情報セキュリティマネジメント試験「情報技術全般（ネットワーク・OS・DB・クラウド・開発）」の一問一答

情報セキュリティマネジメント試験の情報技術全般（ネットワーク・OS・DB・クラウド・開発）に関する一問一答（全91問）の正解と解説の一覧です。上の一問一答で実際に解いてから、ここで復習・確認できます。

1. 問1．OSI参照モデルは通信機能を7階層に分けてモデル化したものである。

   正解：○（正しい）

   解説：物理・データリンク・ネットワーク・トランスポート・セッション・プレゼンテーション・アプリケーションの7層。

2. 問2．TCPはコネクション型のプロトコルで、3ウェイハンドシェイクで接続を確立し信頼性のあるデータ転送を保証する。

   正解：○（正しい）

   解説：TCPはコネクション型プロトコルで、3ウェイハンドシェイク（SYN→SYN-ACK→ACK）で接続を確立する。再送制御・順序制御・フロー制御・輻輳制御等により信頼性のあるデータ転送を保証する。HTTP・SSH・SMTP等で利用。

3. 問3．UDPはコネクションレス型のプロトコルで、信頼性は保証しないが低オーバヘッドで高速通信が可能である。

   正解：○（正しい）

   解説：正しい。UDP（User Datagram Protocol）はトランスポート層のプロトコルで、接続を確立せずにデータを送る。RFC 768 は、最小限の手順でアプリケーションがメッセージを送れるようにしたもので、到達や重複の防止は保証せず、順序どおりの確実な配送が必要なアプリケーションはTCPを使うべきだとしている。総務省の用語集も、UDPはTCPより単純なプロトコルであるため高速だが、信頼性は低いと説明している。

   根拠： RFC 768 User Datagram Protocol Introduction ／ NIST SP 800-77 Rev.1 Guide to IPsec VPNs（2020年6月） 2.1 The Need for Network Layer Security（Figure 1 の Transport Layer） ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） UDP

4. 問4．IPアドレスはネットワーク部とホスト部に分かれ、サブネットマスクで境界を識別する。

   正解：○（正しい）

   解説：正しい。IPv4アドレスは32ビットで、先頭のネットワーク番号（ネットワーク部）と、その中の個々のホストを表す残りの部分（ホスト部）からなる（RFC 791 2.3）。どこまでがネットワーク部かは、上位のビットを1、残りを0にしたマスクで示す。RFC 4632 は、172.16.0.0 にマスク 255.255.0.0 を当てた例を「/16」と書き、上位16ビットがネットワーク部であることを示している。サブネットの番号を識別するこのマスクの方式は RFC 950 で定められた。

   根拠： RFC 791 Internet Protocol 2.3 Addressing ／ RFC 4632 Classless Inter-domain Routing (CIDR) 3.1 Basic Concept and Prefix Notation ／ RFC 950 Internet Standard Subnetting Procedure 2.1（5. Masked bits）

5. 問5．NAT（Network Address Translation）はプライベートIPアドレスとグローバルIPアドレスを相互変換する技術である。

   正解：○（正しい）

   解説：NATはプライベートIPアドレス（社内ネットワーク等）とグローバルIPアドレス（インターネット）を相互変換する技術。IPv4アドレス枯渇対策の中核技術で、ルータやファイアウォールで実装される。NAPT（PAT）はポート番号も変換する派生方式。

6. 問6．DNSはドメイン名とIPアドレスを相互に変換する仕組みである。

   正解：○（正しい）

   解説：正しい。DNS（Domain Name System）は、“soumu.go.jp”のようなドメイン名とIPアドレスを対応づける仕組みである。インターネットの通信は数字のIPアドレスで行われるが人には扱いにくいため、DNSサーバがドメイン名をIPアドレスに自動的に変換して、メールの送り先やWebサイトの接続先を見つける（総務省）。名前は「.」で区切った階層で管理され、IPv4アドレスから名前を引く逆引きは IN-ADDR.ARPA ドメインで行う（RFC 1034）。

   根拠： 総務省「国民のためのサイバーセキュリティサイト」インターネットの仕組み 本文（DNSサーバ）・コラム（IPv6） ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） DNS ／ RFC 1034 Domain Names - Concepts and Facilities 3.1（「.」で区切った階層）／3.3・5.2.1（IN-ADDR.ARPA）

7. 問7．ファイアウォールはネットワーク境界で通信を制御し、不正なアクセスを遮断する仕組みである。

   正解：○（正しい）

   解説：正しい。ファイアウォールは、外部のネットワークと内部のネットワークを結ぶ箇所に導入し、外部からの不正な侵入を防ぐシステムである（総務省 用語集）。NIST SP 800-41 Rev.1 は、送信元・宛先のアドレスやプロトコル、ポートなどの規則で通信の可否を決めるパケットフィルタリングを基本機能とし、通信の状態を追跡するステートフルインスペクション、両者の間に入って代理で接続するアプリケーションプロキシゲートウェイなどの方式を挙げている。

   根拠： 総務省「国民のためのサイバーセキュリティサイト」用語集（は行） ファイアウォール ／ NIST SP 800-41 Rev.1 Guidelines on Firewalls and Firewall Policy（2009年9月） 2.1.1 Packet Filtering／2.1.2 Stateful Inspection／2.1.4 Application-Proxy Gateways

8. 問8．IDS（侵入検知システム）はネットワークやホストを監視し不正な通信や挙動を検知して通報する仕組みである。

   正解：○（正しい）

   解説：IDSはネットワーク（NIDS）またはホスト（HIDS）を監視し、不正な通信や挙動を検知して管理者に通報する仕組み。検知方式にはシグネチャ型（既知パターン照合）とアノマリ型（異常検知）があり、近年は機械学習も活用される。

9. 問9．IPS（侵入防止システム）はIDSの検知機能に加えて不正通信を自動的に遮断する機能を持つ。

   正解：○（正しい）

   解説：IPSはIDSの検知機能に加え、不正通信を自動的に遮断する能動的防御機能を持つ。インライン（通信経路上）に設置され、リアルタイムでパケットをドロップする。誤検知対策として例外設定・チューニングが重要。

10. 問10．WAF（Web Application Firewall）はWebアプリケーションへの攻撃（SQLi・XSS等）を検知・遮断する。

    正解：○（正しい）

    解説：正しい。WAF（Web Application Firewall）は、Webアプリケーションに対して行われる外部との通信を監視し、脆弱性を突く攻撃や情報の窃取を防ぐファイアウォールである（総務省 用語集）。一般的なファイアウォールがネットワークのレベルで通信を監視するのに対し、WAFはプログラムに渡される入力内容などをアプリケーションのレベルで検査し、不正とみなした要求を遮断する。そのため、SQLインジェクションなどWebアプリケーションの脆弱性を突く攻撃の対策になる。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」用語集（あ行） ウェブアプリケーションファイアウォール ／ 総務省「国民のためのサイバーセキュリティサイト」電子メールとWebサイトにおける対策 送信ドメイン認証技術／Webサイトにおけるセキュリティ対策（WAF） ／ NIST SP 800-41 Rev.1 Guidelines on Firewalls and Firewall Policy（2009年9月） 2.1.9 Web Application Firewalls

11. 問11．VPN（Virtual Private Network）は公衆回線上に仮想的な専用線を構築する技術である。

    正解：○（正しい）

    解説：正しい。VPN（Virtual Private Network）は、インターネットや多数の利用者がいる閉域網を介しながら、暗号化やトラフィック制御の技術で、拠点間などをあたかも専用線でつないだような状態にする技術である（総務省 用語集）。NIST SP 800-77 Rev.1 は、VPNを既存の物理ネットワークの上に構築した仮想的なネットワークとし、ネットワーク層で通信を暗号化するIPsecと、TLSを使うSSL-VPNを代表的な方式として扱っている。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） VPN機器 ／ NIST SP 800-77 Rev.1 Guide to IPsec VPNs（2020年6月） Executive Summary／8.2 Transport Layer VPN Protocols (SSL VPNs)

12. 問12．プロキシサーバはクライアントとインターネットの間で通信を中継するサーバである。

    正解：○（正しい）

    解説：正しい。プロキシサーバは、組織の内部ネットワークとインターネットの間にあり、直接インターネットに接続できない内部のコンピュータに代わって「代理」としてインターネットとの接続を行うコンピュータやソフトウェアである（総務省 用語集）。NIST SP 800-41 Rev.1 は、専用のプロキシサーバの多くはアプリケーションごとに設けられ、HTTPなどの通信を解析・検証するものもあり、通常は従来型のファイアウォールの内側に置かれると説明している。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」用語集（は行） プロキシサーバ ／ NIST SP 800-41 Rev.1 Guidelines on Firewalls and Firewall Policy（2009年9月） 2.1.5 Dedicated Proxy Servers

13. 問13．IPv6は128ビット長のアドレスで、アドレス枯渇問題を解決する次世代インターネットプロトコルである。

    正解：○（正しい）

    解説：正しい。IPv6は、IPアドレスの長さを32ビットから128ビットに広げたプロトコルである（RFC 8200）。インターネットに接続する機器が増えてIPアドレスが足りなくなってきたため、使えるアドレスの数を増やす目的で導入されている（総務省「インターネットの仕組み」）。なお、IPv6ではIPsecの実装が当初は必須とされたが、RFC 6434 で推奨（SHOULD）に改められ、現行の RFC 8504 もこの扱いを引き継いでいる。

    根拠： RFC 8200 Internet Protocol, Version 6 (IPv6) Specification 1. Introduction（Expanded Addressing Capabilities） ／ 総務省「国民のためのサイバーセキュリティサイト」インターネットの仕組み 本文（DNSサーバ）・コラム（IPv6） ／ RFC 8504 IPv6 Node Requirements 13. Security

