ホーム ›
対応資格一覧 ›
IT・情報処理 › CompTIA Security+ (SY0-701) 出題範囲（5分野） Threats, Vulnerabilities, and Mitigations91問 Security Program Management and Oversight94問 General Security Concepts94問 Security Architecture94問 Security Operations94問 CompTIA Security+ (SY0-701)の例題（6問・解説つき） スキルサートのAIが出題範囲に沿って作成した演習問題です（過去問ではありません）。アプリでは毎週新しい問題が追加されます。
例題1Threats, Vulnerabilities, and Mitigations 高度なスキルを持ち、国家などの支援を受けて、特定の標的に対し長期間にわたって執拗に攻撃を仕掛ける脅威アクターとして、最も適切なものはどれか。
インサイダー スクリプトキディ 競合他社 APT（高度標的型攻撃） ハクティビスト 解答と解説を見る 正解: APT（高度標的型攻撃）
正解は「APT（高度標的型攻撃）」です。APT（Advanced Persistent Threat）は、十分な資金と高度な技術を持つ組織（主に国家支援型）によって行われる攻撃を指します。彼らは単発の攻撃ではなく、標的のネットワーク内に長期間潜伏し、情報の窃取や監視を継続的に行うのが特徴です。スクリプトキディは他人が作成したツールを利用する技術力の低い個人を指し、ハクティビストは政治的または社会的な動機で攻撃を行う個人や集団を指します。
例題2Security Program Management and Oversight 事業継続計画（BCP）および事業影響度分析（BIA）において、システム障害が発生した際に、ビジネスへの許容できない損失を防ぐために、システムや機能を復旧させなければならない目標時間を何と呼ぶか。
RTO（目標復旧時間） SLE（単一損失予想） RPO（目標復旧時点） MTTR（平均修復時間） MTBF（平均故障間隔） 解答と解説を見る 正解: RTO（目標復旧時間）
正解は『RTO（目標復旧時間）』です。RTO（Recovery Time Objective）は、災害や障害の発生後にシステムやプロセスを復旧させるまでの目標制限時間を指します。これに対し、RPO（Recovery Point Objective）は、どの時点のデータまで戻すかという「データの鮮度」に関する目標です。MTBFはシステムの信頼性を示す指標であり、MTTRは修理にかかる平均時間を示します。SLEはリスク管理において1回のイベントで失われると予想される金額を指すため、時間に関する目標である本問の回答としては不適切です。組織はBIAを通じて、各業務のクリティカル度に応じた適切なRTOを策定する必要があります。
例題3General Security Concepts データの正確性と一貫性を維持し、認可されていない変更や改ざんから情報を保護するセキュリティの概念はどれですか？
真正性 完全性 機密性 否認防止 可用性 解答と解説を見る 正解: 完全性
正解は「完全性」です。完全性（Integrity）は、データやシステムが認可されていないユーザーやプロセスによって変更されないよう保護し、情報の正確性と一貫性を維持する概念です。ハッシュ関数の使用は、データの完全性を検証する一般的な手法です。機密性は認可された者のみがアクセスできること、可用性は必要な時にサービスを利用できることを意味し、これら3要素でCIA三原則を構成します。
例題4Security Architecture ゼロトラストアーキテクチャ（ZTA）を導入する際、ネットワークセキュリティ設計の基本的な考え方として最も適切なものはどれか。
一度認証されたデバイスは、セッションが終了するまで再検証を行わない。 境界防御を強化するため、次世代ファイアウォールの冗長化を最優先事項とする。 ネットワークの場所に関わらず、「暗黙の信頼」を排除し、すべての通信を常に検証する。 物理的なネットワークセグメンテーションを行い、VLAN間の通信を禁止する。 社内ネットワークからのアクセスであれば、VPN経由の接続と同等の信頼を付与する。 解答と解説を見る 正解: ネットワークの場所に関わらず、「暗黙の信頼」を排除し、すべての通信を常に検証する。
正解は「ネットワークの場所に関わらず、「暗黙の信頼」を排除し、すべての通信を常に検証する。」です。ゼロトラストの核心は「Never Trust, Always Verify（決して信頼せず、常に検証せよ）」という原則にあります。これは、ユーザーやデバイスが社内LANなどの特定のネットワーク境界内に存在することだけで信頼を与えるのではなく、すべてのアクセス要求を個別に動的に認証・認可することを求めています。マイクロセグメンテーションや最小権限の原則も、この考え方を実現するための重要な要素となります。
例題5Security Operations 組織が複数のソース（ファイアウォール、サーバー、エンドポイント）からログを収集・集約し、リアルタイムの相関分析を行って潜在的なセキュリティ脅威を特定するために導入すべきシステムはどれですか？
IDS CASB HSM DLP SIEM 解答と解説を見る 正解: SIEM
正解は「SIEM」です。SIEM（Security Information and Event Management）は、組織内の多様な機器から生成されるログを一元管理し、それらを横断的に分析することで、単一のログでは判別できない複雑な攻撃を検知するために使用されます。DLPは情報の漏洩防止、IDSはネットワークへの侵入検知、CASBはクラウドサービスのセキュリティ管理、HSMは暗号鍵の物理的な保護を目的としており、ログの相関分析を主目的とするのはSIEMです。
