【AP】令和7年秋午後問1セキュリティの解説（応用情報技術者試験）
このNoteでは「応用情報技術者試験 令和7年秋午後問1（セキュリティ）」の解説をします。
問題品質は悪くないんですが、満点は無理ですね。でも6割は切りません。
受験では"あまり稼げなかったな"、演習としては”午後力を鍛える良い機会だったな”という感じ。
例年のAP問1としては難しめでしたが、理不尽ではないです。
今後SC, NWなどの高度資格も合格していくには、これぐらいのハードルは乗り越えて点数をもぎ取って行きます。
このNoteでは、私がIT以外の学生時代にAPに独学合格した経験と、大学・IT専門学校で応用情報技術者試験の対策授業を担当した経験を詰め込んで作りました。
それでは始めましょう！
※このNoteは後日有料になります。お早めにお読みください。その後はマガジンに追加されます。マガジンも値上げしますので、お早めにご購入ください。
解き始めまでの読み
解き始める【空欄a】までの動きを一緒にやりますね。
❶まず設問から読みます。
下線①とかで「理由を述べよ」とかだったら、読む目的が明確になるので。＞長文問題を読む６つのテクニックNote（１）
【空欄a, b, d, e】の4か所、選択肢。その次も【空欄c】でも「5文字」ちょっきり。5文字。
良かったのか悪かったのか空欄埋めでした。2問も設問文読めば充分です。覚えきれないので。
❷次は、解き始める位置を確認。
いつ到達するか分からないより、どこまで読むか知っておくとペース/集中力を調整できます。
【空欄a】は7頁（2頁目）頭。図1を抜けば、読む量は実質1頁以内。解き始めが速いのは良いですね。問題文を覚える量が少ないし、解き「流れ」に乗れますから。
では読み。
6頁頭「個別業務システムは各社が個別に構築しており」。怪しいので▶印。＞長文問題を読む６つのテクニックNote（３－３）
各社や各部署で管理具合が違うと、思わぬインシデントが置きますから。「各部署」だったら"会社組織として"管理すべきですし、今回の「各社」も"グループ全体"として少しは統一した管理にしたいかなと。
実際に今回の改善テーマであり、設問3(1)に活かせました。
感覚的には、管理や判断を「各部署」「各自」に委ねているのは、必ず課題になります。今回の「各社」はまだマシな方。
図1。
社内PCがあるけどプロキシサーバが見当たらない。ただ、今回のテーマではないのだろうと推測。今までもよくありました。
社内の業務システムがテーマなので、インターネット上のWebサーバ/インターネットからのアクセスは今回は無関係でしょう。
他にも、DNSサーバやDHCPサーバなどないのも同じく。
AP程度なら"ないなぁ"と思う程度で騒がなくてOK。SCやNWなら"ヤバイ"と思った方がアドバンテージになります。
6頁末。
わざわざ「信頼できる領域と信頼できない領域」と「領域」を強調してるのが気になります。"ゼロトラストなどが絡んでくるかもな"と頭をよぎります。※実際設問1の選択肢にもありますね。
7頁「対策3」。
一応"出張や休暇してた社員のPCは大丈夫かな"と、▶印した方が良いかも。今回はあまり絡む感じがしませんが。印つけて損にはなりません。
7頁「対策4」。
「導入時に脆弱性診断を実施」は良いのですが、”導入後の明記がないなぁ”と。
少し重箱の隅ではありますが、「対策3」でPCは日次確認で手厚いので、目立ちました。作問者が気づくように仕向けたのかも。
実際に、8頁のT主任2言目「システム導入以降は脆弱性診断を実施しておらず～」と改善に繋がります。
常に言葉の揚げ足/裏を考えながら読みます。"この状況、どうやったら攻撃できるかな"とか。
9頁「サプライチェーン攻撃」。
解答には食い込んできませんでしたが、ちゃんと調べて理解しましょう。過去問演習なので。
サプライチェーンとは調達, 製造, 販売, 物流の一連のプロセス。サプライsupplyは供給、チェーンchainは鎖。＞英単語で覚える２つの意味Note
Iパス/FEを思い出しますね。
一元管理シリーズ（ERP, MRP, CRM, SCM）。SCM（サプライチェーンマネジメント）：調達・製造・販売・配送まで一括管理。＞4用語の3出題パターンNote
「サプライチェーン攻撃」は、サプライチェーン内の要素を攻撃し、組織に損害を与える攻撃。事業の工程（調達～配送）もですが、開発元/委託先も含めて考えます。（wikipedia）。
設問1a | 境界防御⇔ゼロトラスト
正答はク（境界防御）
7頁頭の【空欄a】後「FWで防いでいる」で従来方式「境界防御」と判断。8頁序盤に2個目の【空欄a】と矛盾しないことも確認。
「ゼロトラスト」を知っていたら、対義語として「境界防御」を知ります。私もそのクチのキッカケでした。
逆にゼロトラストに直面しなかったら、従来のFWによるセキュリティに境界防御って名前が付いてるって知らないのは当たり前ですね。今後覚えて置きましょう。
誰しも通る道です。過去問演習で触れて良かったですよ。