14. 問14．WPA3は無線LANのセキュリティ規格で、WPA2より強化された暗号化と認証を提供する。

    正解：○（正しい）

    解説：正しい。WPA3はWi-Fi Allianceの無線LANのセキュリティ規格である。総務省は、自分でアクセスポイントを設置するならWPA2かWPA3で暗号化するよう勧め、WPA3のほうがより強固な暗号化方式を使えるとしている。Wi-Fi Allianceによると、WPA3-Personalではパスワードを推測する攻撃への保護が強化され、WPA3-Enterpriseではより高い強度のセキュリティプロトコルを使える。WPA3のネットワークは旧来のプロトコルを許可しない。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」安全な無線LANの利用 本文（WPA2・WPA3・WEP）・コラム（企業向けのWi-Fiセキュリティ方式） ／ Wi-Fi Alliance "Security" WPA3 の項

15. 問15．仮想化（仮想マシン）は1台の物理サーバ上に複数の独立した仮想サーバを動作させる技術である。

    正解：○（正しい）

    解説：仮想化は1台の物理サーバ上に複数の独立したVM（仮想マシン）を動作させる技術。ハイパーバイザ型（ベアメタル）はハードウェア上で直接動作（VMware ESXi・Hyper-V等）、ホスト型はOS上で動作（VirtualBox等）。

16. 問16．コンテナ仮想化は、複数のコンテナが1つのホストOSのカーネルを共有して動作する仮想化方式である。

    正解：○（正しい）

    解説：正しい。NIST SP 800-190 によると、コンテナでは複数のアプリケーションが同じOSカーネルのインスタンスを共有しつつ互いに分離されて動き、そのカーネルはコンテナの下にあるホストOSの一部である。仮想マシンはハイパーバイザでハードウェアの水準から分離され、仮想マシンごとに完全なゲストOSを含む点が異なる。カーネルを共有するため、Linuxのホストで動くのはLinux用に作られたコンテナであり、分離の強さは仮想マシンに及ばない。

    根拠： NIST SP 800-190 Application Container Security Guide（2017年9月） 2.2 Containers and the Host Operating System／3.5.2 Shared kernel

17. 問17．クラウドサービスのIaaS・PaaS・SaaSはそれぞれインフラ・実行環境（プラットフォーム）・アプリ提供形態である。

    正解：○（正しい）

    解説：正しい。NIST SP 800-145 の定義では、SaaSは事業者のアプリケーションを利用者が使う形態、PaaSは利用者が作成・取得したアプリケーションを、事業者が用意した言語やツールで事業者の基盤に配置する形態、IaaSは処理能力・ストレージ・ネットワークなどの資源を借り、OSを含む任意のソフトウェアを動かす形態である。利用者が管理できる範囲は、IaaSではOSまで、PaaSでは配置したアプリケーション、SaaSでは限られた設定と、形態ごとに異なる。

    根拠： NIST SP 800-145 The NIST Definition of Cloud Computing（2011年9月） 2. Service Models ／ 総務省「国民のためのサイバーセキュリティサイト」クラウドサービスの仕組み 本文（SaaS・PaaS・IaaSの分類）

18. 問18．パブリッククラウドは複数組織が共有し、プライベートクラウドは特定組織専用、ハイブリッドはそれらを組み合わせる形態である。

    正解：○（正しい）

    解説：クラウド配備モデルにはパブリック（複数組織共有・AWS/Azure/GCP等）、プライベート（特定組織専用）、ハイブリッド（両者の組合せ）があり、オンプレミスと併用するケースも一般的。コスト・統制・セキュリティ要件で選択する。

19. 問19．バックアップの3-2-1ルールは『3つのコピー・2種類の媒体・1つは遠隔地』に保管する考え方である。

    正解：○（正しい）

    解説：バックアップの3-2-1ルールは『3つのコピー・2種類の媒体・1つは遠隔地（オフサイト）』。ランサムウェア対策にも有効で、近年はオフライン保管（エアギャップ）・改ざん不能ストレージ（イミュータブル）も推奨される。

20. 問20．フルバックアップは全データの完全コピー、増分バックアップは前回バックアップ以降の変更分のみのバックアップである。

    正解：○（正しい）

    解説：正しい。NIST SP 800-34 Rev.1 は、フルバックアップを選んだディスクやフォルダの全ファイルを取得する方式、増分バックアップを種類を問わず直前のバックアップ以降に作成・変更されたファイルを取得する方式としている。増分は媒体を効率よく使えて取得時間も短いが、復元にはフルと各回の増分の媒体が必要になる。これに対し、差分バックアップは直前のフルバックアップ以降の変更分を取得する方式である。

    根拠： NIST SP 800-34 Rev.1 Contingency Planning Guide for Federal Information Systems（2010年5月・同11月更新） 5.1.2 Maintenance of Data Security, Integrity, and Backup（pp.44-45） ／ IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 大分類4 中分類4 データベース設計（フルバックアップ・差分バックアップ・増分バックアップ）

21. 問21．データベースのACID特性は原子性（Atomicity）・一貫性（Consistency）・独立性（Isolation）・耐久性（Durability）である。

    正解：○（正しい）

    解説：正しい。ACIDは、データベースのトランザクションが同時実行の中でも、エラーや電源障害が起きても正しく処理されるための4つの性質の頭文字である。原子性はトランザクション内の操作がすべて完了するか一つも実行されないこと、一貫性はデータが整合性制約を満たし続けること、独立性はコミット前の結果が並行する他のトランザクションから見えないこと、耐久性はコミットした変更が障害の後も残ることをいう。

    根拠： PostgreSQL 18 文書 Appendix M. Glossary（PostgreSQL Global Development Group） ACID／Atomicity／Consistency／Isolation／Durability

22. 問22．セキュアコーディングは開発段階からセキュリティを考慮してコードを書く考え方である。

    正解：○（正しい）

    解説：正しい。セキュアコーディング（セキュアプログラミング）は、脆弱性を作り込まないよう、開発の段階からセキュリティを考えてプログラムを書くことをいう。IPAの「安全なウェブサイトの作り方」は、SQLインジェクションやクロスサイト・スクリプティングなど届出の多い脆弱性ごとに、原因そのものをなくす根本的な解決策と影響を減らす対策を示し、脆弱性を作り込んだソースコードの失敗例と修正例も載せている。

    根拠： IPA「安全なウェブサイトの作り方」（改訂第7版） 紹介ページ（第1章・第3章の内容） ／ IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 大分類1 中分類1 アプリケーションセキュリティ（セキュアプログラミング）

23. 問23．DevSecOpsは開発（Dev）・セキュリティ（Sec）・運用（Ops）を統合し、開発初期からセキュリティを組み込むアプローチである。

    正解：○（正しい）

    解説：DevSecOpsは開発（Dev）・セキュリティ（Sec）・運用（Ops）を統合し、開発初期からセキュリティを組み込むアプローチ。シフトレフト（前工程化）の実践で、CI/CDパイプラインへの脆弱性スキャン・SAST・DAST組み込み等を行う。

24. 問24．セキュリティバイデザインは企画・設計段階からセキュリティを組み込む考え方である。

    正解：○（正しい）

    解説：正しい。セキュリティ・バイ・デザインは、内閣サイバーセキュリティセンター（NISC）が「情報セキュリティを企画、設計段階から組み込むための方策」と定義した考え方で、開発プロセスの早い段階からセキュリティを考慮してシステムの安全を確保する（IPA「セキュリティ・バイ・デザイン導入指南書」1.2）。後付けで機能を追加したり出荷直前に検査したりすると手戻りが多くなり、開発コストがかさむおそれがある。

    根拠： IPA 産業サイバーセキュリティセンター 中核人材育成プログラム「セキュリティ・バイ・デザイン導入指南書」（2022年8月） 1.2 セキュリティ・バイ・デザインとは（pp.4-5） ／ IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 大分類1 中分類1 情報セキュリティの目的と考え方（セキュリティバイデザイン）

25. 問25．MDM（Mobile Device Management）は企業がモバイル端末を一元管理・制御する仕組みである。

    正解：○（正しい）

    解説：正しい。MDM（Mobile Device Management）は、主に企業や組織でスマートフォンやタブレット端末などの携帯端末を安全に管理する仕組みである（総務省 用語集）。一般的に、端末のソフトウェア更新の一元管理、利用できる機能の制限、GPSによる位置の検索、遠隔操作による端末のロックや内部データの消去などの機能を持つ。携帯端末は組織の外に持ち出されて紛失・盗難のおそれがあるため、こうした機能で端末内の情報を守る。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） MDM ／ 総務省「国民のためのサイバーセキュリティサイト」テレワーク端末の保護 MDM（Mobile Device Management：モバイルデバイス管理）

26. 問26．DMZ（非武装地帯）は、インターネットからも社内ネットワークからも切り離された区域で、公開Webサーバは置かずに社内の機密情報を保管するサーバを設置する場所である。

    正解：×（誤り）

    解説：誤り。DMZはインターネットと社内ネットワークの間にファイアウォールで設ける区域で、Webサーバやメールサーバなど外部に公開するサーバを置く。機密情報を保管するサーバは社内ネットワーク側に置く。

