情報セキュリティ管理の要点整理と想定問題

正解: C 【A（不正解）】 ？ 社員であることだけを理由に権限を広げる考え方です。 社員かどうかではなく、業務に必要かどうかで決めるのが知る必要性の原則である。 【B（不正解）】 ？ 上司の承認だけで権限を決める考え方です。 承認の手続は大切だが、業務上の必要性を確かめずに広げると原則に反する。 【C（正解）】 ？ 業務上の必要性を基準に権限を決める考え方です。 知る必要性の原則は、業務に必要な人に必要な範囲だけアクセスを認める考え方である。 【D（不正解）】 ？ 読み取りだけなら問題ないとみる考え方です。 閲覧だけでも機密性は損なわれる。読み取りの権限も必要な人に限る。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: A 【A（正解）】 ？ まず事象として扱い、基準で評価する進め方です。 管理基準は、事象を評価してインシデントに当たるかを決めるよう求めている。決めた結果は記録しておく。 【B（不正解）】 ？ 被害がない限り報告しない進め方です。 被害の有無が分からない段階こそ報告と評価が要る。放置すると対応が遅れる。 【C（不正解）】 ？ 評価の前に全社へ知らせる進め方です。 評価の前に重大と決めつけると、混乱や誤った対応を招く。まず事象として評価する。 【D（不正解）】 ？ 記録そのものをなくす進め方です。 ログは評価や後の調査の証拠になる。消すと原因が分からなくなる。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: D 【A（不正解）】 ？ サービスを動かす建物や設備の話です。 設備はクラウド事業者が運営する部分で、利用者は直接管理できない。 【B（不正解）】 ？ サービスの基盤となるソフトウェアの保守です。 SaaS の基盤の保守は事業者に委ねる部分である。利用者は公開された対策を確かめる。 【C（不正解）】 ？ 事業者側の通信設備の設計です。 回線などの設備も事業者側が担う。利用者はサービス品質の保証内容を確認する。 【D（正解）】 ？ 誰が使えるかと、ログインの管理の話です。 手引きは、利用者の範囲の管理、認証の厳格化、バックアップなどを利用者の役割に挙げている。責任共有モデルの考え方である。

出典: IPA「中小企業のためのクラウドサービス安全利用の手引き」（ガイドライン付録7）

正解: B 【A（不正解）】 ？ 手続を一人にまとめる案です。 一人で完結すると不正や誤りに気づけない。今の問題をそのまま残す。 【B（正解）】 ？ 役割ごとに担当を分ける案です。 管理基準は、アクセス要求・認可・管理といったアクセス制御機能の分離を挙げている。職務の分離の考え方である。 【C（不正解）】 ？ 作業の記録を省く案です。 記録をやめると、後から確かめる手段がなくなる。分離とは逆の方向である。 【D（不正解）】 ？ 権限を広く配って手続をなくす案です。 特権的なアクセスは制限するのが原則で、全員への付与は危険が大きい。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: C 【A（不正解）】 ？ 保存場所から探していく方法です。 ガイドラインは、保存場所を見て回るより、業務の流れから考えるほうが作りやすいとしている。 【B（不正解）】 ？ 紙の書類の置き場所から探す方法です。 紙だけでは電子データが漏れる。場所を見る方法はガイドラインの勧めと違う。 【C（正解）】 ？ 業務の流れから情報を挙げる方法です。 ガイドラインは、日常の業務で使う電子データや書類を考えて洗い出すと作りやすいとしている。 【D（不正解）】 ？ 機器の購入価格で選ぶ方法です。 情報資産の価値は機器の値段では決まらない。情報そのものを洗い出す。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: C 【A（不正解）】 ？ 三つの評価値のうち最も小さい値です。 重要度は最小値ではなく最大値で決める。最大値は完全性の 3 である。 【B（不正解）】 ？ 三つの評価値の平均に近い値です。 平均は（2＋3＋1）÷3＝2 だが、ガイドラインは平均を使わない。 【C（正解）】 ？ 三つの評価値のうち最も大きい値です。 重要度は機密性・完全性・可用性のいずれかの最大値で判断する。max(2, 3, 1)＝3 である。 【D（不正解）】 ？ 三つの評価値を足し合わせた値です。 合計は 2＋3＋1＝6 だが、重要度は 3〜1 の値で表す。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: C 【A（不正解）】 ？ 最も小さい評価値をとった値です。 最小値をとる方法はガイドラインにない。しかも個人情報を含むので別の決まりがある。 【B（不正解）】 ？ 評価値の最大値をとった値です。 通常は最大値の 2 になるが、個人情報を含む場合は算定結果に関わらず別扱いになる。 【C（正解）】 ？ 重要度の最も高い段階の値です。 ガイドラインは、個人情報を含む場合は算定結果に関わらず重要度を 3 とする。 【D（不正解）】 ？ 評価値をすべて足した値です。 合計は 1＋2＋2＝5 だが、重要度は 3〜1 で表す。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: B 【A（不正解）】 ？ 分類を固定したままにする対応です。 管理基準は、情報の価値や重要度の変化に合わせて分類を更新するよう求めている。 【B（正解）】 ？ 価値の変化に合わせて分類を更新する対応です。 分類はライフサイクルを通じた価値や重要度の変化に従って更新する。台帳も合わせて直す。 【C（不正解）】 ？ 管理の対象から外す対応です。 公開情報になっても、改ざんされない・使えることなどの要求は残る。台帳から消すのは行き過ぎである。 【D（不正解）】 ？ 分類を人ごとに任せる対応です。 分類は全員が同じ方法で行えるよう、組織全体で一貫させる必要がある。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: A 【A（正解）】 ？ 取引の連なりのどこかの障害が自社に及ぶリスクです。 政府の用語解説は、サプライチェーンのいずれかの段階で攻撃によりマルウェア混入や部品調達への支障が起きる可能性も考えるとしている。 【B（不正解）】 ？ 通貨の交換比率が変わることによるリスクです。 為替の動きは、取引先が攻撃を受けて生産が止まる話とは関係がない。 【C（不正解）】 ？ 借入や預金の利率が変わるリスクです。 金利の変化は、取引先の被害で生産が止まる話ではない。 【D（不正解）】 ？ 自社の設備が自然災害で損なわれるリスクです。 自社設備の被害の話で、取引先の攻撃被害が及ぶ場面とは違う。

