ITパスポート「テクノロジ系（セキュリティ）」の一問一答

ITパスポートのテクノロジ系（セキュリティ）に関する一問一答（全143問）の正解と解説の一覧です。上の一問一答で実際に解いてから、ここで復習・確認できます。

1. 問1．情報セキュリティの3要素（CIA）に含まれないものはどれか。

   • ア．迅速性（Agility）
   • イ．完全性（Integrity）
   • ウ．機密性（Confidentiality）
   • エ．可用性（Availability）

   正解：ア．迅速性（Agility）

   解説：情報セキュリティの3要素（CIA）は機密性・完全性・可用性です。迅速性は含まれません。

2. 問2．マルウェアとは、悪意のあるソフトウェアの総称である。

   正解：○（正しい）

   解説：マルウェア（Malware）はMalicious Softwareの略で、ウイルス・ワーム・トロイの木馬等の悪意あるソフトウェアの総称です。

3. 問3．ランサムウェアの説明として正しいものはどれか。

   • ア．パスワードを盗み取る
   • イ．データを暗号化して身代金を要求する
   • ウ．コンピュータを遠隔操作する
   • エ．ネットワークを遮断する

   正解：イ．データを暗号化して身代金を要求する

   解説：ランサムウェアはファイルを暗号化して使用不能にし、復号のための金銭（身代金＝ランサム）を要求するマルウェアです。

4. 問4．フィッシングとは、偽のWebサイトやメールで個人情報を騙し取る手法である。

   正解：○（正しい）

   解説：フィッシングは実在する組織を装った偽メールやWebサイトでパスワードやクレジットカード情報を騙し取る詐欺手法です。

5. 問5．ソーシャルエンジニアリングの説明として正しいものはどれか。

   • ア．社会インフラのシステム開発
   • イ．ソーシャルメディアの管理手法
   • ウ．人間の心理的な隙を突いて情報を不正に入手する手法
   • エ．ネットワークの脆弱性を突く攻撃

   正解：ウ．人間の心理的な隙を突いて情報を不正に入手する手法

   解説：ソーシャルエンジニアリングは技術的手段ではなく、人間の心理的弱点を利用して機密情報を入手する手法です。

6. 問6．ファイアウォールは、外部ネットワークからの不正アクセスを防ぐ仕組みである。

   正解：○（正しい）

   解説：ファイアウォールは内部ネットワークと外部ネットワークの境界に設置し、不正な通信を遮断する仕組みです。

7. 問7．多要素認証の説明として正しいものはどれか。

   • ア．複数回ログインを試行して認証する
   • イ．複数のパスワードを入力して認証する
   • ウ．複数の管理者が承認して認証する
   • エ．知識・所持・生体の異なる要素を組み合わせて認証する

   正解：エ．知識・所持・生体の異なる要素を組み合わせて認証する

   解説：多要素認証は知識（パスワード）、所持（ICカード）、生体（指紋）の中から2つ以上の異なる要素で本人確認します。

8. 問8．公開鍵暗号方式では、暗号化と復号に同じ鍵を使用する。

   正解：×（誤り）

   解説：誤り。公開鍵暗号方式は暗号化と復号に異なる鍵（公開鍵と秘密鍵）を使用する非対称鍵暗号方式。同じ鍵を使うのは共通鍵暗号方式。

9. 問9．デジタル署名の目的として正しいものはどれか。

   • ア．送信者の本人確認と改ざん検知
   • イ．データの暗号化
   • ウ．ウイルスの検出
   • エ．アクセス制御

   正解：ア．送信者の本人確認と改ざん検知

   解説：デジタル署名は送信者が本人であること（認証）と、データが改ざんされていないこと（完全性）を確認する技術です。

10. 問10．SSLサーバ証明書は、Webサイトのコンテンツが圧縮されデータ転送量が削減されていることを証明するものである。

    正解：×（誤り）

    解説：誤り。SSLサーバ証明書は通信の暗号化およびWebサイト運営者の実在性を証明するもの。データ圧縮を証明する仕組みではない。

11. 問11．DoS攻撃の説明として正しいものはどれか。

    • ア．パスワードを総当たりで試す攻撃
    • イ．大量のアクセスでサーバをダウンさせる攻撃
    • ウ．データベースに不正なSQLを注入する攻撃
    • エ．Webサイトを改ざんする攻撃

    正解：イ．大量のアクセスでサーバをダウンさせる攻撃

    解説：DoS（Denial of Service）攻撃は大量のアクセスを送りつけてサーバやネットワークを過負荷にし、サービスを妨害する攻撃です。

12. 問12．SQLインジェクションは、Webアプリケーションの入力欄に不正なSQL文を挿入する攻撃である。

    正解：○（正しい）

    解説：SQLインジェクションはWebフォーム等の入力欄に不正なSQL文を注入し、データベースを不正に操作する攻撃手法です。

13. 問13．クロスサイトスクリプティング（XSS）の説明として正しいものはどれか。

    • ア．ドメイン名を偽装する攻撃
    • イ．サーバ間で不正にデータを転送する攻撃
    • ウ．Webサイトに悪意あるスクリプトを埋め込み、利用者のブラウザで実行させる攻撃
    • エ．ファイルを暗号化して身代金を要求する攻撃

    正解：ウ．Webサイトに悪意あるスクリプトを埋め込み、利用者のブラウザで実行させる攻撃

    解説：XSSはWebサイトの脆弱性を利用して悪意あるスクリプトを挿入し、利用者のブラウザ上で実行させる攻撃です。

14. 問14．ウイルス対策ソフトのパターンファイルは定期的に更新する必要がある。

    正解：○（正しい）

    解説：パターンファイル（ウイルス定義ファイル）を最新に更新しないと、新種のマルウェアを検出できません。

15. 問15．バイオメトリクス認証の例として正しいものはどれか。

    • ア．ワンタイムパスワード認証
    • イ．パスワード認証
    • ウ．ICカード認証
    • エ．指紋認証

    正解：エ．指紋認証

    解説：バイオメトリクス認証は指紋・虹彩・顔・静脈パターンなど、身体的特徴を利用した生体認証方式です。

16. 問16．VPN（Virtual Private Network）は、暗号化や認証を行わず公衆回線をそのまま利用する通信方式である。

    正解：×（誤り）

    解説：誤り。VPNは公衆回線上にトンネリング・暗号化等で仮想的な専用線を構築する技術であり、安全な通信路を提供する。

17. 問17．ISMS（情報セキュリティマネジメントシステム）の国際規格はどれか。

    • ア．ISO/IEC 27001
    • イ．ISO 9001
    • ウ．ISO 14001
    • エ．ISO 22000

    正解：ア．ISO/IEC 27001

    解説：ISO/IEC 27001はISMS（情報セキュリティマネジメントシステム）の国際規格です。9001は品質、14001は環境の規格です。

18. 問18．ゼロデイ攻撃とは、脆弱性の修正プログラム（パッチ）が公開され広く適用された後に行われる攻撃である。

    正解：×（誤り）

    解説：誤り。ゼロデイ攻撃は脆弱性が発見されてから修正パッチが提供されるまでの期間（猶予日数=0日）に実行される攻撃を指す。

19. 問19．パスワードの管理方法として適切なものはどれか。

    • ア．覚えやすいように名前と生年月日を組み合わせる
    • イ．推測されにくい長いパスワードを設定し、サービスごとに異なるものを使う
    • ウ．すべてのサービスで同じパスワードを使う
    • エ．パスワードをメモしてディスプレイに貼る

    正解：イ．推測されにくい長いパスワードを設定し、サービスごとに異なるものを使う

    解説：推測されにくい十分な長さのパスワードを設定し、サービスごとに異なるパスワードを使用することが重要です。

20. 問20．不正アクセス禁止法は、権限のないコンピュータへのアクセスを禁止する法律である。

    正解：○（正しい）

    解説：不正アクセス禁止法は、アクセス権限のないコンピュータへの侵入や他人のID・パスワードの不正使用を禁止しています。

21. 問21．ゼロトラストセキュリティの基本原則として正しいものはどれか。

    • ア．社内ネットワークからのアクセスはすべて信頼する
    • イ．社内外を問わずすべてのアクセスを信頼せず検証する
    • ウ．ファイアウォールの内側は安全とみなす
    • エ．一度認証されたユーザーは以後の検証を省略する

    正解：イ．社内外を問わずすべてのアクセスを信頼せず検証する

    解説：ゼロトラストは「何も信頼しない」を前提に、ネットワークの内外を問わずすべてのアクセスに対して認証・認可・暗号化を求めるセキュリティモデルです。

22. 問22．サプライチェーン攻撃とは、攻撃者が標的組織のシステムに直接侵入を試みる手法であり、第三者を経由しない攻撃である。

    正解：×（誤り）

    解説：誤り。サプライチェーン攻撃は取引先・委託先・ソフトウェアベンダ等のセキュリティ対策の弱い第三者を経由して最終標的を攻撃する手法。

23. 問23．SIEM（Security Information and Event Management）の説明として正しいものはどれか。

    • ア．マルウェアを自動駆除するアンチウイルスソフト
    • イ．ファイアウォールのルールを自動設定するツール
    • ウ．複数のシステムからセキュリティログを収集・分析し、脅威を検知する仕組み
    • エ．データのバックアップを自動化するツール

