情報セキュリティ対策の要点整理と想定問題

正解: C 【A（不正解）】 ？ 英語の区分名では High にあたる区分です。 「重要」は 7.0〜8.9。9.8 はこの範囲を超えている。 【B（不正解）】 ？ 英語の区分名では Medium にあたる区分です。 「警告」は 4.0〜6.9 で、9.8 よりずっと低い範囲である。 【C（正解）】 ？ 英語の区分名では Critical にあたる区分です。 CVSS v3 では 9.0〜10.0 が「緊急」。最も深刻な区分である。 【D（不正解）】 ？ 英語の区分名では Low にあたる区分です。 「注意」は 0.1〜3.9。深刻度が低い脆弱性の区分である。

出典: 共通脆弱性評価システムCVSS v3概説（IPA）

正解: A 【A（正解）】 ？ 利用者の環境に合わせて最終的な深刻度を出す基準です。 環境評価基準は製品の利用者が、自分の環境での重要度を加味して評価する。目的に合う。 【B（不正解）】 ？ 脆弱性そのものの特性を表す基準です。 基本評価基準は時間や環境で変わらない、脆弱性そのものの評価である。自社の事情は反映しない。 【C（不正解）】 ？ 攻撃コードや対策の有無など、今の状況を表す基準です。 現状評価基準は時間とともに変わる状況の評価。自社システムでの使われ方は扱わない。 【D（不正解）】 ？ 個別の脆弱性に付く一意の番号です。 CVE識別番号は脆弱性を見分けるための番号で、深刻度を評価する基準ではない。

出典: 共通脆弱性評価システムCVSS v3概説（IPA）

正解: D 【A（不正解）】 ？ システム全体の弱点を広く点検する検査です。 脆弱性診断は網羅的に弱点を洗い出す検査。攻撃シナリオに沿って侵入の成否と被害を確かめるのはペネトレーションテストである。 【B（不正解）】 ？ 障害時にデータを戻せるかを確かめる訓練です。 復旧の備えには役立つが、侵入の可否を調べる方法ではない。 【C（不正解）】 ？ 脆弱性の深刻度を数値にする作業です。 深刻度の目安は分かるが、実際に侵入できるかどうかは確かめない。 【D（正解）】 ？ 攻撃のシナリオに沿って実際に侵入を試す検査です。 ペネトレーションテストは攻撃者の視点で侵入を試し、攻撃が成功するかと被害の程度を確かめる。

出典: 脆弱性診断・ペネトレーションテスト実施（総務省）

正解: B 【A（不正解）】 ？ 区分を理由に対応を後回しにする考え方です。 CVSS v3 で 7.5 は「重要」（7.0〜8.9）。区分の読み違いがあり、後回しの根拠にもならない。 【B（正解）】 ？ スコアを自社の事情と合わせて読む考え方です。 総務省の解説は、CVSS は技術的な深刻度を示し、対応の優先度を直接示すものではないとしている。自社への影響も考える必要がある。 【C（不正解）】 ？ 基本値の変化を追いかける考え方です。 基本評価基準は時間で変わらない。時間で変わるのは現状評価基準である。 【D（不正解）】 ？ 修正が出るまで様子を見る考え方です。 修正前でも影響を評価し、必要なら回避策で守るべきとされる。待つだけでは危険である。

出典: 用語集（英字）｜国民のためのサイバーセキュリティサイト（総務省）／共通脆弱性評価システムCVSS v3概説（IPA）／ソフトウェアの最新化・脆弱性管理（総務省）

正解: B 【A（不正解）】 ？ 「やりにくくする」と表される原則です。 対策を強めて犯行そのものを難しくする原則で、監視による発覚とは別である。 【B（正解）】 ？ 「やると見つかる」と表される原則です。 管理や監視の強化で発覚しやすくするのは「捕まるリスクを高める」である。 【C（不正解）】 ？ 「割に合わない」と表される原則です。 標的を隠すなどして利益を得にくくする原則であり、監視の強化とは違う。 【D（不正解）】 ？ 「言い訳させない」と表される原則です。 ルールの周知などで自分の行為を正当化させない原則で、監視による発覚とは別である。

出典: 組織における内部不正防止ガイドライン（IPA・第5版）

正解: D 【A（不正解）】 ？ 認証情報を変えて残す対応です。 使われないアカウントが残る状態は変わらず、悪用の入口になりうる。 【B（不正解）】 ？ 本人の協力に頼る対応です。 本人以外による悪用は防げない。管理者側でアカウントを整理する必要がある。 【C（不正解）】 ？ 記録を消して整える対応です。 ログを消すと調査の手がかりを失う。アカウントの問題も解決しない。 【D（正解）】 ？ 使われていないアカウントを整理する対応です。 退職者のアカウントは不正アクセスに悪用されうる。無効化・削除し、定期的な棚卸しで再発を防ぐ。

