ITパスポート過去問集 - 情報セキュリティ管理
令和7年 問59
ISMSにおける内部監査に関する記述のうち，適切なものはどれか。
| ア | JIS Q 27001の要求事項及び組織自体が規定した要求事項によって定める監査基準への適合性だけでなく，ISMS活動の組織に対する有効性も判定する。 |
|---|---|
| イ | JIS Q 27001の要求事項ではなく，組織自体が規定した要求事項を監査基準とする。 |
| ウ | 内部監査の実施のためのプログラムを確立するときには，前回の内部監査の結果は考慮しない。 |
| エ | 不定期かつ抜き打ちでの実施を原則とする。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和7年 問68
CSIRTとして行う活動の例として，最も適切なものはどれか。
| ア | OSやアプリケーションソフトウェアのセキュリティパッチを定期的に適用する。 |
|---|---|
| イ | 地震や洪水などの自然災害を想定し，情報資産を守るために全社的な事業継続計画を策定する。 |
| ウ | セキュリティ事故の発生時に影響範囲を調査して，被害拡大を防止するための対策実施を支援する。 |
| エ | 保守業者がサーバ室で作業した日に，作業員の入退出が適切に記録されていたことを監査する。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和7年 問83
ISMSの運用にPDCAモデルを採用している組織において，サーバ監視に関する次の作業を実施する。各作業とPDCAモデルの各フェーズの組合せとして，適切なものはどれか。
〔作業〕
（1）サーバ監視の具体的な目的及び手順を定める。
（2）サーバ監視の作業内容を第三者が客観的に評価する。
（3）定められている手順に従ってサーバを監視する。
（4）発見された問題点の是正処置として，サーバの監視方法を変更する。
〔作業〕
（1）サーバ監視の具体的な目的及び手順を定める。
（2）サーバ監視の作業内容を第三者が客観的に評価する。
（3）定められている手順に従ってサーバを監視する。
（4）発見された問題点の是正処置として，サーバの監視方法を変更する。
| P | D | C | A | |
| ア | （1） | （2） | （3） | （4） |
| イ | （1） | （2） | （4） | （3） |
| ウ | （1） | （3） | （2） | （4） |
| エ | （1） | （3） | （4） | （2） |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和7年 問84
| ア | 機密事項が記載されているので，伝達する範囲を社内に限定する必要がある。 |
|---|---|
| イ | 情報セキュリティ対策は一度実施したら終わりではないので，ISMSを継続的に改善するコミットメントを含める必要がある。 |
| ウ | 部門の特性に応じて最適化するので，ISMSを適用する組織全体ではなく，部門ごとに定める必要がある。 |
| エ | ボトムアップを前提としているので，各職場の管理者によって承認される必要がある。 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和7年 問91
| ア | リスク対応の実施手順であり，リスク回避，リスク移転，リスク低減，リスク保有の順番で進める。 |
|---|---|
| イ | リスク対応の実施手順であり，リスク保有，リスク低減，リスク移転，リスク回避の順番で進める。 |
| ウ | リスク対応の選択肢であり，管理対象としたリスクの顕在化に備えて保険を掛けておくことは，リスク回避に該当する。 |
| エ | リスク対応の選択肢であり，ノートPCの紛失や盗難に備えて社外への持出しをより厳重に管理することは，リスク低減に該当する。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和7年 問97
情報セキュリティにおいて，可用性が損なわれた事象だけを全て挙げたものはどれか。
a 関連取引先との電子決済システムがDoS攻撃を受け，処理ができなくなった。
b 顧客情報管理システムの顧客情報が誤った内容のまま運用されていた。
c 社内のサーバに不正侵入されて，社外秘の情報が漏えいした。
a 関連取引先との電子決済システムがDoS攻撃を受け，処理ができなくなった。
b 顧客情報管理システムの顧客情報が誤った内容のまま運用されていた。
c 社内のサーバに不正侵入されて，社外秘の情報が漏えいした。
| ア | a |
|---|---|
| イ | a，b |
| ウ | b，c |
| エ | c |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和6年 問64
| ア | 災害によるシステムの停止時間を短くするために，遠隔地にバックアップセンターを設置する。 |
|---|---|
| イ | 情報漏えいによって発生する損害賠償や事故処理の損失補填のために，サイバー保険に加入する。 |
| ウ | 電子メールによる機密ファイルの流出を防ぐために，ファイルを添付した電子メールの送信には上司の許可を必要とする仕組みにする。 |
| エ | ノートPCの紛失や盗難による情報漏えいを防ぐために，HDDを暗号化する。 |
令和6年 問75
情報セキュリティの3要素である機密性，完全性及び可用性と，それらを確保するための対策の例 a〜c の適切な組合せはどれか。
a アクセス制御
b デジタル署名
c ディスクの二重化
a アクセス制御
b デジタル署名
c ディスクの二重化
| a | b | c | |
| ア | 可用性 | 完全性 | 機密性 |
| イ | 可用性 | 機密性 | 完全性 |
| ウ | 完全性 | 機密性 | 可用性 |
| エ | 機密性 | 完全性 | 可用性 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
情報セキュリティを構成する重要な3つの要素があります。
▼ 機密性 … 正当な権限を持つ人だけがデータや機能にアクセスできること
▼ 完全性 … データの改竄や破壊、すり替えが行われないこと
▼ 可用性 … 利用者が必要なときにデータや機能にアクセスできること
「a」のアクセス制御は、利用者を識別して適切な権限があるか確かめる手法で、機密性に関連します。
「b」のデジタル署名は、データの改竄やすり替えが行われたときに検知できるようにする技術で、完全性に関連します。
「c」の二重化は、装置の破損やデータの喪失でアクセスできなくなるのを防ぐ手段で、可用性に関連します。
以上を組み合わせた「エ」が正解です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
情報セキュリティを構成する重要な3つの要素があります。
▼ 機密性 … 正当な権限を持つ人だけがデータや機能にアクセスできること
▼ 完全性 … データの改竄や破壊、すり替えが行われないこと
▼ 可用性 … 利用者が必要なときにデータや機能にアクセスできること
「a」のアクセス制御は、利用者を識別して適切な権限があるか確かめる手法で、機密性に関連します。
「b」のデジタル署名は、データの改竄やすり替えが行われたときに検知できるようにする技術で、完全性に関連します。
「c」の二重化は、装置の破損やデータの喪失でアクセスできなくなるのを防ぐ手段で、可用性に関連します。
以上を組み合わせた「エ」が正解です。
令和6年 問82
ISMSクラウドセキュリティ認証に関する記述として，適切なものはどれか。
| ア | 一度認証するだけで，複数のクラウドサービスやシステムなどを利用できるようにする認証の仕組み |
|---|---|
| イ | クラウドサービスについて，クラウドサービス固有の管理策が実施されていることを認証する制度 |
| ウ | 個人情報について適切な保護措置を講ずる体制を整備しているクラウド事業者などを評価して，事業活動に関してプライバシーマークの使用を認める制度 |
| エ | 利用者がクラウドサービスへログインするときの環境，IPアドレスなどに基づいて状況を分析し，リスクが高いと判断された場合に追加の認証を行う仕組み |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
ISMSクラウドセキュリティ認証は、JIPDEC（日本情報経済社会推進協会）が運用する認証制度で、クラウドサービスに固有のセキュリティ施策が実施されていることを認定します。「イ」が正解です。
「ア」はシングルサインオンの説明です。
「ウ」はプライバシーマーク制度の説明です。
「エ」はリスクベース認証の説明です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
ISMSクラウドセキュリティ認証は、JIPDEC（日本情報経済社会推進協会）が運用する認証制度で、クラウドサービスに固有のセキュリティ施策が実施されていることを認定します。「イ」が正解です。
「ア」はシングルサインオンの説明です。
「ウ」はプライバシーマーク制度の説明です。
「エ」はリスクベース認証の説明です。
令和6年 問86
| ア | 業務内容の監査結果に基づいた是正処置として，サーバの監視方法を変更する。 |
|---|---|
| イ | 具体的な対策と目標を決めるために，サーバ室内の情報資産を洗い出す。 |
| ウ | サーバ管理者の業務内容を第三者が客観的に評価する。 |
| エ | 定められた運用手順に従ってサーバの動作を監視する。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
PDCAモデルは、活動を計画（Plan）→実行（Do）→評価（Check）→改善（Action）を一つの周期とする反復的な取り組みとして展開する手法です。この選択肢の中では「ウ」の業務内容の評価が「C」の活動となります。
「ア」は評価後の是正措置なので「A」（改善）に当たります。
「イ」は対策と目標を決める過程なので「P」（計画）に当たります。
「エ」は運用を行う過程なので「D」（実行）に当たります。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
PDCAモデルは、活動を計画（Plan）→実行（Do）→評価（Check）→改善（Action）を一つの周期とする反復的な取り組みとして展開する手法です。この選択肢の中では「ウ」の業務内容の評価が「C」の活動となります。
「ア」は評価後の是正措置なので「A」（改善）に当たります。
「イ」は対策と目標を決める過程なので「P」（計画）に当たります。
「エ」は運用を行う過程なので「D」（実行）に当たります。
令和6年 問94
企業において情報セキュリティポリシー策定で行う作業のうち，次の作業の実施順序として，適切なものはどれか。
a 策定する責任者や担当者を決定する。
b 情報セキュリティ対策の基本方針を策定する。
c 保有する情報資産を洗い出し，分類する。
d リスクを分析する。
a 策定する責任者や担当者を決定する。
b 情報セキュリティ対策の基本方針を策定する。
c 保有する情報資産を洗い出し，分類する。
d リスクを分析する。
| ア | a → b → c → d |
|---|---|
| イ | b → a → c → d |
