IT・情報処理 / 情報処理技術者（IPA）

情報処理安全確保支援士の無料問題集・例題・出題範囲

IPA SC — ガバナンス/リスク/暗号/ネットワーク/アプリ/法令・監査

  • 1,062問
  • 12分野
  • 解説つき・無料で演習
  • 問題の最終更新:

出題範囲（12分野）

  • ネットワーク/OSセキュリティ89問
  • 法令/規格/監査90問
  • アプリケーション/脆弱性対策89問
  • セキュリティガバナンス/リスク管理90問
  • インシデント対応/フォレンジック87問
  • 暗号/認証/アクセス制御85問
  • IR/フォレンジック/BCP・DR90問
  • アプリ/DevSecOps/SDLC/OWASP84問
  • ネットワーク防御（FW/IDS/IPS/WAF/Zero Trust）89問
  • リスク評価/脅威モデリング/脆弱性管理90問
  • ガバナンス/ISMS/フレームワーク（ISO/NIST）89問
  • 暗号/PKI/鍵管理/TLS/VPN90問

情報処理安全確保支援士の例題（6問・解説つき）

スキルサートのAIが出題範囲に沿って作成した演習問題です（過去問ではありません）。アプリでは毎週新しい問題が追加されます。

例題1ネットワーク/OSセキュリティ

WAF（Web Application Firewall）の機能や特徴に関する記述として、最も適切なものはどれか。

  1. HTTP/HTTPSの通信内容を検査し、脆弱性を突く攻撃を遮断する。
  2. データベース内の重要データを動的にマスキングして表示を制限する。
  3. IPアドレスやポート番号に基づき、パケットの通過可否を判断する。
  4. OSのシステムコールを監視し、不審なプロセスの挙動を制限する。
  5. ネットワーク層の暗号化を提供し、拠点間をセキュアに接続する。
解答と解説を見る

正解: HTTP/HTTPSの通信内容を検査し、脆弱性を突く攻撃を遮断する。

正解は「HTTP/HTTPSの通信内容を検査し、脆弱性を突く攻撃を遮断する。」です。WAFはOSI参照モデルのアプリケーション層で動作し、Webアプリケーションへの通信内容（ペイロード）を詳細に解析します。これにより、従来のファイアウォールやIPSでは検知が困難なSQLインジェクション、クロスサイトスクリプティング（XSS）、OSコマンドインジェクションなどの攻撃を防ぎます。シグネチャ照合だけでなく、正規の通信パターンを定義するホワイトリスト方式などで防御を強化する場合もあります。

例題2法令/規格/監査

サイバーセキュリティ基本法に基づき、内閣に設置されている機関として適切なものはどれか。

  1. サイバー攻撃の実行犯に対する具体的な刑事罰の内容を規定している。
  2. 全ての民間企業に対し、情報漏洩が発生した際の警察への通報を義務付けている。
  3. インターネットサービスプロバイダの事業認可を直接行う権限を持っている。
  4. 内閣にサイバーセキュリティ戦略本部を設置することを定めている。
  5. 情報処理安全確保支援士の登録管理業務を専門に行う機関である。
解答と解説を見る

正解: 内閣にサイバーセキュリティ戦略本部を設置することを定めている。

正解は「内閣にサイバーセキュリティ戦略本部を設置することを定めている。」です。サイバーセキュリティ基本法は、我が国のサイバーセキュリティに関する施策の推進体制として、内閣にサイバーセキュリティ戦略本部を設置することを規定しています。この本部は、サイバーセキュリティ戦略の案の作成や、関係行政機関の施策の調整などを行う重要な役割を担っています。民間企業の通報義務や実行犯への刑事罰については、別の法律（個人情報保護法や刑法、不正アクセス禁止法など）によって定められています。

例題3アプリケーション/脆弱性対策

WebアプリケーションにおけるSQLインジェクション攻撃への根本的な対策として、最も適切なものはどれか。

  1. エラーメッセージに詳細な情報を表示させない。
  2. WAF（Web Application Firewall）を導入する。
  3. プレースホルダを利用してSQL文を組み立てる。
  4. 特殊文字をエスケープ処理する。
  5. 入力データの文字列長を制限する。
解答と解説を見る

