情報セキュリティマネジメント　公開問題

令和8年度(2026年)春期
情報セキュリティマネジメント　公開問題

皆さまからのご意見を参考に，この解説をより良いものにしていきたいと思います。
「私はこう解いた」「こういう説明の方が分かりやすい」など、
具体的なご意見がありましたらお問い合わせフォームまでお寄せください。

問1

解答　ウ

残留リスクとは，安全対策やセキュリティ対策などのリスク対応を施した後も，完全には消えずに残り続ける危険性のこと
ア　「経営者の意思決定に従って保有したリスクは，残留リスクに含まれない。」残留リスクに含まれる
イ　「特定されていないリスクは，残留リスクに含まれない。」残留リスクに含まれる
ウ　〇「リスク対応を行った後に残るリスクは，残留リスクである。」
エ　「リスクを生じさせる活動を継続しないという決定によって回避したリスクは，残留リスクである。」リスクはなくなっているため，残留リスクではない

問2

解答　ア

JPCERTコーディネーションセンターとは日本国内で発生するサイバーセキュリティインシデントの報告受付，対応支援，被害状況の把握，技術的な分析を行う専門機関。CSIRTマテリアルは，組織的なインシデント対応体制である「組織内CSIRT」の構築を支援する目的で作成されたガイドラインでJPCERTコーディネーションセンターが作成している。

問3

解答　ア

DMZとはインターネットからの不正アクセスから重要なデータを保護するためにインターネットと内部ネットワークの間に設置されるネットワーク。
ア　〇「インターネットと内部ネットワークとの間に設置されるネットワーク」
イ　「外部から持ち込んだPCがマルウェアなどに感染していないかどうかを社内ネットワークに接続する前にチェックするための，社内ネットワークとは隔離された専用のネットワーク」は検疫ネットワークの説明
ウ　「通信内容を監視し，あらかじめ設定された不正な通信パターンと一致した場合に通信を遮断するネットワーク」は不正な通信を遮断するのはIPS（Intrusion Prevention System）
エ　「不正通信を検知する際に利用するためにセキュリティベンダーから入手するシグネチャ情報」はウィルス対策ソフトのパターンファイル

問4

解答　エ

チャレンジレスポンスはユーザー認証で利用される技術。認証時にユーザーのパスワードをサーバーに直接送るのではなく，サーバーから受け取ったチャレンジ文字でパスワードを演算・加工して送り，サーバーが検証する方法。

問5

解答　ウ

ホワイトボックステストとはプログラムの内部構造やソースコードを把握した上で，開発者視点で実施するテスト。
ア　「検査対象のソフトウェア製品に対して，外部仕様を基に，問題を引き起こしそうなデータを大量に送り込み，その応答や挙動を監視することによって脆弱性を検出する。」はファジングの説明
イ　「検査対象のネットワークに対して，ネットワークの構成図や機器名などの情報を得ずに，TCP/IPに係る既知の脆弱性を攻撃し，実際に侵入できるかどうかを確認することによって脆弱性を検出する。」はペネトレーションテストの説明
ウ　〇「検査対象のプログラムの内部構造及び内部仕様を基に，脆弱性の可能性がある箇所の処理で使われる入力値を変化させて実行することによって脆弱性を検出する。」はホワイトボックステストの説明
エ　「検査対象のプログラムの内部仕様を参照せずに，変数領域のあふれを見つけ出すツールを利用して，バッファオーバフローの脆弱性を検出する。」はブラックボックステストの説明

問6

解答　ア

OSのアクセス制御は，管理者が定めたポリシーで一元的に制御される。所有者であっても勝手に変更できない。
管理者権限管理は分野ごとに異なる管理用アカウントを作成し，必要最小限の特権を与える。

問7

解答　エ

ア　「自社のWebサイトで海賊版のソフトウェアを故意に販売した。」は著作権違反となる
イ　「存在しない商品をインターネットのオークションサイトに故意に出品し，落札者に現金を振り込ませてだまし取った。」は刑法の詐欺罪にあたる
ウ　「他人の著作物を著作者に許可なく，引用元の記載もせずに，営業目的の自社のWebサイトに故意に掲載した。」は著作権違反となる
エ　「プロバイダのサーバに侵入し，サーバに保管されていたある企業が業務に使用しているWebページの内容を故意に消去したり，書き換えたりした。」は電子計算機損壊等業務妨害にあたる