    正解：ウ．複数のシステムからセキュリティログを収集・分析し、脅威を検知する仕組み

    解説：SIEMはファイアウォール、IDS/IPS、サーバ等の各種ログを一元的に収集・相関分析し、セキュリティインシデントを早期に検知・対応するための統合管理基盤です。

24. 問24．EDR（Endpoint Detection and Response）は、エンドポイント（PC・サーバ等）の不審な挙動を監視し、脅威を検知・対応する仕組みである。

    正解：○（正しい）

    解説：EDRはPCやサーバ等のエンドポイントの動作を常時監視し、マルウェアの侵入や不審な振る舞いを検知した際に、隔離や調査等の迅速な対応を支援するセキュリティ製品です。

25. 問25．ハッシュ関数の特徴として正しいものはどれか。

    • ア．入力データより常にハッシュ値のほうがデータサイズが大きい
    • イ．異なる入力からは必ず異なるハッシュ値が得られる
    • ウ．ハッシュ値から元のデータを復元できる
    • エ．同じ入力からは常に同じハッシュ値が得られるが、ハッシュ値から元データを復元できない

    正解：エ．同じ入力からは常に同じハッシュ値が得られるが、ハッシュ値から元データを復元できない

    解説：ハッシュ関数は一方向性（ハッシュ値から元データを復元不可）と決定性（同じ入力→同じ出力）を持ちます。異なる入力から同じハッシュ値が生じる衝突の可能性はゼロではありません。

26. 問26．WAF（Web Application Firewall）は、Webサーバのハードウェア故障やディスク異常を検知するための監視ツールである。

    正解：×（誤り）

    解説：誤り。WAFはWebアプリへの攻撃（SQLインジェクション・XSS等）を検知・遮断するセキュリティ機器。ハードウェア故障の検知はWAFの機能ではない。

27. 問27．APT（Advanced Persistent Threat）攻撃の特徴として正しいものはどれか。

    • ア．特定の組織を標的に、長期間にわたり執拗に攻撃を続ける
    • イ．不特定多数を対象にした大量のスパムメール
    • ウ．短時間で大量のアクセスを集中させるDoS攻撃
    • エ．USBメモリ経由でのみ感染するマルウェア

    正解：ア．特定の組織を標的に、長期間にわたり執拗に攻撃を続ける

    解説：APT攻撃は高度な技術を持つ攻撃者が、特定の組織を標的に数ヶ月〜数年にわたり継続的に攻撃を行い、機密情報の窃取等を目的とする持続的標的型攻撃です。

28. 問28．CSIRT（Computer Security Incident Response Team）は、セキュリティインシデントに対応する専門チームである。

    正解：○（正しい）

    解説：CSIRTはセキュリティインシデントの予防・検知・対応・復旧を行う組織内の専門チームで、インシデント発生時の窓口として他組織のCSIRTとも連携します。

29. 問29．パスワードリスト攻撃の説明として正しいものはどれか。

    • ア．すべての文字の組み合わせを順に試すブルートフォース攻撃
    • イ．他のサービスで漏洩したID・パスワードの組み合わせを使って不正ログインを試みる攻撃
    • ウ．辞書に載っている単語を順に試す攻撃
    • エ．管理者のパスワードを直接盗み見る攻撃

    正解：イ．他のサービスで漏洩したID・パスワードの組み合わせを使って不正ログインを試みる攻撃

    解説：パスワードリスト攻撃は、流出した他サービスのID・パスワードリストを流用して別のサービスへの不正ログインを試みる攻撃です。パスワードの使い回しが被害を拡大させます。

30. 問30．MFAにおけるTOTP（Time-based One-Time Password）は、利用者の現在地（位置情報）に基づいて生成される一時的なパスワードである。

    正解：×（誤り）

    解説：誤り。TOTPは時刻情報をベースに一定時間ごとに変化するワンタイムパスワード。位置情報をベースとはしない。

31. 問31．ランサムウェアの被害を軽減するための対策として最も適切なものはどれか。

    • ア．すべてのデータをクラウドにのみ保存する
    • イ．ランサムウェアの身代金を速やかに支払う
    • ウ．定期的にオフラインバックアップを取得し、復旧手順を整備する
    • エ．アンチウイルスソフトのみに頼る

    正解：ウ．定期的にオフラインバックアップを取得し、復旧手順を整備する

    解説：ランサムウェア対策にはオフライン（ネットワーク非接続）のバックアップが重要です。オンラインバックアップは暗号化される恐れがあり、身代金支払いは推奨されません。

32. 問32．DLP（Data Loss Prevention）は、外部からのDDoS攻撃を検知・遮断する仕組みである。

    正解：×（誤り）

    解説：誤り。DLPは機密情報の社外への持ち出し・流出を検知・防止する仕組み。DDoS攻撃の対策はDLPの目的ではない。

33. 問33．DNSSEC（DNS Security Extensions）の目的として正しいものはどれか。

    • ア．ドメイン名の登録を自動化する
    • イ．DNSの名前解決速度を向上させる
    • ウ．DNSサーバの負荷を軽減する
    • エ．DNS応答の改ざん（DNSキャッシュポイズニング等）を防止する

    正解：エ．DNS応答の改ざん（DNSキャッシュポイズニング等）を防止する

    解説：DNSSECはDNS応答にデジタル署名を付加し、応答の正当性を検証することで、DNSキャッシュポイズニング等のDNS応答改ざん攻撃を防ぐセキュリティ拡張です。

34. 問34．ペネトレーションテスト（侵入テスト）は、実際に攻撃手法を用いてシステムの脆弱性を検証するテストである。

    正解：○（正しい）

    解説：ペネトレーションテストは攻撃者の視点で実際にシステムへの侵入を試み、セキュリティ上の弱点を洗い出すテストです。脆弱性診断（スキャン）より実践的な検証手法です。

35. 問35．マルウェアの種類のうち、正規のソフトウェアに見せかけて悪意ある動作をするものはどれか。

    • ア．トロイの木馬
    • イ．ワーム
    • ウ．ランサムウェア
    • エ．アドウェア

    正解：ア．トロイの木馬

    解説：トロイの木馬は有用なプログラムに偽装してユーザーにインストールさせ、バックドア設置や情報窃取等の悪意ある動作を行うマルウェアです。自己増殖機能は持ちません。

36. 問36．電子透かしは、画像や音声に情報を埋め込む技術であり、埋め込んだ情報は人が見てすぐ分かるように表示される。

    正解：×（誤り）

    解説：誤り。電子透かしは、著作権情報などを人が気づきにくい形でデータに埋め込む技術です。見た目や音をほとんど変えずに埋め込み、専用のソフトウェアで取り出します。不正なコピーが出回ったときに、出どころをたどる手がかりになります。

37. 問37．ビジネスメール詐欺（BEC）の手口として正しいものはどれか。

    • ア．大量の広告メールを不特定多数に送信する
    • イ．経営者や取引先になりすまして偽の送金指示メールを送る
    • ウ．メールサーバに大量のアクセスを集中させて停止させる
    • エ．メールの添付ファイルにウイルスを仕込む

    正解：イ．経営者や取引先になりすまして偽の送金指示メールを送る

    解説：BEC（Business Email Compromise）は経営者や取引先になりすまして、偽の請求書や送金先変更の指示メールを送り、金銭を詐取する詐欺です。標的型攻撃の一種です。

38. 問38．セキュリティバイデザインとは、システムの企画・設計段階からセキュリティを組み込む考え方である。

    正解：○（正しい）

    解説：セキュリティバイデザインは、開発の後工程でセキュリティ対策を追加するのではなく、企画・設計の初期段階からセキュリティ要件を組み込む開発方針です。

39. 問39．インターネットと内部ネットワークの間に置き、外部に公開するサーバを配置する区画を何というか。

    • ア．VPN
    • イ．LAN
    • ウ．DMZ（非武装地帯）
    • エ．VLAN

    正解：ウ．DMZ（非武装地帯）

    解説：DMZは、インターネットからも内部ネットワークからも切り離した中間の区画です。Webサーバやメールサーバなど外部に公開する必要があるものをここに置き、万一そのサーバが侵害されても、内部ネットワークまで被害が及びにくくします。

40. 問40．シャドーITとは、組織のIT部門が把握・管理していないITサービスやデバイスを従業員が業務に利用することである。

    正解：○（正しい）

    解説：シャドーITはIT部門の承認なく従業員が個人のクラウドサービス・アプリ・端末等を業務利用することで、情報漏洩やセキュリティリスクの原因となります。

41. 問41．MITM（Man-in-the-Middle）攻撃の説明として正しいものはどれか。

    • ア．パスワードを総当たりで解析する攻撃
    • イ．大量のパケットを送りつけてサーバを停止させる攻撃
    • ウ．Webサイトを書き換えてマルウェアを配布する攻撃
    • エ．通信経路に割り込み、通信内容を傍受・改ざんする攻撃