| ウ | a → b → d → c |
| エ | b → a → d → c |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
情報セキュリティポリシーの策定は、担当者の決定、基本方針の策定、情報資産の洗い出し、リスク分析の順に進めます。これは「a」→「b」→「c」→「d」の順となるため「ア」が正解です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
情報セキュリティポリシーの策定は、担当者の決定、基本方針の策定、情報資産の洗い出し、リスク分析の順に進めます。これは「a」→「b」→「c」→「d」の順となるため「ア」が正解です。
令和5年 問56
ISMSクラウドセキュリティ認証に関する記述として，適切なものはどれか。
| ア | PaaS，SaaSが対象であり，IaaSは対象ではない。 |
|---|---|
| イ | クラウドサービス固有の管理策が適切に導入，実施されていることを認証するものである。 |
| ウ | クラウドサービスを提供している組織が対象であり，クラウドサービスを利用する組織は対象ではない。 |
| エ | クラウドサービスで保管されている個人情報について，適切な保護措置を講じる体制を整備し，運用していることを評価して，プライバシーマークの使用を認める制度である。 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
ISMSクラウドセキュリティ認証は、JIPDEC（日本情報経済社会推進協会）が運用する認証制度で、クラウドサービスに固有のセキュリティ施策が実施されていることを認定します。
「ア」… IaaS、PaaS、SaaSのいずれのクラウドサービスも対象です。
「イ」… 正解です。
「ウ」… クラウドの利用側、提供側のいずれも対象です。
「エ」… プライバシーマーク制度の説明です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
ISMSクラウドセキュリティ認証は、JIPDEC（日本情報経済社会推進協会）が運用する認証制度で、クラウドサービスに固有のセキュリティ施策が実施されていることを認定します。
「ア」… IaaS、PaaS、SaaSのいずれのクラウドサービスも対象です。
「イ」… 正解です。
「ウ」… クラウドの利用側、提供側のいずれも対象です。
「エ」… プライバシーマーク制度の説明です。
令和5年 問72
| ア | 個人情報を取り扱わないなど，リスクを伴う活動自体を停止したり，リスク要因を根本的に排除したりすること |
|---|---|
| イ | 災害に備えてデータセンターを地理的に離れた複数の場所に分散するなど，リスクの発生確率や損害を減らす対策を講じること |
| ウ | 保険への加入など，リスクを一定の合意の下に別の組織へ移転又は分散することによって，リスクが顕在化したときの損害を低減すること |
| エ | リスクの発生確率やリスクが発生したときの損害が小さいと考えられる場合に，リスクを認識した上で特に対策を講じず，そのリスクを受け入れること |
令和5年 問79
PDCAモデルに基づいてISMSを運用している組織の活動において，次のような調査報告があった。この調査はPDCAモデルのどのプロセスで実施されるか。
社外からの電子メールの受信に対しては，情報セキュリティポリシーに従ってマルウェア検知システムを導入し，維持運用されており，日々数十件のマルウェア付き電子メールの受信を検知し，破棄するという効果を上げている。しかし，社外への電子メールの送信に関するセキュリティ対策のための規定や明確な運用手順がなく，社外秘の資料を添付した電子メールの社外への誤送信などが発生するリスクがある。
社外からの電子メールの受信に対しては，情報セキュリティポリシーに従ってマルウェア検知システムを導入し，維持運用されており，日々数十件のマルウェア付き電子メールの受信を検知し，破棄するという効果を上げている。しかし，社外への電子メールの送信に関するセキュリティ対策のための規定や明確な運用手順がなく，社外秘の資料を添付した電子メールの社外への誤送信などが発生するリスクがある。
| ア | P |
|---|---|
| イ | D |
| ウ | C |
| エ | A |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
PDCAモデルは、活動を計画（Plan）→実行（Do）→評価（Check）→改善（Action）を一つの周期とする反復的な取り組みとして展開する手法です。問題文のような調査は「C」（評価）の段階で行われるものであり「ウ」が正解です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
PDCAモデルは、活動を計画（Plan）→実行（Do）→評価（Check）→改善（Action）を一つの周期とする反復的な取り組みとして展開する手法です。問題文のような調査は「C」（評価）の段階で行われるものであり「ウ」が正解です。
令和5年 問94
| ア | 企業が導入するセキュリティ製品を対象として作成され，セキュリティの設定値を定めたもの |
|---|---|
| イ | 個人情報を取り扱う部門を対象として，個人情報取扱い手順を規定したもの |
| ウ | 自社と取引先企業との間で授受する情報資産の範囲と具体的な保護方法について，両社間で合意したもの |
| エ | 情報セキュリティに対する組織の意図を示し，方向付けしたもの |
令和5年 問95
情報セキュリティにおける機密性，完全性及び可用性に関する記述のうち，完全性が確保されなかった例だけを全て挙げたものはどれか。
a オペレーターが誤ったデータを入力し，顧客名簿に矛盾が生じた。
b ショッピングサイトがシステム障害で一時的に利用できなかった。
c データベースで管理していた顧客の個人情報が漏えいした。
a オペレーターが誤ったデータを入力し，顧客名簿に矛盾が生じた。
b ショッピングサイトがシステム障害で一時的に利用できなかった。
c データベースで管理していた顧客の個人情報が漏えいした。
| ア | a |
|---|---|
| イ | a，b |
| ウ | b |
| エ | c |
令和4年 問72
情報セキュリティにおける機密性，完全性及び可用性と，①〜③のインシデントによって損なわれたものとの組合せとして，適切なものはどれか。
① DDoS攻撃によって，Webサイトがダウンした。
② キーボードの打ち間違いによって，不正確なデータが入力された。
③ PCがマルウェアに感染したことによって，個人情報が漏えいした。
① DDoS攻撃によって，Webサイトがダウンした。
② キーボードの打ち間違いによって，不正確なデータが入力された。
③ PCがマルウェアに感染したことによって，個人情報が漏えいした。
| ① | ② | ③ | |
| ア | 可用性 | 完全性 | 機密性 |
| イ | 可用性 | 機密性 | 完全性 |
| ウ | 完全性 | 可用性 | 機密性 |
| エ | 完全性 | 機密性 | 可用性 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
情報セキュリティの3要素はそれぞれ
▼ 機密性 … 権限のある人物だけが情報に触れられる性質
▼ 完全性 … 内容が保たれ、破損、喪失、改竄、すり替えなどされていない性質
▼ 可用性 … 必要なときに情報にアクセスできる性質
という意味があります。
① Webサイトがダウンすると必要なときに情報に触れられなくなるため、可用性が損なわれています。
② データ入力の内容を誤ると情報が不正確になるため、完全性が損なわれています。
③ 個人情報が漏洩すると本来権限のない者が情報を閲覧できるため、機密性が損なわれています。
以上を組み合わせた「ア」が正解です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
情報セキュリティの3要素はそれぞれ
▼ 機密性 … 権限のある人物だけが情報に触れられる性質
▼ 完全性 … 内容が保たれ、破損、喪失、改竄、すり替えなどされていない性質
▼ 可用性 … 必要なときに情報にアクセスできる性質
という意味があります。
① Webサイトがダウンすると必要なときに情報に触れられなくなるため、可用性が損なわれています。
② データ入力の内容を誤ると情報が不正確になるため、完全性が損なわれています。
③ 個人情報が漏洩すると本来権限のない者が情報を閲覧できるため、機密性が損なわれています。
以上を組み合わせた「ア」が正解です。
令和4年 問76
情報セキュリティのリスクマネジメントにおけるリスク対応を，リスク回避，リスク共有，リスク低滅及びリスク保有の四つに分類するとき，情報漏えい発生時の損害に備えてサイバー保険に入ることはどれに分類されるか。
| ア | リスク回避 |
|---|---|
| イ | リスク共有 |
| ウ | リスク低減 |
| エ | リスク保有 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
サイバー保険を含む保険の仕組みは、対価を払って他社（保険者）にリスクの一部を移すものです。リスクが損害として顕在化したときは、契約に従って保険金を受け取り、損害を保険者に肩代わりしてもらうことができます。正解は「イ」です。
「ア」の「リスク回避」は、事業を中止するなど、リスクの原因自体を消し去ってしまう措置を指します。
「ウ」の「リスク低減」は、データのバックアップを取るなど、損害の確率や程度を下げる措置を指します。
「エ」の「リスク保有」は、確率が極めて低い場合などに、何もせずリスクを甘んじて受け入れることを指します。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
サイバー保険を含む保険の仕組みは、対価を払って他社（保険者）にリスクの一部を移すものです。リスクが損害として顕在化したときは、契約に従って保険金を受け取り、損害を保険者に肩代わりしてもらうことができます。正解は「イ」です。
「ア」の「リスク回避」は、事業を中止するなど、リスクの原因自体を消し去ってしまう措置を指します。
「ウ」の「リスク低減」は、データのバックアップを取るなど、損害の確率や程度を下げる措置を指します。
「エ」の「リスク保有」は、確率が極めて低い場合などに、何もせずリスクを甘んじて受け入れることを指します。
令和4年 問85
情報セキュリティポリシーを，基本方針，対策基準，実施手順の三つの文書で構成したとき，これらに関する説明のうち，適切なものはどれか。
| ア | 基本方針は，対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。 |
|---|---|
| イ | 実施手順は，基本方針と対策基準を定めるために実施した作業の手順を記録したものである。 |
| ウ | 対策基準は，ISMSに準拠した情報セキュリティポリシーを策定するための文書の基準を示したものである。 |
| エ | 対策基準は，情報セキュリティ事故が発生した後の対策を実施手順よりも詳しく記述したものである。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
「ア」… 正解。基本方針は、対策基準や実施手順を定めるためのトップマネジメントの意思を示すものです。