出典: サイバーセキュリティ戦略（2024）別添8「用語解説」

正解: B 【A（不正解）】 ？ クラウドには危険がないとみる考え方です。 手引きはクラウド固有のリスクを考えて対策を決めるよう求めており、リスクがないとはしていない。 【B（正解）】 ？ 共用の仕組みから来る影響の広がりの話です。 手引きは、共用による影響の広がり、インターネット経由で攻撃を受けやすいこと、複数事業者の構成で対策を把握しにくいことを挙げる。 【C（不正解）】 ？ 保存場所の確認が不要とみる考え方です。 手引きは、データがどの国や地域のサーバーに保存されるかを確認するよう求めている。 【D（不正解）】 ？ 利用者側では設定のミスが起きないとみる考え方です。 手引きは、共有設定や利用者の範囲などを利用者が適切に管理するよう求めている。

出典: IPA「中小企業のためのクラウドサービス安全利用の手引き」（ガイドライン付録7）

正解: C 【A（不正解）】 ？ 社員の働き方や処遇に及ぶ不利益です。 社員への影響も不利益の一つだが、機能を止めて営業できない状態の主な分類ではない。 【B（不正解）】 ？ 信用が落ちて取引先や客が離れる不利益です。 長引けば顧客の喪失にもつながるが、この場面の中心は営業を止めたことにある。 【C（正解）】 ？ 業務やサービスを続けられなくなる不利益です。 ガイドラインは不利益を金銭の損失・顧客の喪失・事業の停止・従業員への影響の 4 点に要約する。機能停止は事業の停止に当たる。 【D（不正解）】 ？ 社会のルールが変わることです。 法令の改正は企業が被る不利益の分類ではない。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: D 【A（不正解）】 ？ 要請に何も応えない対応です。 対策が不十分だと取引先の事業まで影響しかねない。ガイドラインはサプライチェーンでの取組を求めている。 【B（不正解）】 ？ 取引そのものをなくす対応です。 取引をやめる前に、話し合いや支援策で対策を進める道がある。ガイドラインは協議を勧めている。 【C（不正解）】 ？ 実態と違う説明で済ませる対応です。 事実と違う報告は信頼を失い、被害も防げない。 【D（正解）】 ？ 相手と話し合って合意を目指す対応です。 ガイドラインは、日頃から必要性や費用負担を話し合い、価格交渉に積極的に応じるよう勧めている。国の支援策の活用も挙げる。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: D 【A（不正解）】 ？ 評価から始める順番です。 評価はリスクレベルを基準と比べる段階で、特定と分析の後に行う。 【B（不正解）】 ？ 分析から始める順番です。 まだ見つけていないリスクは分析できない。特定が先である。 【C（不正解）】 ？ 特定の次に評価を置く順番です。 評価には分析で決めたリスクレベルが要るので、分析が先である。 【D（正解）】 ？ 特定の次に分析を置く順番です。 管理基準は、リスクを特定し、分析してリスクレベルを決め、リスク基準と比べて評価する流れを示す。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: B 【A（不正解）】 ？ 二つの数を足した値と区分です。 ガイドラインのリスク値は掛け算で求める。3＋2＝5 は使わない。 【B（正解）】 ？ 二つの数を掛けた値と区分です。 リスク値＝重要度×被害発生可能性＝3×2＝6。9〜6 は「大」に当たる。 【C（不正解）】 ？ 掛けた値に「中」の区分を付けたものです。 6 は 9〜6 の範囲なので「中」ではない。「中」は 4 である。 【D（不正解）】 ？ 二つの数を割った値と区分です。 割り算はガイドラインの方法にない。リスク値は掛け算で求める。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: A 【A（正解）】 ？ 最大値の 3 に被害発生可能性を掛けた結果です。 重要度は最大値の 3。リスク値＝3×1＝3 で、3〜1 は「小」に当たる。 【B（不正解）】 ？ 評価値を合計してから掛けた結果です。 合計 6 を使うのは誤りで、重要度は三つの最大値で決める。 【C（不正解）】 ？ 評価値の平均に被害発生可能性を掛けた結果です。 平均（3＋1＋2）÷3＝2 は使わない。重要度は最大値の 3 である。 【D（不正解）】 ？ 評価値の最大値を 2 乗した結果です。 被害発生可能性は 1 なので、9 にはならない。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: C 【A（不正解）】 ？ 担当者の経験や判断に頼る方法です。 経験や判断で行う方法で、属人的になりやすい。基準を参照する方法とは違う。 【B（不正解）】 ？ 資産ごとに価値・脅威・脆弱性を見る方法です。 資産ごとに三つの指標を評価する方法で、手間がかかる。手軽な方法ではない。 【C（正解）】 ？ 既存の標準や基準を手本にする方法です。 ガイドラインは、既存の標準や基準を参照する簡単な方法とし、対策の水準が合わないことがあると注意している。 【D（不正解）】 ？ 複数の方法を組み合わせる方法です。 複数の方法の長所を生かす方法で、基準を参照するだけの方法とは違う。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: A 【A（正解）】 ？ 分析結果を基準と照らす作業です。 管理基準は、決めたリスクレベルをリスク受容基準などのリスク基準と比べ、対応の優先順位を付けることをリスク評価としている。 【B（不正解）】 ？ リスクを見つける段階の作業です。 リスクを特定する段階で行う作業で、評価の段階ではない。リスク所有者は特定の過程で決める。 【C（不正解）】 ？ 対応方法を具体化する作業です。 管理策の決定は、評価の後のリスク対応で行う。 【D（不正解）】 ？ リスクの大きさを測る作業です。 