出題範囲
- Threats, Vulnerabilities, and Mitigations
- Security Program Management and Oversight
- General Security Concepts
- Security Architecture
- Security Operations
例題に挑戦
スキルサートのAIが生成した演習問題のサンプルです。アプリでは毎週新しい問題が追加されます。
例題1
ゼロトラストアーキテクチャ（ZTA）を導入する際、ネットワークセキュリティ設計の基本的な考え方として最も適切なものはどれか。
- 一度認証されたデバイスは、セッションが終了するまで再検証を行わない。
- 境界防御を強化するため、次世代ファイアウォールの冗長化を最優先事項とする。
- ネットワークの場所に関わらず、「暗黙の信頼」を排除し、すべての通信を常に検証する。
- 物理的なネットワークセグメンテーションを行い、VLAN間の通信を禁止する。
- 社内ネットワークからのアクセスであれば、VPN経由の接続と同等の信頼を付与する。
解答と解説を見る
正解: ネットワークの場所に関わらず、「暗黙の信頼」を排除し、すべての通信を常に検証する。
正解は「ネットワークの場所に関わらず、「暗黙の信頼」を排除し、すべての通信を常に検証する。」です。ゼロトラストの核心は「Never Trust, Always Verify（決して信頼せず、常に検証せよ）」という原則にあります。これは、ユーザーやデバイスが社内LANなどの特定のネットワーク境界内に存在することだけで信頼を与えるのではなく、すべてのアクセス要求を個別に動的に認証・認可することを求めています。マイクロセグメンテーションや最小権限の原則も、この考え方を実現するための重要な要素となります。
例題2
クラウドサービスの共有責任モデルにおいて、SaaS（Software as a Service）を利用する顧客側が責任を負う範囲として適切なものはどれか。
- ストレージインフラの冗長化
- 基盤となるネットワークの暗号化
- データおよびユーザーのガバナンス
- 物理サーバーのパッチ適用
- ハイパーバイザーの構成管理
解答と解説を見る
正解: データおよびユーザーのガバナンス
正解は「データおよびユーザーのガバナンス」です。SaaSモデルでは、インフラストラクチャ、オペレーティングシステム、およびアプリケーション自体の管理責任はサービスプロバイダーにあります。一方で、クラウド上に保存する「データの内容」や、そのデータにアクセスする「ユーザーのアカウント管理、権限設定、ガバナンス」は、どのようなクラウドモデル（IaaS/PaaS/SaaS）であっても、一貫して顧客側の責任範囲となります。プロバイダーはプラットフォームを提供しますが、その使い方の安全性を確保するのはユーザーの義務です。
重要用語
- ガバナンス (Governance)
- 組織のセキュリティ戦略がビジネス目標と一致し、適切に管理・制御されていることを保証する枠組みです。経営層が責任を持ち、ポリシーの策定やリソースの割り当てを通じて、組織全体のセキュリティ姿勢を維持します。法令遵守やリスク許容度の決定も含まれ、透明性と責任の所在を明確にすることが、組織の信頼性維持において重要です。
- リスクマネジメント (Risk Management)
- 組織の資産に対する脅威と脆弱性を特定、評価し、適切な対策を講じる継続的なプロセスです。リスクの受容、回避、転嫁、低減の4つの戦略を使い分け、ビジネスへの影響を最小限に抑えることを目的とします。コスト対効果を考慮しながら、許容可能なレベルまでリスクを抑え込むことが、安定した事業運営に不可欠な要素となります。
- ビジネス影響分析 (BIA: Business Impact Analysis)
- 災害やシステム障害が発生した際に、特定の業務が停止することによるビジネスへの影響を評価するプロセスです。重要な業務の優先順位を決定し、復旧に必要なリソースや最大許容停止時間を特定します。事業継続計画（BCP）を策定するための基盤となる重要な活動であり、定量的および定性的な分析を通じて、組織の回復力を高めます。
- 目標復旧時間 (RTO: Recovery Time Objective)
- 災害や障害が発生した後、どのくらいの時間で業務やシステムを復旧させるかという目標時間です。ビジネスの継続性を維持するために許容できる最大のダウンタイムを示します。RTOが短いほど高度な復旧ソリューションが必要となり、コストが増大する傾向にあります。事業継続計画において、復旧の優先順位を決定する際の重要な指標となります。
- 目標復旧時点 (RPO: Recovery Point Objective)
- 障害発生時に、過去のどの時点までのデータを復旧させるかという目標値です。これは、ビジネスプロセスにおいて許容できる最大データ損失量を示します。例えばRPOが1時間であれば、最大1時間分のデータ損失が許容されます。バックアップの頻度を決定する重要な要素であり、RPOが短いほどリアルタイムに近いバックアップ体制が求められます。
- 変更管理 (Change Management)
- システムやネットワークの変更を安全かつ計画的に実施するためのプロセスです。意図しないサービスの中断や脆弱性の混入を防ぐため、変更の申請、レビュー、承認、テスト、記録の手順を標準化します。予期せぬトラブルが発生した際の切り戻し計画（ロールバック）も含まれ、システムの安定稼働とセキュリティの整合性を維持するために不可欠です。
- データ主権 (Data Sovereignty)
- データが収集、保存、処理される場所の国の法律や規制が、そのデータに適用されるという概念です。クラウドサービスの利用において、データが物理的にどの国のサーバーに存在するかが法的リスクに直結します。GDPRなどの個人情報保護法に対応するため、組織はデータの所在場所を把握し、現地の法的要件を遵守しているかを確認する必要があります。
- 標準作業手順書 (SOP: Standard Operating Procedure)
- 特定の業務やセキュリティタスクを正確かつ一貫して実行するための、詳細な手順を記した文書です。誰が作業を行っても同じ結果が得られるようにし、人的ミスを減らすことを目的とします。インシデント対応や定期的なメンテナンスなどの場面で活用され、組織の運用効率の向上と、セキュリティレベルの標準化を支える重要なドキュメントです。
CompTIA Security+ (SY0-701)の対策はアプリで
AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。