「イ」… 不適切。実施手順は、基本方針や対策基準を策定するために実施した作業の手順を記録したものではなく、基本方針や対策基準に基づいて実際に行うべき手順を示すものです。
「ウ」… 不適切。対策基準は情報セキュリティポリシーを策定するための文書の基準を示すものではなく、基本方針に基づいて組織内でどのような対策を行うのか全体的なルールを示すものです。
「エ」… 不適切。対策基準はセキュリティ対策に関する基準を示すものであり、情報セキュリティ事故が発生した後の対策は実施手順に詳述されるべき内容です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
「ア」… 正解。基本方針は、対策基準や実施手順を定めるためのトップマネジメントの意思を示すものです。
「イ」… 不適切。実施手順は、基本方針や対策基準を策定するために実施した作業の手順を記録したものではなく、基本方針や対策基準に基づいて実際に行うべき手順を示すものです。
「ウ」… 不適切。対策基準は情報セキュリティポリシーを策定するための文書の基準を示すものではなく、基本方針に基づいて組織内でどのような対策を行うのか全体的なルールを示すものです。
「エ」… 不適切。対策基準はセキュリティ対策に関する基準を示すものであり、情報セキュリティ事故が発生した後の対策は実施手順に詳述されるべき内容です。
令和4年 問86
| ア | 受容基準と比較できるように，各リスクのレベルを決定する必要がある。 |
|---|---|
| イ | 全ての情報資産を分析の対象にする必要がある。 |
| ウ | 特定した全てのリスクについて，同じ分析技法を用いる必要がある。 |
| エ | リスクが受容可能かどうかを決定する必要がある。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
リスクアセスメントは、情報セキュリティにおけるリスクを管理するための重要なプロセスです。一般的に次の3つのプロセスを順番に実施します。
① リスク特定：潜在的なリスクを識別し、どの情報資産が脅威にさらされる可能性があるかを明確にします。
② リスク分析：特定されたリスクの発生確率や影響度を分析し、リスクのレベルを評価します。
③ リスク評価：分析結果に基づいてリスクが許容可能かどうかを判断し、必要な対策を決定します。
「ア」… 正解。リスク分析の段階では、各リスクのレベル（例えば、影響度や発生確率）を決定し、それを受容基準と比較する必要があります。受容基準は、リスクがどの程度まで受け入れ可能かを示す基準です。
「イ」… 不適切。リスク分析の対象はすべての情報資産に対して行う必要はありません。リスク分析は、特に重要な情報資産や、リスクが大きいと思われる資産に対して実施することが一般的です。
「ウ」… 不適切。特定したリスクについて同じ分析技法を用いることは必須ではありません。リスク分析には、定性的手法や定量的手法があり、リスクの種類や状況に応じて適切な分析技法を選択することが重要です。
「エ」… 不適切。「リスクが受容可能かどうかを決定する」ことは、リスク評価の段階で行うことであり、リスク分析の段階ではリスクのレベルを決定し、その後、リスク評価で受容可能かどうかを判断します。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
リスクアセスメントは、情報セキュリティにおけるリスクを管理するための重要なプロセスです。一般的に次の3つのプロセスを順番に実施します。
① リスク特定：潜在的なリスクを識別し、どの情報資産が脅威にさらされる可能性があるかを明確にします。
② リスク分析：特定されたリスクの発生確率や影響度を分析し、リスクのレベルを評価します。
③ リスク評価：分析結果に基づいてリスクが許容可能かどうかを判断し、必要な対策を決定します。
「ア」… 正解。リスク分析の段階では、各リスクのレベル（例えば、影響度や発生確率）を決定し、それを受容基準と比較する必要があります。受容基準は、リスクがどの程度まで受け入れ可能かを示す基準です。
「イ」… 不適切。リスク分析の対象はすべての情報資産に対して行う必要はありません。リスク分析は、特に重要な情報資産や、リスクが大きいと思われる資産に対して実施することが一般的です。
「ウ」… 不適切。特定したリスクについて同じ分析技法を用いることは必須ではありません。リスク分析には、定性的手法や定量的手法があり、リスクの種類や状況に応じて適切な分析技法を選択することが重要です。
「エ」… 不適切。「リスクが受容可能かどうかを決定する」ことは、リスク評価の段階で行うことであり、リスク分析の段階ではリスクのレベルを決定し、その後、リスク評価で受容可能かどうかを判断します。
令和3年 問67
ISMSにおける情報セキュリティに関する次の記述中のa，bに入れる字句の適切な組合せはどれか。
情報セキュリティとは，情報の機密性，完全性及び [ a ] を維持することである。さらに，真正性，責任追跡性，否認防止， [ b ] などの特性を維持することを含める場合もある。
情報セキュリティとは，情報の機密性，完全性及び [ a ] を維持することである。さらに，真正性，責任追跡性，否認防止， [ b ] などの特性を維持することを含める場合もある。
| a | b | |
| ア | 可用性 | 信頼性 |
| イ | 可用性 | 保守性 |
| ウ | 保全性 | 信頼性 |
| エ | 保全性 | 保守性 |
令和3年 問77
PDCAモデルに基づいてISMSを運用している組織の活動において，リスクマネジメントの活動状況の監視の結果などを受けて，是正や改善措置を決定している。この作業は，PDCAモデルのどのプロセスで実施されるか。
| ア | P |
|---|---|
| イ | D |
| ウ | C |
| エ | A |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
PDCAモデルは、活動を計画（Plan）→実行（Do）→評価（Check）→改善（Action）を一つの周期とする反復的な取り組みとして展開する手法です。是正や改善措置の決定は最後の「A」（Action）で行われる取り組みです。「エ」が正解です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
PDCAモデルは、活動を計画（Plan）→実行（Do）→評価（Check）→改善（Action）を一つの周期とする反復的な取り組みとして展開する手法です。是正や改善措置の決定は最後の「A」（Action）で行われる取り組みです。「エ」が正解です。
令和3年 問79
中小企業の情報セキュリティ対策普及の加速化に向けて，IPAが創設した制度である“SECURITY ACTION”に関する記述のうち，適切なものはどれか。
| ア | ISMS認証取得に必要な費用の一部を国が補助する制度 |
|---|---|
| イ | 営利を目的としている組織だけを対象とした制度 |
| ウ | 情報セキュリティ対策に取り組むことを自己宣言する制度 |
| エ | 情報セキュリティ対策に取り組んでいることを第三者が認定する制度 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
「SECURITY ACTION」は中小企業などが公開されているチェックリストなどに基づいてセキュリティ診断を行い、対策に取り組んでいることを自己宣言する制度です。「ウ」が正解です。
「ア」… 補助金を支給する制度ではありません。
「イ」… 学校法人やNPO法人など非営利団体が取り組んでも構いません。
「エ」… 第三者が認定する制度ではありません。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
「SECURITY ACTION」は中小企業などが公開されているチェックリストなどに基づいてセキュリティ診断を行い、対策に取り組んでいることを自己宣言する制度です。「ウ」が正解です。
「ア」… 補助金を支給する制度ではありません。
「イ」… 学校法人やNPO法人など非営利団体が取り組んでも構いません。
「エ」… 第三者が認定する制度ではありません。
令和3年 問81
J-CRATに関する記述として，適切なものはどれか。
| ア | 企業などに対して，24時間体制でネットワークやデバイスを監視するサービスを提供する。 |
|---|---|
| イ | コンピュータセキュリティに関わるインシデントが発生した組織に赴いて，自らが主体となって対応の方針や手順の策定を行う。 |
| ウ | 重工，重電など，重要インフラで利用される機器の製造業者を中心に，サイバ一攻撃に関する情報共有と早期対応の場を提供する。 |
| エ | 相談を受けた組織に対して，標的型サイバー攻撃の被害低減と攻撃の連鎖の遮断を支援する活動を行う。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
「J-CRAT」は「サイバーレスキュー隊」とも呼ばれ、サイバー攻撃を受けた企業や公的機関などからの相談を受け付け、被害の拡大防止のための支援活動を行う組織です。情報処理推進機構（IPA）内の部局として運営されています。「エ」が正解です。
「ア」は「SOCサービス」（Security Operation Center）の説明です。
「イ」は「CSIRT」（Computer Security Incident Response Team）の説明です。
「ウ」は「J-CSIP」（サイバー情報共有イニシアティブ）の説明です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
「J-CRAT」は「サイバーレスキュー隊」とも呼ばれ、サイバー攻撃を受けた企業や公的機関などからの相談を受け付け、被害の拡大防止のための支援活動を行う組織です。情報処理推進機構（IPA）内の部局として運営されています。「エ」が正解です。
「ア」は「SOCサービス」（Security Operation Center）の説明です。
「イ」は「CSIRT」（Computer Security Incident Response Team）の説明です。
「ウ」は「J-CSIP」（サイバー情報共有イニシアティブ）の説明です。
令和3年 問88
| ア | リスク対応 |
|---|---|
| イ | リスク特定 |
| ウ | リスク評価 |
| エ | リスク分析 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
リスクアセスメント（risk assessment）とは、企業などで組織的に取り組む将来のリスクに備えるための準備活動のことです。ISMSの定める標準的な手法では、「リスク特定」→「リスク分析」→「リスク評価」の各工程をこの順番で行います。最初に行うのはリスク特定なので「イ」が正解です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
リスクアセスメント（risk assessment）とは、企業などで組織的に取り組む将来のリスクに備えるための準備活動のことです。ISMSの定める標準的な手法では、「リスク特定」→「リスク分析」→「リスク評価」の各工程をこの順番で行います。最初に行うのはリスク特定なので「イ」が正解です。
令和3年 問91
次の作業 a～d のうち，リスクマネジメントにおける，リスクアセスメントに含まれるものだけを全て挙げたものはどれか。
