情報セキュリティマネジメント情報セキュリティ対策の問題全68問（解説付き）

演習を始める（10問）

問題

テイクダウン自社のブランド名を含むドメインの新規登録やSNSの投稿など、公開情報を監視（OSINT）していたところ、自社のログイン…
トリアージCSIRTの担当者のもとに、同じ朝に3件の連絡が届いた。「不審なメールを受信したが開いていない」「ファイルサーバのファ…
秘密保持誓約書開発部門では、退職が決まった従業員にだけ秘密保持誓約書の提出を求めてきた。IPAの「組織における内部不正防止ガイドライ…
アンチパスバックサーバ室の扉にICカードによる入退室管理システムを導入した。しかし、入室権限のある従業員どうしが、前の人がカードをかざ…
MDM（Mobile Device Management）営業部員から、MDMで管理している社用スマートフォンを外出先で紛失したと報告があった。端末にはパスコードを設定し、スト…
ファイル暗号化設計部では、図面のファイルを取引先にメールに添付して送ることがある。宛先を誤った場合や、送った後に第三者の手に渡った場…
デジタル署名取引先から電子データで発注を受けている。後日、取引先が「その発注は送っていない」と主張した場合に、当社が作ったり書き換…
EMV 3-Dセキュア自社のECサイトで、盗まれたクレジットカード情報によるなりすまし購入が続いた。対策として EMV 3-Dセキュア（3D…
本人拒否率（FRR）サーバ室の入退室に手のひらの静脈パターン認証を導入する。試行運用で、手のけがや冷えのために本人が拒否される例が一定数あ…
パスキー（1）社員が偽のログイン画面にIDとパスワード、SMSで届いたワンタイムコードを入力し、その直後に攻撃者に正規のサービスへロ…
3-2-1ルール部門の共有データは、ファイルサーバのディスクに原本を置き、同じサーバ室にあるテープ装置に毎週バックアップを1つ取ってい…
脆弱性情報の収集情報セキュリティ担当者は、JVNなどで公表される脆弱性情報を毎日確認しているが、自部門のどのPCやサーバが該当するかを…
時刻同期（NTP）不正アクセスの調査で、ファイアウォール、プロキシサーバ、ファイルサーバのログを突き合わせたところ、機器ごとに記録された…
検疫ネットワーク長期の出張から戻った社員のノートPCを社内LANにつなぐ前に、OSの修正プログラムやマルウェア定義ファイルが最新かを自…
送信ドメイン認証（SPF，DKIM）自社のドメイン名を送信者に詐称したメールが、取引先に届いていると連絡を受けた。受信側のメールサーバが、届いたメールが自…
拒否リスト（ブロックリスト）脅威情報から、マルウェアが外部の指令サーバとの通信に使うドメイン名が判明した。社員は業務で多様なWebサイトを閲覧する…
鍵管理（1）顧客情報を格納するデータベースは、データベース暗号化で保護されている。内部監査で、復号に使う鍵が同じサーバ内のファイル…
SHA-1の危殆化社内の電子文書の改ざん検知に、SHA-1で計算したハッシュ値を使っている。SHA-1は危殆化しているので見直すべきだと…
AES社外の取引先に送るファイルを暗号化する仕組みを新たに導入する。CRYPTREC暗号リストを参照して、ファイル本体の暗号…
多要素認証（1）社外から経費精算システムにログインするとき、パスワードに加えて、登録したメールアドレスに届く確認コードを入力させている…
多要素認証（2）クラウドのメールサービスで、ブラウザからのログインには多要素認証を必須にした。その後、ある社員のアカウントから不正なメ…
認証と認可派遣社員が、自分に発行されたIDとパスワードで正しくログインしたうえで、担当業務と関係のない人事評価のフォルダを開いて…
ロールベースアクセス制御営業部は異動が多く、システム管理者が社員一人ひとりに数十のフォルダやシステムの権限を個別に付け外ししており、付け漏れや…
SAML社内の認証基盤（IdP）と複数のクラウドサービスを SAML で連携し、シングルサインオンを導入する。利用者がクラウド…
シングルサインオンSAML によるシングルサインオンを導入し、退職者は認証基盤のIDを無効にする運用にした。ところが退職した元社員が、あ…
特権ID基幹サーバの保守を委託している業者は、月に数回のリモート作業で特権IDを使う。現在は特権IDのパスワードを業者に伝えた…
未知マルウェア検出手法（1）同業他社で、その会社のためだけに作られたマルウェアが添付ファイルで送り込まれ、定義ファイルを最新にしていたマルウェア対…
マルウェア定義ファイルの更新全PCでマルウェア定義ファイルの自動更新を設定していた部門で感染が起きた。調べると、感染したPCは更新エラーのまま2か…
未知マルウェア検出手法（2）未知のマルウェアに備えて振る舞い検知を有効にしたところ、経理部門が使う社内開発の集計ツールが毎朝検知されて隔離され、業…
イミュータブルバックアップあるランサムウェアの被害事例では、攻撃者が奪った管理者の権限でバックアップサーバにもログインし、バックアップを削除して…
CAPTCHA会員向けWebサイトの新規登録フォームに、プログラムによる自動送信とみられる架空の登録が、毎回異なるIPアドレスから大…
IDS（侵入検知システム）工場の生産設備をつなぐネットワークに、不審な通信を見つける仕組みを入れたい。設備は通信が一瞬でも途切れると生産が止まる…
ファイアウォール新しく公開するWebサーバの手前にあるファイアウォールの規則を作る。サーバで使う通信は、外部からのHTTPSと、社内の…