起こりやすさと結果を見積もるのはリスク分析である。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: D 【A（不正解）】 ？ 他社の力を借りて負担を減らす対応です。 他社のサービスや保険を使う対応ではないので、移転ではない。 【B（不正解）】 ？ 対策をせず今のままにする対応です。 やり方を変えているので、保有ではない。 【C（不正解）】 ？ 対策を強めて起こる可能性を下げる対応です。 低減は対策を入れて可能性を下げる。この例はリスクのもと自体をなくしている。 【D（正解）】 ？ やり方を変えてリスクそのものをなくす対応です。 IPA のガイドラインは、利用後すぐに個人情報を消す例をリスク回避として挙げている。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: A 【A（正解）】 ？ 他社のサービスに業務や負担を任せる対応です。 IPA のガイドラインは、カード番号を持たず決済代行に任せる例をリスク移転として挙げている。 【B（不正解）】 ？ 何もせず現状を保つ対応です。 仕組みを変えて他社に任せているので、保有ではない。 【C（不正解）】 ？ やり方を変えてリスクのもとをなくす対応です。 回避はやり方を変えてリスクのもとをなくす対応である。ガイドラインは決済代行の例を回避ではなく移転の例に挙げている。 【D（不正解）】 ？ 対応後に残るリスクを受け入れることです。 残るリスクの扱いの話で、この施策そのものの分類ではない。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: D 【A（不正解）】 ？ 費用を考えずに対策する判断です。 全てのリスクに対応すると費用が多額になる。ガイドラインは合理的に対応するよう求める。 【B（不正解）】 ？ 業務そのものをやめる判断です。 小さなリスクのために業務をやめるのは釣り合わない。 【C（不正解）】 ？ リスクを記録しない判断です。 保有は理由を明らかにして選ぶもので、記録しないこととは違う。 【D（正解）】 ？ 対策を講じず受け入れる判断です。 ガイドラインは、受容できる場合や対策費用が損害額を上回る場合は対策を講じず現状を維持するとしている。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: C 【A（不正解）】 ？ 危ない使い方をやめる施策です。 ウイルス感染の原因となる使い方をなくすので、IPA のガイドラインでは回避の例である。 【B（不正解）】 ？ 自社の対策を強める施策です。 脆弱性を減らして起こる可能性を下げるので、低減に当たる。 【C（正解）】 ？ 損失の負担を他者に移す施策です。 保険で損失を補う対応を、ガイドラインはリスク移転の例に挙げている。 【D（不正解）】 ？ 現状を保つ施策です。 対策をせず受け入れるので、保有に当たる。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: B 【A（不正解）】 ？ 情報を一部の人にとどめる扱いです。 管理基準は、残るリスクを管理層や利害関係者にも認識させることを考えるよう求める。 【B（正解）】 ？ 責任を持つ人の承認を得る扱いです。 管理基準は、対応計画をリスク所有者が承認し、残留リスクを受け入れることを求める。定期的な見直しも行う。 【C（不正解）】 ？ 一度決めたら見直さない扱いです。 残留リスクは定期的に見直し、必要なら対応の対象にする。 【D（不正解）】 ？ リスクがゼロになるまで待つ扱いです。 リスクを完全になくすことは難しい。残るリスクを明確にして計画を進める。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: A 【A（正解）】 ？ 損害時のお金の手当てを考える取組です。 管理基準は、財務的な損害への資金面の対応をリスクファイナンスとし、社内での保有と保険等による移転を挙げる。 【B（不正解）】 ？ リスクの原因そのものを取り除く対応です。 原因をなくす対応で、資金面の備えではない。 【C（不正解）】 ？ リスクを特定・分析・評価する過程です。 リスクの大きさを測る過程で、資金の手当てを決めるものではない。 【D（不正解）】 ？ セキュリティに関わる出来事のことです。 出来事を指す言葉で、資金面の備えとは関係しない。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: B 【A（不正解）】 ？ どの時点のデータまで戻すかの目標です。 RPO は戻すデータの時点の目標で、復旧にかける時間ではない。 【B（正解）】 ？ 復旧までにかける時間の目標です。 IPA のガイドラインは、RTO を目標復旧レベルまでの復旧に要する時間としている。 【C（不正解）】 ？ 業務が止まったときの影響を調べる分析です。 BIA は影響を調べて目標を決める材料で、目標そのものではない。 【D（不正解）】 ？ 重要業務を続けるための計画全体です。 BCP は計画の全体を指し、時間の目標を表す言葉ではない。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: C 【A（不正解）】 ？ 15 時から 22 時までの時間です。 22−15＝7 は向きが逆の計算である。前日 22 時から当日 15 時までを数える。 【B（不正解）】 ？ 0 時から 15 時までの時間です。 日付が変わる前の 22 時から 24 時の 2 時間を数えていない。 【C（正解）】 ？ 前日 22 時から当日 15 時までの時間です。 前日 22 時→24 時が 2 時間、0 時→15 時が 15 時間で、2＋15＝17 時間分が失われる。 【D（不正解）】 ？ 1 日分まるごとの時間です。 24 時間分は故障が 22 時直前に起きた場合の最大値で、この例とは違う。