設問1b | 英単語や映画
正答は
b：ウ（need-to-know）
「need-to-know」は、直訳だと"知るのが必要"。転じて、知る必要がある者だけにアクセスを絞る考え方。
私が知ったキッカケは、名探偵コナン映画で「need not to know」を聞いたこと。たしか警察上層部しか知ることが許されない（上層部以外は知る必要ない）みたいなニュアンスだったかと。
また「最小権限の原則」を思い出しました。何かの資格で見たのがキッカケなんですが、すみません、特定できませんでした。（wikipedia）。
設問1d | 昨今よく出るSIEM
正答は
d：カ（SIEM）
【空欄d】前後。「サーバ及びネットワーク機器」の様々な「ログ」を「分析」で判断。
「SIEM」は、各機器のログを収集・分析し管理者に通知。＞【SG, FE, AP, SC】SIEMとCASBのNote
設問1deの解説が終わったら補強しますね。
設問1e | 最近出たSBOM
正答は
e：オ（SBOM）
【空欄e】前のソフトウェア/ライブラリの「一覧」の旨から判断。
「SBOM」は、ソフトウェアの部品表。ソフトウェアを構成するソフト/プログラム/ライブラリとそのバージョン/依存関係/ライセンス情報なども記載されます。＞wikipedia
「リポジトリ」は、ソフトウェアのソースコード/設定ファイル/マニュアルなどを格納したもの。GitHubが有名ですね。＞wikipedia
例えるなら「SBOM」は「何が入っているか」、「リポジトリ」は「作るための材料」と云えます。
補強 | 過去問演習では全て調べて優先順番を付ける
設問1の選択肢全11用語を、分類/優先度を付けて解説します。
まず、Iパス/FE/SGレベル。
「MDM（モバイルデバイス管理）」は、組織がモバイル端末を管理する仕組み。遠隔からロックできる機能など。
「サンドボックス」は、外部から隔離された"砂場"。マルウェアなどを動作させ観察します。
次は、ちょっとだけレベル上げ。
「境界防御」は、FW（ファイアウォール）で社内/社外の境界とするような方法。ゼロトラストを聞くまで意識しなかったかな。
「ゼロトラスト」は、従来の境界防御（FW）ではなく、情報への全アクセスを信頼せずに疑う。
多層防御は、各領域で防御策を施すこと。入口/内部/出口のように領域を意識する点が「多重防御」と微妙に違います。
次は流行語。＞【SG, FE, AP, SC】SIEMとCASBのNote
「SIEM」：各機器のログを収集・分析し管理者に通知。
「CASB」：各社員のクラウド利用の可視化。
＞【SC】令和5年春午後1問3設問2(2)の解説Note
ちょいちょいSCでも出てます。
「SBOM」は、ソフトウェアの部品表。ソフトウェアを構成するソフト/プログラム/ライブラリとそのバージョン/依存関係/ライセンス情報なども記載されます（wikipedia）。
＞【SC】令和7年春午後問1の解説Note
最後にマイナーかなと思う用語。
SLCPは、システムやソフトウェアを企画・開発・運用・廃棄する一連の過程（ライフサイクル）を共通の言葉で整える枠組みの国際規格（IPA）。
「RASP」（Runtime Application Self-Protection）は、アプリ内で攻撃をリアルタイム検出する仕組み。まだ新しい用語で検索調査が進みませんでした。今後重要になってくるでしょうね。（wikipedia英語, SOMPO社）。
need-to-knowは、知る必要がある者だけにアクセスを絞る考え方。
設問2c | 日常経験を生かす
模範解答は「初期」パスワード。
知らなくても気にせず。次回から必ず正解してください。「機器」「共通」あたりから、日常経験から推測できると良かったですね。
機器の設定経験や、学校/会社でのパスワード設定で、初期パスワードを変更した経験はあっても思い当たるかと。＞長文問題を解く６つのテクニックNote（６－２）
私はAP問7（組込み）で、Wifiルータあたりを初期パスワードのまま使っていて侵入された手口をみた気がします。※私の解説Noteには見当たらなかったので更に古い問題かと。
設問3(1) | 各社管理→全体/統一管理
正答はウ（グループ各社の個別業務システムの全てをセグメントGに移動、管理は各社情シス部のまま）。
下線①は「グループ全体で統制を強化」し「サプライチェーン攻撃」の対策をすること。この2点で考えてみます。
「グループ全体で統制を強化」の観点で選択肢を考えます。絞れなかったらサプライチェーンも考える2段階で。
ア：委託先のセキュリティ対策を委託前に審査するのは良いですね。サプライチェーンには委託先も含みますし。
イ：インシデント発生時の報告/対応の流れを定めるのは良いですね。統一した手順を各社に周知。
ウ：不適切。物理な管理は一括できましたが、中身の管理は各社のままなので。
エ：セキュリティ強固に「統一する」が良いですね。
設問3(2) | 素直に書いてみる