境界防御外部からの接続をファイアウォールで原則すべて止めている会社で、社員がメールの添付ファイルを開いて感染したPCから、社内…
インシデントハンドリングファイルサーバがランサムウェアに暗号化され、CSIRTはサーバをネットワークから切り離した。侵入経路はまだ分かっていな…
本人への通知会員サイトへの不正アクセスで、会員の個人データが漏えいしたおそれがある。個人情報保護委員会へは速報を済ませ、本人への通…
関係機関への届出社内サーバへの不正アクセスで、顧客の個人データが漏えいしたおそれがある。担当者はIPAの「コンピュータウイルス・不正ア…
サイバー保険情報セキュリティの担当者が、ランサムウェアの被害に備えてサイバー保険への加入を検討している。経営層に説明するとき、一般…
危殆化（1）取引先と図面ファイルをやり取りする際、AESの共通鍵で暗号化している。担当者が、その共通鍵を記したメモを誤って社外の宛…
危殆化（2）十数年前に導入した社内システムが、1024ビットの鍵のRSA暗号を使っていることが棚卸しで分かった。鍵の漏えいは確認さ…
ハイブリッド暗号取引先へ毎週、大容量の設計データを送る。データは共通鍵で暗号化し、その共通鍵を取引先の公開鍵で暗号化して添えるハイブリ…
鍵管理（2）ある部門ではファイル暗号化ソフトを使い、鍵は各社員が自分で設定して管理している。退職者が暗号化した業務ファイルを、誰も…
ログの保存期間外部からの指摘で不正アクセスが発覚した。調べると侵入は約8か月前に始まっていたが、ファイアウォールのログはディスク容量…
ログの取得範囲部門で顧客情報を扱う業務システムを導入することになり、情報セキュリティ担当者としてログに何を記録するかを決めることにな…
SIEMある社員のIDに深夜、認証失敗が数十回続いた後にログインが成功し、直後にその端末から外部へ大量の通信が出ていた。認証サ…
EDR夜間、EDRから「営業部の社員の端末で、文書ファイルから起動されたプログラムが未知の外部サーバと通信を繰り返している」…
他人受入率（FAR）（1）次のa、bに生体認証を導入する。判定の厳しさを決めるとき、優先して低く抑える指標の組合せとして最も適切なものはどれか。…
他人受入率（FAR）（2）社員証をかざしてから本人の静脈パターンとだけ照合する方式を、手のひらをかざすだけで登録者全員と照合して本人を特定する方…
標的型メール訓練全社で標的型メール訓練を行ったところ、訓練メールの添付ファイルを開いた社員が15%いた。一方、開いた後に窓口へ報告した…
机上演習ランサムウェアに感染したときの対応手順を新たに定めた。業務システムには手を触れずに、関係部門の役割分担や判断の流れ、連…
セキュリティクリアランス研究所では、社員ごとに扱ってよい情報の機密区分の上限（セキュリティクリアランス）を定めている。最上位の区分を扱える研究…
ストレージ暗号化全社のノートPCにストレージ暗号化（ディスク全体の暗号化）を導入した。担当役員が「これで社員のPCがマルウェアに感染し…
最小特権（1）顧客管理のWebアプリケーションは、顧客テーブルの参照と登録しか行わないが、データベースへの接続には全テーブルの削除ま…
WAFECサイトの会員登録画面を守るため、WAFを新たに導入する。誤検知で正規の顧客の登録まで遮断されると、売上に響くことが…
許可リスト（アローリスト／パスリスト）（1）許可リスト方式で入力値を検査するWAFを置いた社内向けWebアプリケーションを改修したところ、改修した申請画面からの正…
許可リスト（アローリスト／パスリスト）（2）工場の制御用PCはインターネットにつながっておらず、マルウェア対策ソフトの定義ファイルを更新できない。このPCで動かす…
最小特権（2）夜間バッチがデータベースへの接続に使うIDに、データベース管理者と同じ権限が与えられていた。バッチの処理は、売上表の読…
モバイル機器のセキュリティ営業担当者は、新幹線の車内やカフェで社用ノートPCを開き、顧客向けの見積書を作ることが多い。周囲の人に画面の内容を読み…
DKIM自社はSPFレコードを公開済みである。取引先から、社内の自動転送を経由して届いた自社のメールがSPFの検証に失敗してい…
OP25B在宅勤務の社員から、自宅のインターネット接続では会社のメールサーバへの送信だけが失敗すると報告があった。社員が契約する…
TLS社外に公開しているWebサーバを点検したところ、SSL 3.0とTLS 1.0〜1.3のすべてが有効になっていた。IP…
IPsec本社と支店をインターネットで結ぶ。業務システム、ファイル共有、IP電話など多くのアプリケーションの拠点間の通信を、個々…
WPA3事務所の無線LANはWPA2-Personalで、共通のパスフレーズを使っている。診断で、接続時のやり取りを傍受される…
メッセージ認証受注システムから出荷システムへ、毎日ファイルをネットワーク経由で送っている。改ざん検知のため、ファイルのSHA-256…
パスキー（2）業務用クラウドサービスのログインを、スマートフォンの指紋認証で使うパスキーに切り替える。社員から「指紋の情報がサービス…
SHA-256業務用ソフトウェアのインストーラをベンダーのWebサイトからダウンロードした。手元で計算したSHA-256のハッシュ値…
ブロック暗号同じ値が繰り返し現れるデータを、AESで128ビットのブロックごとに独立して、同じ鍵で暗号化していた。暗号文を見るだけ…
脆弱性管理工場の検査装置を制御するPCのOSが、サポートを終了した。装置メーカーは新しいOSでの動作を保証しておらず、装置の更新…