出典: IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版（本編）

正解: A 【A（正解）】 ？ 停止の影響の大きさと長さを調べる作業です。 管理基準は、BIA で影響を経時的に評価し、優先する活動を決めてから RTO を設定するとしている。 【B（不正解）】 ？ 業務の違いを考えずに決める作業です。 影響の大きさは業務ごとに違う。一律の設定では優先順位が付けられない。 【C（不正解）】 ？ 事前の準備を省く作業です。 管理基準は、計画を作り、試験し、レビューするよう求めている。 【D（不正解）】 ？ 機器の性能を先に決める作業です。 目標は事業の要求から決める。機器の性能から決めるのは順序が逆である。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: B 【A（不正解）】 ？ 管理をなくして業務を優先する対応です。 管理基準は、中断時も情報セキュリティを適切なレベルに保つよう求めている。 【B（正解）】 ？ 使えない管理策の代わりを用意する対応です。 管理基準は、中断時に維持できない管理策を補う管理策を用意し、維持するよう求めている。 【C（不正解）】 ？ 管理策が戻るまで業務を止める対応です。 事業継続の目的に反する。補う管理策で業務とセキュリティを両立させる。 【D（不正解）】 ？ 記録を後回しにする対応です。 後から作った記録は事実を示せない。その場で確認して記録する必要がある。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: C 【A（不正解）】 ？ 考え方の文書と、手順の文書の組合せです。 実施手順はポリシーに含めない。ポリシーは基本方針と対策基準を指す。 【B（不正解）】 ？ 共通の基準と、手順の文書の組合せです。 実施手順は対策基準を具体的なシステムに展開したもので、ポリシーには含めない。 【C（正解）】 ？ 考え方の文書と、共通の基準の組合せです。 総務省のガイドラインは、基本方針と対策基準を総称して情報セキュリティポリシーという。 【D（不正解）】 ？ 具体的な手順の文書だけです。 実施手順だけではポリシーの土台となる考え方や基準が抜ける。

出典: 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」（令和8年3月改定）

正解: D 【A（不正解）】 ？ 組織の基本的な考え方を示す文書です。 考え方を示す最上位の文書で、操作の手順までは書かない。 【B（不正解）】 ？ 全システム共通の対策の基準を定める文書です。 全システムに共通する基準で、特定のシステムの操作手順ではない。 【C（不正解）】 ？ 個人情報の扱い方を公表する文書です。 個人情報の扱いを外部に示す文書で、システムの操作手順ではない。 【D（正解）】 ？ 基準を具体的なシステムや手続に展開した文書です。 総務省のガイドラインは、対策基準を具体的なシステムや手続に展開して個別の実施事項を定めるものを実施手順とする。

