情報セキュリティマネジメント

問題

1. JIS Q 27001ISMS認証の取得を検討している部門で、社内の文書を整備することになった。認証の審査で、組織のISMSが適合しているか…
2. 人的管理策情報セキュリティ担当者が、自社の対策を JIS Q 27002 の4つのテーマ（組織的・人的・物理的・技術的）に振り分…
3. 脆弱性関連情報の届出制度社内の担当者が、業務で使っている市販のソフトウェア製品に、ログインせずに他の利用者のデータを閲覧できてしまう脆弱性があ…
4. NISTサイバーセキュリティフレームワーク（CSF）（1）取引先から、NISTサイバーセキュリティフレームワーク（CSF）2.0 の機能ごとに対策状況を答える質問票が届いた。社…
5. 責任追跡性経理部の会計システムでは、伝票の修正を部員3名が共通のIDで行っていた。承認後の伝票が書き換えられていたが、誰の修正か…
6. クラウドサービスの責任共有モデル営業部が、IaaSで仮想サーバを借りて顧客向けの資料請求サイトを構築したいと申し出た。部内では「事業者はISMS認証を…
7. サプライチェーンリスク自社の情報システムには被害がなかったが、主要な部品を納めている取引先がランサムウェアに感染して操業を停止し、自社も製品…
8. リスクの定量的分析情報セキュリティ担当者が、ノートPCの紛失による情報漏えいのリスクを「影響：大、発生可能性：中」と分析して経営会議に報…
9. 残留リスク顧客情報を扱うWebサービスで、リスク対応計画に沿って対策を実施した。再評価すると、リスクはリスク受容基準を下回ったが…
10. 例外の規程社内規程では会社が指定したもの以外のファイル共有サービスの利用を禁じているが、取引先から、先方が指定するサービスでの資…
11. PSIRTネットワークカメラを製造・販売している企業が、自社製品の脆弱性を外部の研究者から指摘された。社内で影響の調査、修正版の…
12. 証拠の収集退職予定の従業員が顧客データを不正に持ち出した疑いがあり、会社は法的措置も視野に入れて調べることにした。その従業員が使…
13. 物理的セキュリティ境界オフィス移転の計画で、来客用の会議室を執務エリアの奥に置く案が出た。この配置では、来訪者が顧客情報を扱う社員の席の間を…
14. 特権的アクセス権部門のファイルサーバを担当者3人で運用している。3人は1つの管理者アカウントを共有し、日常のファイル整理もそのアカウン…
15. 情報のラベル付けある部門では、作成者が文書ごとに「社外秘」などの区分を判断して台帳に記録している。しかし文書そのものには何も表示がなく…
16. 委託先管理顧客データの入力業務を委託していた契約が終了した。委託先のサーバに顧客データが残っているかを尋ねたが、契約に定めがない…
17. 認証情報ある部門では、新しく配属された部員のアカウントに、全員共通の初期パスワードを設定してメールで知らせている。初期パスワー…
18. 規則更新の規程5年前に定めた情報セキュリティ対策基準が、その後のテレワーク導入やクラウドサービスの利用拡大に合わせて一度も改定されず…
19. 対外説明の規程顧客情報の漏えいの疑いが生じた際、取引先や報道機関からの問合せに、受けた従業員がそれぞれ答えたため、説明の内容が食い違…
20. ISMS適用範囲全社のうち、顧客データを扱うデータセンター運用部だけでISMS認証の取得を目指すことになった。担当者が適用範囲の決め方…
21. マネジメントレビューISMSを運用している企業で、年に1回、トップマネジメントが内部監査の結果、情報セキュリティ目的の達成状況、利害関係者…
22. 管理策タイプ部門のマルウェア対策を管理策タイプ（予防・検知・是正）で整理したところ、添付ファイルの実行制限、標的型メール訓練、感染…
23. 多層防御標的型攻撃メールが入口のメールフィルタをすり抜けて端末で開かれたが、端末のEDRが不審な動作を検知して隔離し、外部の不…
24. ゼロトラストゼロトラストの考え方で、クラウドサービスへのアクセス制御を設計している。利用者が多要素認証でログインした後、その端末で…
25. MITRESOCの担当者が、攻撃者が侵入後に使う戦術と技術を体系的に整理したナレッジベース「ATT&CK」と自社の検知ルールを突…
