【どこよりも詳しく】令和5年度公開問題科目Bの解説（情報セキュリティマネジメント試験, SG, 午後）

このNoteでは「情報セキュリティマネジメント試験（SG）」令和5年度科目Bを”解説し尽く”します。

ご存じの通り、CBT後のSGは、年に1回だけ科目Aで21問。Bで3問しか過去問公開されません。

限られた公開問題を、単に解いて”正解した!””合格点超えた!”で終わっては勿体ないです。正答と不正答選択肢の理解でも、Iパスレベルで浅いです。

もっと、過去問をしゃぶり尽くしましょう。

選択肢をどう絞っていくか、他に学ぶべき点があるか、もし次ここが違って出てきたらどうだったか、などなど、噛めばしっかり味がでます。

新SGの過去問をちょろっと解いただけで受験して、合格すりゃ良いですが、しなかったらサイアクで。

圧倒的な実力で安全に合格したい方、過去問全部解いたのに不合格になって学びを深める手立てに困っている方にお薦めです。

AP/SCレベルで書いてる箇所もあるので、深追いはせず適宜スキップしてください。無理せず周回するイメージで。

それでは始めましょう！

＞全Noteへのリンク（SG節）
※新SG科目A/Bも、旧SG午前/午後も網羅！

※2026/04/15 「＊」は今後リンクを追加する箇所です。気長にお待ちください。旧SGの解説はほぼ完成しているのですが、新SGの解説を先行公開した方が良いと判断しました。ご容赦ください🙏

問13 | SG唯一の計算問題

正答はエ（一, 三）。

図1-4の通りに計算するだけですね。下図。

リスク値計算の出題。
＞【SG】サンプル問題科目B（その１）問50の解説Note
＞【SG】平成29年度秋午後問1の解説（表3と4, 設問1と3）＊

リスク対応「４」種類

「リスク対応」は4種類。ちょっと”表記揺れ”あり。＞【Iパス】リスク対応のNote

• 低減（軽減）は、リスクが顕在化する確率・損害規模を小さくする対策です。

• 回避は、リスクを完全に回避します。個人情報漏えいを完全回避するには、個人情報を「取り扱わない」のが一番です。

• 共有（移転, 転嫁）は、保険加入などをして社外組織とリスクを共有・移転します。

• 保有（受容）では特に対策しません。発生確率や規模が小さい場合、判断します。

図1-6「受容可能」は、リスク対応のうち「リスク保有（受容）」をするの意。

図1-7「（リスク）保有以外のリスク対応」とは、リスク低減/回避/共有のどれかをするの意。

リスク対応の後は「リスクアセスメント（特定→分析→評価）」を学習して下さい。＞【Iパス】リスクアセスメントのNote

補強 | 表を見たら「×て＋す」

今回の問題は、「CIA（機密性, 完全性, 可用性）」の”最大値”1個を計算に使ってました。

他にも、各評価値を"重み"にして、加重合計を計算する算出法も出題されます。

表を使った計算問題が出たら「×て+す」を疑ると、道が開けるかも。＞【FE】表は掛けて足すNote

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞【SG】サンプル問題科目B（その１）問50の解説Note
＞【SG】平成29年度秋午後問1の解説（表3と4, 設問1と3）＊
＞【Iパス】リスク対応のNote
＞【Iパス】リスクアセスメントのNote
＞【FE】表は掛けて足すNote

問14 | 水増し問題→深い復習が必要

正答はオ（二, 三）。

図1-4「バックアップ対象～の設定ミス」を、”バックアップすべきデータが対象から抜けていた”と解釈できればOK。

選択肢４個が過去問と同じ。問題文だけを変えた"水増し問題"ですね。図1-4/図1-1を問うかの違い。＞【SG】サンプル問題科目B（その１）問54の解説Note

なお大元は旧SG。＞【SG】平成30年度秋午後問2設問1(6)fの解説Note

（一）の解説 | バックアップ方式「フル/差分/増分」

一：誤り。バックアップ頻度を高くしてますが。”バックアップすべきデータが対象から抜けていた”設定ミスとは無関係。

頻度を上げたので、復旧できる時点が直近になりますね。
＞【SG】サンプル問題科目B（その１）問54の解説Note（ア）
＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（イ）

従来の週1では、最大1週間前の状態になります。例えば日曜バックアップなら、月曜日障害だと1日前の状態、土曜なら1週間前の状態復旧になります。

復旧時点の目標値は「RPO」と云いましたね。

個人的な疑問。設問文「毎日1回バックアップ」は、「フルバックアップ」なのかなぁ。データ量に依りますが、全データだと作業時間と労力がかかるので、現実的ではないですね。