27. 問27．TCPはコネクションレス型で信頼性を保証しないプロトコルである。

    正解：×（誤り）

    解説：誤り。TCPはコネクション型で3ウェイハンドシェイクと再送制御により信頼性を保証する。コネクションレスはUDP。

28. 問28．UDPはコネクション型でデータの順序や再送を保証するプロトコルである。

    正解：×（誤り）

    解説：誤り。UDPはコネクションレス型で信頼性は保証しない。コネクション型で信頼性保証はTCP。

29. 問29．NAT（Network Address Translation）はドメイン名とIPアドレスを相互に変換する技術である。

    正解：×（誤り）

    解説：誤り。NATはプライベートIPとグローバルIPを変換する技術。ドメイン名とIPの変換はDNS。

30. 問30．DNSはプライベートIPとグローバルIPを変換する仕組みである。

    正解：×（誤り）

    解説：誤り。DNSはドメイン名とIPアドレスを変換する仕組み。プライベートIPとグローバルIPの変換はNAT。

31. 問31．IDSは検知した不正通信を自動的に遮断する機能を持つ。

    正解：×（誤り）

    解説：誤り。IDSは検知して通報するのみ。自動遮断機能を持つのはIPS。

32. 問32．IPSは検知のみで通信遮断機能は持たない。

    正解：×（誤り）

    解説：誤り。IPSはIDSの検知機能に加えて不正通信を自動遮断する。検知のみはIDS。

33. 問33．WAFはWebサーバのハードウェア故障を検知する仕組みである。

    正解：×（誤り）

    解説：誤り。WAFはWebアプリへの攻撃（SQLi・XSS等）を検知・遮断する仕組み。ハードウェア故障検知は監視ツールの役割。

34. 問34．VPNは暗号化や認証を行わない公衆回線をそのまま使う通信方式である。

    正解：×（誤り）

    解説：誤り。VPNは、インターネットや多数の利用者がいる閉域網を介しながら、暗号化やトラフィック制御の技術で、拠点間などをあたかも専用線でつないだような状態にする技術である（総務省 用語集）。代表的な方式のうち、IPsec-VPNはIPsecで、SSL-VPNはTLSで通信を暗号化する（NIST SP 800-77 Rev.1）。公衆回線を何の保護もなくそのまま使う通信は、VPNの説明に当たらない。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） VPN機器 ／ NIST SP 800-77 Rev.1 Guide to IPsec VPNs（2020年6月） Executive Summary／8.2 Transport Layer VPN Protocols (SSL VPNs)

35. 問35．IPv6は64ビット長のアドレス空間を持つ。

    正解：×（誤り）

    解説：誤り。IPv6は128ビット。64ビットは誤り。IPv4は32ビット。

36. 問36．WPA3はWPA2より暗号化が弱く、家庭でのみ使われる古い規格である。

    正解：×（誤り）

    解説：誤り。総務省は、無線LANの暗号化にはWPA2かWPA3を勧め、WPA3のほうがより強固な暗号化方式を使えるとしている。また、家庭など一般利用向けのWPA3パーソナルのほか、利用者ごとにIDを設定して相互に認証する企業向けのWPA3エンタープライズもあり、家庭でのみ使う規格でもない。Wi-Fi Allianceは、WPA3をWi-Fi CERTIFIEDの機器に必須とし、WPA3のネットワークでは旧来のプロトコルを許可しないとしている。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」安全な無線LANの利用 本文（WPA2・WPA3・WEP）・コラム（企業向けのWi-Fiセキュリティ方式） ／ Wi-Fi Alliance "Security" WPA3 の項

37. 問37．コンテナ仮想化は各コンテナが独自のOSカーネルを持つことで強い分離を実現する。

    正解：×（誤り）

    解説：誤り。NIST SP 800-190 によると、コンテナでは複数のアプリケーションが同じOSカーネルのインスタンスを共有しつつ互いに分離されて動き、そのカーネルはホストOSの一部である。仮想マシンごとに完全なゲストOSを含み、ハイパーバイザでハードウェアの水準から分離するのは仮想マシンの方式である。カーネルを共有するため、コンテナ間の分離の度合いは、ハイパーバイザが仮想マシンに与える分離よりはるかに小さい。

    根拠： NIST SP 800-190 Application Container Security Guide（2017年9月） 2.2 Containers and the Host Operating System／3.5.2 Shared kernel

38. 問38．IaaS・PaaS・SaaSの中で、IaaSは完成したアプリケーションをサービスとして提供する形態である。

    正解：×（誤り）

    解説：誤り。IaaSはインフラ（仮想サーバ・ストレージ等）を提供する形態。完成アプリ提供はSaaS。

39. 問39．バックアップの3-2-1ルールは『3つの場所・2人の管理者・1つの方式』を意味する。

    正解：×（誤り）

    解説：誤り。3-2-1ルールは『3つのコピー・2種類の媒体・1つは遠隔地（オフサイト）』。

40. 問40．増分バックアップとは前回フルバックアップ以降の変更分をバックアップする方式である。

    正解：×（誤り）

    解説：誤り。それは差分バックアップの説明。増分バックアップは前回バックアップ（種類問わず）以降の変更分のみを取得する。

41. 問41．差分バックアップは前回バックアップ（種類問わず）以降の変更分のみを取得する方式である。

    正解：×（誤り）

    解説：誤り。それは増分バックアップの説明。差分バックアップは前回フルバックアップ以降の変更分を取得する。

42. 問42．データベースのACID特性のうち『A』はAvailability（可用性）を意味する。

    正解：×（誤り）

    解説：誤り。ACIDの『A』はAtomicity（原子性）。可用性はAvailabilityでセキュリティ要素CIAの一部。

43. 問43．ACID特性の『C』はConcurrency（並行性）を意味する。

    正解：×（誤り）

    解説：誤り。ACIDの『C』はConsistency（一貫性）。並行性は別概念。

44. 問44．ACID特性の『D』はDistribution（分散性）を意味する。

    正解：×（誤り）

    解説：誤り。ACIDの『D』はDurability（耐久性）。分散性は別概念。

45. 問45．セキュリティバイデザインは開発・運用が完了した後にセキュリティ機能を後付けする考え方である。

    正解：×（誤り）

    解説：誤り。セキュリティバイデザインは『企画・設計段階から』セキュリティを組み込む考え方。後付けはアンチパターン。

46. 問46．DevSecOpsは開発と運用のみを統合し、セキュリティは別チームで後工程として実施する。

    正解：×（誤り）

    解説：誤り。DevSecOpsは開発・セキュリティ・運用を統合し、開発初期からセキュリティを組み込むアプローチ（シフトレフト）。

47. 問47．MDMはサーバの集中管理を行う仕組みである。

    正解：×（誤り）

    解説：誤り。MDM（Mobile Device Management）はモバイル端末の管理。サーバの集中管理は別の仕組み。

48. 問48．プロキシサーバはクライアント側で動作するアンチウイルスソフトの一種である。

    正解：×（誤り）

    解説：誤り。プロキシサーバはクライアントとインターネットの間で通信を中継するサーバ。アンチウイルスは別カテゴリ。

49. 問49．パブリッククラウドは特定組織専用のクラウド環境である。

    正解：×（誤り）

    解説：誤り。それはプライベートクラウドの説明。パブリッククラウドは複数組織が共有するクラウドサービス。

50. 問50．IPv4のグローバルアドレスは無限に存在し枯渇問題は存在しない。

    正解：×（誤り）

    解説：誤り。IPv4は32ビット約43億個で枯渇問題が深刻化、IPv6（128ビット）への移行が進行中。NATは枯渇対策の一つ。

51. 問51．OSI参照モデルの第3層（ネットワーク層）の役割はどれか。

    • ア．電気信号やビット伝送
    • イ．IPアドレスを用いたルーティング
    • ウ．セッションの確立・維持・終了
    • エ．アプリ間通信

    正解：イ．IPアドレスを用いたルーティング

    解説：第3層はIPルーティング。第1層は物理伝送、第5層がセッション、第7層がアプリ。

52. 問52．OSI参照モデル第4層（トランスポート層）で動作するプロトコルはどれか。

    • ア．IP
    • イ．HTTP
    • ウ．TCP/UDP
    • エ．Ethernet

    正解：ウ．TCP/UDP

    解説：TCP/UDPがトランスポート層。IPはネットワーク層、HTTPはアプリ層、Ethernetはデータリンク層。

53. 問53．TCPの特徴として正しいものはどれか。

    • ア．接続を確立せずにデータを送り、到達や順序の保証はアプリケーション側に任せる
    • イ．IPアドレスをもとに経路を選び、パケットを宛先のネットワークまで中継する
    • ウ．送信するデータを暗号化し、通信相手のなりすましを防ぐ
    • エ．3ウェイハンドシェイクで接続を確立し、欠落したデータを再送して順序どおりに届ける

    正解：エ．3ウェイハンドシェイクで接続を確立し、欠落したデータを再送して順序どおりに届ける

    解説：TCPはトランスポート層のプロトコルで、通信の前に3ウェイハンドシェイクで接続を確立する（RFC 9293 3.5）。順序どおりで信頼性のあるバイト列の配送を提供し、その信頼性は、シーケンス番号で欠落を、チェックサムで誤りを検出し、再送で訂正することで実現する（同 2.2）。接続を確立せず到達や順序を保証しないのはUDP、経路を選んでパケットを中継するのはネットワーク層のIP、暗号化やなりすまし防止はTLSの役割である。

    根拠： RFC 9293 Transmission Control Protocol (TCP) 2.2 Key TCP Concepts／3.5 Establishing a Connection ／ RFC 768 User Datagram Protocol Introduction ／ NIST SP 800-77 Rev.1 Guide to IPsec VPNs（2020年6月） 2.1 The Need for Network Layer Security（Figure 1） ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） TLS

54. 問54．UDPの特徴として正しいものはどれか。

    • ア．接続を確立せずにデータを送り、到達や順序は保証しないが手順が少ない
    • イ．3ウェイハンドシェイクで接続を確立し、欠落したデータを再送して順序どおりに届ける
    • ウ．ドメイン名に対応するIPアドレスを問い合わせて、名前解決の結果を返す
    • エ．送信元のプライベートIPアドレスを書き換えて、外部のネットワークと通信させる

    正解：ア．接続を確立せずにデータを送り、到達や順序は保証しないが手順が少ない

    解説：UDPはトランスポート層のプロトコルで、接続を確立せずにデータを送る。RFC 768 は、最小限の手順でメッセージを送れるようにしたもので、到達や重複の防止は保証しないとしている。総務省の用語集も、TCPより単純なため高速だが信頼性は低いと説明する。3ウェイハンドシェイクで接続し再送して順序どおり届けるのはTCP、ドメイン名に対応するIPアドレスを求めるのはアプリケーション層のDNS、アドレスを書き換えて外部と通信させるのはNATである。