出典: アカウント管理（総務省）／アクセス制御・管理（総務省）

正解: A 【A（正解）】 ？ 節目ごとに提出を求める運用です。 ガイドラインは入社時以外の適切な機会にも求めるよう勧める。退職時だけだと提出を拒まれることがある。 【B（不正解）】 ？ 最後の時点だけで提出を求める運用です。 退職時は提出を拒まれる可能性があり、在職中の意識付けにもならない。 【C（不正解）】 ？ 対象を広くあいまいにする書き方です。 誓約書に書く重要情報は客観的に特定できる必要があるとされる。 【D（不正解）】 ？ 対象者を限る運用です。 ガイドラインは派遣労働者や委託先についても秘密保持の手当てを求めている。

出典: 組織における内部不正防止ガイドライン（IPA・第5版）

正解: C 【A（不正解）】 ？ 部屋への出入りを記録する対策です。 物理的な対策で、メールの添付ファイルを開く行動は変わらない。 【B（不正解）】 ？ 停電時に電力を保つ装置です。 無停電電源装置は可用性の対策で、不審メールへの対応とは関係がない。 【C（正解）】 ？ 手口を学び、体験で身につける取り組みです。 総務省の解説は、実例で手口を教え、擬似メールで訓練することを社員教育として挙げている。 【D（不正解）】 ？ 認証を強くする設定です。 パスワード強化は大切だが、添付ファイルを開いて感染する問題には直接効かない。

出典: 電子メールとWebサイトにおける対策（総務省）

正解: D 【A（不正解）】 ？ 取得の間隔と保存期間を決める考え方です。 回数や期間の決まりではない。コピーの数・媒体の種類・保管場所の考え方である。 【B（不正解）】 ？ 担当者の役割を分ける考え方です。 人の役割分担の話ではない。バックアップの持ち方の目安である。 【C（不正解）】 ？ 対策ソフトの導入方法の考え方です。 マルウェア対策ソフトの運用ではなく、バックアップの考え方である。 【D（正解）】 ？ コピーの数・媒体・場所を決める考え方です。 解説編は、本体を含め3つ以上、2種類のメディア、うち1つは稼働システムと別の拠点に保存するとしている。

出典: 情報セキュリティ6か条（解説編）（IPA）

正解: C 【A（不正解）】 ？ 動作速度への影響を指す内容です。 更新が止まっても処理が速くなるわけではない。問題は検知漏れである。 【B（不正解）】 ？ 保存データへの影響を指す内容です。 定義ファイルとバックアップは関係しない。 【C（正解）】 ？ 検知に使う情報が古いことによる影響です。 定義ファイルを最新にすることで既知のウイルスを検知できる。古いままだと新しく知られたものを見逃す。 【D（不正解）】 ？ 通信制御の設定への影響を指す内容です。 ファイアウォールの設定はパターンファイルと別に管理されている。

出典: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）／マルウェア（ウイルス等）対策管理（総務省）

正解: B 【A（不正解）】 ？ 機器を立ち上げ直して確かめる対応です。 様子見の間に被害が広がるおそれがある。証拠となる情報も失われうる。 【B（正解）】 ？ 感染した機器を孤立させる対応です。 総務省の解説は、ネットワークから切り離して情報システム部門に連絡し、社内への拡大を防ぐよう求めている。 【C（不正解）】 ？ 利用者だけで片付ける対応です。 自己判断の削除は痕跡を消し、原因の調査を難しくする。報告も必要である。 【D（不正解）】 ？ 作業を止めずに検査する対応です。 つないだままだと、ほかの機器へ感染が広がるおそれがある。

出典: マルウェア（ウイルス等）対策管理（総務省）

正解: A 【A（正解）】 ？ 安全な場所で実際に動かして観察する方法です。 総務省の解説は、メールを別の安全な実行環境で動かし、ふるまいの危険性を調べる製品があるとしている。定義に無い新種への備えになる。 【B（不正解）】 ？ 既知の特徴と照合する方法です。 照合で分かるのは既知のものだけで、定義に無い新種は見逃しうる。 【C（不正解）】 ？ ファイルの種類の表示を変える方法です。 拡張子を変えても中身は変わらず、危険性の確認にはならない。 【D（不正解）】 ？ 本番の端末で直接試す方法です。 業務用の端末で開くと、感染した場合に社内へ広がるおそれがある。

出典: 電子メールとWebサイトにおける対策（総務省）／用語集（さ行）｜国民のためのサイバーセキュリティサイト（総務省）

正解: C 【A（不正解）】 ？ 取得の頻度を上げる改善です。 上書きを続けると、暗号化された状態で正常なデータが消えうる。保存先の分離も無い。 【B（不正解）】 ？ 保存できる量を増やす改善です。 容量を増やしても、つながったままなら一緒に暗号化されるおそれは変わらない。 【C（正解）】 ？ 保存先・世代・復元確認を見直す改善です。 同じネットワークだと共倒れになりやすい。総務省とIPAは分離、世代管理、復元の確認を求めている。 【D（不正解）】 ？ 感染を防ぐ側に力を寄せる改善です。 ウイルス対策ソフトは新種を検知できない場合があり、復旧の手段が無くなる。