出典: 総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」（令和8年3月改定）

正解: B 【A（不正解）】 ？ 個々の認証情報そのものです。 パスワードそのものを方針に書くと、秘密が広く知られてしまう。 【B（正解）】 ？ 決まりから外れる場合の扱い方です。 管理基準は、方針に情報セキュリティ目的、責任の割当て、逸脱及び例外の手順などを含めるよう示す。 【C（不正解）】 ？ 特定の製品名や型番です。 製品の型番は変わりやすい細目で、最上位の方針に書く事項ではない。 【D（不正解）】 ？ 個人の評価に関する情報です。 人事評価は情報セキュリティ方針の記載事項ではない。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: A 【A（正解）】 ？ 特定の領域に絞った方針として作る位置付けです。 管理基準は、クラウドサービスの利用やアクセス制御などのトピック固有の方針で全社の方針を支えるとしている。 【B（不正解）】 ？ 最上位の方針を置き換える位置付けです。 最上位の方針は一つ置き、その下で個別の方針が支える。捨てるのは逆である。 【C（不正解）】 ？ 決まりを文書にしない位置付けです。 方針は定義して伝え、レビューするものである。口頭だけでは一貫しない。 【D（不正解）】 ？ 他社の規約で代える位置付けです。 事業者の規約は自社の要求事項を表さない。自社で方針を定める必要がある。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: B 【A（不正解）】 ？ 製品の導入だけで足りるとみる考え方です。 ISMS は個別の技術対策に加え、組織のマネジメントとして運用するものである。 【B（正解）】 ？ 組織として管理を回す考え方です。 ISMS-AC は、自らのリスクアセスメントで必要なセキュリティレベルを決め、プランを持ち、資源を配分して運用するものとしている。 【C（不正解）】 ？ 取得後は手を入れないとみる考え方です。 ISMS は機密性・完全性・可用性を維持し改善し続ける仕組みである。 【D（不正解）】 ？ 一部門の技術対策とみる考え方です。 ISMS は組織のマネジメントとして行うもので、一部門の技術対策にとどまらない。

出典: ISMS-AC「ISMSとは」

正解: A 【A（正解）】 ？ 除外の理由を所定の文書に残すことです。 ISMS-AC は、適用しない管理策はその理由を適用宣言書に記載するとしている。 【B（不正解）】 ？ 記録を残さず外すことです。 理由を残さないと、除外が妥当か審査や見直しで確かめられない。 【C（不正解）】 ？ 外部に管理策の作成を任せることです。 認証機関は適合性を審査する立場で、自社の管理策を作る役ではない。 【D（不正解）】 ？ 除外を理由に権限を変えることです。 除外と権限の拡大は関係がない。

出典: ISMS-AC「ISMSとは」

正解: B 【A（不正解）】 ？ 自分の業務を自分で見る選び方です。 管理基準は、内部の監査員が自らの業務を監査しないよう、他の担当者を割り当てるとしている。 【B（正解）】 ？ 独立した立場の人を選ぶ選び方です。 管理基準は、監査の客観性と公平性を確実にする選定を求め、自分の業務は監査させないとしている。 【C（不正解）】 ？ 結果を良く見せることを狙う選び方です。 職業倫理と誠実性を欠く選び方で、監査の意味がなくなる。 【D（不正解）】 ？ 監査を一人に限る選び方です。 外部組織による監査も想定されている。経営者一人に限る決まりはない。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: D 【A（不正解）】 ？ 要求事項への適合を監査員が確かめる活動です。 内部監査は監査員が行う確認で、トップマネジメントが改善を決める活動とは別である。 【B（不正解）】 ？ 不適合の原因を取り除く処置です。 是正処置は不適合に対する処置で、定期的な全体の見直しではない。 【C（不正解）】 ？ リスクを特定・分析・評価する活動です。 リスクアセスメントの結果はレビューの材料の一つで、レビューそのものではない。 【D（正解）】 ？ 経営層が仕組み全体を見直す活動です。 管理基準は、トップマネジメントが定めた間隔で行い、継続的改善の機会や変更の必要性を決めるとしている。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: C 【A（不正解）】 ？ 目の前の不適合だけを直す対応です。 管理基準は、再発や他での発生を防ぐため原因を明らかにし、取り除く必要を評価するよう求める。 【B（不正解）】 ？ 処置を先送りする対応です。 不適合が起きたら、管理し是正する処置をとる必要がある。 【C（正解）】 ？ 原因を除き、効果を確かめる対応です。 管理基準は、不適合への処置、原因の除去、処置の有効性のレビュー、記録を求めている。 【D（不正解）】 ？ 記録を書き換える対応です。 記録の改ざんは改善にならず、信頼も失う。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: C 【A（不正解）】 ？ 方針や体制、資産管理などのテーマです。 組織的管理策は方針や資産管理、インシデント管理などを含む。クリアデスクは別のテーマである。 【B（不正解）】 ？ 選考や教育など人に関わるテーマです。 人的管理策は選考・雇用条件・教育などを含む。 【C（正解）】 ？ 施設や装置、作業場所に関わるテーマです。 経済産業省の管理基準の一覧では、クリアデスク・クリアスクリーンは物理的管理策に入っている。 【D（不正解）】 ？ システムの機能で守るテーマです。 技術的管理策はアクセス制御やログ取得などを含む。