    正解：エ．通信経路に割り込み、通信内容を傍受・改ざんする攻撃

    解説：MITM攻撃は通信する2者の間に攻撃者が割り込み、通信内容の盗聴や改ざんを行う攻撃です。暗号化されていない通信や偽の証明書を使って実行されます。

42. 問42．FIDO2は、ユーザにパスワードの定期変更を強制するパスワードベースの認証規格である。

    正解：×（誤り）

    解説：誤り。FIDO2はパスワードに依存しない（パスワードレス）認証標準規格で、生体認証やセキュリティキーを利用する。

43. 問43．インシデントレスポンスのプロセスで、最初に行うべきステップはどれか。

    • ア．検知と分析（インシデントの特定と影響範囲の把握）
    • イ．根本原因の除去
    • ウ．システムの全面復旧
    • エ．報告書の作成

    正解：ア．検知と分析（インシデントの特定と影響範囲の把握）

    解説：インシデントレスポンスは①準備→②検知と分析→③封じ込め・根絶・復旧→④教訓（事後活動）の順で行います。インシデント発生時はまず検知・分析で状況を把握します。

44. 問44．セキュリティポリシーとは、組織の情報セキュリティに関する基本方針を文書化したものである。

    正解：○（正しい）

    解説：セキュリティポリシーは組織がどのように情報資産を保護するかの基本方針・対策基準・実施手順を定めた文書で、情報セキュリティマネジメントの基盤となります。

45. 問45．サンドボックスの説明として正しいものはどれか。

    • ア．ファイアウォールの別称
    • イ．不審なプログラムを隔離された仮想環境で実行し、挙動を安全に分析する仕組み
    • ウ．パスワードを安全に保管する金庫
    • エ．バックアップデータの保管場所

    正解：イ．不審なプログラムを隔離された仮想環境で実行し、挙動を安全に分析する仕組み

    解説：サンドボックスは隔離された安全な環境で不審なファイルやプログラムを実行し、マルウェアかどうかを判定する分析手法・仕組みです。本番環境への影響を防ぎます。

46. 問46．TPM（Trusted Platform Module）は、暗号鍵の生成や保管などを行うセキュリティチップで、内部の情報を不正に読み出されにくい耐タンパ性を備えている。

    正解：○（正しい）

    解説：TPMはPCなどに搭載されるセキュリティチップで、暗号鍵をチップ内部で生成・保管し、外部から解析されにくい構造（耐タンパ性）をもつ（シラバス 63）。

47. 問47．CVE（Common Vulnerabilities and Exposures）の説明として正しいものはどれか。

    • ア．暗号アルゴリズムの強度を評価する基準
    • イ．コンピュータウイルスの検体を収集するデータベース
    • ウ．ソフトウェアの脆弱性を一意に識別するための共通番号体系
    • エ．ファイアウォールのルールを標準化する規格

    正解：ウ．ソフトウェアの脆弱性を一意に識別するための共通番号体系

    解説：CVEは公開された脆弱性にCVE-YYYY-NNNNN形式の固有IDを割り当て、異なる組織・ツール間で同一の脆弱性を一意に特定・参照できるようにする識別番号体系です。

48. 問48．SOC（Security Operation Center）は、24時間365日体制でセキュリティの監視・分析を行う組織である。

    正解：○（正しい）

    解説：SOCはネットワークやシステムを常時監視し、セキュリティイベントの検知・分析・対応を行う専門組織です。SIEMやEDR等のツールを活用してインシデントの早期発見を図ります。

49. 問49．SSID隠蔽（ステルスモード）だけで無線LANのセキュリティは十分に確保できる。

    正解：×（誤り）

    解説：誤り。SSID隠蔽はネットワーク名を非表示にするだけで、専用ツールで容易に検出可能です。WPA3等の暗号化やMACアドレスフィルタリング等、複数の対策を組み合わせる必要があります。

50. 問50．不正アクセスなどが起きたとき、原因究明や法的な証拠とするために、機器に残る記録を保全し分析することを何というか。

    • ア．ペネトレーションテスト
    • イ．システム監査
    • ウ．バックアップ
    • エ．デジタルフォレンジックス

    正解：エ．デジタルフォレンジックス

    解説：デジタルフォレンジックスは、コンピュータやネットワーク機器に残るログ・通信記録・削除されたファイルなどを、改ざんされないように保全したうえで分析する手法です。原因の究明だけでなく、法的な手続きで証拠として使うことも想定しています。

51. 問51．ゼロトラストセキュリティモデルでは、社内ネットワークからのアクセスは信頼できるものとして扱い、認証や検証は省略する。

    正解：×（誤り）

    解説：誤り。ゼロトラストは『何も信頼しない』を前提とし、社内ネットワークからのアクセスであっても常に認証と検証を行う考え方。

52. 問52．SIEM（Security Information and Event Management）は、複数のシステムのログを収集・統合分析し、セキュリティ上の脅威を検出するシステムである。

    正解：○（正しい）

    解説：SIEMはファイアウォール、IDS、サーバ等の多様なログを一元収集し、相関分析によって単一のログでは発見困難な脅威やインシデントを検出します。

53. 問53．IDSは不正アクセスを検知した際に自動的に通信を遮断する機能を持つ。

    正解：×（誤り）

    解説：誤り。IDS（侵入検知システム）は不正アクセスの検知と通知を行いますが、自動遮断は行いません。自動遮断機能を持つのはIPS（侵入防止システム）です。

54. 問54．IPS（侵入防止システム）は、不正な通信を検知して管理者に通報するのみで、通信を自動遮断する機能は持たない。

    正解：×（誤り）

    解説：誤り。検知のみで通報するのはIDS。IPSはIDSの検知機能に加えて不正通信を自動的にブロック（遮断）する機能を持つ。

55. 問55．公開鍵基盤（PKI）は、認証局が発行するディジタル証明書によって、公開鍵の持ち主を保証する仕組みである。

    正解：○（正しい）

    解説：公開鍵暗号では、その公開鍵が本当に相手のものかを確かめる必要があります。PKIでは、信頼できる第三者である認証局が本人確認をしたうえでディジタル証明書を発行し、公開鍵と持ち主の結びつきを保証します。

56. 問56．ポートスキャンは、攻撃の準備として、標的のコンピュータでどのポートが通信を受け付けているかを調べ、侵入の手掛かりを探す行為である。

    正解：○（正しい）

    解説：ポートスキャンは、ポート番号ごとに応答を確かめて稼働中のサービスを調べる行為で、攻撃の準備段階に行われることが多い（シラバス 61）。

57. 問57．共通鍵暗号方式は、暗号化と復号に異なる鍵を使用するため、鍵の配送が不要である。

    正解：×（誤り）

    解説：誤り。共通鍵暗号は暗号化と復号に同じ鍵を使う方式。そのため鍵を安全に配送する必要があり鍵配送が課題となる。異なる鍵を使うのは公開鍵暗号方式。

58. 問58．デジタルフォレンジックとは、不正アクセスや情報漏洩などの事案発生後に、電子的証拠を収集・保全・分析する技術である。

    正解：○（正しい）

    解説：デジタルフォレンジックはコンピュータやネットワーク上の電子的証拠を法的に有効な形で収集・保全・分析し、事実関係を解明する技術・手法です。

59. 問59．不正のトライアングルを構成する3つの要素は、脅威・脆弱性・資産である。

    正解：×（誤り）

    解説：不正のトライアングルは、不正行為は「機会」「動機」「正当化」の3つがそろったときに起こりやすいとする考え方である。脅威・脆弱性・資産は情報セキュリティリスクを考えるときの要素である（シラバス 61）。

60. 問60．AES（Advanced Encryption Standard）は公開鍵暗号方式のアルゴリズムであり、デジタル署名等に広く利用されている。

    正解：×（誤り）

    解説：誤り。AESは共通鍵（対称鍵）暗号方式のブロック暗号アルゴリズム。公開鍵暗号方式の代表例はRSAや楕円曲線暗号。

61. 問61．RSA暗号は共通鍵暗号方式の代表的なアルゴリズムであり、離散対数問題の難しさを安全性の根拠としている。

    正解：×（誤り）

    解説：誤り。RSAは公開鍵暗号方式のアルゴリズムで、安全性の根拠は大きな素数の積の素因数分解の困難性。離散対数問題はDH鍵交換等が根拠。

62. 問62．WAFは通常のファイアウォールと同様にIPアドレスやポート番号のみに基づいて通信を制御する。

    正解：×（誤り）

    解説：誤り。WAFはIPアドレスやポート番号だけでなく、HTTPリクエストの内容（URL、パラメータ、Cookie等）を詳細に検査してWebアプリケーション層の攻撃を防御します。