出典: データ復旧・バックアップの管理（総務省）／情報セキュリティ6か条（解説編）（IPA）／中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: A 【A（正解）】 ？ 強い権限を使う場面を限って記録する改善です。 IPA のガイドラインは、特権を必要とする操作以外では特権を使わず、使用をログに記録するよう求めている。 【B（不正解）】 ？ アカウントをまとめて使う改善です。 共有すると誰が操作したか追えなくなる。共有アカウントは悪用の入口にもなる。 【C（不正解）】 ？ 入力しやすさを優先する改善です。 特権アカウントは狙われやすく、推測されにくいパスワードが必要とされる。 【D（不正解）】 ？ 記録を省いて性能を上げる改善です。 記録が無いと、不正な操作や誤操作を後から確かめられない。

出典: 組織における内部不正防止ガイドライン（IPA・第5版）／アカウント管理（総務省）／中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: D 【A（不正解）】 ？ 大きな入れ替えまで待つ対応です。 基幹サーバほど攻撃されると長期停止につながる。後回しにしないよう求められている。 【B（不正解）】 ？ 準備を省いてすぐ当てる対応です。 急ぐことは必要だが、事前確認と手順の整理をしてから適用するのが望ましい。 【C（不正解）】 ？ 見た目の識別名を変える対応です。 名前を変えても脆弱性は残る。修正の適用か回避策が必要である。 【D（正解）】 ？ 評価と準備をして早めに当てる対応です。 解説は、影響と緊急性を検討し、事前確認と手順を整えてから速やかにパッチを適用するよう求めている。

出典: ソフトウェアの最新化・脆弱性管理（総務省）

正解: B 【A（不正解）】 ？ 端末を使った時間の記録です。 利用時間からは、製品に含まれる部品は分からない。 【B（正解）】 ？ ソフトウェアの部品表です。 SBOM はソフトウェアを構成する部品の入れ子の一覧。公表された部品が自社製品にあるかをすぐ照合できる。 【C（不正解）】 ？ 販売実績の一覧です。 販売の情報で、どの部品が使われているかは分からない。 【D（不正解）】 ？ 部屋への出入りの記録です。 物理的なアクセスの記録で、ソフトウェアの部品の把握には使えない。

出典: Software Bill of Materials (SBOM)（CISA）

正解: B 【A（不正解）】 ？ 記憶媒体を初期化する操作です。 初期化だけでは、データを復元できる場合がある。鍵を消す方法とは別である。 【B（正解）】 ？ 英語では Cryptographic Erase（CE）と呼ばれる方法です。 暗号化消去は、暗号化されたデータの復号鍵を確実に廃棄して内容を読めなくする方法である。 【C（不正解）】 ？ 大きな数値を範囲でまとめる加工です。 トップコーディングは匿名化の手法で、廃棄とは関係がない。 【D（不正解）】 ？ データの複製を別に保存することです。 複製を作る操作で、データを読めなくする方法ではない。

出典: 安全なデータ・端末の廃棄（総務省）

正解: D 【A（不正解）】 ？ 記録を止める対策です。 ログが無いと、被害の調査や原因の究明ができなくなる。 【B（不正解）】 ？ 記録を紙で残す対策です。 印刷しても時刻のずれは直らず、突き合わせの手間も増える。 【C（不正解）】 ？ 地域ごとの時刻に合わせる対策です。 時刻の基準がさらにばらばらになり、突き合わせが難しくなる。 【D（正解）】 ？ 機器の時計をそろえる対策です。 総務省の解説は、時刻がずれると相関分析が難しくなるため、NTP による時刻同期を求めている。

出典: 監査ログの管理（総務省）

正解: A 【A（正解）】 ？ 記録を別の場所に集める方法です。 総務省の解説は、ログを収集元に置かず、別のログ管理システムに保管すれば改ざんから守りやすいとしている。 【B（不正解）】 ？ 機器の中で自動的に回す方法です。 侵入されたサーバの中にしか無いと、攻撃者に消されるおそれがある。 【C（不正解）】 ？ 情報を集めないことで守る方法です。 ログは機密情報として扱えばよい。取得しないと調査ができない。 【D（不正解）】 ？ 広く公開して見守る方法です。 ログには通信相手や個人情報が含まれうるため、機密として扱う必要がある。

出典: 監査ログの管理（総務省）

正解: C 【A（不正解）】 ？ 境界で守り、内側は信頼する考え方です。 これは境界型セキュリティの前提である。内部に侵入された場合に弱い。 【B（不正解）】 ？ 社内の端末を例外にする考え方です。 ゼロトラストは社内の端末も疑う。端末の種類で信頼を決めない。 【C（正解）】 ？ 内外を問わず毎回確かめる考え方です。 ガイドラインは「決して信頼せず、必ず確認せよ」と説明し、境界型と組み合わせて守ることを期待している。 【D（不正解）】 ？ 従来の対策を全部置き換える考え方です。 ガイドラインは、ゼロトラストは境界型に代わるものではなく、両者を組み合わせるとしている。

出典: テレワークセキュリティガイドライン（第5版）（総務省）

正解: D 【A（不正解）】 ？ どちらも覚えている情報の組合せです。 どちらも「知っているもの」で要素は1種類。認証を2回行う二段階認証にとどまる。 【B（不正解）】 ？ 覚えている情報を二つ重ねる組合せです。 同じ要素を重ねても、多要素認証にはならない。 【C（不正解）】 ？ 認証情報を定期的に変える運用です。 要素の数は増えず、認証の仕組みは1つの要素のままである。 【D（正解）】 ？ 「知っているもの」と「持っているもの」の組合せです。 多要素認証は、知っているもの・持っているもの・本人自身に関するもののうち、2つ以上を使う。

