情報セキュリティマネジメント試験 2026年度（令和8年度） 公開問題

情報セキュリティのリスクマネジメントにおける残留リスクに関する記述のうち，適切なものはどれか。

組織的なインシデント対応体制の構築を支援する目的でJPCERT コーディネーションセンターが作成したものはどれか。

DMZ はどれか。

チャレンジレスポンス認証方式に該当するものはどれか。

情報セキュリティでの脆弱性の検出に用いられるホワイトボックステストに該当するものはどれか。

セキュアOS のアクセス制御と管理者権限管理を説明した適切な組みはどれか。

刑法の電子計算機損壊等業務妨害に該当する行為はどれか。

システム監査におけるフォローアップの説明として，適切なものはどれか。

サービスマネジメントにおける，サービスレベル目標の説明はどれか。

次のIP アドレスとサブネットマスクをもつPC がある。このPC のネットワークアドレスとして，適切なものはどれか。 IP アドレス： 10.170.70.19 サブネットマスク： 255.255.255.240

e コマース運営会社がビッグデータを用いて新たなニーズを発掘し，その後のビジネス戦略に生かそうとしている。ビッグデータの収集から活用までのフローを次の図のようにしたとき，データの分析で行うことはどれか。ここで，選択肢ア～エは，フロー図のa～d のいずれかに対応している。

良品である確率が0.9，不良品である確率が0.1 の外注部品について，受入検査を行いたい。受入検査には四つの案があり，それぞれの良品と不良品1 個に掛かる諸費用は表のとおりである。期待費用が最も低い案はどれか。

A 社は，従業員300 名の専門商社であり，機密性の高い情報も取り扱っている。最近，A 社は，駅前のB ビルの6 階に移転した。6 階にはA 社だけが入居している。 B ビルの2 階から最上階の17 階には多数の企業が入居しており，通常時はエレベーターを使用して各階に移動することができる。B ビルのビル管理業務はB 社が行っている。B 社はビルの入退館と入居企業の執務エリアの入退室を管理するシステム（以下，C システムという）を導入している。各入居企業は，C システムが発行するIC カード（以下，B カードという）を従業員に貸与している。各入居企業の執務エリアの出入口のドアは，当該企業が従業員に貸与したB カードをドア横のIC カードリーダーにかざすことによって解錠できる。 B ビルのエントランスホールは1 階にあり，エレベーターホールとの境界には，フラッパーゲートが設置されている。フラッパーゲートを通過するには，フラッパーゲートのリーダーにB カード又は入館用に一時的に発行されたQR コードをかざす必要がある。フラッパーゲートを通過すれば，平日の昼間はエレベーターの行先階ボタンを押すことで各階に自由に移動ができる。夜間と休日は，行先階の入居企業が従業員に貸与したB カードをエレベーター内のIC カードリーダーにかざす必要がある。 フラッパーゲートのすぐ外には階段室に入るための階段口があり，階段口にある非常ドアは通常時，エントランスホールには出られるが，階段室には入れない仕組みになっている。ほかの階の階段口にある非常ドアは通常時，各フロアには出られないが，階段室には入れる仕組みになっている。ただし，どの階の非常ドアも清掃時などに一時的に出入り可能になることがある。また，非常時は自動的に出入り可能になる。フラッパーゲートの脇にはごみ箱が設置されている。 〔来訪者管理〕 B ビルへの来訪者は，C システムで管理している。入居企業がC システムに，来訪者氏名，所属，来訪日，来訪者メールアドレスを登録すると，来訪日にだけ有効なゲスト入館用のQR コード付き入館証（以下，ゲスト入館証という）の画像ファイルが添付された電子メールが来訪者メールアドレスに送付される。来訪者は，来訪日当日に有効なゲスト入館証のQR コードを自身のスマートフォンの画面に表示するか又は印刷してフラッパーゲートのリーダーにかざすことによってフラッパーゲートを通過できる。当日に限り，同じ入館証で繰り返し入退館が可能なようにC システムは設定されている。 〔B ビルの物理的セキュリティにおける課題とB 社への依頼〕 ある日，突然，取引先のD 社のE 氏が予約なしに，A 社の情報セキュリティリーダーのF 部長を訪ねて6 階の受付エリアにやって来た。驚いたF 部長は，E 氏が来たことをきっかけにB ビルの物理的セキュリティについて調査し，複数の課題があることを発見した。そして，F 部長はその課題とB 社への依頼を表1 にまとめた。 設問 次の依頼のうち，表1 中の ［a1］ ，［a2］ に入れるものの組合せはどれか。a に関する解答群のうち，最も適切なものを選べ。 (一) C システムの設定を変更し，ゲスト入館証のQR コードの誤り訂正レベルの設定を高くする。 (二) C システムの設定を変更し，ゲスト入館証は1 回限り入館可能にする。 (三) エレベーターで行先階に移動するためには，平日の昼間もIC カードリーダーにB カードをかざすことを必要とする。そのため，各入居企業には，当該企業の従業員が1 階のエレベーター前から当該企業まで来訪者をアテンドするよう要請する。 (四) 警備員を1 階のフラッパーゲート脇に配置し，不正に入館しようとしている者がいないかどうかを監視する。