63. 問63．SIEMの主要な機能の一つに、異なるログ間の相関分析（コリレーション）がある。

    正解：○（正しい）

    解説：相関分析はSIEMの中核機能で、複数の異なるソースのログイベントを関連付けて分析し、単独では検知できない複合的な攻撃パターンを発見します。

64. 問64．ペネトレーションテストは脆弱性スキャンと同じものであり、ツールによる自動検査のみで完了する。

    正解：×（誤り）

    解説：誤り。ペネトレーションテストは脆弱性スキャンとは異なり、発見した脆弱性を実際に悪用して侵入を試みるテストです。専門家の手動テストが重要な要素です。

65. 問65．デジタルフォレンジックにおいて、証拠の改ざんを防ぐためにハッシュ値による完全性の検証が行われる。

    正解：○（正しい）

    解説：フォレンジック調査では収集した証拠データのハッシュ値を記録し、分析前後でハッシュ値が一致することを確認して証拠の完全性（改ざんされていないこと）を保証します。

66. 問66．ハイブリッド暗号方式は、2つの異なる公開鍵暗号アルゴリズムを組み合わせて利用する方式である。

    正解：×（誤り）

    解説：誤り。ハイブリッド暗号は共通鍵暗号と公開鍵暗号を組み合わせ、共通鍵で本文を暗号化し共通鍵自体は公開鍵で暗号化する方式。

67. 問67．IPスプーフィングとは、大量の通信をサーバに送りつけてサービスを停止させる攻撃のことである。

    正解：×（誤り）

    解説：誤り。それはDoS攻撃です。IPスプーフィングは、送信元のIPアドレスを偽って別の機器になりすます手口で、なりすましのほか、攻撃元を隠すためにも使われます。

68. 問68．ゼロトラストの実現にはマイクロセグメンテーション（ネットワークの細分化）が有効な手段の一つである。

    正解：○（正しい）

    解説：マイクロセグメンテーションはネットワークを細かいセグメントに分割し、セグメント間の通信を厳密に制御することで、ゼロトラストの最小権限アクセスを実現します。

69. 問69．IDS/IPSのシグネチャ型検知は、既知の攻撃パターンのデータベースと照合して不正を検知する方式である。

    正解：○（正しい）

    解説：シグネチャ型検知は既知の攻撃パターン（シグネチャ）のデータベースとネットワーク通信を照合し、一致した場合に不正と判定する方式です。

70. 問70．デジタルフォレンジックの調査対象には、ハードディスクだけでなくメモリダンプやネットワークパケットも含まれる。

    正解：○（正しい）

    解説：フォレンジック調査はディスクフォレンジック・メモリフォレンジック・ネットワークフォレンジック等、電子的に記録されたあらゆるデータが対象となります。

71. 問71．社外から持ち込まれたPCを社内LANにつなぐ前に、隔離された区画で修正プログラムの適用状況やウイルス対策の状態を検査し、問題がなければ接続を許可する仕組みはどれか。

    • ア．DMZ
    • イ．VPN
    • ウ．MDM
    • エ．検疫ネットワーク

    正解：エ．検疫ネットワーク

    解説：検疫ネットワークは、接続しようとする端末のセキュリティ状態を隔離環境で検査し、基準を満たした端末だけを社内ネットワークに接続させる仕組みである。DMZは外部公開サーバを置く区画、MDMはモバイル端末を一元管理する仕組みである（シラバス 63）。

72. 問72．WAFが防御できる攻撃として適切でないものはどれか。

    • ア．DDoS攻撃（大量パケット型）
    • イ．クロスサイトスクリプティング
    • ウ．SQLインジェクション
    • エ．ディレクトリトラバーサル

    正解：ア．DDoS攻撃（大量パケット型）

    解説：WAFはWebアプリケーション層の攻撃を防御しますが、ネットワーク層への大量パケット型DDoS攻撃の防御は専用のDDoS対策サービスが必要です。

73. 問73．Webサイトを閲覧しただけで、利用者が気付かないうちにマルウェアをダウンロードさせ、実行させる攻撃はどれか。

    • ア．クリックジャッキング
    • イ．ドライブバイダウンロード
    • ウ．SQLインジェクション
    • エ．DNSキャッシュポイズニング

    正解：イ．ドライブバイダウンロード

    解説：ドライブバイダウンロードは、Webページの閲覧時にブラウザなどの脆弱性を悪用して、利用者の操作なしにマルウェアをダウンロード・実行させる攻撃である（シラバス 61）。

74. 問74．共通鍵暗号方式と公開鍵暗号方式の比較として正しいものはどれか。

    • ア．共通鍵暗号は鍵配送の問題がないが、処理速度が遅い
    • イ．公開鍵暗号は処理速度が速く、鍵配送の問題もない
    • ウ．共通鍵暗号は処理速度が速いが、鍵の安全な配送が課題である
    • エ．両方式の処理速度と安全性に違いはない

    正解：ウ．共通鍵暗号は処理速度が速いが、鍵の安全な配送が課題である

    解説：共通鍵暗号は公開鍵暗号に比べて処理速度が速いですが、送信者と受信者で同じ秘密鍵を共有する必要があり、鍵の安全な配送が課題です。

75. 問75．IDS/IPSの検知方式のうち、通常の通信パターンからの逸脱を検知する方式はどれか。

    • ア．プロキシ型
    • イ．シグネチャ型
    • ウ．ステートフル型
    • エ．アノマリ型（異常検知型）

    正解：エ．アノマリ型（異常検知型）

    解説：アノマリ型は正常な通信パターンをベースラインとして学習し、そこから大きく逸脱する通信を異常として検知する方式です。未知の攻撃にも対応できます。

76. 問76．ペネトレーションテストの実施手順として適切な順序はどれか。

    • ア．計画策定→情報収集→脆弱性分析→侵入試行→報告
    • イ．侵入試行→情報収集→計画策定→報告→脆弱性分析
    • ウ．報告→計画策定→情報収集→脆弱性分析→侵入試行
    • エ．情報収集→侵入試行→報告→計画策定→脆弱性分析

    正解：ア．計画策定→情報収集→脆弱性分析→侵入試行→報告

    解説：ペネトレーションテストはまずテスト範囲や目標を計画し、対象の情報を収集、脆弱性を分析した上で侵入を試行し、最終的に結果を報告します。

77. 問77．デジタルフォレンジックにおいて、証拠となるデータの保全で最も重要なことはどれか。

    • ア．証拠データを最新の状態に更新してから分析する
    • イ．証拠データの原本を変更せず、複製を作成して分析する
    • ウ．分析結果に合わせて証拠データを修正する
    • エ．不要と判断したデータは削除してから分析する

    正解：イ．証拠データの原本を変更せず、複製を作成して分析する

    解説：フォレンジックでは証拠の完全性を保つため、原本には一切手を加えず、ビットレベルの完全なコピー（イメージ）を作成して分析を行います。

78. 問78．ICカードなどで、内部の情報を不正に読み取ろうとしても解析が困難になるようにしてある性質を何というか。

    • ア．可用性
    • イ．冗長性
    • ウ．耐タンパ性
    • エ．相互運用性

    正解：ウ．耐タンパ性

    解説：耐タンパ性は、機器を分解したり信号を観測したりして内部の情報を取り出そうとしても、解析が難しくなるようにしてある性質です。ICカードやセキュリティチップでは、不正な操作を検知すると内部の情報を消去するといった仕組みが備えられています。

79. 問79．ゼロトラスト実現のための技術要素として適切でないものはどれか。

    • ア．多要素認証（MFA）
    • イ．マイクロセグメンテーション
    • ウ．エンドポイント検出と対応（EDR）
    • エ．境界型ファイアウォールのみに依存した防御

    正解：エ．境界型ファイアウォールのみに依存した防御

    解説：ゼロトラストはMFA・マイクロセグメンテーション・EDR等を組み合わせて実現します。境界型ファイアウォールのみに頼る従来型防御はゼロトラストとは対極の考え方です。

80. 問80．シングルサインオン（SSO）は、利用するシステムやサービスごとにユーザが毎回個別に認証を行わなければならない仕組みである。

    正解：×（誤り）

    解説：誤り。SSOは1回の認証で連携した複数のシステム・サービスを利用できる仕組み。毎回個別認証する従来方式とは逆の概念。

81. 問81．スパイウェアは、自己複製してネットワークを通じて他のコンピュータへ自律的に感染を広げることを主な目的とするマルウェアである。

    正解：×（誤り）

    解説：自己複製して自律的に感染を広げるのはワームである。スパイウェアは利用者に気付かれないように個人情報や操作履歴などを収集し、外部へ送信するマルウェアである（シラバス 61）。

