【登録セキスペ】令和7年春午後問1の解説（情報処理安全確保支援士試験）

このNoteでは「セキスペ令和7年春午後問1」の解説をします。

複数の表を関連付けて解く複雑な問題でした。しかし丁寧に紐づけて解けば、点は積み上がっていきます。

令和7年春のプログラム系問題（問2, 3）がガチヤバイので、問1, 4になります。なるべく6割を切らず、7割ちょい取れるぐらいに実力を引き上げておきたいです。

このNoteの目次を見て下さい。かなり補強を入れて起きました。

私はSCPMIIを97点で独学合格し、IT専門学校で授業しています。このNoteには、授業で教えていること以上の情報を詰め込みました。

一所懸命に作ったので、信頼して下さったら嬉しいです。

それでは始めましょう！

※このNoteは2025秋本試まで全編無料公開します。本試以降は有料マガジンに組み込まれます。従来はXリポスト割引をしましたが、リポストを即消すなど、ヒトを踏みにじる悪質な行為があるため取りやめました。どうぞご容赦ください。

＞午前2対策Noteのリスト

読み | 気になった点

問題文を「単に」読んではダメです。

読むからには目的を持ちます。

設問1(1)や(2)を読んで「考え方・明記すべき事項を探すんだな」と目的を持って読みます。＞長文問題を読む６つのテクニックNote（１）

次に「下線①は2頁目（3頁）だな」と覚悟を決めます。長ったらしい表1は下線①＆設問1(1)の時に「どうせ読み返す」のでスキップも考えます。＞長文問題を読む６つのテクニックNote（６）

この節には、下線①まで読んでて気になった点を載せました。必要に応じて、四角囲み/丸囲み/◀印/下線などのマーキングをして下さい。＞長文問題を読む６つのテクニックNote（３）

APは時間がカツカツです。時間を効率化にするには「問題文の読み直し」を最小限にしたいです。先に設問文を読む・問題文のマーキングは有効です。

プラットフォームGの機能

3つの機能を「わざわざ」「丁寧に書いてる」のは気になりました。

一般的・資格必須的でない知識の場合、多少説明が入りますが。如何にも解答に性質・機能が絡んでくる気がしました。

実際「自動実行」は使いました。しかも終盤問題（設問5(2)い）。

怪しい言葉に「◀印」

「SBOM作成機能は現状では特に利用していない」の「利用してない」怪しい。利用していないからこそ、不具合が起こったり、利用していくのが解答になるかなと◀印。

SASTツール（ツールF）が「コンパイルエラーが解消されたソースコードに対してだけ正常な検査が可能」の「だけ」怪しい。正常に検査できない事例が出るかなと◀印。

表1はスキップして読み直し

1頁目（2頁）で結構情報量があったのもあり、表1がしんどいし、表1下に下線①②があるので、下線①見てから表1を読み込めば良いかなと。

下線や空欄に早く到達しないと、「まだ特には情報を頭に入れねあばならないのか」「問題が解けるのか」「点数取れるのか」などなど不安で、脳的にも心理的にも負担です。

講座 |  SBOM, CI/CD

恥ずかしながら私は「SBOM」知らなかったです💦

知らなければ知らないなりに解きます。知らないと絶対に正解できないのは用語。出て技術はSBOMだけではないので。多少の未知は受け入れます。

とはいえ、このNoteは解説/復習なので、ここで学習。

• 「SBOM」は、ソフトウェアの部品表

• 「CI/CD」は、ソースのビルド・本番環境へのデプロイまでの一連を自動で行う仕組み

SBOMは部品リスト

「リポジトリ」は、ソフトウェアのソースコード/設定ファイル/マニュアルなどを格納したもの。GitHubが有名ですね。＞wikipedia

CI/CDは自動更新

「CI（継続的インテグレーション）」では、コードの変更があったら、頻繁かつ自動的にビルド（構築）してシステムへの組込みを試みます。＞wikipedia

「CD（継続的デリバリー）」は、システムを本番環境に公開（デリバリ）して利用者が使える状態にすること（デプロイ）。＞wikipedia

設問1(1) | 用語の言語化

模範解答は「企画・設計工程からセキュリティ対策を組み込むという考え方」。頑張って作文して正解してください。

「設計段階」「セキュリティ」「考える」旨があれば正解でしょう。

企画・設計段階から検討する「～バイデザイン」は少し流行っています。

• セキュリティバイデザイン ：セキュリティを考慮して企画設計する

• プライバシーバイデザイン ：プライバシー（個人情報）を考慮して企画設計する

分かってしまえば簡単です。
＞FE修了試験R05年07月問33Note
＞FE修了試験R05年06月問48Note

用語の意味は知っているとして、あとは、問題文の情報を使って解答をアレンジする必要があるか。

下線①より前に記述があるかを探しますが、ありません。記述があれば、その問題/システム用にアレンジしますが。

記述がないので、「用語の意味を問う問題」と推測して、定義を書けばOK。難易度が低い問題では、選択肢で選ばせてきます系統。

「設計段階でセキュリティを考慮している」旨が書いてあれば、正解にしてくれるでしょう。

私の解答は「調達や設計段階からセキュリティを意識する考え」。表1にちゃんと「設計（項番9）」があるのを確認し、「調達（項番4, 5）」にも「セキュリティ」という語句があったので追加しました。設計よりも前工程なので。

設問1(2) | ２つのコツ

模範解答は「L社の業務委託先に要求する対策と同等のセキュリティ対策を再委託先にも要求させること」。正解できるようになってください。模範解答ほど書けなくて大丈夫です。

下線②に「項番5」「再委託」とあるので、表1「項番5」を見に行きます。セキュリティ管理を契約に含める旨あり。

項番5を「委託先」だけでなく「再委託先」まで波及させる旨が書かれていればOK。

コツ1 | 過去問解答から発想

私の解答は「再委託先との契約にセキュリティ管理についての事項を明記して、契約後に監督もする」39文字。契約に明記、契約後に監督/監査の2段構えがポイント。

「定めて相手を信用するだけじゃなくて、ちゃんと監督（監査, 確認）までやらないとね」って話。

セキュリティのレベル（委託先と同等）は明言してませんが、たぶん正解にしてくれるかと。

過去問で、「委託先企業に保守用に与えた個人IDが、本人以外に使われるおそれがないように管理しているか確認する」解答の記憶がありました。＞SC平成27年秋午後1問2の設問3(1)解説Note

コツ2 | 解答は後の話と矛盾してない？

かなり後。図1-4に「セキュリティポリシーの順守と～セキュリティルールの順守について契約書で定めている」「委託契約の順守状況を定期的な監査によって確認する」とあります。

全体を通して矛盾がなければ、理解も解答も正しいでしょうね。

とはいえ、緊張の本試験中に気づくかは分かりませんが。私も解説を書いてて気づきました。