ITパスポート最新テクノロジ系「セキュリティ」の用語集

ITパスポート試験（シラバス6.3）　テクノロジ系　セキュリティ　の出題傾向、学習ポイント、重要な用語を説明します。

「セキュリティ」出題傾向
情報セキュリティ
情報セキュリティ管理
情報セキュリティ対策・情報セキュリティ実装技術
まとめ

「セキュリティ」出題傾向

出題数

「セキュリティ」から、19問程度（テクノロジ系45問中）出題されます。

＊令和元年~令和６年過去問題（公開）の平均

平成６年過去問題（公開）では、18問でした。

テクノロジ系の半分は「セキュリティ」の問題！

Ver.○.○の表示について
　用語が初めて掲載されたときの、シラバスのバージョンです。
　Ver.4.0、Ver.5.0は、シラバスの比較的新しい用語です。
　Ver.6.0と同じく要注意用語です。
　表示がないのは、Ver.3以前からシラバスにある用語です。

情報セキュリティ

用語がたくさんあるから、何に関する用語なのか整理して覚えるといいよ。

情報セキュリティ

情報セキュリティは、組織が持つ情報資産（顧客情報や販売情報など）を守るための包括的な保護の取り組みという概念です。

テクノロジ　セキュリティ　情報セキュリティ

サイバー攻撃のモデルについての用語です。

サイバーキルチェーン

シラ外
サイバーキルチェーンは、サイバー攻撃の段階を説明した代表的なモデルの一つです。

サイバー攻撃を7段階に区分して、攻撃者の考え方や行動を理解することを目的としています。

サイバーキルチェーンのいずれかの段階でチェーンを断ち切ることができれば、被害の発生を防ぐことができます。
（情報セキュリティマネジメント　平成31年春午後　問1より）

問題をチェック! R4年問69

テクノロジ　セキュリティ　情報セキュリティ

人の操作によって引き起こされる脅威です。

名称と特徴を覚えましょう。

盗聴

Ver.5.0
盗聴は、ネットワークでやりとりされているデータを、送信者、受信者以外の第三者が盗み取ることです。

盗聴対策は、対象によって異なります。

パスワードの盗聴対策については、暗号化した通信でパスワードを送信する方法があります。
（ITパスポート　平成31年春　問59より）

無線LANの盗聴対策については、セキュリティの設定で、WPA3を選択する方法があります。
（ITパスポート　平成27年春　問74より）

問題をチェック!
セキュ予想1　セキュ予想22

R2年問93

テクノロジ　セキュリティ　情報セキュリティ

ソーシャルエンジニアリング

ソーシャルエンジニアリングは、人間の心理的な隙などを突いて、コンピュータに侵入するための情報を盗み出すことです。

ソーシャルには「社会的な」という意味があります。

ソーシャルエンジニアリングの説明（テクノロジ系セキュリティ61.情報セキュリティ）

問題をチェック!
R6年問73　R5年問89　R4年問91

テクノロジ　セキュリティ　情報セキュリティ

ビジネスメール詐欺

Ver.5.0
BEC (Business E-mail Compromise：ビジネスメール詐欺）

ビジネスメール詐欺とは、海外の取引先や自社の経営者層等になりすまして、偽の電子メールを送って入金を促す詐欺のことです。

問題をチェック! セキュ予想2

テクノロジ　セキュリティ　情報セキュリティ

ダブルエクストーション（二重脅迫）

Ver.6.3
ダブルエクストーション（二重脅迫）とは、ランサムウェアにより暗号化したデータを復旧するための身代金要求に加え、暗号化する前にデータを窃取（せっしゅ）しておき、支払わなければデータを公開する等と二重に脅迫する攻撃方法です。
（事業継続を脅かす新たなランサムウェア攻撃について　～独立行政法人情報処理推進機構セキュリティセンター　より）