出典: 経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: B 【A（不正解）】 ？ 事故が起きる前に防ぐタイプです。 予防は起きる前に止める管理策で、起きたことを見つける監視とは違う。 【B（正解）】 ？ 起きていることを見つけるタイプです。 ログの監視は不正な動きを見つけるためのもので、検知に当たる。 【C（不正解）】 ？ 起きた後に元に戻すタイプです。 是正は起きた後の修正や復旧で、見つける働きとは違う。 【D（不正解）】 ？ リスクのもとをなくす対応です。 回避はリスク対応の選択肢で、管理策のタイプの分け方ではない。

出典: IPA「情報セキュリティマネジメント試験（レベル2）」シラバス Ver.4.1／経済産業省「情報セキュリティ管理基準（令和7年改正版）」

正解: D 【A（不正解）】 ？ 資産やリスクを把握する機能です。 識別は 1.1 からある機能で、2.0 で新しく加わったものではない。 【B（不正解）】 ？ 資産を守る対策を使う機能です。 防御も以前からある機能である。 【C（不正解）】 ？ インシデント後に元に戻す機能です。 復旧も以前からある機能である。 【D（正解）】 ？ 戦略や方針、役割を定めて監督する機能です。 CSF 2.0 は Govern を加えた六つの機能とし、Govern がほかの五つの機能の進め方を方向付けるとしている。

出典: NIST「The NIST Cybersecurity Framework (CSF) 2.0」（NIST CSWP 29）／NIST「NIST Releases Version 2.0 of Landmark Cybersecurity Framework」

正解: A 【A（正解）】 ？ 今のリスクを理解する機能です。 CSF 2.0 は、資産・供給者・関連するリスクを理解し、優先順位付けを可能にする機能を Identify としている。 【B（不正解）】 ？ 攻撃の兆候や発生を見つける機能です。 検知は異常やインシデントを見つける機能で、資産の把握とは違う。 【C（不正解）】 ？ 見つかったインシデントに手を打つ機能です。 対応はインシデントが起きた後の行動である。 【D（不正解）】 ？ 影響を受けた資産や運用を戻す機能です。 復旧は被害を受けた後に元へ戻す機能である。

出典: NIST「The NIST Cybersecurity Framework (CSF) 2.0」（NIST CSWP 29）

正解: C 【A（不正解）】 ？ 優先順位付けから始める順番です。 知らないインシデントは優先順位を付けられない。最初は検知／連絡受付である。 【B（不正解）】 ？ 対応の後で優先順位を付ける順番です。 対応する前に、対応すべきかと優先順位を決める必要がある。 【C（正解）】 ？ 検知の次にトリアージを置く順番です。 マニュアルの基本フローは、検知／連絡受付、トリアージ、インシデントレスポンス（対応）、報告／情報公開である。 【D（不正解）】 ？ 公表から始める順番です。 事実を確かめる前の公表は誤りや混乱を招く。

出典: JPCERT/CC「インシデントハンドリングマニュアル」

正解: D 【A（不正解）】 ？ 受け付けた順に処理する考え方です。 CSIRT の資源は限られる。順番に全てを処理すると重大なものを見失う。 【B（不正解）】 ？ 報告者の主張で順番を決める考え方です。 報告は誤りや虚偽の場合もある。自組織の基準で冷静に判断する。 【C（不正解）】 ？ 原因究明を最優先にする考え方です。 マニュアルは、トリアージの時点では原因の究明を後に回すとしている。 【D（正解）】 ？ 判断の基準を前もって用意しておく考え方です。 マニュアルは、トリアージを対応の優先順位付けとし、対応すべきかの判断も含め、基準を事前に定めるよう求める。

出典: JPCERT/CC「インシデントハンドリングマニュアル」

正解: A 【A（正解）】 ？ 誰かが必ず読める窓口を用意する準備です。 マニュアルは、窓口を Web サイトなどで公開し、確実に読めるようグループアドレスを使うよう勧めている。 【B（不正解）】 ？ 連絡元を限る準備です。 善意の通報者は窓口が分からないと通報をあきらめる。公開が必要である。 【C（不正解）】 ？ 一人に連絡を集める準備です。 担当者が不在だと誰も読めない。マニュアルはグループアドレスを勧めている。 【D（不正解）】 ？ 通報を処理しない準備です。 通報はインシデントを知る大切な手段で、消すと問題が放置される。

出典: JPCERT/CC「インシデントハンドリングマニュアル」

正解: D 【A（不正解）】 ？ 原因究明を先に行う進め方です。 マニュアルは、トリアージの時点では原因（why）の究明を後に回すとしている。 【B（不正解）】 ？ 報告をそのまま受け入れる進め方です。 誤検知や勘違い、虚偽の報告もある。冷静な判断が必要である。 【C（不正解）】 ？ 広く情報を配る進め方です。 無関係な相手に秘匿すべき情報を開示するおそれがある。 【D（正解）】 ？ 事実関係を項目ごとにまとめる進め方です。 マニュアルは、冷静な判断のために when・where・what・how・who を整理するとしている。