82. 問82．ハッシュ関数の特徴として、同じ入力からは異なるハッシュ値が得られ、ハッシュ値から元の入力を簡単に復元できる。

    正解：×（誤り）

    解説：誤り。ハッシュ関数は同じ入力からは常に同じハッシュ値を生成し、出力から入力を復元することは事実上不可能（一方向性）という性質を持つ。

83. 問83．SHA-256は、128ビットのハッシュ値を生成する暗号学的ハッシュ関数である。

    正解：×（誤り）

    解説：誤り。SHA-256は名前の通り256ビット（32バイト）のハッシュ値を生成する。128ビット出力はMD5等。

84. 問84．ソルト（salt）とは、パスワードを保存する際にハッシュ化されたパスワードを短縮しデータ容量を削減する処理である。

    正解：×（誤り）

    解説：誤り。ソルトはパスワードをハッシュ化する際に付加するランダムな値で、レインボーテーブル攻撃対策として用いる。容量削減を目的とする処理ではない。

85. 問85．標的型攻撃とは、特定の組織や個人を狙って機密情報の窃取等を目的に実行されるサイバー攻撃である。

    正解：○（正しい）

    解説：標的型攻撃は業務関連を装ったメール（標的型メール）等で特定標的に侵入し、長期潜伏して機密情報を窃取する高度な攻撃手法です。

86. 問86．APT攻撃は、特定標的に対して長期間にわたり潜伏しながら情報窃取を行う高度で執拗な攻撃のことである。

    正解：○（正しい）

    解説：APT（Advanced Persistent Threat）は高度な技術と持続的な活動を特徴とし、国家支援型組織等による長期的サイバー攻撃を指します。

87. 問87．CSRF（クロスサイトリクエストフォージェリ）とは、Webページの入力欄に悪意のあるスクリプトを挿入し他ユーザのブラウザで実行させる攻撃である。

    正解：×（誤り）

    解説：誤り。スクリプト挿入はXSS（クロスサイトスクリプティング）。CSRFはログイン中ユーザのブラウザから意図しないリクエストを送信させる攻撃で別物。

88. 問88．DDoS攻撃は、攻撃者が単一の端末から標的に対し大量のトラフィックを送りサービス妨害を引き起こす攻撃である。

    正解：×（誤り）

    解説：誤り。単一端末からの攻撃はDoS攻撃。DDoS（分散型）は多数のボット等から複数の端末を使って同時に大量トラフィックを送る攻撃。

89. 問89．ビジネスメール詐欺（BEC）は、取引先や経営者を装ったメールで担当者を騙し送金等を実行させる詐欺である。

    正解：○（正しい）

    解説：BEC（Business Email Compromise）は経営者・取引先等になりすまして偽の送金指示等を行う詐欺で、国際的に大きな被害が報告されています。

90. 問90．パスワードリスト攻撃は、他サービスから漏洩したID・パスワードの組み合わせを流用し、別サービスへの不正ログインを試みる攻撃である。

    正解：○（正しい）

    解説：パスワードリスト攻撃はパスワード使い回しを悪用する攻撃で、多くのユーザが同一パスワードを複数サービスで利用している実態を突きます。

91. 問91．ブルートフォース攻撃は、よく使われる単語やパスワードのリスト（辞書）を順に試してパスワードを推測する攻撃である。

    正解：×（誤り）

    解説：誤り。辞書を用いるのは辞書攻撃。ブルートフォース攻撃は可能なパスワードを片端から総当たりで試行する攻撃。

92. 問92．辞書攻撃は、考えられるパスワードの組合せを片端から総当たりで試行する攻撃である。

    正解：×（誤り）

    解説：誤り。総当たりはブルートフォース攻撃。辞書攻撃はよく使われる単語やパスワードのリスト（辞書）を順番に試行する攻撃。

93. 問93．MITM（中間者攻撃）とは、攻撃者が通信を傍受せず正規の通信路を経由して送受信を行う合法的な手法である。

    正解：×（誤り）

    解説：誤り。MITMは通信の当事者間に攻撃者が割り込み通信内容を盗聴・改ざんする攻撃で、不正な攻撃手法。

94. 問94．DNSキャッシュポイズニングは、DNSサーバ自体を停止させ名前解決ができないようにする攻撃である。

    正解：×（誤り）

    解説：誤り。DNSキャッシュポイズニングはDNSサーバのキャッシュに偽のIPアドレス情報を注入し利用者を偽サイトに誘導する攻撃。サーバ停止はDoS等の別攻撃。

95. 問95．サプライチェーン攻撃は、取引先や委託先・ソフトウェアベンダ等を経由して標的組織を攻撃する手法である。

    正解：○（正しい）

    解説：サプライチェーン攻撃は直接の標的ではなく、標的に接続する委託先やソフトウェア部品を経由して侵入する攻撃で、近年急増しています。

96. 問96．JIS Q 27001は、個人情報保護マネジメントシステム（PMS）の要求事項を定めたJIS規格である。

    正解：×（誤り）

    解説：誤り。JIS Q 27001はISO/IEC 27001を基にした情報セキュリティマネジメントシステム（ISMS）規格。PMS規格はJIS Q 15001。

97. 問97．JIS Q 15001は、ISO/IEC 27001を基にした情報セキュリティマネジメントシステム（ISMS）の規格である。

    正解：×（誤り）

    解説：誤り。JIS Q 15001は個人情報保護マネジメントシステム（PMS）の規格でプライバシーマーク制度の基準となる。ISMS規格はJIS Q 27001。

98. 問98．情報セキュリティの3要素に、真正性・責任追跡性・否認防止性・信頼性を加えた7要素で捉える考え方もある。

    正解：○（正しい）

    解説：拡張された情報セキュリティはCIA3要素に真正性・責任追跡性・否認防止性・信頼性の4要素を加えた7要素で議論されます。

99. 問99．リスクアセスメントは、リスクの特定・分析・評価から成る一連のプロセスである。

    正解：○（正しい）

    解説：リスクアセスメントはISO/IEC 27005等で定義され、リスク特定→リスク分析→リスク評価の順でリスクを体系的に把握するプロセスです。

100. 問100．クリックジャッキングは、透明にした別のページを正規のページに重ねて表示し、利用者に意図しないクリック操作をさせる攻撃である。

     正解：○（正しい）

     解説：クリックジャッキングは、見えない罠のページを重ねて、利用者が正規のボタンを押したつもりで別の操作（設定変更や送信など）をさせる攻撃である（シラバス 61）。

101. 問101．プライバシーバイデザインは、プライバシー保護をシステムの設計段階から組み込む考え方である。

     正解：○（正しい）

     解説：プライバシーバイデザインは7つの基本原則（事後対応でなく事前予防等）に基づき、開発初期からプライバシー保護を設計に組み込む思想です。

102. 問102．BYOD（Bring Your Own Device）とは、会社が支給した業務用端末を従業員が私的な用途で使用することである。

     正解：×（誤り）

     解説：誤り。BYODは従業員が私物の端末（自分のスマホ・PC等）を業務で利用すること。会社支給端末の私的利用は別の概念。

103. 問103．MDM（Mobile Device Management）は、企業のメインフレームやデータベースサーバを集中管理する仕組みである。

     正解：×（誤り）

     解説：誤り。MDMはスマートフォンやタブレット等のモバイル端末を企業が一元的に管理・制御する仕組み。サーバ管理ではない。

104. 問104．エンドポイントセキュリティは、PC・スマートフォン等の末端機器を保護するセキュリティ対策である。

     正解：○（正しい）

     解説：エンドポイントセキュリティはウイルス対策、EDR、デバイス制御等で末端機器を守る対策で、ゼロトラスト時代にますます重要性を増しています。

105. 問105．バッファオーバーフロー攻撃は、プログラムが用意した入力領域の大きさを超えるデータを送り込み、不正な命令を実行させるなどの攻撃である。

     正解：○（正しい）

     解説：入力データの長さを確認しないプログラムに、確保した領域（バッファ）を超えるデータを与えて隣接するメモリを書き換え、不正なコードを実行させる攻撃である（シラバス 61）。

106. 問106．CRL（証明書失効リスト）は、有効期限内であるにもかかわらず失効したデジタル証明書を一覧にして公開するものである。

     正解：○（正しい）

     解説：秘密鍵の漏えいなどで有効期限前に失効させた証明書は、認証局がCRLに載せて公開する。証明書を受け取った側はCRLで失効していないかを確認する（シラバス 63）。

107. 問107．ISMAPは、個人情報保護法に基づき民間企業の個人情報取扱いを評価・認証する制度である。

     正解：×（誤り）

     解説：誤り。ISMAP（政府情報システムのためのセキュリティ評価制度）は日本政府が利用するクラウドサービスの安全性を評価・登録する制度。個人情報保護の評価制度ではない。

108. 問108．ディープフェイクは、AI技術を用いて人物の顔や音声を巧妙に合成・改変したメディアで、偽情報の拡散リスクがある。

     正解：○（正しい）

     解説：ディープフェイクはディープラーニングによる映像・音声合成技術で、詐欺・なりすまし・フェイクニュース等への悪用リスクが懸念されます。

109. 問109．耐量子計算機暗号（PQC）とは、量子コンピュータ自体を構成するために必要となる暗号アルゴリズムの総称である。

     正解：×（誤り）

     解説：誤り。PQCは量子コンピュータによる解読攻撃に耐えることを目指した古典コンピュータ上で動作する次世代暗号技術。量子コンピュータを構成するための暗号ではない。