テクノロジ　セキュリティ　情報セキュリティ

ダークウェブ

Ver.5.0
ダークウェブには、ドラッグや武器、サイバー攻撃、個人情報等の違法商品を取引するための闇市場サイトの存在し、大きく問題視されています。

アクセスには、匿名性の高い通信を担保する専用のツール（ブラウザ）が必要です。

問題をチェック! R6年問87

テクノロジ　セキュリティ　情報セキュリティ

技術的に引き起こされる脅威です。

名称と特徴を覚えましょう。

マルウェア

マルウェアは、コンピュータウイルス、ワームなどを含む悪意のあるソフトウェアの総称です。
（ITパスポート　平成２5年秋　問77より）

問題をチェック! R4年問100

テクノロジ　セキュリティ　情報セキュリティ

オートラン

シラ外
オートランは、USBメモリなどを装着した際に、その中にある指定されたプログラムなどが自動的に起動される機能のことです。

USBメモリを装着すると自動でマルウェアが実行されるなど、悪用される危険があります。

問題をチェック! R5年問80

テクノロジ　セキュリティ　情報セキュリティ

ファイルレスマルウェア

Ver.6.0
ファイルレスマルウェアは、マルウェアの実行ファイルをパソコンに作らず、不正なコードをレジストリに保存する等の⼿法を使うことで検知を回避する攻撃です。

テクノロジ　セキュリティ　情報セキュリティ

スパイウェア

スパイウェアは、利用者が認識することなくインストールされ、利用者の個人情報やアクセス履歴などの情報を収集するプログラムです。
（ITパスポート　平成29年春　問58より）

テクノロジ　セキュリティ　情報セキュリティ

ランサムウェア

ランサムウェアは、PC内のファイルを暗号化して使用不能にし、復号するためのキーと引換えに金品を要求するソフトウェアです。
（ITパスポート　平成31年春　問94より）

問題をチェック!
R6年問98　R4年問56　R元年問98

テクノロジ　セキュリティ　情報セキュリティ

トロイの木馬

トロイの木馬は、有用なソフトウェアに見せかけて配布された後、バックドアを作ったりウイルスのダウンロードを行うタイプのマルウェアです。

テクノロジ　セキュリティ　情報セキュリティ

RAT

Ver.4.0
RAT( Remote Access Tool)

RATは、特定のPCから重要情報を不正に入手するといった標的型攻撃に利用され、攻撃対象のPCに対して遠隔から操作を行って、ファイルの送受信やコマンドなどを実行させるソフトウェアです。
（ITパスポート　令和3年　問94より）

多くの場合、コンピュータの画面上に表示されることなく、プログラムやデータファイルの実行・停止・削除、ファイルやプログラムのアップロード・ダウンロードなどの活動を、許可なく不正に行います。
(https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/glossary/glossary_11.htmlより）

多くの場合、トロイの木馬型（バックドア型）マルウェア を指します。

問題をチェック! R3年問94　

テクノロジ　セキュリティ　情報セキュリティ

マクロウイルス

マクロウイルスは、Officeアプリケーションなどで動作するマクロ機能を使って作成されたコンピュータウイルスです。

マクロ機能は、ワープロソフトや表計算ソフトなどのアプリケーション上で、頻繁に使用する操作や複雑な操作を自動的に実行できる機能です。

たとえば、数値しか入力されていない表に、罫線や文字の大きさなどを設定して、自動的に整形したり、あるシートから別の集計シートを自動的に作り上げたりすることができます。
（ま行｜用語辞典｜国民のための情報セキュリティサイト (soumu.go.jp)より）

次のような、マクロウイルスの動作例が試験に出題されています。

受信した電子メールに添付されていた文書ファイルを聞いたところ、PCの挙動がおかしくなった。
（ITパスポート　令和2年　問58より）

問題をチェック! R2年問58

テクノロジ　セキュリティ　情報セキュリティ

キーロガー

キーロガーは、キーボード入力を記録する仕組みです。攻撃対象のIDやパスワードなどの個人情報を盗むためのツールとして悪用されています。

テクノロジ　セキュリティ　情報セキュリティ

バックドア

バックドアは、情報ネットワークやサーバにおいて、通常のアクセス経路以外で、侵入者が不正な行為に利用するために設置するものです。
（応用情報　平成21年春午前　問41より）

次のような、バックドアの例が試験に出題されています。

システム内に攻撃者が秘密裏に作成した利用者アカウント
（情報セキュリティマネジメント　平成28年春午前　問27より）

アクセスする際にパスワード認証などの正規の手続が必要なWebサイトに、当該手続を経ないでアクセス可能なURL
（情報セキュリティマネジメント　令和元年秋午前　問21より）

問題をチェック! R5年問73

テクノロジ　セキュリティ　情報セキュリティ

SPAM

Ver.4.0
SPAMは、受信者の承諾なしに無差別に送付されるメールです。
（ITパスポート　平成21年秋　問71より）

テクノロジ　セキュリティ　情報セキュリティ

情報システムの安全上の欠陥の用語です。

シャドーIT

Ver.4.0
シャドーIT は、IT部門の許可を得ずに、従業員又は部門が業務に利用しているデバイスやクラウドサービスです。
（情報セキュリティマネジメント　平成29年秋午前　問16より）