大抵は、月1回（or週1回）に「フルバックアップ」して、あとは変更した分をちょこちょこ取得するのが普通かな。

（二）の解説 | 「コントロールトータルチェック」

二：正しい。バックアップ対象のファイルが、バックアップデータに含まれてるかチェックしてます。
＞【SG】サンプル問題科目B（その１）問54の解説Note（イ）
＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（ア）

なお、数の確認は「コントロールトータルチェック」と云います。振込額や件数の確認でも使われます。内容詳細までは確認しないけど、合計金額や合計件数は一致してるかなと。
＞【SG】令和元年秋午前問37のNote
＞【SG】平成30年春午前問37のNote
＞【SG】平成29年秋午前問38のNote

（三）の解説 | ダブルチェック/相互牽制

三：正しい。図1-4「設定ミス」の”ミス”は人的原因なので、複数名で確認すればミス防止になりますから。

最近のセキスペでも、二名作業の対策が解答になりました。＞【SC】令和7年秋午後問2設問3(3)の解説Note

＞【SG】平成30年度秋午後問1設問5(5)fの解説Note
＞【SG】平成29年度春午後問2設問2(1)eの解説Note＊
＞【SG】平成28年度春午後問2設問1(1)の解説Note＊
＞【SG】平成28年度春午後問3設問4(2)fの解説Note＊
＞【SG】サンプル問題科目B（その１）問59の解説Note

（四）の解説 | 磁気テープのご利益

四：バックアップ装置/媒体と設定ミスは無関係。

昔ながらの磁気テープは、バックアップに使われています。私は2000年代にIT企業で見ました、今でも試験に出ててびっくりしました。

最新=高性能ってだけじゃなく、昔の機械ならではの丈夫さとかシンプルさなどのご利益があるんですよね。
＞【SG】平成31年度春午後問3おまけ❷の解説Note
👆テープのご利益を特集しました
＞【SG】サンプル問題科目B（その１）問54の解説Note（エ）
＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（ウ, エ, カ）
＞【SG】平成30年度秋午後問2設問1(6)f考察の解説Note
＞【SG】平成30年度春午後問1おまけ❹の解説Note

（五）の解説 | 近接=速さ, 遠隔=被災

五：誤り。復旧速度と災害対策を両立する策。対象ファイルの選択設定とは無関係。

バックアップデータの1つを「ファイルサーバの隣にあるキャビネット」に引き続き保管するのは、復旧時間を短縮するため。サーバ近くにデータがあれば即作業にかかれます。

もう1つを「遠隔地に保管」するのは災害対策。もしファイルサーバの設備が被災した時、バックアップデータが喪失しちゃうので。

他のバックアップ問題の選択肢に出てきます。
＞【SG】サンプル問題科目B（その１）問54の解説Note（オ）
＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（キ）

補強 | バックアップの「3」方式→「RAID」

差分と増分は、私はいつもゴチャゴチャします。

• 差分バックアップ：前回のフルバックアップからの変更を保存。復元はフル＋1個の差分。

• 増分バックアップ：前回のフルor増分バックアップからの変更を保存。復元はフル＋複数の増分。

「増分バックアップ」は、復元に必要なファイル数が「増える」とこじつけますかね。＞【AP】バックアップ・RAIDのNote

さて、ややこい方式といえば「RAID」も。バックアップと一緒にノート裏表紙に図解を描いておくと良き。

• RAID0（ストライピング）：分散保存

• RAID1（ミラーリング）：複製保存

• RAID5：パリティビットで復元可

＞【AP】バックアップ・RAIDのNote

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

★＞【SG】サンプル問題科目B（その１）問54の解説Note
👆兄弟問題
★＞【SG】平成30年度秋午後問2設問1(6)fの解説Note
👆親問題

＞【SG】サンプル問題科目B（その１）問54の解説Note（ア）
＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（イ）
★＞【AP】バックアップ・RAIDのNote

コントロールトータルチェック
＞【SG】サンプル問題科目B（その１）問54の解説Note（イ）
＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（ア）
＞【SG】令和元年秋午前問37のNote
＞【SG】平成30年春午前問37のNote
＞【SG】平成29年秋午前問38のNote

テープによるバックアップ
★＞【SG】平成31年度春午後問3おまけ❷の解説Note
👆テープのご利益を特集しました
＞【SG】サンプル問題科目B（その１）問54の解説Note（エ）
＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（ウ, エ, カ）
＞【SG】平成30年度秋午後問2設問1(6)f考察の解説Note
＞【SG】平成30年度春午後問1おまけ❹の解説Note
＞【SG】サンプル問題科目B（その１）問54の解説Note（オ）
＞【SG】平成30年度秋午後問2設問1(6)fの解説Note（キ）