a 脅威や脆弱性などを使って，リスクレベルを決定する。
b リスクとなる要因を特定する。
c リスクに対してどのように対応するかを決定する。
d リスクについて対応する優先順位を決定する。
a 脅威や脆弱性などを使って，リスクレベルを決定する。
b リスクとなる要因を特定する。
c リスクに対してどのように対応するかを決定する。
d リスクについて対応する優先順位を決定する。
| ア | a，b |
|---|---|
| イ | a，b，d |
| ウ | a，c，d |
| エ | c，d |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
リスクアセスメントはリスクを特定し、そのリスクの影響や発生確率を評価し、リスクのレベルを決定する活動です。
「a」… 含まれます。リスクを定量的・定性的に評価し、そのリスクレベルを決定します。この作業はリスク評価の一環です。
「b」… 含まれます。リスクアセスメントの初期段階では、リスクの要因（脅威や脆弱性）を特定することが重要です。
「c」… 含まれません。この作業はリスク対応の一部です。リスクアセスメントの後に行うべきプロセスで、リスクを避ける、軽減する、受け入れる、または転嫁する方法を決定します。
「d」… 含まれます。リスクを評価し、そのリスクの影響度や発生確率に基づいて、リスク対応の優先順位を決定することが必要です。
「a」「b」「d」が含まれるので「イ」が正解です。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
リスクアセスメントはリスクを特定し、そのリスクの影響や発生確率を評価し、リスクのレベルを決定する活動です。
「a」… 含まれます。リスクを定量的・定性的に評価し、そのリスクレベルを決定します。この作業はリスク評価の一環です。
「b」… 含まれます。リスクアセスメントの初期段階では、リスクの要因（脅威や脆弱性）を特定することが重要です。
「c」… 含まれません。この作業はリスク対応の一部です。リスクアセスメントの後に行うべきプロセスで、リスクを避ける、軽減する、受け入れる、または転嫁する方法を決定します。
「d」… 含まれます。リスクを評価し、そのリスクの影響度や発生確率に基づいて、リスク対応の優先順位を決定することが必要です。
「a」「b」「d」が含まれるので「イ」が正解です。
令和3年 問96
情報セキュリティ方針に関する記述として，適切なものはどれか。
| ア | 一度定めた内容は，運用が定着するまで変更してはいけない。 |
|---|---|
| イ | 企業が目指す情報セキュリティの理想像を記載し，その理想像に近づくための活動を促す。 |
| ウ | 企業の情報資産を保護するための重要な事項を記載しているので，社外に非公開として厳重に管理する。 |
| エ | 自社の事業内容，組織の特性及び所有する情報資産の特徴を考慮して策定する。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
「ア」… 不適切。情報セキュリティ方針は、運用の進行に伴い必要に応じて見直し、改善が行われるべきです。
「イ」… 不適切。情報セキュリティ方針は単なる理想像を示すものではなく、実際的で具体的な目標や方針を明確にするものです。
「ウ」… 不適切。基本的には組織内で共有すべきものですが、外部の関係者にも一定程度公開される場合があります。隠さなければならない情報を書くものではありません。
「エ」… 正解。 情報セキュリティ方針は、組織の事業内容や情報資産、組織の特性に合わせて策定するべきです。自社の状況に応じたセキュリティ方針を定めることで、効果的なセキュリティ対策が実施でき、現実的なリスク管理が可能になります。
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
解説 ：
「ア」… 不適切。情報セキュリティ方針は、運用の進行に伴い必要に応じて見直し、改善が行われるべきです。
「イ」… 不適切。情報セキュリティ方針は単なる理想像を示すものではなく、実際的で具体的な目標や方針を明確にするものです。
「ウ」… 不適切。基本的には組織内で共有すべきものですが、外部の関係者にも一定程度公開される場合があります。隠さなければならない情報を書くものではありません。
「エ」… 正解。 情報セキュリティ方針は、組織の事業内容や情報資産、組織の特性に合わせて策定するべきです。自社の状況に応じたセキュリティ方針を定めることで、効果的なセキュリティ対策が実施でき、現実的なリスク管理が可能になります。
令和3年 問99
| ア | リスク対応において，リスクへの対応策を分類したものであり，リスクの顕在化に備えて保険を掛けることは，リスク移転に分類される。 |
|---|---|
| イ | リスク特定において，保有資産の使用目的を分類したものであり，マルウェア対策ソフトのような情報セキュリティ対策で使用される資産は，リスク低減に分類される。 |
| ウ | リスク評価において，リスクの評価方法を分類したものであり，管理対象の資産がもつリスクについて，それを回避することが可能かどうかで評価することは，リスク回避に分類される。 |
| エ | リスク分析において，リスクの分析手法を分類したものであり，管理対象の資産がもつ脆弱性を客観的な数値で表す手法は，リスク保有に分類される。 |
令和2年秋期 問68
| ア | 移転 |
|---|---|
| イ | 回避 |
| ウ | 低減 |
| エ | 保有 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和2年秋期 問69
ISMSの確立，実施，維持及び継続的改善における次の実施項目のうち，最初に行うものはどれか。
| ア | 情報セキュリティリスクアセスメント |
|---|---|
| イ | 情報セキュリティリスク対応 |
| ウ | 内部監査 |
| エ | 利害関係者のニーズと期待の理解 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和2年秋期 問87
ISMSにおける情報セキュリティに関する次の記述中のa，bに入れる字句の適切な組合せはどれか。
情報セキュリティとは，情報の機密性， [ a ] 及び可用性を維持することである。さらに， [ b ] ，責任追跡性，否認防止，信頼性などの特性を維持することを含める場合もある。
情報セキュリティとは，情報の機密性， [ a ] 及び可用性を維持することである。さらに， [ b ] ，責任追跡性，否認防止，信頼性などの特性を維持することを含める場合もある。
| a | b | |
| ア | 完全性 | 真正性 |
| イ | 完全性 | 保守性 |
| ウ | 保全性 | 真正性 |
| エ | 保全性 | 保守性 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和2年秋期 問89
| ア | 運用状況の監視や運用結果の測定及び評価で明らかになった不備などについて，見直しと改善策を決定する。 |
|---|---|
| イ | 運用状況の監視や運用結果の測定及び評価を行う。 |
| ウ | セキュリティポリシの策定や組織内の体制の確立，セキュリティポリシで定めた目標を達成するための手順を策定する。 |
| エ | セキュリティポリシの周知徹底やセキュリティ装置の導入などを行い，具体的に運用する。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和2年秋期 問94
IoTデバイス群とそれらを管理するIoTサーバで構成されるIoTシステムがある。このシステムの情報セキュリティにおける①～③のインシデントと，それによって損なわれる，機密性，完全性及び可用性との組合せとして，適切なものはどれか。
〔インシデント〕
① IoTデバイスが，電池切れによって動作しなくなった。
② IoTデバイスとIoTサーバ間の通信を暗号化していなかったので，情報が漏えいした。
③ システムの不具合によって，誤ったデータが記録された。
〔インシデント〕
① IoTデバイスが，電池切れによって動作しなくなった。
② IoTデバイスとIoTサーバ間の通信を暗号化していなかったので，情報が漏えいした。
③ システムの不具合によって，誤ったデータが記録された。
| ① | ② | ③ | |
| ア | 可用性 | 完全性 | 機密性 |
| イ | 可用性 | 機密性 | 完全性 |
| ウ | 完全性 | 可用性 | 機密性 |
| エ | 機密性 | 可用性 | 完全性 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和1年秋期 問56
| ア | a， b |
|---|---|
| イ | a， b， c |
| ウ | b， c， d |
| エ | c， d |
令和1年秋期 問68
1年前に作成した情報セキュリティポリシについて，適切に運用されていることを確認するための監査を行った。この活動はPDCAサイクルのどれに該当するか。
| ア | P |
|---|---|
| イ | D |
| ウ | C |
| エ | A |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和1年秋期 問84
内外に宣言する最上位の情報セキュリティポリシに記載することとして，最も適切なものはどれか。
| ア | 経営陣が情報セキュリティに取り組む姿勢 |
|---|---|
| イ | 情報資産を守るための具体的で詳細な手順 |
| ウ | セキュリティ対策に掛ける費用 |
| エ | 守る対象とする具体的な個々の情報資産 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和1年秋期 問86
| ア | インターネット上で，特定利用者に対して，機密に属する情報の提供サービスを行っていたが，情報漏えいのリスクを考慮して，そのサービスから撤退する。 |
|---|---|
| イ | 個人情報が漏えいした場合に備えて，保険に加入する |
| ウ | サーバ室には限られた管理者しか入室できず，機器盗難のリスクは低いので，追加の対策は行わない。 |
| エ | ノートPCの紛失，盗難による情報漏えいに備えて，ノートPCのHDDに保存する情報を暗号化する。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和1年秋期 問88
バイオメトリクス認証の例として，適切なものはどれか。
| ア | 本人の手の指の静脈の形で認証する。 |
|---|---|
| イ | 本人の電子証明書で認証する。 |
| ウ | 読みにくい文字列が写った画像から文字を正確に読み取れるかどうかで認証する。 |
| エ | ワンタイムパスワードを用いて認証する。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
令和1年秋期 問97
| ア | 可用性を確保することは，利用者が不用意に情報漏えいをしてしまうリスクを下げることになる。 |
|---|---|
| イ | 完全性を確保する方法の例として，システムや設備を二重化して利用者がいつでも利用できるような環境を維持することがある。 |