問題をチェック! R3年問65

テクノロジ　セキュリティ　情報セキュリティ

不正行為の発生メカニズムについての用語です。

不正のトライアングル

Ver.4.0
不正のトライアングルと呼び、次の３要素がそろったとき、企業内部で不正行為が発生すると考えられています。

「動機」・・・不正を犯す必要性。例えば、仕事のストレスや不満

「機会」・・・重要な情報を持ち出すなど、不正を行おうと思えば実施できてしまう状況

「正当化」・・・不正行為者の考え方。例えば、言い訳

テクノロジ　セキュリティ　情報セキュリティ

情報システムへの攻撃手法です。

名称と次の点を覚えましょう。

どんな脅威（問題が起こる）？
どんな脆弱性（弱点）をついた攻撃？
どのように攻撃する？

ブルートフォース攻撃

ブルートフォース攻撃（Brute-force attack:総当たり攻撃）

ブルートフォースは、主にパスワードの割り出しに用いられる手法です。文字、数字、記号の全ての組み合わせをそれぞれパスワードとして、繰り返しログインを試みる攻撃です。

テクノロジ　セキュリティ　情報セキュリティ

パスワードリスト攻撃

パスワードリスト攻撃は、複数サイトで同一の利用者IDとパスワードを使っている利用者がいる状況に着目して、不正に取得した他サイトの利用者IDとパスワードの一覧表を用いて、ログインを試行する攻撃です。
（情報セキュリティマネジメント　平成28年春午前　問26より）

問題をチェック! R4年問95

テクノロジ　セキュリティ　情報セキュリティ

クレデンシャルスタッフィング

Ver.6.3
クレデンシャルスタッフィングとは、流出したアカウント資格情報（IDとパスワードの組み合わせなど）を使って、自動化されたツールを使って、他のWebサイトへのログインを試みる攻撃のことです。

ユーザーによるアカウント資格情報（IDとパスワードの組み合わせなど）の使いまわしを悪用した攻撃です。

クレデンシャルスタッフィングはbot（自動化ツール）が攻撃を行いますが、パスワードリスト攻撃は手動で行います。

クレデンシャルスタッフィングの説明（テクノロジ系セキュリティ61.情報セキュリティ）

テクノロジ　セキュリティ　情報セキュリティ

辞書攻撃

辞書攻撃は、辞書にある単語をパスワードに設定している利用者がいる状況に着目して、攻撃対象とする利用者 IDを一つ定め、辞書にある単語やその組合せをパスワードとして、ログインを試行する攻撃です。
（基本情報　平成31年春午前　問37より）

テクノロジ　セキュリティ　情報セキュリティ

クロスサイトリクエストフォージェリ

Ver.5.0
クロスサイトリクエストフォージェリは、悪意のあるスクリプトが埋め込まれたWebページを訪問者に閲覧させて、別のWebサイトで、その訪問者が意図しない操作を行わせる攻撃です。
（情報セキュリティスペ　平成22年春午前Ⅰ　問15より）

テクノロジ　セキュリティ　情報セキュリティ

クリックジャッキング

Ver.5.0
クリックジャッキングは、Web閲覧者を視覚的に騙（だま）してクリックさせるなどの攻撃手法です。

WebサイトAのコンテンツ上に透明化した標的サイトBのコンテンツを配置し、WebサイトA上の操作に見せかけて標的サイトB上で操作させる攻撃です。
（情報セキュリティマネジメント　平成28年春午前　問22より）

問題をチェック! セキュ予想3

テクノロジ　セキュリティ　情報セキュリティ

ドライブバイダウンロード

Ver.4.0
ドライブバイダウンロードは、Webサイトを閲覧したとき、利用者が気付かないうちに、利用者の意図にかかわらず、利用者のPCに不正プログラム（マルウェアなど）がダウンロードされる攻撃です。
（情報セキュリティマネジメント　平成28年春午前　問25より）

問題をチェック! R5年問58

テクノロジ　セキュリティ　情報セキュリティ

SQLインジェクション

SQLインジェクションは、Webアプリケーションのデータ操作言語の呼出し方に不備がある場合に、攻撃者が悪意をもって構成した文字列を入力することによって、データベースのデータの不正な取得、改ざん及び削除をする攻撃です。
（基本情報　平成28年春午前　問37より）