出典: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）／情報セキュリティ6か条（解説編）（IPA）

正解: C 【A（不正解）】 ？ 特定の個人の情報を丸ごと消す手法です。 その人の記録をすべて削除する手法で、値を範囲にまとめるものではない。 【B（不正解）】 ？ グループの代表値に置き換える手法です。 似た人をグループにして代表値にする手法で、上限でまとめるものとは違う。 【C（正解）】 ？ 特に大きい数値をまとめる手法です。 トップコーディングは、特に大きい（小さい）数値をまとめる手法である。ガイドラインに同じ例がある。 【D（不正解）】 ？ 乱数を加えて値をずらす手法です。 値に誤差を加える手法で、範囲の表現にまとめるものではない。

出典: 個人情報保護法ガイドライン（仮名加工情報・匿名加工情報編）（個人情報保護委員会）

正解: B 【A（不正解）】 ？ 個人の間で値を入れ替える手法です。 値を確率的に入れ替える手法で、分類を粗くするものではない。 【B（正解）】 ？ 具体的な値を上位の概念に置き換える手法です。 一般化は、上位概念や丸めた数値に置き換える手法。ガイドラインに同じ例がある。 【C（不正解）】 ？ 人工的な合成データを混ぜる手法です。 合成データを加える手法で、元の値を上位概念にするものではない。 【D（不正解）】 ？ 特定の個人の特定の値を消す手法です。 値そのものを削除する手法で、置き換えではない。

出典: 個人情報保護法ガイドライン（仮名加工情報・匿名加工情報編）（個人情報保護委員会）

正解: A 【A（正解）】 ？ 特定の個人の特定の値だけを消す手法です。 ガイドラインは、特定の個人の年齢のデータを削除する例をセル削除としている。 【B（不正解）】 ？ 全員分のある項目を消す手法です。 年齢の項目を全員から消すのが項目削除。一人の値だけを消すものではない。 【C（不正解）】 ？ 特定の個人の情報をすべて消す手法です。 その人の記録を丸ごと消す手法で、ほかの記録は残らない。 【D（不正解）】 ？ 値を上位概念や丸めた数値にする手法です。 削除ではなく、粗い値への置き換えである。

出典: 個人情報保護法ガイドライン（仮名加工情報・匿名加工情報編）（個人情報保護委員会）

正解: C 【A（不正解）】 ？ 鍵を消して読めなくした状態です。 暗号化消去は廃棄の方法で、データを分析に使える形に加工するものではない。 【B（不正解）】 ？ 複数の要素で本人確認する状態です。 認証の仕組みで、データの加工の状態を表す言葉ではない。 【C（正解）】 ？ 準識別子の組合せに着目した匿名性の指標です。 k-匿名化では、準識別子が同じ人が少なくとも k−1 人ほかにいれば k-匿名とされる。ここでは k＝5 である。 【D（不正解）】 ？ バックアップの持ち方の目安です。 3-2-1ルールはバックアップの考え方で、匿名化の度合いとは関係がない。

出典: データセットの k-匿名性の計算（Google Cloud Sensitive Data Protection）／個人情報保護法ガイドライン（仮名加工情報・匿名加工情報編）（個人情報保護委員会）／k-anonymity（NIST CSRC Glossary）

正解: A 【A（正解）】 ？ 侵入防御システムです。 IPSは不正なアクセスを検知して通知し、通信を遮断する。 【B（不正解）】 ？ 侵入検知システムです。 IDSは検知して管理者に通知する。遮断までは行わない。 【C（不正解）】 ？ 停電時に電力を供給する装置です。 電源の対策で、通信を監視する仕組みではない。 【D（不正解）】 ？ スマートフォンなどを管理する仕組みです。 MDMは端末の管理で、ネットワークの通信を遮断する仕組みではない。

出典: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: D 【A（不正解）】 ？ 業務の中心となる内側の領域です。 公開サーバが侵入されると、経理システムまで被害が及ぶおそれがある。 【B（不正解）】 ？ 保護の無いインターネット側の場所です。 一定の保護が無いと、公開サーバが攻撃を直接受けやすい。 【C（不正解）】 ？ 家庭のネットワークです。 組織が管理できない場所で、公開サーバの置き場所に向かない。 【D（正解）】 ？ 「非武装地帯」と訳されるネットワークの区画です。 DMZは内部と外部の間に論理的に置くネットワークで、外部に見せるサーバを置き、内部を守る。

出典: demilitarized zone（NIST CSRC Glossary）

正解: B 【A（不正解）】 ？ 第三者に内容を知られないようにする技術です。 保存データを守る技術で、閲覧先は制限できない。 【B（正解）】 ？ アクセス先を条件で止めたり警告したりする技術です。 フィルタリングのうち URL フィルタリングは、条件に合うサイトへの閲覧を禁止し、不正サイトへのアクセスを減らす。 【C（不正解）】 ？ 同じデータを複数の装置に書く技術です。 装置の故障に備える技術で、サイトの閲覧は制御しない。 【D（不正解）】 ？ 攻撃者を誘い込むおとりの仕組みです。 ハニーポットは攻撃の観察に使い、社員の閲覧先を制限するものではない。