110. 問110．IoT機器のセキュリティ対策として、初期パスワードの変更と最新ファームウェアへの更新が基本である。

     正解：○（正しい）

     解説：IoT機器は初期設定のまま使用されマルウェア感染源となるケースが多いため、初期パスワード変更とファームウェア更新が必須の基本対策です。

111. 問111．普段と異なるIPアドレスや端末からのログインなど、いつもと違う状況を検知したときだけ、合言葉などの追加の本人確認を求める認証方式はどれか。

     • ア．シングルサインオン
     • イ．リスクベース認証
     • ウ．ワンタイムパスワード
     • エ．パスワードレス認証

     正解：イ．リスクベース認証

     解説：リスクベース認証は、ログイン時の環境や振る舞いを普段と比べ、不正の可能性が高いと判断したときに追加の認証を行う方式である（シラバス 63）。

112. 問112．公開鍵暗号方式を用いたデジタル署名において、署名生成と署名検証に用いる鍵の組合せとして正しいものはどれか。

     • ア．署名生成は受信者の公開鍵、検証は受信者の秘密鍵
     • イ．署名生成は送信者の秘密鍵、検証は送信者の公開鍵
     • ウ．署名生成は送信者の公開鍵、検証は送信者の秘密鍵
     • エ．署名生成・検証ともに共通鍵

     正解：イ．署名生成は送信者の秘密鍵、検証は送信者の公開鍵

     解説：デジタル署名は送信者の秘密鍵で署名を生成し、誰でも送信者の公開鍵で検証できるため、なりすまし防止と改ざん検知を実現します。

113. 問113．ハッシュ関数の性質として適切でないものはどれか。

     • ア．異なる入力から同じ出力（衝突）が得られることは極めて稀
     • イ．同じ入力からは常に同じ出力が得られる
     • ウ．出力から容易に入力を復元できる
     • エ．任意長の入力から固定長の出力が得られる

     正解：ウ．出力から容易に入力を復元できる

     解説：ハッシュ関数は一方向性（出力から入力を求めることが困難）を持ちます。容易に復元できるのは暗号化関数です。

114. 問114．SQLインジェクション対策として最も有効なものはどれか。

     • ア．ユーザ名の非公開化
     • イ．入力フィールドの文字数制限のみ
     • ウ．Webサーバの再起動
     • エ．プレースホルダ（バインド機構）を用いたパラメータ化クエリの使用

     正解：エ．プレースホルダ（バインド機構）を用いたパラメータ化クエリの使用

     解説：プレースホルダ（パラメータ化クエリ）はSQL構文とデータを明確に分離し、SQL文として解釈されないため、最も根本的で有効な対策です。

115. 問115．XSS（クロスサイトスクリプティング）の対策として最も適切なものはどれか。

     • ア．HTML特殊文字のエスケープ処理（サニタイズ）を行う
     • イ．パスワードを複雑にする
     • ウ．サーバのCPUを強化する
     • エ．ネットワーク回線を高速化する

     正解：ア．HTML特殊文字のエスケープ処理（サニタイズ）を行う

     解説：XSS対策の基本はHTML出力時に < や & 等の特殊文字をエスケープ処理し、スクリプトとして解釈されないようにすることです。

116. 問116．CSRF対策として有効なものはどれか。

     • ア．ウェブページに出力する要素にエスケープ処理を施す
     • イ．ワンタイムトークンをフォームに埋め込み、リクエスト時に検証する
     • ウ．SQL文の組立てをプレースホルダで実装する
     • エ．ウェブサーバとの通信をHTTPSで暗号化する

     正解：イ．ワンタイムトークンをフォームに埋め込み、リクエスト時に検証する

     解説：CSRF（クロスサイト・リクエスト・フォージェリ）は、ログイン中の利用者に罠のページを踏ませ、利用者の意図しない処理の要求を正規のサイトへ送らせる攻撃。対策の基本は、フォームに第三者が予測できない秘密情報（ワンタイムトークン）を埋め込み、処理の実行時にその値が正しいときだけ処理することである。出力時のエスケープ処理はクロスサイト・スクリプティング、プレースホルダによるSQL文の組立てはSQLインジェクションの対策。HTTPSによる暗号化は通信路の保護で、正規の利用者のブラウザから送られる偽造リクエストは防げない。

     根拠： IPA「安全なウェブサイトの作り方」1.6 CSRF（クロスサイト・リクエスト・フォージェリ） 根本的解決 6-(i)-a「hiddenパラメータ」に秘密情報（暗号論的擬似乱数で生成）を挿入し、実行ページではその値が正しい場合のみ処理を実行する／注意が必要なサイトに「SSLクライアント認証」を用いたセッション管理も含まれる ／ IPA「安全なウェブサイトの作り方」1.5 クロスサイト・スクリプティング 根本的解決 5-(i) ウェブページに出力する全ての要素に対して、エスケープ処理を施す ／ IPA「安全なウェブサイトの作り方」1.1 SQLインジェクション 根本的解決 1-(i)-a SQL文の組み立ては全てプレースホルダで実装する

117. 問117．ゼロデイ攻撃への有効な対策として最も適切なものはどれか。

     • ア．ソフトウェアを更新しない
     • イ．パターンファイルのみに依存する
     • ウ．EDR等の挙動ベース検知と多層防御の実施
     • エ．単一のウイルス対策ソフトだけを導入する

     正解：ウ．EDR等の挙動ベース検知と多層防御の実施

     解説：未知の脆弱性を突くゼロデイ攻撃にはシグネチャ型検知では不十分で、EDR等の挙動監視と複数層の防御の組み合わせが効果的です。

118. 問118．電子メールの送信者が、後になって「自分はそのメールを送っていない」と言い逃れできないようにする情報セキュリティの特性はどれか。

     • ア．真正性
     • イ．否認防止
     • ウ．可用性
     • エ．完全性

     正解：イ．否認防止

     解説：否認防止は、ある事象や行為が起きたことと、それを行った主体を後から証明できるようにする特性で、デジタル署名などで実現する。真正性は対象が主張どおりのものであること、完全性は情報が正確で改ざんされていないことである（シラバス 62）。

119. 問119．PCの起動時に、OSやブートローダなどのデジタル署名を検証し、改ざんされていない正規のソフトウェアだけを実行させる仕組みはどれか。

     • ア．セキュアブート
     • イ．検疫ネットワーク
     • ウ．MDM
     • エ．DLP

     正解：ア．セキュアブート

     解説：セキュアブートは、起動時に読み込むソフトウェアの署名を検証し、不正に改ざんされたものが実行されないようにする仕組みである。DLPは機密情報の持ち出しを監視・防止する仕組みである（シラバス 63）。

120. 問120．生体認証の性能指標「他人受入率（FAR）」の説明として正しいものはどれか。

     • ア．本人を誤って他人と拒絶する割合
     • イ．本人でない他人を誤って本人として受け入れる割合
     • ウ．認証処理の速度
     • エ．登録可能な人数

     正解：イ．本人でない他人を誤って本人として受け入れる割合

     解説：FAR（False Acceptance Rate）は他人受入率で、低いほど安全性が高くなります。対になる本人拒否率はFRR（False Rejection Rate）です。

121. 問121．ISMSにおけるPDCAサイクルで、セキュリティ対策の有効性を評価するフェーズはどれか。

     • ア．Do（実施）
     • イ．Plan（計画）
     • ウ．Check（評価）
     • エ．Act（改善）

     正解：ウ．Check（評価）

     解説：PDCAのCheckフェーズで監査・監視・測定を通じて対策の有効性を評価し、Actフェーズで改善につなげるサイクルを回します。

122. 問122．無線LAN（Wi-Fi）で推奨される暗号化方式として最も安全性が高いものはどれか。

     • ア．WPA1
     • イ．WEP
     • ウ．オープン（暗号化なし）
     • エ．WPA3

     正解：エ．WPA3

     解説：WPA3は2018年に策定された最新の無線LAN暗号化規格で、WEP・WPA・WPA2の脆弱性を改善した最も安全性の高い方式です。

123. 問123．EDRとSIEMの役割の違いとして最も適切なものはどれか。

     • ア．EDRはエンドポイントの挙動監視、SIEMは複数ログの統合相関分析を行う
     • イ．EDRはネットワーク監視、SIEMはエンドポイント対策を行う
     • ウ．両者は同一のツールである
     • エ．EDRはログ分析のみ、SIEMは物理対策を行う

     正解：ア．EDRはエンドポイントの挙動監視、SIEMは複数ログの統合相関分析を行う

     解説：EDRは各エンドポイントの挙動を詳細に監視して脅威を検知・対応し、SIEMは組織全体の多様なログを集約して相関分析を行います。

124. 問124．DLP（Data Loss Prevention）は、機密情報の不正な持ち出しや漏洩を監視・防止するセキュリティ対策である。

     正解：○（正しい）

     解説：DLPは社内の機密データを識別・分類し、メール送信・USB持出し・クラウドアップロード等の経路で情報漏洩が起きないよう監視・遮断する仕組みです。

125. 問125．CASB（Cloud Access Security Broker）は、利用者とクラウドサービスの間に位置し、利用状況の可視化やセキュリティポリシーの適用を行う仕組みである。