正解: プレースホルダを利用してSQL文を組み立てる。

正解は「プレースホルダを利用してSQL文を組み立てる。」です。SQLインジェクションは、外部からの入力値によってSQL文の構造が改ざんされる攻撃ですが、プレースホルダ（静的プレースホルダ）を使用すると、SQLの構文解析が値の流し込みより先に行われるため、入力値が実行コードとして解釈されるのを防げます。エスケープ処理も対策にはなりますが、ライブラリによって仕様が異なるなど漏れが生じやすいため、プレースホルダの利用がより根本的で推奨される対策です。

例題4セキュリティガバナンス/リスク管理

JIS Q 27001（ISO/IEC 27001）に基づく情報セキュリティリスクマネジメントのプロセスにおいて、用語の説明として不適切なものはどれか。

  1. リスク分析とは、リスクの性質を理解し、リスクレベルを決定するプロセスのことである。
  2. リスクアセスメントとは、リスク特定、リスク分析及びリスク評価のプロセス全体を指す。
  3. リスク特定とは、リスクを発見、認識し、及び記述するプロセスのことである。
  4. リスク対応とは、リスクを修正するためのプロセスであり、リスクの回避や低減などが含まれる。
  5. リスク評価とは、リスクの発生可能性と影響度を算出するプロセスのことであり、その結果のみに基づいてリスク対応の優先順位を決定し、リスク特定は行わない。
解答と解説を見る

正解: リスク評価とは、リスクの発生可能性と影響度を算出するプロセスのことであり、その結果のみに基づいてリスク対応の優先順位を決定し、リスク特定は行わない。

正解は「リスク評価とは、リスクの発生可能性と影響度を算出するプロセスのことであり、その結果のみに基づいてリスク対応の優先順位を決定し、リスク特定は行わない。」です。JIS Q 27000における定義では、リスクアセスメントは「リスク特定」「リスク分析」「リスク評価」という一連のステップで構成されています。リスク評価は、リスク分析の結果をリスク基準と比較して、リスクの大きさが許容範囲内かどうかを判断するプロセスです。リスク特定を排除するものではなく、むしろ特定・分析された結果に基づいて行われる後続のプロセスであるため、この説明は不適切です。

例題5インシデント対応/フォレンジック

デジタルフォレンジックにおいて、証拠資料の収集を行う際に、データの消失を防ぐため揮発性の高いものから順に取得することが推奨されている。RFC 3227に準拠した場合、次のうち最も優先して取得すべきものはどれか。

  1. メインメモリの内容
  2. ルーティングテーブルやARPキャッシュ
  3. CPUのレジスタやキャッシュ
  4. ハードディスク内のファイル
  5. 一時ファイルシステム内のデータ
解答と解説を見る

正解: CPUのレジスタやキャッシュ

正解は「CPUのレジスタやキャッシュ」です。デジタルフォレンジックでは、証拠の完全性を保つために、時間の経過や電源断によって消失しやすい情報（揮発性情報）から優先的に収集する必要があります。RFC 3227によれば、収集の優先順位は、レジスタやキャッシュ、ルーティングテーブルやARPキャッシュ、プロセス情報、メインメモリ、一時ファイルシステム、ディスクの順となります。したがって、選択肢の中で最も揮発性が高く、最優先されるべきはCPUのレジスタやキャッシュに保持されているデータです。

例題6暗号/認証/アクセス制御

ブロック暗号の利用モードの一つであるGCM（Galois/Counter Mode）に関する記述として、適切なものはどれか。

  1. 平文のビットを1ビットずつ暗号化するストリーム暗号専用のモードであり、AESなどのブロック暗号には適用できない。
  2. 初期化ベクトル（IV）を使用せず、同一の平文ブロックに対して常に同一の暗号文ブロックを生成する。
  3. メッセージの暗号化と同時に、メッセージ認証符号（MAC）を生成して完全性を確認できる機能を持つ。
  4. 暗号化と復号を並列処理することはできないが、エラーの波及が1ブロックに限定される特性を持つ。
  5. 暗号化の際に前のブロックの暗号文を次のブロックの入力にフィードバックするが、認証機能は持たない。
解答と解説を見る