| ウ | 機密性と可用性は互いに反する側面をもっているので，実際の運用では両者をバランスよく確保することが求められる。 |
| エ | 機密性を確保する方法の例として，データの滅失を防ぐためのバックアップや誤入力を防ぐための入力チェックがある。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成31年春期 問63
| ア | 業務内容の監査結果に基づいた是正処置として，サーバの監視方法を変更する。 |
|---|---|
| イ | サーバ管理者の業務内容を第三者が客観的に評価する。 |
| ウ | サーバ室内の情報資産を洗い出す。 |
| エ | サーバの動作を定められた運用手順に従って監視する。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成31年春期 問64
| ア | 異なる通信事業者が提供する別回線を加え，2回線でパケットを送受信する。 |
|---|---|
| イ | 受信側でパケットの誤りを検知し訂正する。 |
| ウ | 送信側でウイルス検査を行い，ウイルスが含まれないパケットを送る。 |
| エ | 送信側でパケットを暗号化して送る。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成31年春期 問68
資産A～Dの資産価値，脅威及び脆弱性の評価値が表のとおりであるとき，最優先でリスク対応するべきと評価される資産はどれか。ここで，リスク値は，表の各項目を重み付けせずに掛け合わせることによって算出した値とする。
| 資産名 | 資産価値 | 脅威 | 脆弱性 |
| 資産A | 5 | 2 | 3 |
| 資産B | 6 | 1 | 2 |
| 資産C | 2 | 2 | 5 |
| 資産D | 1 | 5 | 3 |
| ア | 資産A |
|---|---|
| イ | 資産B |
| ウ | 資産C |
| エ | 資産D |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成31年春期 問72
ISMSの導入効果に関する次の記述中の a，b に入れる字句の適切な組合せはどれか。
[ a ] マネジメントプロセスを適用することによって，情報の機密性，[ b ] 及び可用性をバランス良く維持，改善し，[ a ] を適切に管理しているという信頼を利害関係者に与える。
[ a ] マネジメントプロセスを適用することによって，情報の機密性，[ b ] 及び可用性をバランス良く維持，改善し，[ a ] を適切に管理しているという信頼を利害関係者に与える。
| a | b | |
| ア | 品質 | 完全性 |
| イ | 品質 | 妥当性 |
| ウ | リスク | 完全性 |
| エ | リスク | 妥当性 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成31年春期 問85
情報セキュリティポリシを，基本方針，対策基準及び実施手順の三つの文書で構成したとき，これらに関する説明のうち，適切なものはどれか。
| ア | 基本方針は，経営者が作成した対策基準や実施手順に従って，従業員が策定したものである。 |
|---|---|
| イ | 基本方針は，情報セキュリティ事故が発生した場合に，経営者が取るべき行動を記述したマニュアルのようなものである。 |
| ウ | 実施手順は，対策基準として決められたことを担当者が実施できるように，具体的な進め方などを記述したものである。 |
| エ | 対策基準は，基本方針や実施手順に何を記述すべきかを定めて，関係者に周知しておくものである。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年秋期 問61
PDCAモデルに基づいてISMSを運用している組織において，運用しているサーバのソフトウェアに対する最新の修正プログラムの有無を，定められた運用手順に従って毎日調べる業務は，PDCAのどのフェーズか。
| ア | P（Plan） |
|---|---|
| イ | D（Do） |
| ウ | C（Check） |
| エ | A（Act） |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年秋期 問68
| ア | PCやサーバに侵入したウイルスを，感染拡大のリスクを抑えながら駆除する。 |
|---|---|
| イ | 識別された資産に対するリスクを分析，評価し，基準に照らして対応が必要かどうかを判断する。 |
| ウ | 事前に登録された情報を使って，システムの利用者が本人であることを確認する。 |
| エ | 情報システムの導入に際し，費用対効果を算出する。 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年秋期 問70
| ア | 個人情報を取り扱う事業者が守るべき義務を規定するものである。 |
|---|---|
| イ | 情報管理者が情報セキュリティを確保するために実施する具体的な手順を示すものである。 |
| ウ | 情報セキュリティに対する組織の意図を示し，方向付けをするものである。 |
| エ | 保護すべき情報を管理しているサーバのセキュリティの設定値を規定するものである。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年秋期 問78
情報セキュリティ対策において，情報を保護レベルによって分類して管理するとき，管理方法として，適切なものだけを全て挙げたものはどれか。
a 情報に付与した保護レベルは，廃棄するまで変更しない。
b 情報の取扱い手順は，保護レベルごとに定める。
c 情報の保護レベルは，組織が作成した基準によって決める。
d 保護レベルで管理する対象は，電子データとそれを保存した保存媒体に限定する。
a 情報に付与した保護レベルは，廃棄するまで変更しない。
b 情報の取扱い手順は，保護レベルごとに定める。
c 情報の保護レベルは，組織が作成した基準によって決める。
d 保護レベルで管理する対象は，電子データとそれを保存した保存媒体に限定する。
| ア | a，c |
|---|---|
| イ | a，d |
| ウ | b，c |
| エ | b，d |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年秋期 問82
| ア | サーバをデュプレックスシステムで構成して運用する。 |
|---|---|
| イ | システムの稼働率の向上策を検討する。 |
| ウ | システムの利用開始時にユーザ認証を求める。 |
| エ | 情報の改ざんを防止する対策を施す。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年秋期 問99
ISMSにおける情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。
a あらかじめ定めた基準によって，分析したリスクの優先順位付けを行う。
b 保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。
c リスクが顕在化したときに，対応を実施するかどうかを判断するための基準を定める。
a あらかじめ定めた基準によって，分析したリスクの優先順位付けを行う。
b 保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。
c リスクが顕在化したときに，対応を実施するかどうかを判断するための基準を定める。
| ア | a |
|---|---|
| イ | a，b |
| ウ | b |
| エ | c |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年春期 問61
| ア | セキュリティ対策を行って，問題発生の可能性を下げること |
|---|---|
| イ | 特段の対応は行わずに，損害発生時の負担を想定しておくこと |
| ウ | 保険などによってリスクを他者などに移すこと |
| エ | 問題の発生要因を排除してリスクが発生する可能性を取り去ること |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年春期 問70
| ア | 異なる情報資産について，脅威と脆弱性のレベルが同じであれば，その資産価値が小さいほどリスク値は大きくなる。 |
|---|---|
| イ | システムの規模や重要度にかかわらず，全てのリスクを詳細に分析しなければならない。 |
| ウ | 電子データは分析の対象とするが，紙媒体のデータは対象としない。 |
| エ | リスクの内容は業界や業種によって異なることから，対象とする組織に適した分析手法を用いる。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年春期 問82
JPCERTコーディネーションセンターと情報処理推進機構（IPA）が共同運営するJVN（Japan Vulnerability Notes）で，“JVN#12345678”などの形式の識別子を付けて管理している情報はどれか。
| ア | OSSのライセンスに関する情報 |
|---|---|
| イ | ウイルス対策ソフトの定義ファイルの最新バージョン情報 |
| ウ | 工業製品や測定方法などの規格 |
| エ | ソフトウェアなどの脆弱性関連情報とその対策 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年春期 問90
情報セキュリティマネジメントがPDCAサイクルに基づくとき，Cに相当するものはどれか。
| ア | 情報セキュリティの目的，プロセス，手順の確立を行う。 |
|---|---|
| イ | 評価に基づいた是正及び予防措置によって改善を行う。 |
| ウ | プロセス及び手順の導入，運用を行う。 |
| エ | プロセスの効果を測定し，結果の評価を行う。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成30年春期 問93
| ア | 企業の現状とは切り離して，目標とする理想形を記述するのがよい。 |
|---|---|
| イ | 周知は情報セキュリティ担当者だけに限定するのがよい。 |
| ウ | トップマネジメントが確立しなければならない。 |
| エ | 適用範囲が企業全体であっても，部門単位で制定するのがよい。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年秋期 問57
| ア | リスク対応 → リスク評価 → リスク分析 |
|---|---|
| イ | リスク評価 → リスク分析 → リスク対応 |
| ウ | リスク分析 → リスク対応 → リスク評価 |
| エ | リスク分析 → リスク評価 → リスク対応 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年秋期 問68
| ア | 同じ業種であれば記述内容は同じである。 |
|---|---|
| イ | 全社共通のPCの設定ルールを定めたものである。 |
| ウ | トップマネジメントが確立しなければならない。 |