問8

解答　イ

システム監査のフォローアップは監査報告書の指摘事項に基づいて被監査部門が実施した改善措置をシステム監査人が確認すること

問9

解答　イ

サービスマネジメントにおける，サービスレベル目標とは，提供するサービスの品質を保つために，サービス提供者が内部で設定する具体的な数値目標のこと
よってイ「組織が約束する，具体的に測定可能なサービスの特性」が正解

問10

解答　イ

ネットワークアドレスとはIPアドレスとサブネットマスクを2進数にし，論理積をとった結果でネットワークを識別するために利用される。
IPアドレス：10.170.70.19 　　　　19 を２進数にすると「00010111」
サブネットマスク：255.255.255.240 240 を２進数にすると「11110000」
「00010111」と「11110000」を論理積をとると「00010000」 10進数に変換すると16となる。
よって，ネットワークアドレスは「10.170.70.16」

問11

解答　ア

ビッグデータの収集から活用までの流れ
ａ　ビッグデータの収集　→　イ　取扱い製品に関するSNSでの評価などを自動プログラムで取得する。
ｂ　必要なデータの整備　→　ウ　ノイズリダクション処理やデータクレンジング処理を行う。
ｃ　データの分析　　　　→　ア　機械学習を用いて自然言語処理やクラスタリングを行い，新しい傾向を導き出す。
ｄ　ビジネス戦略の活用　→　エ　発見した新しい傾向を見極めて，注力すべきビジネス戦略を立案する。
データの分析は，アが該当する。

問12

解答　ウ

良品である確率が0.9，不良品である確率が0.1
それぞれの案に関する期待費用は次の式で求めることができる
良品にかかる費用×0.9＋不良品にかかる費用×0.1
案Ａ　０×0.9 ＋ 1,500×0.1　＝　150
案Ｂ　40×0.9 ＋ 1,000×0.1　＝　136
案Ｃ　80×0.9 ＋ 500×0.1　＝　122
案Ｄ 120×0.9 ＋ 200×0.1　＝　128
最も期待費用が低い案はＣとなる

問13

解答　エ

課題１　フラッパーゲート脇に設置されたごみ箱から印刷されたゲスト入館証を拾えば，1階のフラッパーゲートを通過して入館できてしまう。
→　現在ゲスト入館証は当日に限り，繰り返し入退館が可能なように設定されている。対策としては（二）ゲスト入館証は１回限り入館可能にする
課題２　６階以外への来訪者が，ゲスト入館証で1階のフラッパーゲートを通過すれば，平日の昼間はエレベーターで６階に移動できてしまう。
→　現在平日はエレベーターでの行先階ボタンを押すことで各階自由に自由に移動することができる。対策としては（三）平日の昼間も休日のようにICカードリーダーにBカードをかざすことを必要とする。ゲストはＢカードを持っていないため，当該企業の従業員が１階のエレベータ前から当該企業まで来訪者をアテンド（案内）するよう要請する。

問14

解答　ク

a1　72時間（３日）の目標復旧時点（RPO）まで戻すことが定められているため，金曜日の正午に障害が発生した場合，火曜日の正午にもどさなくてはいけない。
a2　木曜日の正午に障害が発生した場合，土曜日のフルバックアップからリストア（４時間）し，」その後，火曜日，木曜日の午前２時からの増分バックアップをリストアするそれぞれ，0.25時間のため合わせて4.5時間となる。
a3　ICT継続の計画書の承認は「最高情報セキュリティ責任者CISO」が適切

問15

解答　エ

(1)営業部のＢさんの大学の後輩であるＣさんは，Ａ社の入社試験を受ける予定なので，ＢさんはＣさんに社内報を見せた。→社内報は社会秘にあたるため×
(2)"営業部だけ 関係者外秘"の議事メモは，営業部員だけが解錠できるキャビネットに保管している。不要となったものは毎週水曜日に，シュレッダーで細断して廃棄している。→正しい取り扱いをしているため〇
(3)昨年営業部に異動した元人事部のＤさんが，営業部の事業計画の参考にするため，人事部のＥさんから"人事部だけ 関係者外秘"の来年度の採用計画を見せてもらった。→人事部だけ関係者外秘のため，現在営業部のＤさんに見せるのは×
(4)経営企画部のＧさんは，来期の経営企画書のうち一部の作成を指示されていたが，机の上の本立てに最終原稿を差し込んで会議に向かった。→経営企画書は極秘文書のため，机の上の本立てに差し込むのは×
(5)人事部のＩさんは就職セミナーで，営業部から借りた商品カタログを参加者に見せながら会社紹介をした。→商品カタログは公開ののため〇

一覧へ戻る