    根拠： RFC 768 User Datagram Protocol Introduction ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） UDP／DNS ／ NIST SP 800-77 Rev.1 Guide to IPsec VPNs（2020年6月） 2.1 The Need for Network Layer Security（Figure 1） ／ RFC 3022 Traditional IP Network Address Translator (Traditional NAT) Abstract

55. 問55．NATの主な役割はどれか。

    • ア．ドメイン名とIPアドレスを対応づけて、名前から宛先のIPアドレスを求める
    • イ．プライベートIPアドレスとグローバルIPアドレスを変換して、内部の端末を外部と通信させる
    • ウ．端末にIPアドレスやDNSサーバの情報などの設定を自動的に割り当てる
    • エ．通信の送信元・宛先やポート番号を見て、許可しない通信を遮断する

    正解：イ．プライベートIPアドレスとグローバルIPアドレスを変換して、内部の端末を外部と通信させる

    解説：NATは、プライベートIPアドレスを使う内部のネットワークと、全世界で固有のグローバルIPアドレスを使う外部とを結ぶため、IPアドレスを変換する仕組みで、ポート番号まで変換して1つのアドレスを多数の端末で使う方式をNAPTという（RFC 3022）。ドメイン名とIPアドレスの対応づけはDNS、設定情報の自動割当てはDHCP、規則に従って通信を遮断するのはファイアウォールの役割で、NIST SP 800-41 Rev.1 はファイアウォールの代わりにNATに頼らないよう勧めている。

    根拠： RFC 3022 Traditional IP Network Address Translator (Traditional NAT) Abstract／2.1 Overview of Basic NAT／2.2 Overview of NAPT ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（か行） グローバルIPアドレス ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） DNS／DHCP ／ NIST SP 800-41 Rev.1 Guidelines on Firewalls and Firewall Policy（2009年9月） 2.1.1 Packet Filtering／3.4 Summary of Recommendations

56. 問56．DNSの主な役割はどれか。

    • ア．プライベートIPアドレスとグローバルIPアドレスを変換して、内部の端末を外部と通信させる
    • イ．端末にIPアドレスやDNSサーバの情報などの設定を自動的に割り当てる
    • ウ．ドメイン名とIPアドレスを対応づけて、名前から宛先のIPアドレスを求める
    • エ．宛先のIPアドレスから、同じLAN上の機器のMACアドレスを求める

    正解：ウ．ドメイン名とIPアドレスを対応づけて、名前から宛先のIPアドレスを求める

    解説：DNSは、ドメイン名とIPアドレスを対応づけ、ドメイン名から宛先のIPアドレスを求める仕組みである（総務省 用語集）。名前は「.」で区切った階層で管理され、問い合わせた結果はキャッシュして再利用する（RFC 1034）。プライベートとグローバルのIPアドレスの変換はNAT、IPアドレスやDNSサーバの情報などを自動で割り当てるのはDHCPで、DNSサーバの情報を配っても名前解決そのものは行わない。IPアドレスから同じLAN上の機器のMACアドレスを求めるのはARP（RFC 826）である。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） DNS／DHCP ／ RFC 1034 Domain Names - Concepts and Facilities 2.1 The history of domain names／2.2 DNS design goals ／ RFC 3022 Traditional IP Network Address Translator (Traditional NAT) Abstract ／ RFC 826 An Ethernet Address Resolution Protocol Abstract

57. 問57．IDS（侵入検知システム）の特徴として正しいものはどれか。

    • ア．通信経路上に設置し、不正を検知した通信をその場で遮断する
    • イ．Webアプリケーションへの通信を検査し、SQLインジェクションなどを防ぐ
    • ウ．外部と内部のネットワークの境界で、許可していない通信を通さない
    • エ．ネットワークやホストの事象を監視して不正の兆候を検知し、管理者に通知する

    正解：エ．ネットワークやホストの事象を監視して不正の兆候を検知し、管理者に通知する

    解説：IDS（侵入検知システム）は、コンピュータやネットワークで起きた事象を監視・分析してインシデントの兆候を見つける侵入検知を自動で行うもので、重要な事象を電子メールなどで管理者に通知する（NIST SP 800-94 2章、総務省 用語集）。検知した通信をその場で止める機能まで持つのはIPSで、通信が必ず通る経路上（インライン）に置かれる。Webアプリケーションへの攻撃を防ぐのはWAF、境界で許可しない通信を通さないのはファイアウォールである。

    根拠： NIST SP 800-94 Guide to Intrusion Detection and Prevention Systems (IDPS)（2007年2月・現行。Rev.1 の草案は廃案） 2. Intrusion Detection and Prevention Principles／2.2 Key Functions／4.2.2 Network Architectures and Sensor Locations ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（さ行） 侵入検知システム／侵入防止システム ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（あ行） ウェブアプリケーションファイアウォール ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（は行） ファイアウォール

58. 問58．IPS（侵入防止システム）の特徴として正しいものはどれか。

    • ア．通信経路上に設置し、不正を検知した通信を自動的に遮断する
    • イ．拠点間の通信を暗号化し、専用線のような安全な経路を作る
    • ウ．内部の端末に代わってWebサイトに接続し、通信を中継する
    • エ．送信元のプライベートIPアドレスを書き換えて、外部と通信させる

    正解：ア．通信経路上に設置し、不正を検知した通信を自動的に遮断する

    解説：IPS（侵入防止システム）は、IDSの機能をすべて持ったうえで、インシデントを止めようとするものである（NIST SP 800-94 2章）。一般に、防止を行うならセンサーを通信が必ず通過する経路上（インライン）に、行わないならパッシブに置く（同 4.2.2）。インラインに置けば通信を遮断して攻撃を止められる。拠点間の通信を暗号化して専用線のような経路を作るのはVPN、端末に代わって接続を中継するのはプロキシサーバ、プライベートIPアドレスを書き換えて外部と通信させるのはNATである。

    根拠： NIST SP 800-94 Guide to Intrusion Detection and Prevention Systems (IDPS)（2007年2月・現行。Rev.1 の草案は廃案） 2. Intrusion Detection and Prevention Principles／4.2.2 Network Architectures and Sensor Locations（Inline・Passive） ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（さ行） 侵入防止システム ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） VPN機器 ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（は行） プロキシサーバ ／ RFC 3022 Traditional IP Network Address Translator (Traditional NAT) Abstract

59. 問59．WAFが防御する代表的な攻撃はどれか。

    • ア．無線LANの電波を傍受して、暗号鍵を割り出す攻撃
    • イ．入力欄に不正なSQL文を入れて、データベースを不正に操作する攻撃
    • ウ．偽の電子メールで、利用者を偽のWebサイトへ誘導する攻撃
    • エ．USBメモリを介して、社内の端末にマルウェアを感染させる攻撃

    正解：イ．入力欄に不正なSQL文を入れて、データベースを不正に操作する攻撃

    解説：WAF（Web Application Firewall）は、Webアプリケーションに対する外部との通信を監視し、プログラムに渡される入力内容などを検査して、脆弱性を突く不正な要求を遮断するファイアウォールである。入力値を悪用するSQLインジェクションが代表的な対象である（総務省）。無線LANの盗聴、偽のメールで偽サイトへ誘導するフィッシング、USBメモリを介した感染は、守る対象のWebアプリケーションへの通信を通らないため、WAFでは防げない。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」用語集（あ行） ウェブアプリケーションファイアウォール ／ 総務省「国民のためのサイバーセキュリティサイト」電子メールとWebサイトにおける対策 送信ドメイン認証技術／Webサイトにおけるセキュリティ対策（WAF） ／ 総務省「国民のためのサイバーセキュリティサイト」フィッシング詐欺とは？ 冒頭の定義

60. 問60．VPNの代表的な方式で、通信の暗号化に使われるプロトコルの組み合わせはどれか。

    • ア．WPA2・WPA3
    • イ．SPF・DKIM
    • ウ．IPsec・TLS
    • エ．S/MIME・PGP

    正解：ウ．IPsec・TLS

    解説：VPNは、共用のネットワークを介しながら、暗号化などで専用線のような状態を作る技術である（総務省 用語集）。代表的なIPsec-VPNはネットワーク層でIPの通信を暗号化するIPsecを使い、SSL-VPNは名前にSSLと残るものの現在はTLSを使う（NIST SP 800-77 Rev.1）。WPA2・WPA3は無線LANの暗号化方式、S/MIME・PGPは電子メールのメッセージを暗号化・署名する方式、SPF・DKIMは送信元ドメインの正当性を確かめる送信ドメイン認証で、いずれもVPNの方式ではない。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） VPN機器／WPA2 ／ NIST SP 800-77 Rev.1 Guide to IPsec VPNs（2020年6月） Executive Summary／8.2 Transport Layer VPN Protocols (SSL VPNs) ／ RFC 8551 Secure/Multipurpose Internet Mail Extensions (S/MIME) Version 4.0 Message Specification 1. Introduction ／ RFC 9580 OpenPGP 1. Introduction／2. General Functions ／ 総務省「国民のためのサイバーセキュリティサイト」電子メールとWebサイトにおける対策 送信ドメイン認証技術／Webサイトにおけるセキュリティ対策（WAF）

61. 問61．IPv6のアドレス長として正しいものはどれか。

    • ア．32ビット
    • イ．64ビット
    • ウ．256ビット
    • エ．128ビット

    正解：エ．128ビット

    解説：IPv6は、IPアドレスの長さを、IPv4の32ビット（RFC 791）から128ビットに広げたプロトコルである（RFC 8200）。選択肢の64ビットは、IPv6のユニキャストアドレス（000で始まるものを除く）で端末を識別するインタフェースIDの長さで、128ビットのうち下位の64ビットに当たる（RFC 4291 2.5.1）。256ビットというアドレス長は、IPv4にもIPv6にもない。