| エ | 部門ごとに最適化された情報セキュリティ方針を，個別に策定する。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年秋期 問77
PDCAモデルに基づいてISMSを運用している組織において，サーバ運用管理手順書に従って定期的に，“ウイルス検知用の定義ファイルを最新版に更新する”作業を実施している。この作業は，PDCAモデルのどのプロセスで実施されるか。
| ア | P |
|---|---|
| イ | D |
| ウ | C |
| エ | A |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年秋期 問80
ISMS適合性評価制度において，組織がISMS認証を取得していることから判断できることだけを全て挙げたものはどれか。
a 組織が運営するWebサイトを構成しているシステムには脆弱性がないこと
b 組織が情報資産を適切に管理し，それを守るための取組みを行っていること
c 組織が提供する暗号モジュールには，暗号化機能，署名機能が適切に実装されていること
a 組織が運営するWebサイトを構成しているシステムには脆弱性がないこと
b 組織が情報資産を適切に管理し，それを守るための取組みを行っていること
c 組織が提供する暗号モジュールには，暗号化機能，署名機能が適切に実装されていること
| ア | a |
|---|---|
| イ | b |
| ウ | b，c |
| エ | c |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年秋期 問90
次の情報セキュリティに係る事象において，機密性，完全性及び可用性のうち，損なわれたものだけを全て挙げたものはどれか。
職場のファイルサーバにおいて，サーバ上のファイルを全て暗号化して保存していたが，サーバがウイルスに感染し，一部のファイルが削除されてしまった。ウイルスの駆除とファイルの復旧に数時間を要し，その間は業務が行えない状態となり，利用者に迷惑をかけてしまった。
職場のファイルサーバにおいて，サーバ上のファイルを全て暗号化して保存していたが，サーバがウイルスに感染し，一部のファイルが削除されてしまった。ウイルスの駆除とファイルの復旧に数時間を要し，その間は業務が行えない状態となり，利用者に迷惑をかけてしまった。
| ア | 機密性 |
|---|---|
| イ | 機密性，完全性 |
| ウ | 完全性，可用性 |
| エ | 可用性 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年春期 問60
| ア | コンピュータウイルス |
|---|---|
| イ | ソーシャルエンジニアリング |
| ウ | 通信データの盗聴 |
| エ | 不適切なパスワード管理 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年春期 問62
ISMSに関するトップマネジメントの考え方や基本原理を示す公式な文書はどれか。
| ア | 情報セキュリティ監査基準 |
|---|---|
| イ | 情報セキュリティ実施手順 |
| ウ | 情報セキュリティ対策基準 |
| エ | 情報セキュリティ方針 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年春期 問63
| ア | 組織に存在するリスクを洗い出す。 |
|---|---|
| イ | リスクの大きさとリスク受容基準を比較して，対策実施の必要性を判断する。 |
| ウ | リスクの発生確率と影彗度から，リスクの大きさを算定する。 |
| エ | リスクヘの対処方法を選択し，具体的な管理策の計画を立てる。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年春期 問65
| ア | ディジタルサイネージ |
|---|---|
| イ | ディジタルフォレンジックス |
| ウ | 電子証明書 |
| エ | バイオメトリクス認証 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年春期 問67
情報の漏えいなどのセキュリティ事故が発生したときに，被害の拡大を防止する活動を行う組織はどれか。
| ア | CSIRT |
|---|---|
| イ | ISMS |
| ウ | MVNO |
| エ | ディジタルフォレンジックス |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年春期 問75
ISMSの“計画”，“運用”，“パフォーマンス評価”及び“改善”において，“パフォーマンス評価”で実施するものはどれか。
| ア | 情報セキュリティリスクアセスメント |
|---|---|
| イ | 内部監査 |
| ウ | 不適合の是正処置 |
| エ | リスクの決定 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年春期 問79
| ア | データにディジタル署名を付与する。 |
|---|---|
| イ | データを暗号化する。 |
| ウ | ハードウェアを二重化する。 |
| エ | 負荷分散装置を導入する。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年春期 問83
ISMSにおける情報セキュリティリスクの特定に関する記述において，a，bに入れる字句の適切な組合せはどれか。
ISMSの [ a ] における情報の機密性， [ b ] 及び可用性の喪失に伴うリスクを特定する。
ISMSの [ a ] における情報の機密性， [ b ] 及び可用性の喪失に伴うリスクを特定する。
| a | b | |
| ア | 適用範囲外 | 完全性 |
| イ | 適用範囲外 | 脆弱性 |
| ウ | 適用範囲内 | 完全性 |
| エ | 適用範囲内 | 脆弱性 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年春期 問95
あるWebサイトからIDとパスワードが漏えいし，そのWebサイトの利用者が別のWebサイトで，パスワードリスト攻撃の被害に遭ってしまった。このとき，Webサイトで使用していたIDとパスワードに関する問題点と思われる記述はどれか。
| ア | IDとパスワードを暗号化されていない通信を使ってやり取りしていた。 |
|---|---|
| イ | 同じIDと同じパスワードを設定していた。 |
| ウ | 種類が少ない文字を組み合わせたパスワードを設定していた。 |
| エ | 短いパスワードを設定していた。 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成29年春期 問98
社外秘の情報が記録されている媒体などを情報漏えいが起こらないように廃棄する方法として，適切なものはどれか。
| ア | CDやDVDは，破砕してから廃棄する。 |
|---|---|
| イ | PCの場合は，CPUを破壊してから廃棄する。 |
| ウ | USBメモリの場合は，ファイルとフォルダを削除してから廃棄する。 |
| エ | 紙の資料は，メモ用紙などに利用せず，密封して一般のゴミと一緒に廃棄する。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成28年秋期 問62
| ア | セキュリティ対策を行って，問題発生の可能性を下げた。 |
|---|---|
| イ | 問題発生時の損害に備えて，保険に入った。 |
| ウ | リスクが小さいことを確認し，問題発生時は損害を負担することにした。 |
| エ | リスクの大きいサービスから撤退した。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成28年秋期 問87
| ア | 暗号化して送信した電子メールが第三者に盗聴された。 |
|---|---|
| イ | オペレータが誤ってデータ入力し，顧客名簿に矛盾が生じた。 |
| ウ | ショッピングサイトがシステム障害で一時的に利用できなかった。 |
| エ | データベースで管理していた顧客の個人情報が漏えいした。 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成28年秋期 問89
A社では，自社の情報資産に関するリスク分析を実施した結果，近くの川が氾濫することで会社の1階にあるサーバルームが浸水するおそれがあることが分かった。サーバルームの移転も検討したが，川は100年前に1度氾濫したきりで，その可能性はほとんどないと判断し，特に対策は講じないことを経営層が決定した。A社が選択した情報セキュリティのリスク対応はどれか。
| ア | リスクの移転 |
|---|---|
| イ | リスクの回避 |
| ウ | リスクの受容 |
| エ | リスクの低減 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成28年秋期 問96
情報セキュリティにおけるリスクマネジメントに関して，次の記述中の a〜c に入れる字句の適切な組合せはどれか。
情報セキュリティにおいて，組織がもつ情報資産の [ a ] を突く [ b ] によって，組織が損害を被る可能性のことを [ c ] という。
情報セキュリティにおいて，組織がもつ情報資産の [ a ] を突く [ b ] によって，組織が損害を被る可能性のことを [ c ] という。
| a | b | c | |
| ア | 脅威 | リスク | 脆弱性 |
| イ | 脆弱性 | 脅威 | リスク |
| ウ | リスク | 脅威 | 脆弱性 |
| エ | リスク | 脆弱性 | 脅威 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成28年春期 問65
顧客の氏名，住所などが記載された住所録の取扱い a〜d のうち，個人情報保護の観点から適切なものだけを全て挙げたものはどれか。
a 顧客から本人の登録内容の確認希望があっても，情報の保護を理由に開示しない。
b 住所録から全員の氏名と住所を抽出した一覧を作成し，それを顧客全員に配布して誤りがないことを確認してもらう。
c 住所録のデータを書き込んだCD-ROMを破棄するときには破砕する。
d 住所録のデータをファイルに保存するときには暗号化する。
a 顧客から本人の登録内容の確認希望があっても，情報の保護を理由に開示しない。
b 住所録から全員の氏名と住所を抽出した一覧を作成し，それを顧客全員に配布して誤りがないことを確認してもらう。
c 住所録のデータを書き込んだCD-ROMを破棄するときには破砕する。
d 住所録のデータをファイルに保存するときには暗号化する。
| ア | a，c，d |
|---|---|
| イ | a，d |
| ウ | b，c |
| エ | c，d |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成28年春期 問73
情報セキュリティマネジメントシステムを構築した企業において，情報セキュリティ方針を改訂したことを周知する範囲として，適切なものはどれか。
| ア | 機密情報を扱う部署の従業員 |
|---|---|
| イ | 経営者 |
| ウ | 全ての従業員及び関連する外部関係者 |