出典: JPCERT/CC「インシデントハンドリングマニュアル」

正解: C 【A（不正解）】 ？ 相手の機器に入り込む対応です。 他人のサーバーへの無断の侵入は不正アクセスになりうる。正規の手順で停止を求める。 【B（不正解）】 ？ 何もしない対応です。 被害が広がる。FAQ は利用者への注意喚起とサイトの停止を勧めている。 【C（正解）】 ？ 利用者に知らせ、停止を依頼する対応です。 FAQ は注意喚起とサイトの停止を勧め、JPCERT/CC は IP アドレスの管理者に調査と対応を依頼する。この停止をテイクダウンという。 【D（不正解）】 ？ 同じ住所を手に入れようとする対応です。 すでに他者が使っている URL は取り直せない。停止の依頼が現実的である。

出典: JPCERT/CC「フィッシングFAQ」／JPCERT/CC「インシデントハンドリングマニュアル」

正解: A 【A（正解）】 ？ 自社が提供する製品やサービスの問題を扱うチームです。 JPCERT/CC の CSIRT ガイドは、自組織が開発・提供する製品やサービスのセキュリティ問題に対処するチームを PSIRT とする。 【B（不正解）】 ？ 自組織の従業員や情報システムのリスクを扱うチームです。 組織内 CSIRT は主に社内の情報システムの問題を扱う。製品の利用者に焦点を当てるのは別のチームである。 【C（不正解）】 ？ セキュリティ監視を提供するセンターです。 SOC は監視を担う組織で、製品の修正版の提供は役割ではない。 【D（不正解）】 ？ 経営層が方針や資源配分を審議する会議体です。 方針を決める会議体で、製品の脆弱性に直接対応するチームではない。

出典: JPCERT/CC「CSIRTガイド」

正解: D 【A（不正解）】 ？ 独立行政法人の中のセキュリティ部門です。 IPA は独立行政法人で、内閣官房の組織ではない。 【B（不正解）】 ？ 暗号技術を評価・監視するプロジェクトです。 CRYPTREC は暗号の評価の取組で、NISC の改組でできた組織ではない。 【C（不正解）】 ？ 政府や企業から独立した中立の組織です。 JPCERT/CC は特定の政府機関から独立した組織で、内閣官房の組織ではない。 【D（正解）】 ？ 内閣サイバー官を長とする内閣官房の組織です。 国家サイバー統括室の沿革によると、2025 年 7 月に NISC を改組して設置された。サイバーセキュリティ戦略本部の事務局を担う。

出典: 国家サイバー統括室「沿革」／国家サイバー統括室「概要」

正解: D 【A（不正解）】 ？ 金銭で被害を補う仕組みです。 J-CSIP は情報共有の取組で、補償金を支払う制度ではない。 【B（不正解）】 ？ 相談窓口の仕組みです。 標的型攻撃の相談は J-CRAT の窓口が受け付ける。 【C（不正解）】 ？ 情報を実名で公開する仕組みです。 J-CSIP は情報提供元や機微な情報を匿名化し、承認を得て共有する。 【D（正解）】 ？ 契約を結んだ組織の間で情報を回す仕組みです。 IPA が情報ハブとなり、集めた情報を匿名化して分析を加え、提供元の承認を得て参加組織間で共有する。

出典: IPA「サイバー情報共有イニシアティブ J-CSIP について」

正解: B 【A（不正解）】 ？ 中小企業が対策に取り組むと自ら宣言する制度です。 自己宣言の制度で、攻撃を受けた組織の対応支援ではない。 【B（正解）】 ？ 標的型攻撃の被害拡大を防ぐ支援の取組です。 IPA は、標的型サイバー攻撃の相談を受け、分析や助言、必要に応じて現地での支援も行う。2014 年 7 月に発足した。 【C（不正解）】 ？ 政府が使うクラウドサービスを評価する制度です。 クラウドの評価・登録の制度で、攻撃を受けた組織の支援ではない。 【D（不正解）】 ？ 暗号技術の安全性を評価する取組です。 暗号の評価の取組で、攻撃対応の支援ではない。

出典: IPA「サイバーレスキュー隊 J-CRAT について」

正解: A 【A（正解）】 ？ 現状を確かめ、方針を作って公開する取組です。 IPA は、「5分でできる！情報セキュリティ自社診断」で状況を把握し、基本方針を定めて外部に公開することを二つ星の条件とする。 【B（不正解）】 ？ 最も基本的な対策に取り組むことです。 6 か条への取組は「一つ星」の条件である。 【C（不正解）】 ？ 第三者の認証を受ける取組です。 SECURITY ACTION は自己宣言の制度で、ISMS 認証は求めていない。 【D（不正解）】 ？ 外部の審査を受ける取組です。 IPA は認定や認証を行わない。自ら宣言する制度である。

出典: IPA「SECURITY ACTIONとは？」

正解: A 【A（正解）】 ？ 弱い設定の IoT 機器を調べて利用者に知らせる取組です。 総務省によると、NICT が機器を調べて ISP に通知し、ISP が利用者に注意喚起する。2019 年 2 月に始まった。 【B（不正解）】 ？ 参加組織間で攻撃情報を共有する取組です。 企業間の情報共有の取組で、IoT 機器の利用者への注意喚起ではない。 【C（不正解）】 ？ 脆弱性対策情報を公開するポータルサイトです。 脆弱性情報を公開するサイトで、個々の機器の利用者に知らせる取組ではない。 【D（不正解）】 ？ 業界などで情報を集めて会員で共有する組織です。 会員間の情報共有の組織で、この取組そのものではない。