    根拠： RFC 8200 Internet Protocol, Version 6 (IPv6) Specification 1. Introduction ／ RFC 791 Internet Protocol 2.3 Addressing ／ RFC 4291 IP Version 6 Addressing Architecture 2.5.1 Interface Identifiers

62. 問62．WPA3が提供するセキュリティ機能として正しいものはどれか。

    • ア．WPA2より強固な暗号化方式を使え、パスワードの推測への保護も強化されている
    • イ．暗号化方式にWEPを採用し、古いWEP対応機器との互換性を保っている
    • ウ．接続時の利用者認証を担い、通信内容の暗号化は上位の層のTLSに任せる
    • エ．暗号化にTKIPを使い、暗号鍵を一定時間ごとに自動的に更新する

    正解：ア．WPA2より強固な暗号化方式を使え、パスワードの推測への保護も強化されている

    解説：総務省は、無線LANの暗号化にWPA2かWPA3を勧め、WPA3のほうがより強固な暗号化方式を使えるとしている。Wi-Fi Allianceによると、WPA3-Personalはパスワードを推測する攻撃への保護が強化され、WPA3のネットワークは旧来のプロトコルを許可しない。WEPは短時間で解読される方法が見つかり、安全な方式とはいえない。TKIPで暗号鍵を一定時間ごとに更新するのは初代のWPAで、WPA3は無線LANの通信そのものを暗号化する規格である。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」安全な無線LANの利用 本文（WPA2・WPA3・WEP）・コラム（企業向けのWi-Fiセキュリティ方式） ／ Wi-Fi Alliance "Security" WPA3 の項 ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） WPA

63. 問63．コンテナ仮想化（Docker等）の特徴はどれか。

    • ア．コンテナごとに完全なゲストOSを持ち、ハイパーバイザで互いに分離される
    • イ．複数のコンテナが同じホストOSのカーネルを共有し、互いに分離されて動作する
    • ウ．ホストOS上でハイパーバイザを動かし、その上でコンテナごとにゲストOSを起動する
    • エ．コンテナごとに別のOSカーネルを持ち、LinuxとWindowsのコンテナを同じホストで動かせる

    正解：イ．複数のコンテナが同じホストOSのカーネルを共有し、互いに分離されて動作する

    解説：NIST SP 800-190 によると、コンテナでは複数のアプリケーションが同じOSカーネルを共有しつつ互いに分離されて動き、そのカーネルはホストOSの一部である。そのためコンテナはOSの系統ごとに決まり、Linuxのホストで動くのはLinux用のコンテナである。仮想マシンごとに完全なゲストOSを含み、ハイパーバイザで分離するのは仮想マシンの方式で、ホストOS上でハイパーバイザを動かすホスト型もその一つである（NIST SP 800-125 2.2）。

    根拠： NIST SP 800-190 Application Container Security Guide（2017年9月） 2.2 Containers and the Host Operating System ／ NIST SP 800-125 Guide to Security for Full Virtualization Technologies（2011年1月） 2.2 Types of Full Virtualization

64. 問64．IaaS（Infrastructure as a Service）の説明として正しいものはどれか。

    • ア．事業者が用意したアプリケーションを、利用者がWebブラウザなどから使う
    • イ．利用者が作ったアプリケーションを、事業者が管理するOSやデータベースなどの上で動かす
    • ウ．利用者がOSを選んで導入し、処理能力・ストレージ・ネットワークなどの資源を使う
    • エ．利用者の端末にソフトウェアをインストールし、手元で動かして使う

    正解：ウ．利用者がOSを選んで導入し、処理能力・ストレージ・ネットワークなどの資源を使う

    解説：NIST SP 800-145 の定義では、IaaSは処理能力・ストレージ・ネットワークなどの基盤となる資源を借り、OSを含む任意のソフトウェアを利用者が導入して動かす形態で、利用者はOSや配置したアプリケーションを管理できる。利用者のアプリケーションを事業者の管理するOSなどの上で動かすのはPaaS、事業者のアプリケーションを使うのはSaaSである。手元の端末にソフトウェアを入れて使うのは、ネットワーク経由でサービスとして提供を受けるクラウドサービスではない。

    根拠： NIST SP 800-145 The NIST Definition of Cloud Computing（2011年9月） 2. Service Models ／ 総務省「国民のためのサイバーセキュリティサイト」クラウドサービスの仕組み 本文（SaaS・PaaS・IaaSの分類）

65. 問65．PaaS（Platform as a Service）の説明として正しいものはどれか。

    • ア．利用者がOSを選んで導入し、処理能力・ストレージ・ネットワークなどの資源を使う
    • イ．利用者の端末にソフトウェアをインストールし、手元で動かして使う
    • ウ．事業者が用意したアプリケーションを、利用者がWebブラウザなどから使う
    • エ．利用者が作ったアプリケーションを、事業者が管理するOSやデータベースなどの上で動かす

    正解：エ．利用者が作ったアプリケーションを、事業者が管理するOSやデータベースなどの上で動かす

    解説：NIST SP 800-145 の定義では、PaaSは利用者が作成・取得したアプリケーションを、事業者が用意した言語やツールで事業者の基盤に配置する形態で、利用者はネットワーク・サーバ・OS・ストレージを管理せず、配置したアプリケーションを管理する。OSを選んで導入し基盤の資源を使うのはIaaS、事業者のアプリケーションを使うのはSaaSである。手元の端末にソフトウェアを入れて使うのは、ネットワーク経由でサービスとして提供を受けるクラウドサービスではない。

    根拠： NIST SP 800-145 The NIST Definition of Cloud Computing（2011年9月） 2. Service Models ／ 総務省「国民のためのサイバーセキュリティサイト」クラウドサービスの仕組み 本文（SaaS・PaaS・IaaSの分類）

66. 問66．SaaS（Software as a Service）の代表例はどれか。

    • ア．インターネット経由で利用する、事業者が運用する電子メールやグループウェア
    • イ．インターネット経由で借りる、事業者が運用する仮想サーバや共有ディスク
    • ウ．利用者の端末にインストールし、手元で動かす電子メールやグループウェアのソフト
    • エ．利用者の端末にインストールし、手元で動かす仮想サーバや共有ディスクのソフト

    正解：ア．インターネット経由で利用する、事業者が運用する電子メールやグループウェア

    解説：SaaSは、事業者がクラウドの基盤で動かすアプリケーションを、利用者がWebブラウザなどから使う形態である（NIST SP 800-145）。総務省は、電子メール・グループウェア・顧客管理などのソフトウェア機能をインターネット経由で提供するサービスとしている。仮想サーバや共有ディスクを借りるのはIaaSである。利用者の端末にソフトウェアを入れて手元で動かす形は、事業者のアプリケーションを使うSaaSの定義に当たらず、中身が電子メールやグループウェアでも同じである。

    根拠： NIST SP 800-145 The NIST Definition of Cloud Computing（2011年9月） 2. Service Models ／ 総務省「国民のためのサイバーセキュリティサイト」クラウドサービスの仕組み 本文（SaaS・PaaS・IaaSの分類） ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） SaaS／IaaS

67. 問67．バックアップの3-2-1ルールが意味する内容として正しいものはどれか。

    • ア．本番を含めて3つのコピーを持ち、2か所の拠点に分けて保存し、1つはオフラインで保管する
    • イ．本番を含めて3つのコピーを持ち、2種類の媒体に保存し、1つは遠隔地に保管する
    • ウ．バックアップを3世代分残し、2種類の媒体に保存し、1つはオフラインで保管する
    • エ．バックアップを3世代分残し、2か所の拠点に分けて保存し、1つは遠隔地に保管する

    正解：イ．本番を含めて3つのコピーを持ち、2種類の媒体に保存し、1つは遠隔地に保管する

    解説：3-2-1ルールは、重要なファイルのコピーを本番1つとバックアップ2つの計3つ持ち、異なる種類の危険に備えて2種類の媒体に保存し、1つを自宅や事業所の外（オフサイト）に保管するという考え方である（US-CERT「Data Backup Options」）。3はバックアップの世代数ではなく本番を含むコピーの数、2は拠点の数ではなく媒体の種類、1はオフライン保管ではなく遠隔地での保管を指す。

    根拠： US-CERT（現CISA）"Data Backup Options"（Ruggiero・Heckathorn, 2012） 冒頭・末尾の 3-2-1 rule（Internet Archive に保存された US-CERT 掲載版で確認） ／ IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 大分類1 中分類1 技術的セキュリティ対策（ランサムウェア対策：3-2-1 ルール）

68. 問68．増分バックアップの説明として正しいものはどれか。

    • ア．選んだ対象のファイルを、変更の有無にかかわらず毎回取得する方式
    • イ．直前に取ったフルバックアップ以降に、作成・変更されたファイルを取得する方式
    • ウ．種類を問わず直前に取ったバックアップ以降に、作成・変更されたファイルを取得する方式
    • エ．直前に取ったフルバックアップを、そのまま別の媒体に複製して保管する方式

    正解：ウ．種類を問わず直前に取ったバックアップ以降に、作成・変更されたファイルを取得する方式

    解説：NIST SP 800-34 Rev.1 は、増分バックアップを、種類を問わず直前のバックアップ以降に作成・変更されたファイルを取得する方式とし、媒体を効率よく使えて取得時間も短いが、復元にはフルと各回の増分の媒体が必要になるとしている。直前のフルバックアップ以降の変更分を取得するのは差分バックアップ、対象の全ファイルを取得するのはフルバックアップである。フルバックアップを別の媒体に複製するのは、変更分を取り出す方式ではない。