問15 | むしろ追加認証が大事

正答はウ。

13頁末「PCからマルウェアが検出された」ので、再発防止策を選ぶ問題。不正答（ア, イ, オ）を早々に消して、ウ/エで迷えばOKです。

兄弟問題もあり。13頁末に書かれたDさんへの指示を問うてます。＞【SG】サンプル問題科目B（その２）問3の解説Note（三）

不正答の解説 | 分かりやすい方から

アは完全に悪手、イ, オは良い策ですが今回の課題点解決にはならない点で、解答としては不適切と判断します。

ア：マルウェア感染してるPCを、VPN接続して社内ネットにアクセスさせる（@12頁中）とかダメすぎ。

イ：相手の信ぴょう性認識は良い策ですが。今回は”数か月頻繁にやり取りもしていた”相手だと判断しちゃった上での感染だったので、再発防止策にはならないかな。なりすまし偽物だと見分ける能力育成、の方が対策になりますね。

オ：ファイルを開く前にスキャン、は良い策ですが。今回は、マルウェア定義ファイルを最新にしていればギリギリ検出できたのにってのが課題点（図1：メールは09時30分, 13頁：ベンダーが定義ファイルを9時公開）。

正答の解説 | ウかエか

ウ, エではマルウェア定義ファイルの更新タイミングが焦点。

定義ファイル更新の現状を確認します（12頁後半）。

• 毎日16時に更新（を試みる）

• 毎日17時に更新されてなければ、担当者にメール通知
  👆メールでチクる前に更新リトライせんのかーい

今回は、感染当日9時にベンダーから公開されてた（13頁）のに、更新が16時設定だったから、9時30分に受信したメール付属のマルウェアに感染しちゃったって話。

ウ：マルウェア定義ファイルを「10分ごとに更新～設定」。良いですね。

ずっと”16時にPC起動してなかったらどうするんだろう”と不安に思ってました。

10分ごとに確認するなら、PC起動した時点で最新版に更新してくれるでしょう。ネットワーク負荷は若干気になりますが（windowsアプデとか結構PC/ネットのリソース食いますよね）。

エ：マルウェア定義ファイルを「8時にも更新～設定」。

”8時に起動してなかったらどうするんだろう”って不安が残ります。

また今回のケースで重箱の隅をつつくと。8時にベンダーは公開してないので（9時）。8時設定で最新確認しても、9時更新は適用されず、9時30分メールから感染しちゃいます。

個人的には、今回の事例だけに特化した考えで好きではないです。長期出張とか遅番とかで、16時にPC起動してない場合の対策として問う問題を出すべきじゃないかなぁ。

補強❶ | 選択肢ア：VPNを使う時

選択肢アのVPNを、がっつり補強します。

「VPN」が良く使われる場面は、社内システムを社外から使う時が多いかな。出先/在宅勤務ですね。

社内システムは社内LANにあって、FWで社外からアクセスできないように護られてます。社内PC@社内LANだけが使えれば良いですから。

社内システムを社外（出先, 自宅）から使うには、社内LANに入る必要があります。でもFWによってアクセスは拒否されます。

そこでVPNサーバをDMZに配置。

社外からVPNサーバ@DMZはFWを通過します。外部に公開されたWebサーバやメールサーバと同様に。

VPNサーバでID/PWDなどによる認証をしたら、VPNと社外PCの間を暗号化通信を確立。社外PCはVPNサーバを中継して社内LANにアクセスできるようになります。＞【SG】令和06年度科目B問3機能1変更案❸の解説Note＊

補強❷ | 2要素認証→OTP, リスクベース認証

12頁頭「2要素認証」をめっちゃ深めます。

今回は「スマートフォンに承認のリクエスト」@12頁前半。SMSかメールかな。よくあるのはSMSやメールで「ワンタイムパスワード（OTP）」を通知して入力させる方式。

また、ID/PWDの後に追加で認証してるので「2段階認証」とも云えますね。

さらに昨今は「リスクベース認証」も普及してますね。

補強❸ | 全PCのセキュリティを一元管理

12頁後半「マルウェア定義ファイルが～更新されていない場合は～担当者に～メールで知らせる」

良い機能ですね。今後の解答に役立つので覚えておきます。＞長文問題を解く６つのテクニックNote（６－４）

試験では「マルウェア対策サーバ」とか「IT資産管理ツール」って名前で出たことがありますが、名称”揺れ”があるので覚えず、”聞けば想像できる”程度に緩く理解して下さいね。