出典: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: B 【A（不正解）】 ？ 構成は変えずに認証だけ見直す改善です。 1台が侵入されると、ほかの機器にも広がりやすい構成が残る。 【B（正解）】 ？ ネットワークを区切って守る改善です。 ガイドラインは、公開サーバや機密情報を扱うサーバ、工場など用途の違うネットワークのセグメント分離を求めている。 【C（不正解）】 ？ 一部の機器を外に出す改善です。 守られていない状態で外部にさらすことになり、危険が増す。 【D（不正解）】 ？ 記録を減らして性能を上げる改善です。 監視の手がかりを失う。ネットワークの分離にもならない。

出典: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: D 【A（不正解）】 ？ 端末で攻撃を検出する仕組みです。 EDRはパソコンなどの端末側の対策で、境界の機能をまとめた機器ではない。 【B（不正解）】 ？ 多くのログを集中して扱う仕組みです。 SIEMはログの集中管理と分析で、通信を止める機能をまとめた機器ではない。 【C（不正解）】 ？ Web アプリケーションを守る仕組みです。 WAFは Web アプリケーションへの攻撃を防ぐ機能に絞ったものである。 【D（正解）】 ？ 統合脅威管理の機器です。 UTMは複数のセキュリティ機能を一つのハードウェアに統合し、脅威を検知・防御する。

出典: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: A 【A（正解）】 ？ Endpoint Detection and Response の略です。 EDRは、端末機器に侵入したウイルスやランサムウェアなどの攻撃を検出し、管理者に通知する。 【B（不正解）】 ？ 公衆網上に仮想の専用線を作る仕組みです。 VPNは通信を守る仕組みで、端末に入り込んだ攻撃は検出しない。 【C（不正解）】 ？ 停電時に電力を供給する装置です。 電源を保つ装置で、攻撃の検出はできない。 【D（不正解）】 ？ 内部と外部の間に置くネットワークです。 DMZは配置の考え方で、端末上の不審な動きは見張れない。

出典: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: C 【A（不正解）】 ？ 機密データの流出を防ぐ仕組みです。 DLPはデータの不正な送信や利用を防ぐもので、ログを集める仕組みではない。 【B（不正解）】 ？ スマートフォンなどを管理する仕組みです。 MDMは端末の管理に使い、機器のログを集めて分析するものではない。 【C（正解）】 ？ Security Information and Event Management の略です。 SIEMは多様な種類のログを集中して記録・管理する機能を提供する。 【D（不正解）】 ？ IP 層で通信を守る仕組みです。 IPsecは通信の暗号化と認証の仕組みで、ログの分析はしない。

出典: Security Information and Event Management（NIST CSRC Glossary）／監査ログの管理（総務省）

正解: D 【A（不正解）】 ？ 不正な通信を検知して知らせる仕組みです。 IDSは外部からの攻撃の検知が中心で、機密データの持ち出しを見張るものではない。 【B（不正解）】 ？ 複数のセキュリティ機能を1台にまとめた機器です。 UTMはネットワーク境界の防御が中心で、USB メモリでの持ち出しは扱えない。 【C（不正解）】 ？ 攻撃者を誘い込むおとりの仕組みです。 ハニーポットは攻撃の観察に使うもので、社員の持ち出しを防ぐものではない。 【D（正解）】 ？ Data Loss Prevention の略です。 DLPは利用中・転送中・保存中のデータを監視し、不正な利用や送信を検出して防ぐ。

出典: data loss prevention（NIST CSRC Glossary）

正解: C 【A（不正解）】 ？ 無害なものを有害と判定した状態です。 フォールスポジティブは誤検知のこと。攻撃を見逃した場合とは逆である。 【B（不正解）】 ？ 許可したものだけを通す方式です。 通信やソフトを許可する方式の名前で、判定の誤りの種類ではない。 【C（正解）】 ？ フォールスポジティブと対になる用語です。 フォールスネガティブは、検知を目的とするツールが脅威を検知できなかった事例をいう。 【D（不正解）】 ？ 攻撃者の立場で侵入を試す検査です。 ペネトレーションテストは検査の方法で、製品の見逃しを指す言葉ではない。

出典: false negative（NIST CSRC Glossary）／false positive（NIST CSRC Glossary）

正解: B 【A（不正解）】 ？ 内部と外部の間に置くネットワークです。 DMZはサーバの配置の考え方で、端末の管理はできない。 【B（正解）】 ？ Mobile Device Management の略です。 MDMは企業などがスマートフォンなどを安全に管理する仕組みで、紛失・盗難時の対策機能を含む。 【C（不正解）】 ？ Web アプリケーションを守る仕組みです。 WAFはサーバ側の保護で、スマートフォンの管理機能は無い。 【D（不正解）】 ？ メールサーバ以外からの送信を止める対策です。 OP25Bは迷惑メール対策で、端末の紛失には関係しない。