| エ | セキュリティ管理者 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成28年春期 問77
| ア | セキュリティ対策を行って，問題発生の可能性を下げた。 |
|---|---|
| イ | 問題発生時の損害に備えて，保険に入った。 |
| ウ | リスクが小さいことを確認し，問題発生時は損害を負担することにした。 |
| エ | リスクの大きいサービスから撤退した。 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成28年春期 問83
| ア | 機密情報のコピーが格納されたUSBメモリが盗難にあった。 |
|---|---|
| イ | 顧客情報管理システムの顧客情報が誤った内容のまま運用されていた。 |
| ウ | 社内のサーバに不正侵入されて，社外秘の情報が漏えいした。 |
| エ | 取引先との電子決済システムがDoS攻撃を受け，処理ができなくなった。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成28年春期 問91
ISMS適合性評価制度に関する次の記述中のa，bに入れる字句の適切な組合せはどれか。
企業などの組織において，[ a ] マネジメントシステムが適切に構築，運用され，ISMS認証基準の要求事項に適合していることを [ b ] が審査して認証する制度である。
企業などの組織において，[ a ] マネジメントシステムが適切に構築，運用され，ISMS認証基準の要求事項に適合していることを [ b ] が審査して認証する制度である。
| a | b | |
| ア | 個人情報保護 | 組織内の監査を行う部署 |
| イ | 個人情報保護 | 特定の第三者機関 |
| ウ | 情報セキュリティ | 組織内の監査を行う部署 |
| エ | 情報セキュリティ | 特定の第三者機関 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成27年秋期 問49
リスクマネジメントを推進するために，リスクマネジメントシステムの導入のための実行計画を最初に策定した。その後に行う活動を次の a〜c に分けて行うとき，
PDCAサイクルに従った実施順序として，適切なものはどれか。
a 実行計画に従ってリスク対策を実施する。
b 実施の効果を測定し，リスクマネジメントシステムの有効性を評価する。
c リスクマネジメントシステムに関する是正·改善措置を実施する。
PDCAサイクルに従った実施順序として，適切なものはどれか。
a 実行計画に従ってリスク対策を実施する。
b 実施の効果を測定し，リスクマネジメントシステムの有効性を評価する。
c リスクマネジメントシステムに関する是正·改善措置を実施する。
| ア | a → b → c |
|---|---|
| イ | a → c → b |
| ウ | c → a → b |
| エ | c → b → a |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成27年秋期 問62
| ア | 情報セキュリティ方針は，トップマネジメントが確立しなければならない。 |
|---|---|
| イ | 情報セキュリティ方針は，社外に公表してはならない。 |
| ウ | 一度制定した情報セキュリティ方針は変更できない。 |
| エ | 個人情報や機密情報を扱わない従業者には，情報セキュリティ方針を周知しなくてもよい。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成27年秋期 問69
PDCAモデルに基づいてISMSを運用している組織において，始業時の手順に従って業務用PCに適用されていないセキュリティパッチの有無を確認し，必要なパッチを適用している。この活動はPDCAサイクルのうちどれに該当するか。
| ア | P |
|---|---|
| イ | D |
| ウ | C |
| エ | A |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成27年秋期 問80
ISMSに関する記述のうち，適切なものはどれか。
| ア | ISMSのマネジメントサイクルは，セキュリティ事故が発生した時点で開始し，セキュリティ事故が収束した時点で終了する。 |
|---|---|
| イ | ISMSの構築，運用は，組織全体ではなく，必ず部門ごとに行う。 |
| ウ | ISMSを構築する組織は，保護すべき情報資産を特定し，リスク対策を決める。 |
| エ | 情報セキュリティ方針は，具体的なセキュリティ対策が記述されたものである。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成27年秋期 問84
社員に対する情報セキュリティ教育の実施に関する記述 a〜d のうち，適切なものだけを全て挙げたものはどれか。
a 情報セキュリティ違反をした者に対する再教育に当たっては，同じ過ちを繰り返さないための予防処置も含める。
b 新入社員に対する研修プログラムに組み込む。
c 対象は情報システム部門に所属する社員に限定する。
d 定期的な実施に加えて，情報セキュリティに関わる事件や事故が発生した後にも実施する。
a 情報セキュリティ違反をした者に対する再教育に当たっては，同じ過ちを繰り返さないための予防処置も含める。
b 新入社員に対する研修プログラムに組み込む。
c 対象は情報システム部門に所属する社員に限定する。
d 定期的な実施に加えて，情報セキュリティに関わる事件や事故が発生した後にも実施する。
| ア | a，b，d |
|---|---|
| イ | a，c，d |
| ウ | a，d |
| エ | b，c |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成27年春期 問47
| ア | 情報セキュリティポリシ |
|---|---|
| イ | 情報セキュリティマネジメントシステム |
| ウ | ソーシャルエンジニアリング |
| エ | リスクアセスメント |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成27年春期 問53
| ア | セキュリティ対策を行って，問題発生の可能性を下げた。 |
|---|---|
| イ | 問題発生時の損害に備えて，保険に入った。 |
| ウ | リスクが小さいことを確認し，問題発生時は損害を負担することにした。 |
| エ | リスクの大きいサービスから撤退した。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成27年春期 問56
| ア | 可用性，完全性 |
|---|---|
| イ | 可用性，完全性，機密性 |
| ウ | 完全性，機密性 |
| エ | 完全性，機密性，脆弱性 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成27年春期 問75
| ア | P |
|---|---|
| イ | D |
| ウ | C |
| エ | A |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成27年春期 問81
組織の活動に関する記述 a～d のうち，ISMSの特徴として，適切なものだけを全て挙げたものはどれか。
a 一過性の活動でなく改善と活動を継続する。
b 現場が主導するボトムアップ活動である。
c 導入及び活動は経営層を頂点とした組織的な取組みである。
d 目標と期限を定めて活動し，目標達成によって終了する。
a 一過性の活動でなく改善と活動を継続する。
b 現場が主導するボトムアップ活動である。
c 導入及び活動は経営層を頂点とした組織的な取組みである。
d 目標と期限を定めて活動し，目標達成によって終了する。
| ア | a，b |
|---|---|
| イ | a，c |
| ウ | b，d |
| エ | c，d |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成26年秋期 問61
組織で策定する情報セキュリティポリシに関する記述のうち，最も適切なものはどれか。
| ア | 情報セキュリティ基本方針だけでなく，情報セキュリティに関する規則や手順の策定も経営者が行うべきである。 |
|---|---|
| イ | 情報セキュリティ基本方針だけでなく，情報セキュリティに関する規則や手順も社外に公開することが求められている。 |
| ウ | 情報セキュリティに関する規則や手順は組織の状況にあったものにすべきであるが，最上位の情報セキュリティ基本方針は業界標準の雛形をそのまま採用することが求められている。 |
| エ | 組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも，情報セキュリティ基本方針は組織全体で統一させるべきである。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成26年秋期 問67
| ア | データの入力者以外の者が，入力されたデータの正しさをチェックする。 |
|---|---|
| イ | データを外部媒体に保存するときは，暗号化する。 |
| ウ | データを処理するシステムに予備電源を増設する。 |
| エ | ファイルに読出し用パスワードを設定する。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成26年秋期 問78
| ア | P |
|---|---|
| イ | D |
| ウ | C |
| エ | A |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成26年秋期 問83
| ア | 監査の計画書を作成する。 |
|---|---|
| イ | サーバのセキュリティ設定を見直す。 |
| ウ | 全てのサーバの監査用ログの所在を確認する。 |
| エ | 脆弱性検査ツールを利用して，サーバの脆弱性を確認する。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成26年春期 問72
| ア | 脅威の大きさは，資産価値，脆弱性及びリスクの大きさによって決まる。 |
|---|---|
| イ | 資産価値の大きさは，脅威，脆弱性及びリスクの大きさによって決まる。 |
| ウ | 脆弱性の大きさは，資産価値，脅威及びリスクの大きさによって決まる。 |
| エ | リスクの大きさは，資産価値，脅威及び脆弱性の大きさによって決まる。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成26年春期 問75
情報セキュリティポリシに関する文書を，基本方針，対策基準及び実施手順の三つに分けたとき，これらに関する説明のうち，適切なものはどれか。
| ア | 経営層が立てた基本方針を基に，対策基準を策定する。 |
|---|---|
| イ | 現場で実施している実施手順を基に，基本方針を策定する。 |
| ウ | 現場で実施している実施手順を基に，対策基準を策定する。 |
| エ | 組織で規定している対策基準を基に，基本方針を策定する。 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成25年秋期 問56