SCでは「マルウェア対策サーバ」が、定義ファイルの最新版を配布したり、各PCの更新情報を管理する代表例でました。

SGでは「IT資産管理ツール」がIT資産（ソフト, 機器）を一覧としてまとめて管理する例で出ました。マルウェア対策ソフトだけでなく、OS/アプリの脆弱性対策まで対象に入ってます。
＞【SG】平成31年度春午後問3設問3(4)eの解説Note
＞【SG】サンプル問題科目B（その１）問51の解説Note（三）

補強❹ | 身に覚えのないことはしない

「Bサービスにログインしようとしたタイミングではなかったので、リクエストを承認しなかった」。

良い対応ですね。

そして、この時点でID/PWDが第三者に使われてるので、最低でもPWD変更、最悪IDの凍結が必要ですね。担当部署にさっさと報告/相談です。

追加認証の手段も色々。＞【SG】平成30年度春午後問2おまけ❹の解説Note

• スマホのメッセージ（SMS）でワンタイムパスワード（OTP）を伝えて入六させる。PCとは別経路・別端末で本人確認。
  ＞【SG】令和元年度秋午後問2設問4(2)dの解説Note

• USBトークンorアプリでOTP発行して入力させる。トークン所持による関係者である確認。
  ＞【SG】平成30年度秋午後問1の解説Note

• クライアント証明書（ディジタル証明書の一種）を提示させる。端末やトークンに保管して使う。
  ＞【SG】令和元年度秋午後問1設問1(3)cの解説Note
  ＞【SG】平成30年度秋午後問1おまけ❷の解説Note
  ＞【SG】平成31年度春午後問3おまけ❷の解説Note
  ＞【SG】平成28年度秋午後問2設問2(4)fの解説Note＊

他にも「ログイン通知」ってのもありますね。

ログイン成功したら設定したメアドに”今ログインしましたね”ってメールが来ます。楽天証券では毎回来ます（時たまメール遅れてビビる💦）。

しかし連絡先メアドを変更されると無意味に。

連絡先メアドを変更する手口。メールURLをクリックさせて、そっくり偽サイトに誘導し、ID/PWDを入力させたり、追加認証や通知先のメアドを変更されたりなど（SCで出題あり＊）。

メールのURL/ボタンのクリックは原則ダメ。

SBI証券はログイン時にメールのURL/ボタンをクリックさせるので要注意です。自分がログイン作業中なら必要なのでクリックしますが、ログイン操作してない時に来たら危険。

URLクリックが業務上日常化してると、攻撃にかかり易いだろうなぁと。そんな業務例の出題あり。
＞【SG】令和元年度秋午後問3設問3(3)の解説Note
＞【SG】サンプル問題科目B（その１）問49の解説Note＊

補強❺ | オフライン更新できるんかい

13頁末「オフラインでマルウェア対策ソフト～最新版に更新」で、”オフラインで更新できるんかーい”って思いました。

試験でも時折見ますよ（SCかな）。USBメモリ/CDに最新版ファイルを保管しといてPCに接続して更新する機能。ネットワークに接続しないPCへの更新手段としてよく登場（感染経路にもなりますが…）。

兄弟問題では正答になりました。＞【SG】サンプル問題科目B（その２）問3の解説Note（三）

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

★＞【SG】サンプル問題科目B（その２）問3の解説Note（三）
＞【Iパス】通信プロトコル９個のNote
＞【Iパス】２要素/段階/経路の認証Note
＞【Iパス】バイオメトリクス認証のNote

リスクベース認証
＞【SG】サンプル問24のNote
＞【SG】令和01年秋問24のNote
＞【SG】平成30年春問25のNote
追加認証（OTP, クライアント証明書）
★＞【SG】平成30年度春午後問2おまけ❹の解説Note
＞【SG】令和元年度秋午後問2設問4(2)dの解説Note
＞【SG】平成30年度秋午後問1の解説Note
＞【SG】令和元年度秋午後問1設問1(3)cの解説Note
＞【SG】平成30年度秋午後問1おまけ❷の解説Note
＞【SG】平成31年度春午後問3おまけ❷の解説Note
＞【SG】平成28年度秋午後問2設問2(4)fの解説Note＊

まとめ 

お疲れでした！

SG科目Bの公開問題は、年1回・3問だけです。

しかも、問題の作り方が、重厚な長文問題の一部を切り取るようなケースが多かったですね。肉料理のケバブのような。

よって、扱われたシステム/比較表には、実はまだまだ奥行/広がりがあります。そんなとこまで思いを馳せてみました。

こういう学習って初見受験じゃ難しいんですよね。

私みたく過去問を全部解いて、教えた経験が活きる場面かなぁと思っています。

今後もSG科目Bの解説を作っていきますので、気が向いたら覗きに来て頂ければ嬉しいです。でわでわ。

＞全Noteへのリンク（SG）