出典: 用語集（英字）｜国民のためのサイバーセキュリティサイト（総務省）

正解: A 【A（正解）】 ？ 共有の相手を絞って見直す対応です。 6か条は、ウェブサービスなどの共有範囲を限定し、異動・退職時に速やかに設定を変更（削除）するよう求めている。 【B（不正解）】 ？ 推測されにくさに頼る対応です。 リンクが転送されれば誰でも見られる状態は変わらない。共有範囲を限る必要がある。 【C（不正解）】 ？ 保存先を手元の媒体に変える対応です。 紛失や持ち出しのリスクが新たに生じる。設定を見直すのが先である。 【D（不正解）】 ？ 利用状況を数える対応です。 数えるだけでは、関係の無い人が見られる状態は直らない。

出典: 情報セキュリティ6か条（解説編）（IPA）／中小企業のためのクラウドサービス安全利用の手引き（IPA・ガイドライン付録7）

正解: C 【A（不正解）】 ？ 復旧を事業者に任せる対応です。 障害でのデータ消失に備え、利用者も重要情報を手元に確保するよう求められている。 【B（不正解）】 ？ 起きた後に対策を考える対応です。 事前の備えが無いと、復旧に時間がかかり業務が止まる。 【C（正解）】 ？ 利用者の側でも複製を持つ対応です。 手引きは「バックアップに責任を持つ」として、拡張機能の利用や社内への定期保存、複数世代の取得を挙げている。 【D（不正解）】 ？ 認証情報をみんなで使う対応です。 ID・パスワードの共有はしないよう求められている。消失への備えにもならない。

出典: 中小企業のためのクラウドサービス安全利用の手引き（IPA・ガイドライン付録7）

正解: A 【A（正解）】 ？ 証拠を残して調べる対応です。 ガイドラインは、訴訟が見込まれる場合に証拠を保全し、必要に応じてデジタルフォレンジックスの調査を行うとしている。 【B（不正解）】 ？ 環境をまっさらにする対応です。 初期化すると、原因や漏えいの範囲を示す証拠が失われる。 【C（不正解）】 ？ 記録を止めて負荷を減らす対応です。 記録を止めると、被害の調査に必要な情報が得られなくなる。 【D（不正解）】 ？ 情報を担当者だけで持つ対応です。 インシデントは経営者への報告や外部との連携も必要とされる。

出典: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: D 【A（不正解）】 ？ 端末や媒体にデータを入れて持ち出す方式です。 端末にデータを保存するため、紛失や盗難で漏えいするおそれがある。 【B（不正解）】 ？ VPN 経由で社内のサーバに接続する方式です。 総務省のガイドラインは、VPN 方式では端末にデータを保存でき、紛失や盗難による漏えいのリスクがあるとしている。 【C（不正解）】 ？ 社内を通さず直接クラウドを使う方式です。 社内の仮想デスクトップを使う方式ではない。保存データの把握も別に必要になる。 【D（正解）】 ？ Virtual Desktop Infrastructure を使う方式です。 仮想デスクトップ（VDI）方式は、仮想デスクトップ基盤上の環境に接続して遠隔操作する。端末へのデータ保存を制限できる。

出典: テレワークセキュリティガイドライン（第5版）（総務省）

正解: B 【A（不正解）】 ？ 不正な通信を遮断する仕組みです。 IPSは通信の防御で、電力は供給しない。 【B（正解）】 ？ 無停電電源装置です。 無停電電源装置（UPS）は停電時に電力を供給する。 【C（不正解）】 ？ ログを集中して扱う仕組みです。 SIEMはログの管理で、停電への備えではない。 【D（不正解）】 ？ 機器の時刻をそろえる仕組みです。 時刻同期の仕組みで、電源を保つものではない。

出典: 用語集（英字）｜国民のためのサイバーセキュリティサイト（総務省）

正解: B 【A（不正解）】 ？ 画面の表示を調整する対策です。 盗み見は少し減っても、持ち出しや破壊は防げない。 【B（正解）】 ？ 部屋への出入りを管理する対策です。 ガイドラインは、サーバ設置エリアの入室者を制限し、入退室管理の記録を保管するよう求めている。 【C（不正解）】 ？ 脆弱性を直す対策です。 大切な対策だが技術的なもので、部屋への侵入は防げない。 【D（不正解）】 ？ 掲示で注意を促す対策です。 掲示だけでは入室を制限できず、記録も残らない。

出典: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: D 【A（不正解）】 ？ 書類の置き方を工夫する対策です。 机の上に残すことに変わりはない。IPA は書庫などへの保管を求めている。 【B（不正解）】 ？ 画面がロックされないようにする対策です。 ロックを妨げると、誰でも操作できる状態が続く。 【C（不正解）】 ？ 電源を外す対策です。 電池で動き続け、画面は見られる。覗き見の対策にならない。 【D（正解）】 ？ 机の上と画面に情報を出したままにしない対策です。 クリアデスク・クリアスクリーンは、離席中の盗難や覗き見を防ぐ対策として内部不正防止ガイドラインに示されている。