SQL（Structured Query Language）は、関係データベースの操作を行うための言語です。

インジェクション（injection）には、「挿入する」という意味があります。

次のような具体的な被害があります。

・Webサイトからのクレジットカード番号や個人情報の漏えい

・ウイルス感染などを引き起こすウェブサイトの改ざん

テクノロジ　セキュリティ　情報セキュリティ

ディレクトリトラバーサル

Ver.5.0
ディレクトリトラバーサルは、攻撃者がパス名を使ってファイルを指定し、管理者の意図していないファイルに不正アクセスする攻撃です。
（情報セキュリティマネジメント　平成29年春午前　問23より）

インターネット上に公開されているファイルが保管されたディレクトリから、非公開のファイルが保管されているディレクトリに「横断（トラバーサル）」し不正にファイルを閲覧することから、ディレクトリトラバーサルと呼ばれています。

問題をチェック! セキュ予想4

テクノロジ　セキュリティ　情報セキュリティ

バッファオーバーフロー攻撃

Ver.6.3
バッファオーバフローは、プログラムが用意している入力用のデータ領域を超えるサイズのデータを入力することで、想定外の動作をさせる攻撃です。
（ITパスポート　平成26年秋　問59より）

問題をチェック! セキュ予想25

テクノロジ　セキュリティ　情報セキュリティ

中間者攻撃

Ver.5.0
中間者（Man-in-the-middle）

中間者攻撃は、ディジタル証明書を使わずに、通信者同士が、通信によって交換する公開鍵を用いて行う暗号化通信において、通信内容を横取りする目的で当事者になりすます攻撃です。
（情報セキュリティスペ　平成22年春午前Ⅱ　問13より）

テクノロジ　セキュリティ　情報セキュリティ

MITB攻撃

Ver.5.0
MITB（Man-in-the-browser）

MITB（Man-in-the-Browser）攻撃は、パソコンで動作しているブラウザ（Browser）を乗っ取り、通信内容を盗聴したり、改ざんする攻撃です。

次のような、MITB攻撃の例が試験に出題されています。

PCに侵入したマルウェアが、利用者のインターネットバンキングへのログインを検知して、 Webブラウザから送信される振込先などのデータを改ざんする。
（応用情報　平成28年春午前　問45より）

問題をチェック! セキュ予想5

テクノロジ　セキュリティ　情報セキュリティ

第三者中継（オープンリレー）

Ver.6.3
第三者中継（オープンリレー）は、本来の利用者でない外部の利用者が、メール送信サーバ（SMTPサーバ）を使ってメールを送信する攻撃です。

また、外部の利用者が、送信先メールアドレスを自由に指定できてしまう設定になっていることです。

迷惑メールやウイルス等を送信する際に身元を隠すために使用されます。

テクノロジ　セキュリティ　情報セキュリティ

IPスプーフィング

Ver.5.0
IPスプーフィングは、偽の送信元IPアドレスをもったパケットを送ることです。
（ITパスポート　平成27年秋　問81より）

問題をチェック! セキュ予想6

テクノロジ　セキュリティ　情報セキュリティ

DNSキャッシュポイズニング

Ver.4.0
DNSキャッシュポイズニングは、PCが参照するDNSサーバに偽のドメイン情報を注入して、利用者を偽装されたサーバに誘導する攻撃です。
（情報セキュリティマネジメント　平成29年秋午前　問22より）

問題をチェック!
R6年問100　R3年問56

テクノロジ　セキュリティ　情報セキュリティ

セッションハイジャック

Ver.5.0
セッションハイジャックは、サーバとクライアント聞の正規のセッションに割り込んで、正規のクライアントに成りすます攻撃で、サーバ内のデータを盗み出します。
（ITパスポート　平成24年春　問77より）

テクノロジ　セキュリティ　情報セキュリティ

DoS攻撃

DoS（Denial of Service：サービス妨害）攻撃

DoS攻撃は、電子メールやWeb リクエストなどを大量に送りつけて、ネットワーク上のサービスを提供不能にする攻撃です。
（ITパスポート　平成25年春　問52より）