26. エシカルハッカー自社の会員向けWebサービスの弱点を攻撃者と同じ手法で探してもらうため、外部のエシカルハッカーに調査を依頼する。依頼に…
27. データマスキングシステム改修のテスト用に、開発委託先から本番に近いデータがほしいと依頼された。本番の顧客データには氏名・電話番号・カー…
28. データ漏えい防止顧客リストや従業員のマイナンバーを含むファイルが、メールの添付やWebサービスへのアップロードで社外に送られるのを、送…
29. 構成管理部門のサーバとネットワーク機器は、担当者がそれぞれのやり方で設定してきた。点検で、使っていないサービスが有効な機器や、…
30. リスク所有者営業部が業務で使う顧客管理システムは、情報システム部が運用し、保守を外部に委託している。情報システム部の担当者がこのシ…
31. リスク源部門のリスク特定で「外部の攻撃者が標的型メールを送り、顧客情報が外部に送信されて、損害賠償と信用の低下を招く」というリ…
32. リスク選好経営層が「新規事業では収益の機会を優先し、顧客情報を扱わない範囲であれば、新しいクラウドサービスの利用に伴う一定のリス…
33. リスク基準各部門が独自にリスクアセスメントを行った。発生可能性と影響を、ある部門は3段階、別の部門は5段階で見積もり、「影響：大…
34. リスクの定性的分析初めてリスクアセスメントを行う部門で、対象の情報資産が約150件ある。過去の事故件数や損失額の記録はほとんどなく、まず…
35. リスクファイナンシング部門のリスク対応策の一覧を、リスクコントロールとリスクファイナンシングに分けて整理している。リスクファイナンシングに当…
36. リスク対応計画部門のリスクアセスメントで、ファイルサーバへの不正アクセスのリスクを「低減する」と決めた。しかし半年たっても対策は何も…
37. リスクコミュニケーション部門で新しいクラウドストレージを導入することになり、対策後も一部のリスクが残ると分かった。このリスクについて、利用者で…
38. リスク回避部門で、来場者の氏名と連絡先をWebで集める販促キャンペーンを計画した。分析の結果、取れる対策を重ねてもリスクはリスク…
39. 罰則の規程規程に違反して社外秘のファイルを私用のメールアドレスへ送った社員への処分が、部署によって口頭注意だけだったり減給だった…
40. 規程の承認手続社内ポータルに、各部署が作ったパスワードのルールが何種類も掲載され、内容も食い違っていた。どれに従えばよいかという問合…
41. 情報セキュリティ目的情報セキュリティ方針に「顧客から預かった情報を確実に守る」と掲げた。この方針に沿って、今年度の情報セキュリティ目的を定…
42. 職務の分離情報システム部では、ファイアウォールの通信許可ルールの変更を1人の担当者が受け持っており、変更の要否の判断から設定作業…
43. アクセス権営業部の顧客管理システムでは、営業部長の承認を得てからアクセス権を付与している。点検したところ、終了したプロジェクトの…
44. 情報の転送設計部では取引先と図面をやり取りする手段が担当者ごとに異なり、メールへの添付、個人で契約したオンラインストレージ、US…
45. SECURITY ACTION従業員20名の会社で、SECURITY ACTION の二つ星を宣言したい。「5分でできる！情報セキュリティ自社診断」…
46. サイバーセキュリティ経営ガイドラインランサムウェアの感染に気づいた後、誰が被害の広がりを調べ、端末を切り離すのかが決まっておらず、動き出すまでに半日かかっ…
47. 中小企業の情報セキュリティ対策ガイドライン社内に「中小企業の情報セキュリティ対策ガイドライン」第3.1版の「情報セキュリティ5か条」を掲示している。2026年3…
48. PCI DSS自社のECサイトでカード決済を処理しており、PCI DSS への準拠を求められている。営業部門から「次回の購入を楽にす…
49. NISTサイバーセキュリティフレームワーク（CSF）（2）自社のセキュリティ対策を、NISTサイバーセキュリティフレームワーク（CSF）2.0 を使って見直すことになった。どこ…
50. 情報セキュリティインシデント情報セキュリティ担当者のもとに、同じ日に次の4件の報告が届いた。情報セキュリティ事象にとどまらず、情報セキュリティイン…