この中分類の出題範囲

シラバスの小分類と項目です。数字は収録している問題数。

組織的管理策に関する技術・手法: 脅威インテリジェンス1問
インシデント管理5問
人的管理策に関する技術・手法: 人的管理4問
物理的管理策に関する技術・手法: 物理的領域の管理1問
装置の管理2問
技術的管理策に関する技術・手法（情報アクセスの管理）: 情報へのアクセス制限4問
認証・署名2問
利用者の認証・認可・ID連携8問
生体認証3問
パスワードレス認証2問
技術的管理策に関する技術・手法（情報資産運用に関する管理）: マルウェアに対する保護5問
脆弱性管理・データ保護2問
ログ管理・監視・検知及び対応5問
技術的管理策に関する技術・手法（情報システムの適正利用の管理）: ネットワークセキュリティの方式・制御5問
ネットワークセキュリティの技術規格・プロトコル6問
ネットワークセキュリティの製品・サービス4問
暗号技術（技術的管理策のうち「暗号の利用」に対応）: 暗号方式の種類・鍵管理5問
ハッシュ関数2問
共通鍵暗号2問

セキュリティ・倫理のほかの中分類

セキュリティ・倫理の分野ページへ

出典：情報処理推進機構（IPA）「情報セキュリティマネジメント試験シラバス案 Ver.0.1」（2026年9月30日掲載）を基に作成。最新の内容はIPAの掲載ページでご確認ください。