A 社は従業員200 名の電子機器メーカーである。東京に本社があり，新潟に工場がある。 A 社では，ファイルサーバを図1 のように運用している。 ・ファイルサーバは本社と工場のサーバルームに設置している。 ・ファイルサーバは，磁気テープを使用してファイルのバックアップを取得している。 ・土曜日の午前2 時からフルバックアップを取得し，翌週の火曜日と木曜日の午前2 時から増分バックアップを取得している。 ・情報システム部の担当者は毎週月曜日，火曜日，木曜日の朝10 時頃，バックアップジョブの実行結果の確認と磁気テープの交換を行い，磁気テープは耐火金庫に保管している。 ・磁気テープには上書きモードでバックアップを取得し，1 か月分の磁気テープを世代管理している。 ・これまで，フルバックアップからのリストアには平均して4 時間，1 回の増分バックアップからは平均して0.25 時間掛かっている。 ・A 社はICT 継続のための試験を実施しており，ファイルサーバも試験対象である。 注記 事業影響度分析の結果に基づき，ファイルサーバは，72 時間の目標復旧時点（RPO）と120 時間の目標復旧時間(RTO)が要求事項として定められている。 図1 A 社のファイルサーバの運用 A 社はISMS 認証を取得しており，最高情報セキュリティ責任者（CISO）を中心に情報セキュリティに取り組み，定期的に，情報セキュリティリスクアセスメントを行っている。今般，ISMS 認証基準がJIS Q 27001:2023 に改正されたことを受け，情報セキュリティリーダーのB さんは，新基準への移行審査に向けて準備することになった。改正によって新たに追加された情報セキュリティ管理策について，B さんは情報システム部の担当者に取組状況を確認し，その評価結果を表1 にまとめた。 B さんは，移行審査前の内部監査で，内部監査室から表1 の項番1 に関するファイルサーバの運用について何点か質問を受け，表2 のとおり回答した。 設問 表2 中の ［a1］ ～ ［a3］ に入れる字句の適切な組合せを，a に関する解答群の中から選べ。

A 社は従業員300 名の商社である。総務部が定めたA 社の文書管理ルールを図1 に示す。 〔文書の機密区分〕 極秘　　　：経営に関する重要な文書であり，経営企画に関わる者だけに開示する。経営企画書など。 関係者外秘 ：特定の関係者だけに開示する。議事メモ，顧客情報など。 社外秘　　：社内だけに開示する。クレーム情報，社内報など。 公開　　　：社外に公開可能なもの。商品カタログなど。 〔機密区分のラベリング〕 ・文書を作成した部署の責任者が，機密区分を判断する。 ・“極秘”，“関係者外秘”及び“社外秘”の文書は，機密区分をその文書のヘッダー部に明記する。 ・“極秘”と“関係者外秘”に関しては開示範囲を明示するため，“役員だけ 極秘”や“〇〇部だけ 関係者外秘”という形式で明記する。 〔文書の保管〕 ・“極秘”及び“関係者外秘”の紙の文書は，使わないときや利用中に離席するときはキャビネットに保管する。キャビネットは常時施錠し，関係者だけが解錠できるようにする。 〔文書の廃棄〕 ・“極秘”，“関係者外秘”及び“社外秘”の紙の文書を廃棄する際は，シュレッダーで細断する。 図1 文書管理ルール（抜粋） 総務部の情報セキュリティリーダーであるS さんは，各部に対し年次の自己点検を指示した。その結果を基に，図1 のルールに沿って文書を取り扱っているかを確認するために，A 社の一部の従業員にヒアリングしたところ，図2 に示す事例が得られた。 (1) 営業部のB さんの大学の後輩であるC さんは，A 社の入社試験を受ける予定なので，B さんはC さんに社内報を見せた。 (2) “営業部だけ 関係者外秘”の議事メモは，営業部員だけが解錠できるキャビネットに保管している。不要となったものは毎週水曜日に，シュレッダーで細断して廃棄している。 (3) 昨年営業部に異動した元人事部のD さんが，営業部の事業計画の参考にするため，人事部のE さんから“人事部だけ 関係者外秘”の来年度の採用計画を見せてもらった。 (4) 経営企画部のG さんは，来期の経営企画書のうち一部の作成を指示されていたが，机の上の本立てに最終原稿を差し込んで会議に向かった。 (5) 人事部のI さんは就職セミナーで，営業部から借りた商品カタログを参加者に見せながら会社紹介をした。 図2 S さんがA 社の従業員へのヒアリングによって得た事例 S さんは図2 の事例について，図1 に沿っているかどうかを評価し，表1 のとおりまとめた。 設問 表1 中の ［a1］ ～ ［a3］ に入れる評価の適切な組合せを解答群の中から選べ。