| ア | リスク特定→リスク評価→リスク分析→リスク対応 |
|---|---|
| イ | リスク特定→リスク分析→リスク評価→リスク対応 |
| ウ | リスク評価→リスク特定→リスク分析→リスク対応 |
| エ | リスク分析→リスク特定→リスク対応→リスク評価 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成25年秋期 問57
ISMSを運用している組織において，退職者が利用していたIDを月末にまとめて削除していたことについて，監査で指摘を受けた。これを是正して退職の都度削除するように改めるのは，ISMSのPDCAサイクルのどれに該当するか。
| ア | P |
|---|---|
| イ | D |
| ウ | C |
| エ | A |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成25年秋期 問75
| ア | 一日の業務の終了時に機密情報のファイルの操作ログを取得し，漏えいの痕跡がないことを確認する。 |
|---|---|
| イ | 機密情報のファイルにアクセスするときに，前回のアクセス日付が適正かどうかを確認する。 |
| ウ | 機密情報のファイルはバックアップを取得し，情報が破壊や改ざんされてもバックアップから復旧できるようにする。 |
| エ | 機密情報のファイルを暗号化し，漏えいしても解読されないようにする。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成25年春期 問71
| ア | 最終責任者は，現場の情報セキュリティ管理担当者の中から選ぶ。 |
|---|---|
| イ | 組織の業務から切り離した単独の活動として行う。 |
| ウ | 組織の全員が役割を分担して，組織全体で取り組む。 |
| エ | 一つのマネジメントシステムの下で各部署に個別の基本方針を定め，各部署が独立して実施する。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成24年秋期 問83
a～c は情報セキュリティ事故の説明である。a～c に直接関連する情報セキュリティの三大要素の組合せとして，適切なものはどれか。
a 営業情報の検索システムが停止し，目的とする情報にアクセスすることができなかった。
b 重要な顧客情報が，競合他社へ漏れた。
c 新製品の設計情報が，改ざんされていた。
a 営業情報の検索システムが停止し，目的とする情報にアクセスすることができなかった。
b 重要な顧客情報が，競合他社へ漏れた。
c 新製品の設計情報が，改ざんされていた。
| a | b | c | |
| ア | 可用性 | 完全性 | 機密性 |
| イ | 可用性 | 機密性 | 完全性 |
| ウ | 完全性 | 可用性 | 機密性 |
| エ | 完全性 | 機密性 | 可用性 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成24年春期 問62
| ア | ISMSの維持及び改善 |
|---|---|
| イ | ISMSの確立 |
| ウ | ISMSの監視及びレビュー |
| エ | ISMSの導入及び運用 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成23年秋期 問80
| ア | システムの動作と出力結果が意図したものであること |
|---|---|
| イ | 情報が正確であり，改ざんされたり破壊されたりしていないこと |
| ウ | 認められた利用者が，必要なときに情報にアクセスできること |
| エ | 認められていないプロセスに対して，情報を非公開にすること |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成23年秋期 問83
情報セキュリティ基本方針の説明として，適切なものはどれか。
| ア | 一度決められた情報セキュリティ基本方針は，ビジネス環境や技術が変化しても変更すべきでない。 |
|---|---|
| イ | 情報セキュリティに関する組織の取組み姿勢を示したものであり，組織のトップによって承認され，公表される。 |
| ウ | セキュリティビジネスを拡大するための重点的な取組みについて，株主や一般に広く公開されるものである。 |
| エ | 組織のセキュリティの考え方に基づいて，具体的なセキュリティ施策について述べたものである。 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成23年春期 問63
情報セキュリティの基本方針に関する記述のうち，適切なものはどれか。
| ア | 機密情報の漏えいを防ぐために，経営上の機密事項とする。 |
|---|---|
| イ | 情報セキュリティに対する組織の取組みを示すもので，経営層が承認する。 |
| ウ | 情報セキュリティの対策基準に基づいて策定する。 |
| エ | パスワードの管理方法や文書の保存方法を具体的に規定する。 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成23年春期 問64
| ア | PCがウイルスに感染し，知らないうちにPC内の情報が流出した。 |
|---|---|
| イ | 空調の故障で温度が上がり，サーバが停止した。 |
| ウ | サーバに不正侵入されて個人情報が盗まれた。 |
| エ | ファイルの中の取引データの金額を誤って更新した。 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成23年春期 問84
| ア | ISMSの運用に対する監査を定期的に行う。 |
|---|---|
| イ | ISMSの基本方針を定義する。 |
| ウ | 従業者に対して，ISMS運用に関する教育と訓練を実施する。 |
| エ | リスクを評価して，対策が必要なリスクとその管理策を決める。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成22年秋期 問53
| ア | DoS攻撃 |
|---|---|
| イ | Webページの改ざん |
| ウ | サーバの各ポートへの順次アクセス |
| エ | ネットワークを流れるデータの盗聴 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成22年秋期 問58
| ア | ISMSの維持及び改善 |
|---|---|
| イ | ISMSの確立 |
| ウ | ISMSの監視及びレビュー |
| エ | ISMSの導入及び運用 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成22年秋期 問76
情報セキュリティポリシに関する考え方のうち，適切なものはどれか。
| ア | いかなる情報資産に対しても，実施する対策の費用は同一であることが望ましい。 |
|---|---|
| イ | 情報セキュリティポリシの構成要素の最上位にある情報セキュリティ基本方針は，経営者を始めとした幹部だけに開示すべきである。 |
| ウ | 情報セキュリティポリシの適用対象としては，社員だけでなく，パートなども含めた全従業者とすべきである。 |
| エ | 情報セキュリティポリシを初めて作成する場合は，同業他社のポリシをサンプルとして，できるだけそのまま利用することが望ましい。 |
答え ： ウ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成22年秋期 問78
情報の“機密性”や“完全性”を維持するために職場で実施される情報セキュリティの活動 a～d のうち，適切なものだけをすべて挙げたものはどれか。
a PCは，始業時から終業時までロックせず常に操作可能な状態にしておく。
b 重要な情報が含まれる資料やCD-Rなどの電子記録媒体は，利用時以外は施錠した棚に保管する。
c ファクシミリで送受信した資料は，トレイに放置せずにすぐに取り去る。
d ホワイトボードへの書込みは，使用後直ちに消す。
a PCは，始業時から終業時までロックせず常に操作可能な状態にしておく。
b 重要な情報が含まれる資料やCD-Rなどの電子記録媒体は，利用時以外は施錠した棚に保管する。
c ファクシミリで送受信した資料は，トレイに放置せずにすぐに取り去る。
d ホワイトボードへの書込みは，使用後直ちに消す。
| ア | a，b |
|---|---|
| イ | a，b，d |
| ウ | b，d |
| エ | b，c，d |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成22年春期 問61
情報セキュリティの文書を詳細化の順に上から並べた場合，①～③に当てはまる用語の組合せとして，適切なものはどれか。
| ① | ② | ③ | |
| ア | 基本方針 | 実施手順 | 対策基準 |
| イ | 基本方針 | 対策基準 | 実施手順 |
| ウ | 対策基準 | 基本方針 | 実施手順 |
| エ | 対策基準 | 実施手順 | 基本方針 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成21年秋期 問56
情報セキュリティポリシに関する記述のうち，適切なものはどれか。
| ア | 企業のセキュリティポリシは，会社法の規定に基づき，株主総会で承認を得なければならない。 |
|---|---|
| イ | 企業のセキュリティポリシは，導入するシステムごとに定義する必要がある。 |
| ウ | セキュリティボリシ策定の要因となっている情報システムの脆弱性を対外的に公表しなければならない。 |
| エ | 目標とするセキュリティレベルを達成するために，遵守すべき行為及び判断についての考え方を明確にすることが必要である。 |
答え ： エ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成21年秋期 問81
システムのアクセスに使用している通信ケーブルを誤って切断した。このとき，情報セキュリティのマネジメント要素のうち，どれが低下したことになるか。
| ア | 可用性 |
|---|---|
| イ | 完全性 |
| ウ | 機密性 |
| エ | 保全性 |
答え ： ア
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
平成21年春期 問54
企業の情報セキュリティポリシの策定及び運用に関する記述のうち，適切なものはどれか。
| ア | 各セキュリティ対策ソフトウェアに設定すべき内容の定義を明確にしなければならない。 |
|---|---|
| イ | 経営トップは情報セキュリティポリシに対する会社の考え方や取組み方について，社員への説明を率先して推進しなければならない。 |
| ウ | 情報セキュリティポリシの策定においては最初に，遵守すべき行為及び判断の基準を策定しなければならない。 |
| エ | 目標とするセキュリティレベルを達成するために，導入する製品を決定しなければならない。 |
答え ： イ
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
分野 ： テクノロジ系 › 技術要素 › セキュリティ › 情報セキュリティ管理
共有ボタンをタップ