    根拠： NIST SP 800-34 Rev.1 Contingency Planning Guide for Federal Information Systems（2010年5月・同11月更新） 5.1.2 Maintenance of Data Security, Integrity, and Backup（pp.44-45）

69. 問69．差分バックアップの説明として正しいものはどれか。

    • ア．選んだ対象のファイルを、変更の有無にかかわらず毎回取得する方式
    • イ．種類を問わず直前に取ったバックアップ以降に、作成・変更されたファイルを取得する方式
    • ウ．直前に取ったフルバックアップを、そのまま別の媒体に複製して保管する方式
    • エ．直前に取ったフルバックアップ以降に、作成・変更されたファイルを取得する方式

    正解：エ．直前に取ったフルバックアップ以降に、作成・変更されたファイルを取得する方式

    解説：NIST SP 800-34 Rev.1 は、差分バックアップを、直前のフルバックアップ以降に作成・変更されたファイルを取得する方式とし、次のフルバックアップまで変更分がたまるので日を追うごとに時間がかかるが、復元はフルと最後の差分の媒体で済むとしている。種類を問わず直前のバックアップ以降の変更分を取得するのは増分バックアップ、対象の全ファイルを取得するのはフルバックアップである。フルバックアップを別の媒体に複製するのは、変更分を取り出す方式ではない。

    根拠： NIST SP 800-34 Rev.1 Contingency Planning Guide for Federal Information Systems（2010年5月・同11月更新） 5.1.2 Maintenance of Data Security, Integrity, and Backup（pp.44-45）

70. 問70．ACID特性のうち『A』が意味するものはどれか。

    • ア．Atomicity（原子性）
    • イ．Availability（可用性）
    • ウ．Authenticity（真正性）
    • エ．Authorization（認可）

    正解：ア．Atomicity（原子性）

    解説：ACIDは、トランザクションが同時実行の中でも障害が起きても正しく処理されるための性質、Atomicity（原子性）・Consistency（一貫性）・Isolation（独立性）・Durability（耐久性）の頭文字である。原子性は、トランザクション内の操作がすべて完了するか一つも実行されないかのどちらかになる性質をいう（PostgreSQL 18 文書の用語集）。可用性と真正性は情報セキュリティの特性（JIS Q 27000:2019 3.7・3.6）、認可はアクセス権限を与えることで、どれもACIDではない。

    根拠： PostgreSQL 18 文書 Appendix M. Glossary（PostgreSQL Global Development Group） ACID／Atomicity ／ JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語 3.6 真正性／3.7 可用性 ／ NIST CSRC Glossary "authorization" Definitions（CNSSI 4009-2015 ほか）

71. 問71．ACID特性のうち『D』が意味するものはどれか。

    • ア．Distribution（分散性）
    • イ．Durability（耐久性）
    • ウ．Decentralization（非集中化）
    • エ．Disclosure（開示）

    正解：イ．Durability（耐久性）

    解説：ACIDは、Atomicity（原子性）・Consistency（一貫性）・Isolation（独立性）・Durability（耐久性）の頭文字で、データベースのトランザクションが同時実行の中でも障害が起きても正しく処理されるための性質である。耐久性は、いったんコミットされたトランザクションの変更が、システムの障害や停止の後も失われずに残ることを保証する性質をいう（PostgreSQL 18 文書の用語集）。分散性・非集中化・開示は、いずれもACIDの4つの性質に含まれない。

    根拠： PostgreSQL 18 文書 Appendix M. Glossary（PostgreSQL Global Development Group） ACID／Durability

72. 問72．DevSecOpsの説明として最も適切なものはどれか。

    • ア．開発・運用・セキュリティの担当者が連携し、運用を始める前にまとめてセキュリティを確かめる取組み
    • イ．開発・運用・セキュリティの担当者が連携し、運用開始後の監視でセキュリティを確かめる取組み
    • ウ．開発・運用・セキュリティの担当者が連携し、ビルドから運用までの各工程でセキュリティを確かめる取組み
    • エ．開発・運用・セキュリティの担当者が連携し、設計段階でセキュリティを確かめて以降は確かめない取組み

    正解：ウ．開発・運用・セキュリティの担当者が連携し、ビルドから運用までの各工程でセキュリティを確かめる取組み

    解説：NIST SP 800-204C は、DevSecOpsを、開発・運用・セキュリティの各組織の連携を深める文化と実践の集まりとし、この名は、ビルド・テスト・パッケージ化・デプロイ・運用のすべての段階でセキュリティを確認し組み込む必要を強調して作られたと説明している。担当者が連携していても、セキュリティの確認を運用開始の前にまとめて行う、運用開始後の監視に任せる、設計段階だけで済ませるのでは、すべての段階に組み込むことにならない。

    根拠： NIST SP 800-204C Implementation of DevSecOps for a Microservices-based Application with Service Mesh（2022年3月） 1. Introduction（DevSecOps の用語）

73. 問73．セキュリティバイデザインの考え方として正しいものはどれか。

    • ア．完成したシステムに脆弱性診断を行い、見つかった問題を直してから公開する
    • イ．運用開始後に攻撃の兆候を監視し、異常を見つけたら速やかに対処する
    • ウ．設計段階では機能の実現を優先し、セキュリティ機能は最終工程でまとめて追加する
    • エ．企画・設計段階から情報セキュリティを組み込み、上流工程で対策を講じる

    正解：エ．企画・設計段階から情報セキュリティを組み込み、上流工程で対策を講じる

    解説：セキュリティ・バイ・デザインは、NISCが「情報セキュリティを企画、設計段階から組み込むための方策」と定義した考え方で、開発の早い段階からセキュリティを考慮してシステムの安全を確保する（IPA「セキュリティ・バイ・デザイン導入指南書」1.2）。後付けで機能を追加したり出荷直前に検査したりすると手戻りが多くなり、開発コストがかさむおそれがある。完成後の診断や運用中の監視も必要な対策だが、企画・設計段階から組み込む考え方そのものではない。

    根拠： IPA 産業サイバーセキュリティセンター 中核人材育成プログラム「セキュリティ・バイ・デザイン導入指南書」（2022年8月） 1.2 セキュリティ・バイ・デザインとは（pp.4-5）

74. 問74．MDMの主な役割はどれか。

    • ア．社員が使うスマートフォンなどを一元管理し、紛失時には遠隔でロックや消去を行う
    • イ．社内ネットワークへの通信を監視し、不正な侵入を検知して管理者に知らせる
    • ウ．社員が社外から接続するときの通信を暗号化し、安全な経路を作る
    • エ．社員の端末に代わってインターネットに接続し、Webの閲覧を中継する

    正解：ア．社員が使うスマートフォンなどを一元管理し、紛失時には遠隔でロックや消去を行う

    解説：MDM（Mobile Device Management）は、企業や組織でスマートフォンやタブレット端末などの携帯端末を安全に管理する仕組みで、ソフトウェア更新の一元管理、機能の制限、遠隔操作によるロックやデータ消去などの機能を持つ（総務省）。ネットワークへの通信を監視して侵入を検知し管理者に知らせるのはIDS、社外からの通信を暗号化して専用線のような経路を作るのはVPN、端末の代わりにインターネットに接続して通信を中継するのはプロキシサーバである。

    根拠： 総務省「国民のためのサイバーセキュリティサイト」用語集（英字） MDM／VPN機器 ／ 総務省「国民のためのサイバーセキュリティサイト」テレワーク端末の保護 MDM（Mobile Device Management：モバイルデバイス管理） ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（さ行） 侵入検知システム ／ 総務省「国民のためのサイバーセキュリティサイト」用語集（は行） プロキシサーバ

75. 問75．セキュアコーディングの実践に役立つガイドラインはどれか。

    • ア．ISO 9001
    • イ．OWASP Top 10
    • ウ．CMMI
    • エ．ITIL

    正解：イ．OWASP Top 10

    解説：OWASP Top 10 は、Webアプリケーションの最も重大なセキュリティリスクについての幅広い合意を示した、開発者向けの啓発文書で、最新の2025年版はアクセス制御の不備やインジェクションなど10項目を挙げる。セキュアコーディングで避けるべき弱点を知る手がかりになる。ISO 9001（JIS Q 9001）は品質マネジメントシステムの要求事項、CMMIは組織の能力と実績の現状を把握するためのもの、ITILはデジタルな製品とサービスのマネジメントのベストプラクティスの枠組みである。

    根拠： OWASP Top 10:2025 トップページ（文書の位置づけと A01〜A10 の一覧） ／ JIS Q 9001:2015 品質マネジメントシステム－要求事項 規格名称・目次 ／ CMMI Institute "CMMI" 製品紹介ページ冒頭 ／ PeopleCert "ITIL Qualification Scheme" Why choose ITIL?