     正解：○（正しい）

     解説：CASBは企業の従業員が利用する各種クラウドサービス（SaaS等）への通信を仲介し、シャドーIT検出、アクセス制御、データ保護、脅威防御等の機能を提供します。

126. 問126．IoTのセキュリティに関する次の記述中のa，bに入れる字句の適切な組合せはどれか。 ネットワークカメラの画像を盗み見される脅威のうち，ネットワークカメラへの　a　対策として，第三者がカメラにアクセスして映像を閲覧できないようにするためには，　b　で利用しない。

     • ア．a：DDoS攻撃，b：初期パスワード
     • イ．a：DDoS攻撃，b：有線回線
     • ウ．a：不正侵入，b：初期パスワード
     • エ．a：不正侵入，b：有線回線

     正解：ウ．a：不正侵入，b：初期パスワード

     解説：正解はウ。ネットワークカメラへの脅威のうち第三者が不正に接続して映像を閲覧するのは不正侵入であり(a＝不正侵入)、その対策として工場出荷時の初期パスワードのまま利用しないこと(b＝初期パスワード)が有効。DDoS攻撃は可用性を狙うサービス妨害で盗み見の脅威には対応しない。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問55
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

127. 問127．無線LANで使用するWPA2の機能として，適切なものはどれか。

     • ア．2本のアンテナを用いることによってデータの送受信を高速化する。
     • イ．アクセスポイントをステルス化する。
     • ウ．通信データを暗号化する。
     • エ．登録されたMACアドレスをもつ機器以外からのアクセスを拒否する。

     正解：ウ．通信データを暗号化する。

     解説：正解はウ。WPA2は無線LANの通信データを暗号化するセキュリティ規格(AES/CCMPを採用)である。アは複数アンテナで高速化するMIMO、イはSSIDのステルス化、エはMACアドレスフィルタリングの説明で、いずれもWPA2の機能そのものではない。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問59
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

128. 問128．PCに保存されたファイルを使用できなくするランサムウェアによる被害を低減させるための対策として，適切なものはどれか。

     • ア．UPSの導入
     • イ．データの暗号化
     • ウ．データのバックアップ
     • エ．ログインパスワードの変更

     正解：ウ．データのバックアップ

     解説：正解はウ。ランサムウェアはファイルを暗号化して使用不能にするため、あらかじめ取得したバックアップから復旧できるようにしておくのが最も有効な被害低減策である。ア UPSは停電対策、イ データの暗号化は攻撃者にはむしろ好都合で防止にならず、エ ログインパスワード変更は不正ログイン対策で、いずれもランサムウェア被害の低減には直接結びつかない。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問63
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

129. 問129．ISMSにおける情報セキュリティインシデントの管理に関する記述のうち，適切なものはどれか。

     • ア．情報セキュリティインシデントには臨機応変な対応が求められるので，あらかじめ対応手順を文書化しておくのではなく，実際の対応内容を記録する。
     • イ．情報セキュリティインシデントから得られた知識は，模倣を防ぐために情報セキュリティの管理策の強化には用いない。
     • ウ．情報セキュリティ事象は，その評価を待つことなく，報告された時点で情報セキュリティインシデントに分類される。
     • エ．情報セキュリティ事象は，適切な管理者へ速やかに報告するために，あらかじめその連絡経路と仕組みを用意しておく。

     正解：エ．情報セキュリティ事象は，適切な管理者へ速やかに報告するために，あらかじめその連絡経路と仕組みを用意しておく。

     解説：正解はエ。情報セキュリティ事象を適切な管理者へ速やかに報告できるよう、連絡経路と仕組みをあらかじめ用意しておくのが適切な管理である。ア(対応手順は事前に文書化すべき)、イ(得た知識は管理策の強化に活用すべき)、ウ(事象は評価を経てインシデントに分類する)はいずれもISMSの考え方に反する。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問70
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

130. 問130．インターネットバンキングなどのWebサイトで利用されているリスクベース認証の例として，適切なものはどれか。

     • ア．利用者がいつもログインに使っているPCとは異なるPCからのログインであったので，本人しか知らない秘密の質問による追加の認証を行った。
     • イ．利用者がログインした後，画面操作が一定時間なかったので，自動的にログアウトして，再度ログインを求めた。
     • ウ．利用者がログインするときにパスワードを連続して複数回間違って入力したので，アカウントをロックした。
     • エ．利用者がログインに使っているパスワードが長期間変更されていなかったので，パスワードの変更を促した。

     正解：ア．利用者がいつもログインに使っているPCとは異なるPCからのログインであったので，本人しか知らない秘密の質問による追加の認証を行った。

     解説：正解はア。リスクベース認証は、普段と異なる環境(いつもと違うPC等)からのアクセスなど、リスクが高いと判断した場合にのみ追加認証を求める方式である。イ は一定時間無操作での自動ログアウト、ウ はアカウントロック、エ はパスワードの定期変更促進で、リスクの度合いに応じて認証を変える仕組みではない。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問71
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

131. 問131．ある企業では，サーバ室への入室管理を暗証番号で行っていたが，虹彩認証装置による本人確認を加えることによって，無許可の者の入室をより確実に防止する対策とした。これは，サーバ室における情報セキュリティ要素のうち，どれを高める対策に該当するか。

     • ア．可用性
     • イ．完全性
     • ウ．機密性
     • エ．否認防止

     正解：ウ．機密性

     解説：正解はウの機密性。暗証番号に虹彩認証を加えて無許可者の入室をより確実に防ぐことは、許可された者だけが情報資産にアクセスできる状態を強化する対策であり、機密性を高めることに該当する。ア 可用性・イ 完全性・エ 否認防止は情報セキュリティの他の要素で、本人確認の強化とは対応しない。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問77
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

132. 問132．企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において，経営者に求められる役割として，最も適切なものはどれか。

     • ア．IT 部門のセキュリティ担当者に，部門ごとのサイバーセキュリティリスク対応方針の策定と実行を全て任せる。
     • イ．サイバーセキュリティ対策を実施する上での責任者となる CISO を任命し，実行や判断を全て任せる。
     • ウ．実施方針の検討，予算や人材の割当て，実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する。
     • エ．専門家である外部の経営コンサルタントに，自社の組織や事業におけるリスクの分析と対策の推進に関する権限と責任を委譲する。

     正解：ウ．実施方針の検討，予算や人材の割当て，実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する。

     解説：正解はウ。サイバーセキュリティ対策で経営者に求められるのは、実施方針の検討、予算・人材の割当て、実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮することである。ア・イ・エはいずれも担当者やCISO、外部コンサルタントに「全て任せる/権限と責任を委譲する」形で経営者が主体的関与を放棄しており不適切。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問79
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

133. 問133．バイオメトリクス認証に関する次の記述中の a，b に入れる字句の適切な組合せはどれか。 バイオメトリクス認証を利用したシステムの設計を始めるときには，システムの目的と認証の用途を明らかにし，認証精度の設定方針を策定することが必要である。他人受入率が［ a ］なるように設定した場合は，安全性を重視した認証になり，本人拒否率が［ b ］なるように設定した場合は，本人の利便性を重視した認証になるといえる。

     • ア．a：高く，b：高く
     • イ．a：高く，b：低く
     • ウ．a：低く，b：高く
     • エ．a：低く，b：低く

     正解：エ．a：低く，b：低く

     解説：正解はエ。他人受入率(他人を誤って本人と認めてしまう率)を低く設定すると安全性を重視した認証になり、本人拒否率(本人を誤って拒否する率)を低く設定すると本人の利便性を重視した認証になるため、a・bともに「低く」が入る。両者はトレードオフの関係にある。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問80
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

134. 問134．職場の PC に適用する情報セキュリティ対策a～cのうち，マルウェア対策ソフトの導入のほかに，マルウェア感染を防止するための対策として，適切なものだけを全て挙げたものはどれか。 a OS のセキュリティパッチ（修正モジュール）の適用 b 起動ドライブとなっているハードディスクに対するパスワード設定 c 複雑かつ十分な長さをもつログインパスワードの導入

     • ア．a
     • イ．a,b
     • ウ．b
     • エ．c

     正解：ア．a

     解説：正解はア。マルウェアはOSやソフトウェアの脆弱性を突いて侵入することが多いため、aのセキュリティパッチ適用は感染防止に直接有効である。bのハードディスクへのパスワード設定は盗難・不正持ち出し時の情報漏えい対策、cの強固なログインパスワードは不正ログイン対策であり、いずれもマルウェアの感染そのものを防ぐ対策ではない。よって適切なのはaだけである。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問83
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

135. 問135．情報セキュリティに関する次の記述中の a，b に入れる字句の適切な組合せはどれか。 守るべき情報資産に対して望ましくない影響を及ぼす可能性のある原因のことを［ a ］といい，情報資産自身の価値を損なう可能性をもつ弱点のことを［ b ］という。