正解: メッセージの暗号化と同時に、メッセージ認証符号（MAC）を生成して完全性を確認できる機能を持つ。

正解は『メッセージの暗号化と同時に、メッセージ認証符号（MAC）を生成して完全性を確認できる機能を持つ。』です。GCMは、CTR（Counter）モードによる暗号化と、ガロア体を用いたメッセージ認証（GMAC）を組み合わせた認証付き暗号（AEAD）の一種です。これにより、データの機密性と完全性の確保、さらには送信元の認証を単一のアルゴリズムで効率的に実現できます。並列処理が可能で高速であるため、TLS 1.2以降や各種ストレージ暗号化などで広く採用されています。

情報処理安全確保支援士の重要用語

IDS/IPS
ネットワークやホストへの不正な侵入を検知・防御するシステム。IDSは不正通信を検知して管理者に通知し、IPSは検知に加えて通信の遮断まで自動で行う。シグネチャ型（既知のパターン照合）とアノマリ型（異常な振る舞いの検知）があり、多層防御においてネットワークの境界や内部に配置される重要なセキュリティ対策である。
不正アクセス禁止法
ネットワークを通じて他人のコンピュータへ不正にログインする行為や、他人のID・パスワードを無断で第三者に提供する行為などを禁止する法律です。具体的には、なりすましによるアクセスやセキュリティホールを突いた侵入、不正アクセスを助長する情報の配布が処罰の対象となります。試験では、どの行為が禁止事項に該当するか、また管理者の努力義務の内容などが問われます。
SQLインジェクション
データベースと連携するWebアプリケーションの脆弱性を利用し、悪意のあるSQL文を注入してデータベースを不正に操作する攻撃です。機密情報の漏洩やデータの改ざん、消去などの被害が生じます。対策としては、静的プレースホルダを用いたパラメータ化クエリの使用や、入力値のバリデーション、特殊記号のエスケープ処理が極めて重要です。
ISMS
組織の情報資産について、機密性・完全性・可用性をバランスよく維持・改善するための仕組みです。JIS Q 27001などの規格に基づき、PDCAサイクルを回すことでセキュリティ水準を継続的に向上させます。単なる技術対策だけでなく、経営陣の関与による組織全体のガバナンスとして運用することが求められるのが特徴です。
CSIRT
組織内でセキュリティインシデントが発生した際に、その対応を行う専門チームのことです。インシデントの検知、分析、封じ込め、復旧までのプロセスを統括し、被害の最小化と再発防止に努めます。試験では、組織内での役割分担や、外部組織（JPCERT/CC等）との連携、事前の準備状況などがよく問われる重要な概念です。
共通鍵暗号方式
暗号化と復号に同じ鍵を使用する暗号方式です。処理速度が速いという利点がある一方で、通信相手ごとに異なる鍵を用意する必要があり、鍵を安全に届ける「鍵配送問題」が課題となります。代表的なアルゴリズムにはAESがあり、大量のデータを高速に暗号化する目的や、ハイブリッド暗号におけるセッション鍵の生成に利用されます。
CSIRT
組織内でコンピュータセキュリティインシデントが発生した際に、その対応を専門に行うチームのこと。インシデントの検知、分析、封じ込め、復旧、および再発防止策の策定を主導する。試験では、組織内での役割や連絡体制、外部機関であるJPCERT/CC等との連携に関する知識が頻出するため、組織的な対応能力の要として理解しておく必要がある。
OWASP Top 10
Webアプリケーションのセキュリティに関する重大なリスクを順位付けしたプロジェクト、およびその報告書のこと。SQLインジェクションや壊れたアクセス制御など、開発者が優先的に対処すべき脆弱性がまとめられている。試験では最新のカテゴリに基づいた攻撃手法や対策が頻出するため、各項目の概要を把握することが不可欠である。

よくある質問

情報処理安全確保支援士の問題はスキルサートで何問解けますか？
全1,062問・12分野の問題を用意しています。問題は出題範囲に沿って随時追加しています。
無料で使えますか？
無料プランで週10回の演習（1回10問）と、毎日の「今日の1問」を利用できます。解説を読み、わからない点はAIに質問できます。
ここの問題は過去問ですか？
過去問ではありません。出題範囲に沿ってAIが作成した演習問題です。すべて解説つきで、間違えた問題は繰り返し解けます。

情報処理安全確保支援士の対策はアプリで

AIが毎週生成する新作問題・ランクマッチ・週次ランキング・AI診断で「続けられる」資格学習を。無料で始められます。

Download on the App Store Google Play で手に入れよう