出典: 総務省「脆弱なIoT機器及びマルウェアに感染しているIoT機器の利用者への注意喚起の実施状況（2019年度）」

正解: B 【A（不正解）】 ？ 公開を先に行う流れです。 対策の前に公開すると悪用されるおそれがある。この枠組みは関係者の調整を経て公表する。 【B（正解）】 ？ 受付・調整・公表を分担する流れです。 IPA が受け付けて JPCERT/CC に連絡し、JPCERT/CC が開発者と公表日を調整する。対策方法は JVN で公表される。 【C（不正解）】 ？ 犯罪として扱う流れです。 脆弱性の届出は捜査の手続ではない。 【D（不正解）】 ？ 開発者だけで判断する流れです。 この枠組みは発見者・IPA・JPCERT/CC・製品開発者が役割を分けて関わる。

出典: IPA「脆弱性関連情報の届出受付業務における取扱いプロセス」／IPA「情報セキュリティ早期警戒パートナーシップガイドライン」

正解: C 【A（不正解）】 ？ 会社に出資している人です。 株主はステークホルダーだが、重要10項目の指示を受ける立場ではない。 【B（不正解）】 ？ 業界を所管する国の機関です。 監督官庁は経営者が指示する相手ではない。 【C（正解）】 ？ 情報セキュリティ対策の責任者となる担当幹部です。 ガイドラインは、経営者が重要10項目を CISO 等への指示を通じて確実に実施させる必要があるとしている。 【D（不正解）】 ？ 対策を請け負う外部の会社です。 外部の専門家の活用はあり得るが、重要10項目の指示先として示されているのは CISO 等である。

出典: IPA「経営者が認識すべき3原則と指示すべき重要10項目」（サイバーセキュリティ経営ガイドライン Ver3.0 解説）

正解: B 【A（不正解）】 ？ 経営者が関わらない考え方です。 3原則は、経営者自らのリーダーシップのもとで対策を進めることを求めている。 【B（正解）】 ？ 取引の連なり全体を見る考え方です。 3原則の二つ目は、国内外の拠点やビジネスパートナー、委託先等を含めたサプライチェーン全体への目配りである。 【C（不正解）】 ？ 情報共有を控える考え方です。 3原則は、平時と緊急時のどちらでも関係者との積極的なコミュニケーションを求めている。 【D（不正解）】 ？ 事後に予算を考える考え方です。 重要10項目は、予算・人材などの資源を確保するよう求めている。

出典: IPA「経営者が認識すべき3原則と指示すべき重要10項目」（サイバーセキュリティ経営ガイドライン Ver3.0 解説）

正解: D 【A（不正解）】 ？ 一般の個人です。 統一基準群は政府機関等を対象とし、個人の利用者向けではない。 【B（不正解）】 ？ 国外の事業者です。 海外事業者に限った基準ではない。 【C（不正解）】 ？ 株式を公開している企業です。 民間企業向けには別のガイドラインがある。統一基準群の対象は政府機関等である。 【D（正解）】 ？ 政府機関等と呼ばれる組織です。 国家サイバー統括室によると、統一基準群は国の行政機関や独立行政法人等（政府機関等）が対象である。

出典: 国家サイバー統括室「政府機関等のサイバーセキュリティ対策のための統一基準群」

正解: C 【A（不正解）】 ？ 組織の ISMS を第三者が認証する制度です。 組織のマネジメントシステムの認証で、政府調達のためのクラウド登録制度ではない。 【B（不正解）】 ？ 中小企業の自己宣言の制度です。 自己宣言の制度で、クラウドの事前評価・登録ではない。 【C（正解）】 ？ 政府情報システムのためのセキュリティ評価制度です。 ISMAP はクラウドを事前に評価・登録し、政府機関等は原則としてリストのサービスから調達する。2020 年 6 月に運用を始めた。 【D（不正解）】 ？ 暗号技術を評価する取組です。 暗号の評価の取組で、クラウドサービスの登録制度ではない。

出典: 国家サイバー統括室「政府情報システムのためのセキュリティ評価制度（ISMAP）」

正解: B 【A（不正解）】 ？ 届出をしない行動です。 IPA は経済産業省の告示に基づき、ウイルス・不正アクセス・脆弱性の届出を受け付けている。 【B（正解）】 ？ 公的な窓口に被害を知らせる行動です。 IPA セキュリティセンターは、経済産業省の告示に基づき、コンピュータウイルス・不正アクセスの発見や被害の届出を受け付けている。 【C（不正解）】 ？ 攻撃し返す行動です。 反撃は違法になりうるうえ、無関係の踏み台を攻撃するおそれもある。 【D（不正解）】 ？ 痕跡を消して終える行動です。 痕跡を消すと原因が分からず、再発も防げない。

出典: IPA「届出・相談・情報提供」