テクノロジ　セキュリティ　情報セキュリティ

DDoS攻撃

Ver.4.0
DDoS 攻撃は、インターネット上の多数の機器から特定のネットワーク、サーバに一斉にパケットを送り、過剰に負荷をかけて機能不全にする攻撃です。

次のような、DDoS攻撃の具体例が試験に出題されています。

ある日のある時刻に、マルウェアに感染した多数のIoT機器が特定のWebサイトへ一斉に大量のアクセスを行い、Webサイトのサービスを停止に追い込んだ。
（ITパスポート　令和元年　問100より）

問題をチェック! R元年問100

テクノロジ　セキュリティ　情報セキュリティ

クリプトジャッキング

Ver.5.0
クリプトジャッキングとは、コンピュータにマルウェアを感染させ、マイニング（暗号資産を入手するための計算）を他人のコンピュータを使って気付かれないように行うことです。

悪用されたコンピュータは、電源、CPUのリソース、ストレージの容量が勝手に使われるため、電力消費が増え、動作が遅くなります。

問題をチェック!
R2年問60　セキュ予想7　

テクノロジ　セキュリティ　情報セキュリティ

APT

Ver.6.3
APT（Advanced Persistent Threat）

APTとは、明確な目的をもち，標的となる組織に応じて複数の攻撃方法を組み合わせ，気付かれないよう執拗（しつよう）に繰り返される攻撃又はそれを行う者のことです。
（基本情報　修了試験　令和5年度12月より）

問題をチェック! セキュ予想24

テクノロジ　セキュリティ　情報セキュリティ

フィッシング

フィッシングは、金融機関や公的機関などを装った偽の電子メールを送信するなどして、受信者を架空のWebサイトや実在しているWebサイトの偽サイトに誘導し、暗証番号やクレジットカード番号などの情報を不正に取得する行為です。
（ITパスポート　平成23年秋　問87、ITパスポート　平成28年春　問63より）

次のような、フィッシング対策例が試験に出題されています。

Webサイトなどで、個人情報を入力する場合は、SSL接続であること、及びサーバ証明書が正当であることを確認する。
（ITパスポート　平成24年春　問66より）

キャッシュカード番号や暗証番号などの送信を促す電子メールが届いた場合は、それが取引銀行など信頼できる相手からのものであっても、念のため、複数の手段を用いて真偽を確認する。
（ITパスポート　平成24年春　問66より）

テクノロジ　セキュリティ　情報セキュリティ

ゼロデイ攻撃

ゼ口デイ攻撃は、ソフトウェアに脆弱性が存在することが判明したとき、そのソフトウェアの修正プログラムがベンダから提供される前に、判明した脆弱性を利用して行われる攻撃です。
（ITパスポート　平成25年秋　問74より）

テクノロジ　セキュリティ　情報セキュリティ

プロンプトインジェクション攻撃

Ver.6.2
プロンプトインジェクションとは、意図的に不正なプロンプト（指示や質問）を注入（インジェクション）して、AIモデルにサービス側の意図しない内容を出力させたり、不適切な情報（例えば、プロンプト自体）を開示させる攻撃のことです。

テクノロジ　セキュリティ　情報セキュリティ

敵対的サンプル

Ver.6.2
敵対的サンプル（Adversarial Examples）

敵対的サンプルとは、AIが誤って分類するように、人間にはわからないようなわずかなノイズを入れたデータを指します。

問題をチェック! セキュ予想23

テクノロジ　セキュリティ　情報セキュリティ

攻撃の準備

Ver.5.0
攻撃の準備として、フットプリンティングやポートスキャンが行われます。

テクノロジ　セキュリティ　情報セキュリティ

フットプリンティング

Ver.6.3
フットプリンティングとは、攻撃者が攻撃を行う前に攻撃対象となるPC，サーバ及びネットワークについての弱点や攻撃の足掛かりとなる情報を収集することです。

問題をチェック! セキュ予想26

テクノロジ　セキュリティ　情報セキュリティ

ポートスキャン

Ver.5.0
ポートスキャンは、事前調査の段階で、攻撃できそうなサービスがあるかどうかを調査する目的で行われます。
（情報セキュリティマネジメント　平成28年春午前　問29より）