例題6Threats, Vulnerabilities, and Mitigations システムの要塞化（ハードニング）および脆弱性管理に関する記述のうち、誤っているものはどれか。
パッチ適用を行う際は、事前にテスト環境で動作確認を行うことが推奨される。 管理の利便性を向上させるために、管理者間で共有アカウントを使用する。 定期的な脆弱性スキャンを実施し、システム内の潜在的な弱点を特定する。 デフォルトのパスワードは、設置後速やかに複雑なものへ変更する。 不要なプロトコルやサービスを無効化することで、攻撃表面を最小限に抑える。 解答と解説を見る 正解: 管理の利便性を向上させるために、管理者間で共有アカウントを使用する。
正解は「管理の利便性を向上させるために、管理者間で共有アカウントを使用する」です。セキュリティのベストプラクティスでは、個々のユーザーに固有のアカウントを割り当てることが求められます。共有アカウントを使用すると、誰がいつどのような操作を行ったかという証跡（アカウンタビリティ）を特定することが困難になり、内部不正やミスが発生した際の追跡が不可能になります。その他の選択肢は、システムを安全に保つための適切なハードニング手順です。
CompTIA Security+ (SY0-701)の重要用語
フィッシング 信頼できる組織を装った電子メールやWebサイトを使用して、ユーザー名、パスワード、クレジットカード情報などの機密情報を盗み出す攻撃手法です。近年は、特定の個人を標的とするスピアフィッシングや、経営層を狙うホエーリングなど、手法が巧妙化しています。対策としては、多要素認証（MFA）の導入や従業員へのセキュリティ意識向上トレーニングが非常に有効です。
ガバナンス (Governance) 組織のセキュリティ戦略がビジネス目標と一致し、適切に管理・制御されていることを保証する枠組みです。経営層が責任を持ち、ポリシーの策定やリソースの割り当てを通じて、組織全体のセキュリティ姿勢を維持します。法令遵守やリスク許容度の決定も含まれ、透明性と責任の所在を明確にすることが、組織の信頼性維持において重要です。
機密性 (Confidentiality) 許可されたユーザーのみが情報にアクセスできることを保証する概念です。データの暗号化、アクセス制御リスト（ACL）、多要素認証（MFA）などの技術を用いて、機密情報の漏洩を防ぎます。CIAの三要素の一つであり、プライバシー保護の基盤となります。試験では、暗号化が機密性を確保する主要な手段であることを理解しておくことが重要です。
ゼロトラスト・アーキテクチャ (ZTA) 「決して信頼せず、常に検証する」という原則に基づいたセキュリティモデルです。ネットワークの境界に関わらず、すべてのユーザー、デバイス、および通信トラフィックに対して、アクセスごとに厳格な認証と認可を要求します。従来の境界防御型セキュリティでは不十分な、クラウド利用やリモートワークが普及した現代のIT環境において、資産を保護するための重要な設計思想です。
SIEM (Security Information and Event Management) ネットワーク上の様々な機器から生成されるログやイベントデータを一元的に集約し、リアルタイムで分析・相関分析を行うシステムです。単一のログでは気づけない複雑な攻撃の予兆を検知し、セキュリティ担当者に通知することで、迅速な脅威の発見と対応を支援します。試験では、ログの収集、保持、および相関分析の重要性と関連付けて問われます。
ゼロデイ脆弱性 ソフトウェアやハードウェアに存在する未修正の脆弱性のうち、開発者が問題を把握して修正パッチを配布する前に、攻撃者に悪用されるものを指します。対策が準備されていない状態で攻撃が行われるため、防御が非常に困難です。侵入検知システム（IDS）や振る舞いベースの検知技術を活用し、異常な通信を早期に発見することが重要な防御策となります。
リスクマネジメント (Risk Management) 組織の資産に対する脅威と脆弱性を特定、評価し、適切な対策を講じる継続的なプロセスです。リスクの受容、回避、転嫁、低減の4つの戦略を使い分け、ビジネスへの影響を最小限に抑えることを目的とします。コスト対効果を考慮しながら、許容可能なレベルまでリスクを抑え込むことが、安定した事業運営に不可欠な要素となります。
完全性 (Integrity) データが改ざんされておらず、正確で一貫性があることを保証する概念です。ハッシュ関数を使用した整合性チェックや、デジタル署名、変更管理プロセスを通じて実現されます。意図的な攻撃だけでなく、不注意による誤操作やシステムエラーからデータを守ることも含みます。CIAの三要素の中で、データの信頼性を支える重要な柱となります。 よくある質問
CompTIA Security+ (SY0-701)の問題はスキルサートで何問解けますか？ 全467問・5分野の問題を用意しています。問題は出題範囲に沿って随時追加しています。
無料で使えますか？ 無料プランで週10回の演習（1回10問）と、毎日の「今日の1問」を利用できます。解説を読み、わからない点はAIに質問できます。
ここの問題は過去問ですか？ 過去問ではありません。出題範囲に沿ってAIが作成した演習問題です。すべて解説つきで、間違えた問題は繰り返し解けます。 CompTIA Security+ (SY0-701)の対策はアプリで AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