76. 問76．DMZ はどれか。

    • ア．インターネットと内部ネットワークとの間に設置されるネットワーク
    • イ．外部から持ち込んだPC がマルウェアなどに感染していないかどうかを社内ネットワークに接続する前にチェックするための，社内ネットワークとは隔離された専用のネットワーク
    • ウ．通信内容を監視し，あらかじめ設定された不正な通信パターンと一致した場合に通信を遮断するネットワーク
    • エ．不正通信を検知する際に利用するためにセキュリティベンダーから入手するシグネチャ情報

    正解：ア．インターネットと内部ネットワークとの間に設置されるネットワーク

    解説：DMZ（DeMilitarized Zone，非武装地帯）は，インターネットと内部ネットワークの間に置く緩衝地帯である。公開Web サーバやメールサーバのように外部からの接続を受ける必要があるものをここに置き，万一そこが乗っ取られても内部ネットワークへ入られないようにする。よってア。イは検疫ネットワーク，ウはIPS（侵入防止システム）の働きの説明で，どちらもDMZ ではない。エはシグネチャ情報そのもので，ネットワークですらない。

    出典：情報処理推進機構「令和8年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問3
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

77. 問77．次のIP アドレスとサブネットマスクをもつPC がある。このPC のネットワークアドレスとして，適切なものはどれか。 IP アドレス： 10.170.70.19 サブネットマスク： 255.255.255.240

    • ア．10.170.70.0
    • イ．10.170.70.16
    • ウ．10.170.70.31
    • エ．10.170.70.255

    正解：イ．10.170.70.16

    解説：ネットワークアドレスは，IP アドレスとサブネットマスクのビットごとの論理積で求める。上位3オクテットはマスクが255（すべて1）なのでそのまま10.170.70 となり，最後の1オクテットだけを計算すればよい。19 は2進数で00010011，240 は11110000 である。論理積を取ると00010000 で，10進数では16。よってネットワークアドレスは10.170.70.16 でイ。マスクの240 は上位4ビットが1なので，このサブネットは16個のアドレスを区切りとしている。19 が入るのは16〜31 の区画で，その先頭が16，末尾の31 はブロードキャストアドレスである。ウの10.170.70.31 はそのブロードキャストアドレス，アの10.170.70.0 はマスクを255.255.255.0 と取り違えたときの値である。

    出典：情報処理推進機構「令和8年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問10
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

78. 問78．e コマース運営会社がビッグデータを用いて新たなニーズを発掘し，その後のビジネス戦略に生かそうとしている。ビッグデータの収集から活用までのフローを次の図のようにしたとき，データの分析で行うことはどれか。ここで，選択肢ア～エは，フロー図のa～d のいずれかに対応している。

    • ア．機械学習を用いて自然言語処理やクラスタリングを行い，新しい傾向を導き出す。
    • イ．取扱い製品に関するSNS での評価などを自動プログラムで取得する。
    • ウ．ノイズリダクション処理やデータクレンジング処理を行う。
    • エ．発見した新しい傾向を見極めて，注力すべきビジネス戦略を立案する。

    正解：ア．機械学習を用いて自然言語処理やクラスタリングを行い，新しい傾向を導き出す。

    解説：フロー図は a ビッグデータの収集 → b 必要なデータの整備 → c データの分析 → d ビジネス戦略への活用 の4段階である。問われているのは c の「データの分析」で行うことなので，集めて整えたデータから傾向を取り出す作業を選ぶ。機械学習で自然言語処理やクラスタリングを行い新しい傾向を導き出すアがこれに当たる。イのSNS での評価を自動プログラムで取得するのは a の収集，ウのノイズリダクションやデータクレンジングは分析にかけられる形に整える b の整備，エの見つかった傾向をもとに戦略を立案するのは d の活用である。

    出典：情報処理推進機構「令和8年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問11
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

79. 問79．良品である確率が0.9，不良品である確率が0.1 の外注部品について，受入検査を行いたい。受入検査には四つの案があり，それぞれの良品と不良品1 個に掛かる諸費用は表のとおりである。期待費用が最も低い案はどれか。

    • ア．A
    • イ．B
    • ウ．C
    • エ．D

    正解：ウ．C

    解説：期待費用は「良品の確率 × 良品に掛かる費用 ＋ 不良品の確率 × 不良品に掛かる費用」で求める。A は 0.9 × 0 ＋ 0.1 × 1,500 ＝ 150 円。B は 0.9 × 40 ＋ 0.1 × 1,000 ＝ 36 ＋ 100 ＝ 136 円。C は 0.9 × 80 ＋ 0.1 × 500 ＝ 72 ＋ 50 ＝ 122 円。D は 0.9 × 120 ＋ 0.1 × 200 ＝ 108 ＋ 20 ＝ 128 円。最も低いのはC の122 円である。良品に掛かる費用は9割の部品に掛かるので，1個あたりが小さく見えても効きが大きい。そのため不良品の費用が最も小さいD が最良とは限らず，実際にはC が最良になる。

    出典：情報処理推進機構「令和8年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問12
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

80. 問80．SIEM 製品によるセキュリティ上の効果として，最も適切なものはどれか。

    • ア．様々な機器のログを集中管理することによって，横断的な分析や相関分析が可能になり，単純な目視だけでは発見困難な兆候を検知，分析，可視化することが可能になる。
    • イ．通信経路上を流れるパケットをキャプチャし，暗号化されたデータが改ざんされていないかどうかをチェックすることが可能になる。
    • ウ．ファイアウォール，IDS，マルウェア対策といった複数のネットワークセキュリティ機能を一つの機器で実現することが可能になる。
    • エ．ファイルの改ざんを検知すると，事前に取得済みのバックアップを用いて直ちに修復することが可能になる。

    正解：ア．様々な機器のログを集中管理することによって，横断的な分析や相関分析が可能になり，単純な目視だけでは発見困難な兆候を検知，分析，可視化することが可能になる。

    解説：SIEM（Security Information and Event Management）は，ファイアウォール・サーバ・端末などに散らばったログを1か所に集め，時刻をそろえて突き合わせることで，1台のログを見ているだけでは分からない攻撃の兆候を浮かび上がらせる仕組みである。よってア。ウは複数のセキュリティ機能を1台にまとめたUTM の説明。イは通信内容の検査，エは改ざん検知と自動復旧の機能で，いずれもSIEM の役割ではない。

    出典：情報処理推進機構「令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問2
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

81. 問81．システムの信頼性指標であるRASIS の，安全性を除く四つに関する記述のうち，適切なものはどれか。

    • ア．R の信頼性は，システムのMTBF によって表す。
    • イ．A の可用性は，システムが稼働している時間の平均値によって表す。
    • ウ．S の保守性は，システムの稼働率によって表す。
    • エ．I の完全性は，システムの故障率によって表す。

    正解：ア．R の信頼性は，システムのMTBF によって表す。

    解説：RASIS は Reliability（信頼性）・Availability（可用性）・Serviceability（保守性）・Integrity（完全性）・Security（安全性）の頭文字である。信頼性は壊れにくさで，故障せずに動き続ける平均時間であるMTBF で表す。よってア。イの可用性は使いたいときに使える割合なので稼働率で表す（稼働時間の平均値ではない）。ウの保守性は直しやすさなので，修理に掛かる平均時間であるMTTR で表す。エの完全性はデータが正しく保たれていることで，故障率とは関係がない。イとウは，可用性と保守性の指標が入れ替わっている点にも注意する。

    出典：情報処理推進機構「令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問10
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

82. 問82．企業全体で使用するデータを統合・整理したデータウェアハウスから，特定の分析目的のためにデータを加工して構築したものはどれか。

    • ア．データカタログ
    • イ．データマート
    • ウ．データリネージ
    • エ．データレイク

    正解：イ．データマート

    解説：データマートは「小売店」という意味で，データウェアハウス（大きな倉庫）から特定の部門や分析目的に必要な分だけを取り出して整えた小規模なデータベースである。よってイ。アのデータカタログは，どこにどんなデータがあるかをまとめた目録。ウのデータリネージは，データがどこから来てどう加工されたかという来歴をたどれるようにする仕組み。エのデータレイクは，加工せず生のまま様々な形式のデータをためておく置き場である。

    出典：情報処理推進機構「令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問11
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

83. 問83．経済産業省が取りまとめた“DX レポート2”では，組織がDX 実現に至る段階をデジタイゼーション，デジタライゼーション，デジタルトランスフォーメーションに分けている。製造業のデジタル化事例において，デジタルトランスフォーメーションの段階に達しているものはどれか。

    • ア．3D 画像撮影用の高性能カメラを生産ラインに設置し，カメラの前を通過する製造物のデジタル画像をリアルタイムで記録して，出荷検査の証拠データとする。
    • イ．技術継承のために，生産ラインに設置したカメラと，熟練工の手に装着したウェアラブルセンサーによって，熟練工の所作をデジタルデータとして保存した上で，AI を用いて熟練工の動きをモデル化する。
    • ウ．顧客から販売・在庫情報を，部品メーカーから生産・在庫情報をデジタルデータで逐次入手し，AI を用いて複数の需給調整案を高速でシミュレーションすることによって，サプライチェーン全体を最適化する。
    • エ．生産ラインで取得したデジタル画像データから良品，不良品の特徴をAI に学習させた上で，AI で画像解析を行うことによって，自社の出荷時検品作業を効率化する。

    正解：ウ．顧客から販売・在庫情報を，部品メーカーから生産・在庫情報をデジタルデータで逐次入手し，AI を用いて複数の需給調整案を高速でシミュレーションすることによって，サプライチェーン全体を最適化する。

    解説：3つの段階の違いは「どこまでを変えたか」である。デジタイゼーションはアナログをデジタルに置き換えるだけ，デジタライゼーションは個別の業務やプロセスをデジタル化するところまで，デジタルトランスフォーメーションは組織や会社の枠を超えて全体を作り変え，顧客起点で新しい価値を生むところまでを指す。ウは自社だけでなく顧客と部品メーカーまで巻き込み，サプライチェーン全体を最適化しているのでデジタルトランスフォーメーションに当たる。アは画像を記録するだけなのでデジタイゼーション。イとエはAI を使っているが，対象はどちらも自社の中の個別の業務（技術継承・出荷時検品）にとどまるのでデジタライゼーションである。AI を使っているかどうかで段階が決まるのではない点に注意する。

    出典：情報処理推進機構「令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問12
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

84. 問84．システムの信頼性指標としてRASIS がある。そのうちのA は可用性を表し，システムのサービス時間など，ある一定期間でのシステムの機能を維持する度合いを表している。このA を向上させるものはどれか。

    • ア．MTBF とMTTR をともに2 倍にする。
    • イ．MTBF は変えず，MTTR を2 倍にする。
    • ウ．MTBF を2 倍にして，MTTR は変えない。
    • エ．MTBF を半分にして，MTTR は2 倍にする。