ポート番号は、インターネットで情報のやり取りを行うために、使用される番号のことで、IPアドレスとともに指定される補助用のアドレスです。

このポート番号から、アクセスを受け付けているポート、使われているソフトウェア、設定が外部からわかります。

そのため、ポート番号をスキャンする（詳しく調べる）ことで、攻撃に利用可能な設定の不備やソフトウェアの脆弱性などを見つけられます。

問題をチェック! セキュ予想8

テクノロジ　セキュリティ　情報セキュリティ

情報セキュリティ管理

リスクマネジメントの順番や情報セキュリティの要素の具体例が試験に出ている。

関連する用語をセットで覚えるといいよ。

情報セキュリティのリスクマネジメントの用語です。

リスクマネジメント

リスクマネジメントとは、リスクを特定し、評価した上で許容レベルまでリスクを低減するプロセスのことです。

テクノロジ　セキュリティ　情報セキュリティ管理

リスクアセスメント

Ver.4.0
リスクアセスメントは、識別された資産に対するリスクを分析、評価し、基準に照らして対応が必要かどうかを判断することです。

問題をチェック!
R4年問86　R3年問88 　R3年問91

R元年問56

テクノロジ　セキュリティ　情報セキュリティ管理

リスク特定

Ver.4.0
リスク特定は、組織に存在するリスクを洗い出すことです。

テクノロジ　セキュリティ　情報セキュリティ管理

リスク分析

Ver.4.0
リスク分析は、リスクの発生確率と影響度から、リスクの大きさを算定することです。

テクノロジ　セキュリティ　情報セキュリティ管理

リスク評価

Ver.4.0
リスク評価は、リスクの大きさとリスク受容基準を比較して、対策実施の必要性を判断することです。

テクノロジ　セキュリティ　情報セキュリティ管理

リスク対応

リスク対応は、リスクへの対処方法を選択し、具体的な管理策の計画を立てることです。

情報セキュリティのリスクマネジメントにおけるリスク対応は、リスクの移転、回避、受容及び低減の四つに分類できます。

問題をチェック!
R6年問64　R5年問72　R4年問76

R3年問99　R2年問68　R元年問86

テクノロジ　セキュリティ　情報セキュリティ管理

情報セキュリティ管理の用語です。

情報セキュリティマネジメント

情報セキュリティマネジメントとは、情報セキュリティを確保、維持するために、技術的、物理的、人的、組織的な視点からの対策を、経営層を中心とした体制で組織的に行うことです。
（ITパスポート　令和２年　問45より）

テクノロジ系セキュリティ62.情報セキュリティ管理

情報セキュリティポリシ

情報セキュリティポリシは、企業や組織において実施する情報セキュリティ対策の方針や行動指針のことです。

情報セキュリティポリシは、基本方針、対策基準及び実施手順の三つの文書で構成できます。

情報セキュリティポリシーの説明（テクノロジ系セキュリティ62.情報セキュリティ管理）

情報セキュリティポリシーの内容｜国民のためのサイバーセキュリティサイト (soumu.go.jp)をもとに作成

基本方針は、対策基準や実施手順を定めるためのトップマネジメントの意思を示したものです。
（ITパスポート　令和4年　問85より）

基本方針は、組織全体で統一させます。
（ITパスポート　平成26年秋　問61より）

対策基準は、基本方針を実践するための具体的な規則を記述したものです。

実施手順は、対策基準として決められたことを担当者が実施できるように、具体的な進め方などを記述したものです。
（ITパスポート　平成31年春　問85より）

問題をチェック!
R6年問94　R5年問94　R4年問85

R3年問96　R元年問84

テクノロジ　セキュリティ　情報セキュリティ管理

ISMS

ISMS（Information Security Management System）

ISMSは、情報セキュリティマネジメントシステムのことです。

情報の機密性や完全性、可用性を維持し、情報漏えいなどのインシデント（事故）発生を低減させるためのしくみです。

次のようなISMSの導入効果が試験に出題されています。

リスクマネジメン卜プロセスを適用することによって、情報の機密性、完全性及び可用性をバランス良く維持、改善し、リスクを適切に管理しているという信頼を利害関係者に与えます。
（ITパスポート　平成31年春　問72より）