出典: 組織における内部不正防止ガイドライン（IPA・第5版）／中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: A 【A（正解）】 ？ 消去方法と返却先での扱いを決める対応です。 解説は、SSD は専用ソフトか物理破壊を検討し、リース品は返却先で適切に処理されるよう契約に含めるとしている。 【B（不正解）】 ？ 利用者の操作で削除する対応です。 ごみ箱を空にしても、データは復元できる場合がある。 【C（不正解）】 ？ 外側を壊す対応です。 ケースを壊してもディスクが残ることがあり、記録面が壊れたか確かめる必要がある。 【D（不正解）】 ？ 返却先に任せる対応です。 契約で処理を定めないと、返却先で適切に消されるとは限らない。

出典: 安全なデータ・端末の廃棄（総務省）

正解: C 【A（不正解）】 ？ メールを受信するプロトコルです。 POP3はメールの受け取りに使い、IP 層の暗号化は行わない。 【B（不正解）】 ？ IP アドレスを自動で割り当てるプロトコルです。 DHCPは通信設定の自動化で、暗号化の仕組みではない。 【C（正解）】 ？ AH や ESP などで構成されるプロトコル群です。 IPsecは IP 層の通信を守る。AH は完全性と送信元認証、ESP は機密性も提供する。 【D（不正解）】 ？ 時刻を合わせるプロトコルです。 時刻同期に使い、通信の暗号化はしない。

出典: RFC 4301 Security Architecture for the Internet Protocol

正解: D 【A（不正解）】 ？ 古い暗号化方式を選ぶやり方です。 WEP は容易に解読可能とされる古い方式で、選ぶべきではない。 【B（不正解）】 ？ ネットワーク名を隠すやり方です。 SSID を隠しても通信は暗号化されず、内容が読まれるおそれがある。 【C（不正解）】 ？ 誰でもつながる設定です。 第三者に通信を読まれ、勝手に使われるおそれがある。 【D（正解）】 ？ WPA 系の新しい世代の方式を選ぶやり方です。 総務省は家庭などの Wi-Fi で WPA2 または WPA3 を選ぶよう案内している。

出典: 無線LAN（Wi-Fi）の安全な利用（セキュリティ確保）について（総務省）／用語集（英字）｜国民のためのサイバーセキュリティサイト（総務省）

正解: C 【A（不正解）】 ？ ファイルを送受信するプロトコルです。 ファイル転送の仕組みで、暗号化された遠隔操作の代わりにならない。 【B（不正解）】 ？ メールを送るプロトコルです。 SMTPはメールの送信と転送に使い、サーバの遠隔操作には使わない。 【C（正解）】 ？ Secure Shell の略です。 SSHはネットワーク越しに安全に遠隔操作するためのプログラムとプロトコルである。 【D（不正解）】 ？ Web ページを受け取るプロトコルです。 HTTPはそのままでは暗号化されず、遠隔操作の手段でもない。

出典: 用語集（英字）｜国民のためのサイバーセキュリティサイト（総務省）

正解: B 【A（不正解）】 ？ つながりやすさで選ぶ使い方です。 偽のアクセスポイントにつながるおそれがある。接続先を確かめる必要がある。 【B（正解）】 ？ 接続先と通信の暗号化、共有設定を確かめる使い方です。 総務省は公衆 Wi-Fi で、アクセスポイントの確認、HTTPS（TLS）の確認、ファイル共有の設定への注意を挙げている。 【C（不正解）】 ？ 共有を開いたまま使う使い方です。 同じネットワークのほかの利用者から PC のファイルを見られるおそれがある。 【D（不正解）】 ？ 場所を理由に安全とみなす使い方です。 HTTP では通信内容が暗号化されない。公衆の場では特に注意が必要である。

出典: 無線LAN（Wi-Fi）の安全な利用（セキュリティ確保）について（総務省）

正解: A 【A（正解）】 ？ Outbound Port 25 Blocking の略です。 OP25Bは、ISP のメールサーバ以外の動的 IP アドレスの機器から外部の 25 番ポートへの通信を遮断する。 【B（不正解）】 ？ 電子署名で送信ドメインを認証する技術です。 DKIMは受信側で送信ドメインを確かめる技術で、ポートの遮断ではない。 【C（不正解）】 ？ メールの暗号化と電子署名の規格です。 S/MIMEはメールの内容を守る規格で、送信経路を止めるものではない。 【D（不正解）】 ？ メールを受信するプロトコルです。 POP3は受信の手順で、迷惑メールの送信を止める仕組みではない。

出典: 電子メールの送受信上の支障の防止に資する技術の研究開発等の状況（総務省）

正解: C 【A（不正解）】 ？ 送信元の IP アドレスで確かめる技術です。 SPFは送信元の IP アドレスで検証する。電子署名は使わない。 【B（不正解）】 ？ 25 番ポート向けの送信を止める対策です。 OP25Bは送信側の対策で、受け取ったメールの署名は確かめない。 【C（正解）】 ？ DomainKeys Identified Mail の略です。 DKIMは電子署名を使い、メールの送信ドメインを認証する技術である。 【D（不正解）】 ？ メールを受信するプロトコルです。 受信の手順で、送信元の正しさは確かめない。