模範解答は「不正の発覚リスクが高いことが心理的障壁になるから」
模範解答の「発覚」「心理的障壁」って難しい言葉は出なくて当然。今後の作文に使わせてもらいましょう。＞長文問題を解く６つのテクニックNote（６－４）
”そりゃアクセスを監視されてログ記録されてるなら、内部不正するわけないじゃん”と思いますよね。
設問文の問い方/こちらの捉え方で、"どう作文すりゃいいんだ"と迷うことはあります。そういう時は、分かっている範囲で、そのまま答えを書いたり、少し解釈して自分なりの言葉で素直に書きます。
まずは問題文をそのまま流用/少し加工した解答。問題文に書かれていることは、正しいですからね。問にしっかり答えているかはさておき。
下線②前から引用して「アクセスが監視されログに記録されるので、調査で特定されるから」とか。30文字ちょっきり。
意外と問題文そのまま/当たり前のことを書いて正解もあり得ますよ。
内心"コワイなぁ"と思った気持ちを拾えれば、素直に書けば模範解答に近くなります。
「攻撃しようにもログ記録で発覚する恐れがあるから」23文字。「過去に遡って調査できるので、永遠とコワイ思いをするから」27文字。
多少幼稚と思っても、恥ずかしがらず素直に書いて下さい。悔いが残りますよ。
設問3(3) | 今後の解答カードに
模範解答は「脆弱性が発見された際に影響範囲を迅速に判断できないこと」。
よくありそうな解答なので、今後のカードに持っておきましょう。＞長文問題を解く６つのテクニックNote（６－４）
問題文からヒントを探していきます。ヒントがない時もありますが。＞長文問題を解く６つのテクニックNote（６）
問題文から捻りだした解答で、採点者に"問題文に基いて解答した"旨が伝われば、正解方向で考えてくれるかなと。
下線③は、対策9（サーバ&サーバ機器の脆弱性診断と対策）に加えて、対策10を追加する旨。
対策10は「ソフトウェア製品及びライブラリ～名称, バージョン, 開発会社などを一覧」。
対策9の脆弱性対応では”不充分なので”or”対策9のために”対策10のソフトウェアの一覧を作る旨。なぜ必要か。
模範解答は、"対策9のために"対策10を説明しています。名称やバージョンから脆弱性がある機器を特定できて、影響範囲が分かりますから。
もう一つの解釈もあるかと。対策9では"不充分なので"対策10。私はこの路線でした。
対策9の対象は「業務システム」「業務システムが稼働しているサーバ及びネットワーク機器」。
「業務システム」や「サーバ」「ネットワーク機器」に課題や特性はなかったかなと全文を読み直します。
終盤の問題のヒントが（忘れた頃の）序盤にあるのも良くあるパターンなので、少しずつ遡るより、最初から探し直した方が良いかな。これは演習を重ねたセンス。＞長文問題を解く６つのテクニックNote（５）
6頁頭「業務システム」は「共通業務システム」と「個別業務システム」があり、6頁中盤「個別業務システムの運用管理は各社の情報システム部」、「サーバ～は、各社の情報システム部が設定及び運用管理」。
”各社が管理してるからこそ、グループ全体を把握したいZ社情シス部が、一覧を必要なんだ”と発想に至りました。
「個別業務システム及びサーバの運用管理は各社情報システム部が行っているので、全体を把握したいから」。47文字。12文字オーバー。
「各社が管理するシステムやサーバの情報をグループ全体として把握したいから」。35文字ちょっきり。
模範解答では「全体を把握」して「影響範囲を迅速に判断」に活かすかまで必要でしたね。正解にしてくれるかは分かりませんが、正解or部分点を祈りましょう。
たしかに一覧があれば、この機器/このバージョンで攻撃が成立したから、他に同じ状態の機器はあるかな、と探せます。
まとめ
お疲れ様でした！
残念ながら満点は無理ですが、6割は切りませんし、しっかり問題演習をしていれば9割に迫れるとは思います。
大きなアドバンテージにはなりませんが、足は引かれません。
応用情報技術者は問1の安定なくして合格はあり得ません。問1セキュリティは60%超えて当然、むしろ他の問題の失点を補う立ち位置ですから。
私のNoteではIP～SC, DB, NWまで幅広く解説しています。全て私が解いて手作りしてますので、合格者/先生の視点として参考になったら嬉しいです。良かったらまた覗きに来てくださいね。お待ちしてます。
APには、解説以外の戦略Noteも準備しました。
＼全ての無料Noteへのリンク！／
＼全てのAP系Noteが読めます／
ここから先は
応用情報技術者試験（午後）の解説
【必ずリストを見てからご購入下さい】 一度不合格になった方、真剣に過去問演習に取り組む方向けのNoteです。 AP「午後」の有料Note…
この記事が参加している募集
学習方法・問題特集のNoteは全て無料提供を続けます▼ もしご覧になったNoteが有益だったり、私の志に共感されたりしましたら、サポート頂けますと励みになります▼ もちろんコメントでも結構です(・ω・▼)ノシ