次のようなISMSの特徴が試験に出題されています。

一過性の活動でなく改善と活動を継続する。
（ITパスポート　平成27年春　問81より）

導入及び活動は経営層を頂点とした組織的な取組みである。
（ITパスポート　平成27年春　問81より）

問題をチェック! R2年問84

テクノロジ　セキュリティ　情報セキュリティ管理

情報セキュリティの要素です。

名称と各要素を高める施策を覚えましょう。

情報セキュリティの要素

Ver.4.0
情報セキュリティの要素は、情報セキュリティ上の重要な特性で、機密性、完全性、可用性、真正性、責任追跡性、否認防止、信頼性があります。

問題をチェック!
R6年問75　R4年問72　R3年問67　

R2年問87　R2年問94　R元年問97

テクノロジ　セキュリティ　情報セキュリティ管理

機密性

機密性は、情報にアクセスすることが認可されたものだけがアクセスできることを確実にすることです。

機密性と可用性は互いに反する側面をもっているので，実際の運用では両者をバランスよく確保することが求められます。
（ITパスポート　令和元年　問97より）

次のような、機密性が損なわれた事例が試験に出ています。

PCがマルウェアに感染したことによって、個人情報が漏えいした。
（ITパスポート　令和4年　問72より）

データベースで管理していた顧客の個人情報が漏えいした。
（ITパスポート　平成28年秋　問87 より）

次のような、機密性を高める施策例が試験に出ています。

アクセス制御を行う。
（ITパスポート　令和6年　問75、令和元年　問78より）

機密情報のファイルを暗号化し、漏えいしても解読されないようにする。
（ITパスポート　平成25年秋　問75より）

システムの利用開始時にユーザ認証を求める。
（ITパスポート　平成30年秋　問82より）

ファイルに読出し用パスワードを設定する。
（ITパスポート　平成26年秋　問67より）

生体認証を採用する。
（ITパスポート　平成27年秋問58より）

外部記憶媒体を無断持出しが禁止
（基本情報　平成28年秋午前　問59より）

問題をチェック!
R6年問75　R4年問72　R元年問78

テクノロジ　セキュリティ　情報セキュリティ管理

完全性

完全性は、情報および処理方法の正確さおよび完全である状態を安全防護することです。

次のような、完全性が損なわれた例が試験に出題されています。

キーボードの打ち間違いによって、不正確なデータが入力された。
（ITパスポート　令和4年　問72より）

オペレータが誤ってデータ入力し、顧客名簿に矛盾が生じた。
（ITパスポート　平成28年秋　問87より）

Webページの改ざん
（ITパスポート　平成22年秋　問53より）

次のような、完全性を維持あるいは高める施策例が試験に出題されています。

データにディジタル署名を付与する。
（（ITパスポート　令和6年　問75、平成29年春　問79より）

データの入力者以外の者が、入力されたデータの正しさをチェックする。
（ITパスポート　平成26年秋　問67より）

情報の改ざんを防止する対策を施す。
（ITパスポート　平成30年秋　問82より）

問題をチェック!
R6年問75　R5年問95　R4年問72　

テクノロジ　セキュリティ　情報セキュリティ管理

可用性

可用性は、認可された利用者が、必要なときに情報にアクセスできることを確実にすることです。

次のような、可用性を評価する項目が試験に出題されています。

緊急のメンテナンスに伴うサービスの計画外の停止時間
（ITパスポート　平成23年秋　問13より）

次のような、可用性が損なわれた例が試験に出題されています。

停電によってシステムが停止した。
（ITパスポート　平成25年春　問75より）

DDoS攻撃によって、Webサイトがダウンした。
（ITパスポート　令和4年　問72より）

次のような、システムの可用性を高める施策例が試験に出題されています。

ハードウェアを二重化する。
（ITパスポート　令和6年　問75、平成27年秋　問58より）

二つの拠点を専用回線で接続したWANでパケットを送受信するとき、異なる通信事業者が提供する別回線を加え、2回線でパケットを送受信する。
（ITパスポート　平成31年春　問64より）

システムで利用するハードディスクをRAIDのミラーリング構成にする。
（ITパスポート　平成26年春　問84より）

データを処理するシステムに予備電源を増設する。
（ITパスポート　平成26年秋問67より）

問題をチェック!
R6年問75　R4年問72

テクノロジ　セキュリティ　情報セキュリティ管理

真正性

真正（しんせい）性は、本物であることを証明できることです。

テクノロジ　セキュリティ　情報セキュリティ管理

責任追跡性

責任追跡性は、誰が行ったか追跡できることです。

テクノロジ　セキュリティ　情報セキュリティ管理

否認防止

否認防止は、否認されることがないように、引き起こされたことを証明することです。

つぎのような、否認防止の例が試験に出題されています。

電子商取引において、注文した事実やその内容について否認されることを防止するために、取引の相手に「注文データにディジタル署名を付与する」ことを依頼する。
（ITパスポート　平成31年春　問100より）