     • ア．a：インシデント，b：リスク
     • イ．a：脅威，b：脆弱性
     • ウ．a：脆弱性，b：インシデント
     • エ．a：リスク，b：脅威

     正解：イ．a：脅威，b：脆弱性

     解説：正解はイ。守るべき情報資産に望ましくない影響を及ぼす可能性のある原因（不正アクセス・災害・人為ミスなど）がa＝「脅威」、その脅威につけ込まれる情報資産側の弱点がb＝「脆弱性」である。リスクは脅威と脆弱性によって損害が生じる可能性そのもの、インシデントは実際に発生した事象を指し、a・bには当てはまらない。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問89
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

136. 問136．PKI(公開鍵基盤)の特徴として，適切なものはどれか。

     • ア．共通鍵の所有者を確認する方法が提供されている。
     • イ．知人が署名した鍵は信頼するという“信頼の輪”によって，公開鍵が正当であることを確認する。
     • ウ．電子証明書の正当性を認証局が保証する。
     • エ．秘密鍵を安全に公開する方法が提供されている。

     正解：ウ．電子証明書の正当性を認証局が保証する。

     解説：正解はウ。PKI（公開鍵基盤）では、認証局（CA）が利用者の公開鍵と本人を結び付けた電子証明書を発行し、その正当性を認証局が保証する仕組みで公開鍵の信頼性を担保する。アの共通鍵の確認はPKIの目的ではなく、イの「信頼の輪」はPGPの考え方、エは秘密鍵は本人だけが秘匿するものであり公開しないため、いずれも誤り。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問90
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

137. 問137．デジタル署名やブロックチェーンで用いられるハッシュ関数には，SHA-256，SHA-512などがある。このようなハッシュ関数に関する記述として，適切なものはどれか。

     • ア．あるハッシュ関数を用いて得たハッシュ値を，そのハッシュ関数に入力することによって，元のデータを復元することができる。
     • イ．同じデータを異なるハッシュ関数にそれぞれ入力したとき，得られるハッシュ値は全て同じになる。
     • ウ．同じハッシュ関数を用いる場合，入力したデータが同じであれば，得られるハッシュ値は常に同じになる。
     • エ．どのハッシュ関数にもそれぞれの逆関数が存在し，ハッシュ値から元のデータを復元することができる。

     正解：ウ．同じハッシュ関数を用いる場合，入力したデータが同じであれば，得られるハッシュ値は常に同じになる。

     解説：正解はウ。ハッシュ関数は、同じ関数に同じデータを入力すれば必ず同じハッシュ値が得られるという再現性（決定性）をもち、この性質が改ざん検知やブロックチェーンで利用される。ア・エはハッシュ値から元データを復元できるとしているが一方向性により復元は不可能、イは異なるハッシュ関数なら同じデータでも得られる値は異なるため、いずれも誤り。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問91
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

138. 問138．ゼロトラストセキュリティの考え方に基づいた情報セキュリティ対策の例として，適切なものはどれか。

     • ア．インターネットと内部ネットワークの境界にファイアウォールを配置し，インターネットからの脅威を境界で遮断する。
     • イ．内部ネットワークからであっても外部ネットワークからであっても，ネットワーク上の情報資源へのアクセスには二要素認証を利用する。
     • ウ．内部ネットワークに接続する PC にインストールされたソフトウェアに脆弱性が発見されたときに，そのセキュリティパッチは公開後直ちに適用する。
     • エ．内部ネットワークに接続する PC のうち，インターネットにアクセスする PC だけにマルウェア対策ソフトをインストールする。

     正解：イ．内部ネットワークからであっても外部ネットワークからであっても，ネットワーク上の情報資源へのアクセスには二要素認証を利用する。

     解説：正解はイ。ゼロトラストは「内部ネットワークだからといって信頼しない」を前提とし、社内・社外を問わずアクセスのたびに認証・認可を行う考え方で、二要素認証による都度検証はその典型例である。アの境界にファイアウォールを置いて内部を信頼する方式は従来型の境界防御であり、ゼロトラストの考え方とは対極にある。ウの迅速なパッチ適用やエの一部PCのみへの対策はゼロトラスト固有の考え方を示す例ではない。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問92
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

139. 問139．次の ISMS における実施項目のうち，最初に行うものはどれか。

     • ア．ISMS の適用範囲の決定
     • イ．情報セキュリティリスクアセスメント
     • ウ．情報セキュリティリスク対応
     • エ．内部監査

     正解：ア．ISMS の適用範囲の決定

     解説：正解はア。ISMSの構築は、まず「どの範囲に情報セキュリティマネジメントを適用するか」という適用範囲（スコープ）を決定することから始まる。範囲が定まって初めて、その範囲内でリスクアセスメント（イ）、リスク対応（ウ）を行い、運用後に内部監査（エ）で有効性を確認するというPDCAの流れになるため、最初に行うのは適用範囲の決定である。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問93
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

140. 問140．情報セキュリティ対策を，“技術的セキュリティ対策”，“人的セキュリティ対策”及び“物理的セキュリティ対策”に分類したとき，“物理的セキュリティ対策”の例として，適切なものはどれか。

     • ア．機密情報の取扱いに関して，罰則を含めた規則を制定し，これを遵守させるために，関係者に定期的な教育を実施する。
     • イ．被災によるシステム障害が発生してもサービスを継続できるように，遠隔地にバックアップシステムを用意する。
     • ウ．ますます方法が巧妙化されるサイバー攻撃による被害を防ぐために，サイバー攻撃の方法や対策に関する情報を従業員に周知する。
     • エ．マルウェアによる被害を防ぐために，マルウェア対策ソフトを導入し，定義ファイルを常に最新に保つ。

     正解：イ．被災によるシステム障害が発生してもサービスを継続できるように，遠隔地にバックアップシステムを用意する。

     解説：正解はイ。遠隔地にバックアップシステムを用意して被災時もサービスを継続できるようにする対策は、設備・施設の配置に関わる物理的セキュリティ対策に該当する。アの罰則を含む規則制定と教育、ウのサイバー攻撃情報の周知は人的セキュリティ対策、エのマルウェア対策ソフト導入と定義ファイル更新は技術的セキュリティ対策である。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問94
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

141. 問141．SQL インジェクションの対策などで用いられ，処理の誤動作を招かないように，利用者が Web サイトに入力した内容に含まれる有害な文字列を無害な文字列に置き換えることを何と呼ぶか。

     • ア．MAC アドレスフィルタリング
     • イ．サニタイジング
     • ウ．ストライピング
     • エ．ソーシャルエンジニアリング

     正解：イ．サニタイジング

     解説：正解はイ。サニタイジング（無害化）は、利用者が入力した文字列に含まれるSQL文やスクリプトとして解釈され得る有害な文字を、無害な文字列（エスケープ処理など）に置き換え、誤動作や攻撃を防ぐ手法である。アのMACアドレスフィルタリングは機器の接続制限、ウのストライピングはデータを分散配置する技術、エのソーシャルエンジニアリングは人の心理につけ込む攻撃手法で、いずれも別概念。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問95
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

142. 問142．機密情報の取得などを目的として，特定の組織や個人に対して，複数の攻撃手法を使うなどして長期間にわたり継続的に攻撃を行うという特徴をもつ，サイバー攻撃はどれか。

     • ア．APT 攻撃
     • イ．DDoS 攻撃
     • ウ．ゼロデイ攻撃
     • エ．パスワードリスト攻撃

     正解：ア．APT 攻撃

     解説：正解はア。APT攻撃（Advanced Persistent Threat）は、特定の組織や個人を標的に、複数の攻撃手法を組み合わせて長期間にわたり執拗かつ継続的に行う標的型の高度なサイバー攻撃である。イのDDoS攻撃は多数の端末から一斉に負荷をかけてサービスを妨害する攻撃、ウのゼロデイ攻撃は修正前の脆弱性を突く攻撃、エのパスワードリスト攻撃は流出した認証情報を使い回す攻撃で、いずれも長期継続的という特徴とは異なる。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問96
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

143. 問143．ISMS の活動に関する記述として，最も適切なものはどれか。

     • ア．企業のコスト削減や製品の品質，サービスの改善などのために，業務プロセスを改善する。
     • イ．顧客の満足度を高めるために，IT サービスの品質を継続的に改善する。
     • ウ．情報資産を洗い出し，リスクの特定と分析及び評価を行い，情報資産を管理する。
     • エ．製品とサービスの開発プロセスの成熟度を評価し，改善する。

     正解：ウ．情報資産を洗い出し，リスクの特定と分析及び評価を行い，情報資産を管理する。

     解説：正解はウ。ISMS（情報セキュリティマネジメントシステム）の活動は、守るべき情報資産を洗い出し、それに対するリスクの特定・分析・評価（リスクアセスメント）を行ったうえで適切に管理・対応していくことである。アは業務プロセス改善（BPR）、イはITサービスマネジメント、エは開発プロセスの成熟度評価（CMMIなど）に関する記述で、いずれもISMSの活動ではない。

     出典：IPA ITパスポート試験 公開問題 令和8年度 問100
     本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。