために行います。



問14★ | Iパスでも流行語

正答はエ。

「セキュリティバイデザイン」は設計段階からセキュリティを考慮すること。＞【Iパス】IoT❷特有の技術Note


監査人についても一大テーマです。立場、手順など多岐に渡ります。＞【Iパス】監査Note（Iパス後もずっと使える）

  • 立場の独立性：社外or社長直轄にし、関係者以外にする

  • 手続き：予備調査・本調査・評価や報告

  • 指摘：監査報告書と監査証拠

  • 改善：モニタはするが、計画・指示・実施はしない



問15推 | リテラシーで考える

正答はア。消去法でもOKです。他がアウトすぎるので。

  • ア：正しい。「指紋認証」は本人しかできないので。

  • イ：難しいPWDとはいえ、一つのPWDを複数のサービスで流用すると、「パスワードリスト攻撃」に弱い。＞【Iパス】パスワードクラックのNote

  • ウ：WebブラウザのPWD保存が暗号化などで安全であっても、誰しも使う「共用PC」で「自動入力」でID,PWDが入力されるとなりすまされてしまいます。「共用PC」「共用ID」はセキュリティ的に怪しいの筆頭。

  • エ：「平文」は暗号化されてないデータ。誰でも使える「共用PC」でいつも映る「デスクトップ」画面にPWDが見えるってヤバすぎ。


「パスワードクラック攻撃」は、基本４種類に「ジョーアカウント攻撃」まで覚えると完璧。＞【Iパス】パスワードクラックのNote

「ブルートフォース攻撃」は、「あらゆる文字」を組み合わせてパスワードの特定を図ります。
対策は「ロックアウト」。ログインに一定回数だけ間違えば、パスワードクラック攻撃だと見なしアカウントを一時的に凍結して、ログインできない状態にします。

「リバースブルートフォース攻撃」は、IDを特定する攻撃です。PWDを固定してIDを変えるのが一般的な手口。ブルートフォース攻撃のように、あらゆる文字を組み合わせて、IDを特定します。
ブルートフォースはIDを固定してPWDを特定していたので、逆（リバース）ですね。

「パスワードリスト攻撃」は、何らかの手段で不正入手した、IDとパスワードのリストを流用して不正ログインを図る攻撃。
複数のサービスでIDとパスワードを同じしているユーザを狙っています。

「辞書攻撃」は"よく使われる単語"やそれを組み合わせて試す攻撃。例えばPWD=sysytem2025とか。

「ジョーアカウント攻撃」は、IDとパスワードを同じにしているアカウントを探し出す攻撃。

＞【Iパス】パスワードクラック４つの解説Note
＞【SC】出題された攻撃73種のNote


2022年ぐらいから「FIDO認証」が流行っているので少し紹介。＞【SC】令和2年度秋期午後2問2FIDO認証の解説Note

「FIDO認証」は、"端末と利用者を登録/特定した認証"のイメージで。生体認証（本人）や端末固有の情報と、公開鍵/秘密鍵を使います。

サーバから送られたチャレンジ（乱数）を、端末の秘密鍵で署名。秘密鍵を使うために生体認証などが必要。サーバは署名を（端末の）公開鍵で検証。通信に、ID, PWDなどの認証情報が流れず、"本人だったよ"って結果だけが流れるので安全。

最近の証券会社（楽天もSBI）に導入されています。"端末と利用者を登録/特定した認証"のイメージで。



問16★ | ハッシュ値/ハッシュ関数

正答はア。理解内容が同じ問題が出ています。＞【SG】令和01年秋問12のNote

ここから先は

18,606字 / 51画像
この記事のみ ¥ 500
Amazon Payで支払うと最大2%還元のチャンス！ 9/30まで

■初月無料なので、お試しください。 ■私独自の理解法や詳しい分析を公開したいです。 ■根本を丁寧に見…

【初月無料】Iパス法律/SG/AP計算/DBとSC午後2

¥500 / 月
1ヶ月無料 人数制限あり
ログイン

学習方法・問題特集のNoteは全て無料提供を続けます▼ もしご覧になったNoteが有益だったり、私の志に共感されたりしましたら、サポート頂けますと励みになります▼ もちろんコメントでも結構です(・ω・▼)ノシ