出典: 用語集（英字）｜国民のためのサイバーセキュリティサイト（総務省）／電子メールとWebサイトにおける対策（総務省）

正解: A 【A（正解）】 ？ Domain-based Message Authentication, Reporting, and Conformance の略です。 DMARCは SPF・DKIM の結果と From のドメインの一致を確かめ、none・quarantine・reject のポリシーと報告の要求を示せる。 【B（不正解）】 ？ 25 番ポート向けの送信を止める対策です。 OP25Bは ISP 側の送信の制限で、受信側への扱いの指示や報告の仕組みは無い。 【C（不正解）】 ？ メールの暗号化と電子署名の規格です。 S/MIMEは個々のメールを守る規格で、ドメイン単位のポリシーや報告の仕組みではない。 【D（不正解）】 ？ 受信側で迷惑メールを振り分ける仕組みです。 迷惑メールフィルタは受信側の振り分けで、ドメイン所有者がポリシーや報告を求める仕組みではない。

出典: RFC 9989 Domain-Based Message Authentication, Reporting, and Conformance (DMARC)

正解: D 【A（不正解）】 ？ 送信元の IP アドレスで確かめる技術です。 SPFは送信ドメインの確認で、本文の暗号化はしない。 【B（不正解）】 ？ 25 番ポート向けの送信を止める対策です。 OP25Bは迷惑メールの送信を減らす対策で、本文は暗号化しない。 【C（不正解）】 ？ IP アドレスを自動で割り当てるプロトコルです。 DHCPは通信設定の仕組みで、メールの保護とは関係がない。 【D（正解）】 ？ Secure/Multipurpose Internet Mail Extensions の略です。 S/MIMEは電子署名で認証・完全性・否認防止を、暗号化で機密性を提供する。

出典: RFC 8551 S/MIME Version 4.0 Message Specification

正解: B 【A（不正解）】 ？ 攻撃の手がかりを与えない工夫です。 IPA では保険的対策の位置づけで、脆弱性そのものはなくならない。 【B（正解）】 ？ 値を機械的にはめ込む方法です。 IPA は根本的解決としてプレースホルダでの実装を挙げる。値の割り当てが機械的に行われ、脆弱性を解消できる。 【C（不正解）】 ？ 入力できる量を減らす工夫です。 短い文字列でも攻撃は成り立ちうる。根本的な対策ではない。 【D（不正解）】 ？ 画面から命令を渡す実装です。 IPA はパラメータに SQL 文を直接指定しないよう求めている。改変で不正利用される。

出典: 安全なウェブサイトの作り方 1.1 SQLインジェクション（IPA）

正解: B 【A（不正解）】 ？ スクリプトから Cookie を読ませない設定です。 IPA では保険的対策で、Cookie の漏えい以外の脅威は残る。 【B（正解）】 ？ 特別な意味を持つ文字を置き換える方法です。 IPA はクロスサイト・スクリプティングの根本的解決として、出力時のエスケープ処理を挙げている。 【C（不正解）】 ？ 処理能力を上げる対策です。 性能の向上で、スクリプトが動く問題は直らない。 【D（不正解）】 ？ スクリプト形式の URL を使わせる方法です。 IPA は逆に、出力する URL を http・https で始まるものに限るよう求めている。

出典: 安全なウェブサイトの作り方 1.5 クロスサイト・スクリプティング（IPA）

正解: D 【A（不正解）】 ？ 強い権限で動かす方法です。 権限が必要以上に高いと、攻撃されたときの被害が大きくなる。 【B（不正解）】 ？ 利用者に原因を見せる方法です。 エラーの内容は攻撃の手がかりになる。そのまま表示しないよう求められている。 【C（不正解）】 ？ SQL 文を連結で組み立てる方法です。 根本的な対策を外すことになり、かえって危険が増す。 【D（正解）】 ？ 接続アカウントの権限を絞る方法です。 IPA は保険的対策として、データベースアカウントに必要最小限の権限を与えることを挙げている。

出典: 安全なウェブサイトの作り方 1.1 SQLインジェクション（IPA）

正解: A 【A（正解）】 ？ 公衆網上に仮想の専用線を作る技術です。 VPNはインターネットのような公衆網上に保護された仮想の専用線を作り、暗号化で安全に通信できる。 【B（不正解）】 ？ 停電時に電力を供給する装置です。 電源の対策で、通信内容は守らない。 【C（不正解）】 ？ 大きな数値を範囲でまとめる加工です。 匿名化の手法で、通信の保護とは関係がない。 【D（不正解）】 ？ IP アドレスを自動で割り当てる仕組みです。 DHCPは設定の自動化で、通信を暗号化しない。

出典: 中小企業の情報セキュリティ対策ガイドライン 第4.0版 本編（IPA）

正解: C 【A（不正解）】 ？ 内部の代わりに外部へ接続する仕組みです。 プロキシサーバは通信を中継する仕組みで、おとりではない。 【B（不正解）】 ？ 端末を最低限の機能にする仕組みです。 シンクライアントはデータをサーバで管理する端末の方式で、攻撃の観察用ではない。 【C（正解）】 ？ 英語で「蜜のつぼ」を意味する言葉から名付けられた仕組みです。 ハニーポットは攻撃者を誘い込んで欺いたり、分析したりするためのおとりのシステムである。 【D（不正解）】 ？ スマートフォンなどを管理する仕組みです。 MDMは端末の管理で、攻撃者を誘い込む仕組みではない。

出典: 用語集（は行）｜国民のためのサイバーセキュリティサイト（総務省）