    正解：ウ．MTBF を2 倍にして，MTTR は変えない。

    解説：可用性は MTBF ÷（MTBF ＋ MTTR）で表せる稼働率で見る。MTBF（平均故障間隔）が長いほど，MTTR（平均修復時間）が短いほど高くなる。ウは MTBF だけを2倍にするので稼働率は必ず上がる。よってウ。アは両方を2倍にするので比が変わらず，稼働率は同じままである（故障しにくくなるが，直すのに倍かかる）。イとエは MTTR が2倍になるぶん下がる。とくにエは MTBF も半分なので大きく下がる。

    出典：情報処理推進機構「令和6年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問9
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

85. 問85．社内ネットワークからインターネットへのアクセスを中継し，Web コンテンツをキャッシュすることによってアクセスを高速にする仕組みで，セキュリティ確保にも利用されるものはどれか。

    • ア．DMZ
    • イ．IP マスカレード（NAPT）
    • ウ．ファイアウォール
    • エ．プロキシサーバ

    正解：エ．プロキシサーバ

    解説：プロキシサーバは，社内の端末に代わってインターネットへアクセスする中継役である。一度取得したコンテンツを蓄えておき，次に同じものを求められたらその控えを返すので表示が速くなる。また，社内の端末が直接インターネットにつながらなくなり，アクセス先の制限や記録もできるのでセキュリティの確保にも使われる。よってエ。アのDMZ は公開サーバを置く緩衝地帯，イのIP マスカレードはアドレスとポートを変換する仕組み，ウのファイアウォールは通信を通す・通さないを決める仕組みで，いずれもコンテンツを蓄える働きは持たない。

    出典：情報処理推進機構「令和6年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問10
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

86. 問86．全社的な推進体制でRPA を導入するときの留意点として，適切なものはどれか。

    • ア．各業務部門が連携して，RPA の対象業務に対して業務プロセス全体の可視化と業務プロセスの見直しを行った上で，RPA の導入を行う。
    • イ．業務フローが固定的で画面の変更が少ない業務よりも，業務フローの変更や画面の変更が多い業務から優先的に導入する。
    • ウ．情報システム部門や他部門との連携は行わずに，個々の業務部門が主導して，RPA ツールの選定，ソフトウェアロボットの作成，活用及び運用を推進する。
    • エ．ルール化された処理や繰返し処理が多い業務よりも，例外処理が多い業務や条件が複雑な業務に対して，優先的にRPA の導入を行う。

    正解：ア．各業務部門が連携して，RPA の対象業務に対して業務プロセス全体の可視化と業務プロセスの見直しを行った上で，RPA の導入を行う。

    解説：RPA を全社的に進めるときは，いまのやり方をそのまま自動化するのではなく，業務プロセス全体を見える化して見直したうえで自動化する。よってア。無駄な手順まで自動化してしまうと，無駄が固定されてしまう。イとエは逆で，RPA が向くのは「手順が決まっていて繰り返しが多く，画面の変更が少ない業務」である。例外処理が多い業務や画面がよく変わる業務は，作り直しの手間が絶えず向かない。ウは各部門がばらばらに進めるもので，全社的な推進体制という前提に反し，作った自動化の管理者が分からなくなる。

    出典：情報処理推進機構「令和6年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問11
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

87. 問87．特性要因図を説明したものはどれか。

    • ア．原因と結果の関連を魚の骨のような形態に整理して体系的にまとめ，結果に対してどのような原因が関連しているかを明確にする。
    • イ．時系列的に発生するデータのばらつきを折れ線グラフで表し，管理限界線を利用して客観的に管理する。
    • ウ．収集したデータを幾つかの区間に分類し，各区間に属するデータの個数を棒グラフとして描き，品質のばらつきを捉える。
    • エ．データを幾つかの項目に分類し，出現頻度の大きさの順に棒グラフとして並べ，累積和を折れ線グラフで描き，問題点を絞り込む。

    正解：ア．原因と結果の関連を魚の骨のような形態に整理して体系的にまとめ，結果に対してどのような原因が関連しているかを明確にする。

    解説：特性要因図は，結果（特性）を魚の頭に，その原因（要因）を骨のように書き足していく図で，見た目から魚の骨図（フィッシュボーンチャート）とも呼ばれる。よってア。イは管理図，ウはヒストグラム，エはパレート図の説明である。いずれもQC 七つ道具に含まれるが，見る目的が違う。

    出典：情報処理推進機構「令和6年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問12
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

88. 問88．A 社は医療品の販売を行う従業員100 名の企業である。営業部では，オンプレミスのデータベースに顧客情報を格納している。 営業部では，図1 に示すバックアップポリシーを順守している。 1． データベースは毎週日曜日にフルバックアップを，それ以外の日は毎日の増分バックアップを毎日，別のテープメディアに取得する。 2． バックアップは1 週間分保存する。 3． データベースの目標復旧時点（RPO）は24 時間とする。 4． バックアップからの目標復旧時間（RTO）は6 時間とする。 5． バックアップを保存しているテープメディア（以下，バックアップテープという）は鍵付きのキャビネットに保管する。 6． バックアップはシステムを停止せずに取得する。 図1 営業部におけるバックアップポリシー 先日，金曜日に営業部では，アプリケーションの不具合によってデータベースの内部構造の破損（以下，論理破損という）が生じたので，データベースを復旧する必要が生じた。しかし，火曜日のバックアップテープが物理的に破損していたので，データベースをバックアップポリシーどおりには復旧できなかった。 そのため，営業部の情報セキュリティリーダーであるB 課長は，論理破損が起き，かつ，バックアップテープが物理的に破損していたとしてもデータベースを復旧できるようにする再発防止策を検討し，効果の高いものを選んだ。 設問 B 課長が選んだ再発防止策はどれか。解答群のうち，最も適切なものを選べ。

    • ア．DBMS をIaaS 上に構築したサーバで稼働させ，データベースもIaaS 上に格納する。
    • イ．データベースのレプリケーションを行って，データベースのコピーを確保する。
    • ウ．データベースを格納しているディスクをRAID5 構成にする。
    • エ．テープメディアに加え，NAS にもバックアップを1 週間分保存する。
    • オ．毎日1 回システムを停止させ，フルバックアップを取得する。

    正解：エ．テープメディアに加え，NAS にもバックアップを1 週間分保存する。

    解説：起きたことが2つ重なっている点が要点である。データベースの論理破損と，バックアップテープの物理破損である。どちらにも効くのは，バックアップを別の媒体にもう1組持っておくことである。よってエ。テープが壊れてもNAS 側から，NAS が壊れてもテープ側から復旧できる。 イのレプリケーションは，元のデータベースの内容をそのまま写すものなので，論理破損もそのまま写ってしまい復旧に使えない。ウのRAID5 はディスクが壊れたときに備えるもので，論理破損にもテープの破損にも効かない。アのIaaS への移行は動かす場所が変わるだけで，バックアップが二重になるわけではない。オの毎日フルバックアップは，そのテープが壊れていれば結局戻せないうえ，バックアップポリシーの「システムを停止せずに取得する」にも反する。

    出典：情報処理推進機構「令和6年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問14
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

89. 問89．HTTP のcookie に関する記述のうち，適切なものはどれか。

    • ア．cookie に含まれる情報はHTTP ヘッダの一部として送信される。
    • イ．cookie に含まれる情報はWeb サーバだけに保存される。
    • ウ．cookie に含まれる情報はWeb ブラウザが全て暗号化して送信する。
    • エ．クライアントがcookie に含まれる情報の有効期限を設定する。

    正解：ア．cookie に含まれる情報はHTTP ヘッダの一部として送信される。

    解説：cookie は，サーバからはSet-Cookie ヘッダで送られ，ブラウザからはCookie ヘッダで送り返される。いずれもHTTP ヘッダの一部である。よってア。イは逆で，cookie はクライアント側に保存される。ウは，暗号化するかどうかはHTTPS を使うかどうかの話で，ブラウザがcookie を必ず暗号化するわけではない。エは，有効期限を決めるのはサーバであり，Set-Cookie のExpires 属性やMax-Age 属性で指定する。

    出典：情報処理推進機構「令和5年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問10
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

90. 問90．BPM の説明はどれか。

    • ア．企業活動の主となる生産，物流，販売，財務，人事などの業務の情報を一元管理することによって，経営資源の全体最適を実現する。
    • イ．業務プロセスに分析，設計，実行，改善のマネジメントサイクルを取り入れ，業務プロセスの改善見直しや最適なプロセスへの統合を継続的に実施する。
    • ウ．顧客データベースを基に，商品の販売から保守サービス，問合せやクレームへの対応など顧客に関する業務プロセスを一貫して管理する。
    • エ．部品の供給から製品の販売までの一連の業務プロセスの情報をリアルタイムで交換することによって，在庫の削減とリードタイムの短縮を実現する。

    正解：イ．業務プロセスに分析，設計，実行，改善のマネジメントサイクルを取り入れ，業務プロセスの改善見直しや最適なプロセスへの統合を継続的に実施する。

    解説：BPM（Business Process Management）は，業務プロセスに分析・設計・実行・改善のサイクルを回して，継続的に見直していく取組みである。よってイ。アはERP，ウはCRM，エはSCM の説明である。

    出典：情報処理推進機構「令和5年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問11
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。

91. 問91．品質管理において，結果と原因との関連を整理して，魚の骨のような図にまとめたものはどれか。

    • ア．管理図
    • イ．特性要因図
    • ウ．パレート図
    • エ．ヒストグラム

    正解：イ．特性要因図

    解説：結果（特性）と原因（要因）の関係を，背骨と小骨のような形にまとめた図を特性要因図といい，見た目から魚の骨（フィッシュボーン）図とも呼ばれる。よってイ。アの管理図は工程が安定しているかを時系列で見る図，ウのパレート図は項目を件数の多い順に並べて累積比率を重ねる図，エのヒストグラムはデータのばらつきを柱状に表す図である。

    出典：情報処理推進機構「令和5年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問12
    本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。