51. need-to-knowの原則営業部の顧客情報フォルダは、部員なら誰でも全顧客の契約内容を閲覧・更新できる。課長を含む各部員はそれぞれ担当する顧客を…
52. 外部委託の情報セキュリティ顧客データの入力業務を委託している委託先で、作業用PCのマルウェア感染が起きた。委託先は月例の作業報告書でこれを伝えて…
53. 生成AIサービスの利用時の情報セキュリティ1年前に情報セキュリティ担当者が審査し、「入力データを学習に利用しない」ことを条件に部門での利用を承認した生成AIサー…
54. コンピュータ不正アクセス届出制度部門で利用しているクラウドの業務サービスに、社員のアカウントで何者かがログインし、ファイルの共有設定を書き換えていた。…
55. コンピュータウイルス届出制度部門のファイルサーバのファイルが暗号化され、元に戻す代わりに金銭を求める脅迫文が残されていた。侵入には、修正プログラム…
56. コンピュータウイルス対策基準自社が開発・販売しているソフトウェア製品で、すでに出荷した製品にウイルスが混入していたことが判明した。コンピュータウイ…
57. 情報セキュリティサービス基準部門で公開しているWebアプリケーションの脆弱性診断を、外部の事業者に委託することになった。部門には診断の専門家がおら…
58. ISMAP民間企業の情報システム部門が、全社で使うSaaSを選んでいる。候補の一つが「ISMAP等クラウドサービスリスト」に登録…
59. 選考顧客の個人情報データベースの管理者として、中途採用者を受け入れることになった。JIS Q 27002 の人的管理策「選…
60. 懲戒手続情報セキュリティ方針への違反が相次いだため、部門で懲戒手続を整えることになった。手続の定め方として、最も適切なものはど…
61. 情報セキュリティ事象の報告部門の規程に、JIS Q 27002 の人的管理策「情報セキュリティ事象の報告」に当たる定めを置くことになった。定める…
62. 情報資産台帳営業部では1年前に情報資産台帳を作成した。今回のリスクアセスメントで、半年前から使い始めたクラウドストレージが台帳に無…
63. 情報資産を取り巻く脅威総務部では、顧客の申込書（紙）を事務室の書棚に保管している。情報資産台帳を基にこの申込書のリスクを洗い出すとき、申込書…
64. オペレーショナルリスク経理部の担当者が、契約しているクラウド型の会計サービスで取引先への支払データを作る際、手順書に無い手作業で金額を直し、…
65. 否認防止Webの受発注システムで、取引先から「その数量では発注していない」と主張された。自社のログには取引先のIDでの発注操作…
66. セキュリティバイデザイン営業部は、会員の住所や購入履歴を扱うWebサービスを外部に委託して新しく開発する。公開の時期が迫っているため、委託先か…
67. 真正性社外から社内システムへのリモート接続は、通信をVPNで暗号化し、利用者のIDとパスワードで認証していたが、私物のPCか…
68. CRYPTREC部門で運用中の業務システムを点検したところ、古い取引先との接続で使っている暗号方式が、CRYPTREC暗号リストのうち…
69. JPCERTコーディネーションセンター自社の公開Webサーバに、海外のIPアドレスから大量のポートスキャンが続いている。攻撃元は海外の組織のサーバが踏み台に…

この中分類の出題範囲

シラバスの小分類と項目です。数字は収録している問題数。

情報セキュリティの考え方

• 情報セキュリティの考え方6問
• 情報セキュリティマネジメントの考え方5問

リスクマネジメント

• 情報資産とリスク4問
• 情報セキュリティリスクアセスメント6問
• 情報セキュリティリスク対応5問

情報セキュリティ諸規程

• 情報セキュリティポリシーを含む組織内規程6問

情報セキュリティ関連組織・関連制度

• 情報セキュリティに関する組織・機関5問
• 情報セキュリティに関する制度・基準12問

情報セキュリティマネジメントシステム

• 情報セキュリティマネジメントシステム4問

情報セキュリティ管理策

• 組織的管理策7問
• 人的管理策4問
• 物理的管理策1問
• 技術的管理策4問