出題範囲
- テスト/品質保証/レビュー
- システム監査/統制/リスク
- OSI参照/TCP-IP/アドレッシング
- ソフトウェアプロセス/ライフサイクル
- 計算量・オーダ/正当性・テスト
- 仮想化/クラウドの基礎
- OS/プロセス/メモリ/スレッド/同期
- 認証/認可/アクセス制御
- データ構造（配列/スタック/キュー/木/グラフ）
- 企業と法務/知財/個人情報/契約
- アルゴリズム（探索/ソート/再帰/DP）
- インデックス/性能/ビュー/権限
- LAN/WAN/無線/スイッチング/ルーティング
- 構成管理/CI/CD/変更管理
- 暗号/PKI/ハッシュ/鍵管理
- データガバナンス/コンプライアンス
- システム戦略/EA/投資評価
- サービスマネジメント/ITIL基礎
- プログラミング基礎（制御構文/関数/例外）
- コンピュータアーキテクチャ/性能/数値表現
- 入出力/ファイルシステム/ストレージ
- アプリ層（HTTP/DNS/メール等）
- データモデリング/正規化
- SQL（DDL/DML/結合/集合/副問合せ）
- セキュリティ管理/法令/標準
- 脅威/マルウェア/対策
- 設計/UML基礎（ユースケース/クラス/シーケンス）
- プロジェクトマネジメント（範囲/進捗/コスト等）
- 経営戦略/ビジネス分析
- ネットワーク運用/監視/品質
- トランザクション/同時実行制御/障害回復
例題に挑戦
スキルサートのAIが生成した演習問題のサンプルです。アプリでは毎週新しい問題が追加されます。
例題1
シングルサインオン（SSO）を実現するプロトコルの一つであるSAML（Security Assertion Markup Language）に関する記述として、最も適切なものはどれか。
- 認証情報、属性情報、および認可の決定情報を交換するためにXML形式を使用する、標準的なフレームワークである。
- HTTP通信の内容を暗号化し、WebブラウザとWebサーバ間の通信の機密性を確保するためのプロトコルである。
- ネットワーク上のディレクトリサービスを管理し、ユーザー情報を一元的に検索するための軽量なプロトコルである。
- ユーザーがパスワードを入力する代わりに、ICカード内のデジタル証明書を読み取る物理的な認証方式である。
- LAN内のクライアントPCに対して、認証済みのIPアドレスを動的に割り当てることでアクセス制御を行う仕組みである。
解答と解説を見る
正解: 認証情報、属性情報、および認可の決定情報を交換するためにXML形式を使用する、標準的なフレームワークである。
正解は「認証情報、属性情報、および認可の決定情報を交換するためにXML形式を使用する、標準的なフレームワークである。」です。SAMLは、異なるドメイン間（例えば自社システムとクラウドサービス）でユーザー認証情報を安全に共有するためのXMLベースの標準規格です。ユーザー認証を行うIdP（Identity Provider）と、サービスを提供するSP（Service Provider）の間で、アサーションと呼ばれる情報をやり取りすることで、一度のログインで複数のサービスを利用可能にします。その他の選択肢は、SSL/TLS、ICカード認証、DHCP、LDAPに関する記述であり、SAMLの説明としては不適切です。
例題2
多要素認証（MFA）を導入する際、適切な組み合わせとして認められるものはどれか。
- パスワードによる認証と、秘密の質問への回答による認証の組み合わせ
- IDの入力と、あらかじめ登録されたメールアドレスへのリンク送付による認証の組み合わせ
- 知識情報であるパスワードと、所持情報であるワンタイムパスワードの組み合わせ
- 指紋による認証と、静脈による認証の組み合わせ
- 磁気カードの読み取りと、所持しているハードウェアトークンの数値入力の組み合わせ
解答と解説を見る
正解: 知識情報であるパスワードと、所持情報であるワンタイムパスワードの組み合わせ
正解は「知識情報であるパスワードと、所持情報であるワンタイムパスワードの組み合わせ」です。多要素認証（MFA）とは、本人を確認するための「知識（知っていること）」、「所持（持っているもの）」、「生体（備わっているもの）」の3つの要素のうち、2つ以上を組み合わせて認証することを指します。パスワードは「知識」、スマートフォンやトークンで受け取るワンタイムパスワードは「所持」に該当するため、異なる要素を組み合わせた有効な多要素認証と言えます。一方で、パスワードと秘密の質問（両方とも知識）、指紋と静脈（両方とも生体）のような同じカテゴリーの組み合わせは、多要素認証とは呼びません。
重要用語
- システム監査
- 情報システムのリスクに対するコントロールが適切に整備・運用されているかを、独立した第三者が客観的に点検・評価することです。組織の目標達成に寄与し、不備があれば改善勧告を行います。試験では、監査人の「独立性」や「客観性」が重要視され、監査計画の策定から報告、フォローアップまでの一連の流れが頻出します。
- 内部統制
- 組織の目的を達成するために、業務の有効性と効率性、財務報告の信頼性、法令遵守、資産の保存を確実にする仕組みのことです。経営者が整備・運用するもので、ITの利用はその有効性を高める重要な要素となります。IT全般統制とIT業務処理統制の2つの側面から、システムの信頼性を確保することが求められます。
- IT全般統制
- ITを用いた業務処理が適切に行われる環境を保証するための統制活動です。システムの開発・保守、運用、物理的・論理的アクセス管理、外部委託の管理などが含まれます。個別の業務システムが正しく動作するための基盤となる重要な管理項目であり、これが不十分だと個別の業務処理の信頼性も損なわれることになります。
- IT業務処理統制
- 個別の業務システムにおいて、データの入力・処理・出力が正確かつ網羅的に行われることを保証するための統制です。入力データの妥当性チェックや重複チェック、エラー訂正の仕組みなどが該当します。IT全般統制の上に成り立つ具体的な管理活動であり、業務プロセスの正確性を直接担保する役割を担います。
- リスクアセスメント
- 組織が直面するリスクを特定し、その大きさを分析・評価する一連のプロセスのことです。特定したリスクの影響度や発生確率を分析し、対策を講じるべき優先順位を決定します。リスクの特定、リスク分析、リスク評価の3ステップで構成され、効率的なリスクマネジメントを行うための基盤となる非常に重要な工程です。
- リスク回避
- リスクの原因そのものを取り除くことで、リスクの発生を未然に防ぐ対策のことです。例えば、情報漏洩のリスクを避けるために個人情報を保有しない仕組みに変更したり、危険な業務自体を中止したりすることが該当します。リスクをゼロにする最も確実な方法ですが、ビジネスの利便性や収益機会を損なう可能性がある点に注意が必要です。
- リスク移転
- リスクを他者に転嫁したり、リスクが発生した際の経済的損失を分担したりすることです。代表的な例として、サイバー保険などの損害保険への加入や、専門的な知見を持つ業者への業務アウトソーシングがあります。リスクの発生確率自体を下げるのではなく、発生した際の影響や負担を外部に分散させる手法です。
- フォローアップ
- システム監査において、監査結果に基づき行われた改善勧告に対して、被監査部門が適切な改善策を適時に実施したかを確認する事後活動です。監査の有効性を確保するために不可欠なプロセスであり、改善が不十分な場合は追加の指導が行われることもあります。試験では監査報告の後の重要なステップとして位置づけられています。
基本情報技術者試験の対策はアプリで
AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