テクノロジ　セキュリティ　情報セキュリティ管理

信頼性

信頼性は、意図することが確実にできることです。

テクノロジ　セキュリティ　情報セキュリティ管理

リスクコミュニケーション

Ver.6.3
リスクコミュニケーションとは、関係者が、あるリスクやその対策に関する情報の共有や意見交換などのコミュニケーションを行うことです。

平時のリスクコミュニケーションにより関係者に信頼関係を醸成し、インシデント発生時にもコミュニケーションが円滑に進むよう備える必要があります。

（サイバーセキュリティ経営ガイドライン Ver 3.0（経済産業省、IPA）より）

テクノロジ　セキュリティ　情報セキュリティ管理

ISMSにおけるPDCA

PDCAの各プロセスと具体的な活動や業務の対応が、よく出題されています。

〇Plan(計画)
…情報セキュリティマネジメント（ISMS）の確立

情報資産のリスクアセスメント
（初級シスアド　平成21年春　問56より）

企業の経営方針に基づいて情報セキュリティ基本方針を策定
（ITパスポート　平成26年秋　問78より）

〇Do(実施)
…ISMSの導入及び運用

計画段階で選択した対策の導入・運用運用しているサーバのソフトウェアに対する最新の修正プログラムの有無を、定められた運用手順に従って毎日調べる業務
（ITパスポート　平成30年秋　問61より）

〇Check (点検・監査)
…ISMSの監視及び見直し

ISMSの監視及び見直し 1年前に作成した情報セキュリティポリシについて、適切に運用されていることを確認するための監査
（ITパスポート　令和元年　問68より）

プロセスの効果を測定し、結果の評価を行う。
（ITパスポート　平成30年春　問90より）

〇Act(見直し・改善)
…ISMSの維持及び改善

リスクマネジメントの活動状況の監視の結果などを受けて、是正や改善措置を決定している。
（ITパスポート　令和3年　問77より）

問題をチェック!
R6年問86　R5年問79　R4年問58

R3年問77　R2年問69　R2年問89

R元年問68

テクノロジ　セキュリティ　情報セキュリティ管理

ISMS適合性評価制度

シラ外
ISMS適合性評価制度は、JIS Q 27001に基づき、企業などの組織において、ISMS（情報セキュリティマネジメントシステム）が適切に構築、運用され、ISMS認証基準の要求事項に適合していることを特定の第三者機関が審査して認証する制度です。
（ITパスポート　平成28年春　問91より）

テクノロジ　セキュリティ　情報セキュリティ管理

ISMSクラウドセキュリティ認証

シラ外
ISMSクラウドセキュリティ認証は、通常のISMS認証に加えて、クラウドサービス固有の管理策が適切に導入、実施されていることを認証するものです。

企業や一般ユーザが、安心してクラウドサービスを利用できることを目的としています。
（ISMS適合性評価制度 – 情報マネジメントシステム認定センター（ISMS-AC）より）

問題をチェック!
R6年問82　R5年問56

テクノロジ　セキュリティ　情報セキュリティ管理

個人情報保護についての用語です。

プライバシーポリシ（個人情報保護方針）

Ver.4.0
プライバシーポリシは、個人情報の利用目的や管理方法の考え方を文章に示し公表したものです。

テクノロジ　セキュリティ　情報セキュリティ管理

安全管理措置

Ver.4.0
安全管理措置は、個人データの漏えい防止など、個人データの安全管理のために必要かつ適切な措置のことです。

次のような、安全管理措置の具体例が試験に出題されました。

データを暗号化して保存する。
（ITパスポート　平成30年春　問98より）

住所録のデータを書き込んだCD-ROMを破棄するときには破砕する。
（ITパスポート　平成28年春　問65より）

テクノロジ　セキュリティ　情報セキュリティ管理

サイバー保険

Ver.4.0
サイバー保険は、サイバー事故（個人情報漏洩など）により企業に生じた第三者に対する「損害賠償責任」、事故時に必要となる「費用」、自社の「喪失利益」などが契約によって補償されます。

テクノロジ　セキュリティ　情報セキュリティ管理

プライバシーマーク制度

プライバシーマーク制度は、JIS Q 15001:2006に基づき、個人情報の適切な保護のための体制を整備している事業者を認定する制度です。

テクノロジ　セキュリティ　情報セキュリティ管理

情報セキュリティ組織・機関についての用語です。

次の点を確認して覚えましょう。

なんのための制度，組織？
対象？
どんなことをする？

情報セキュリティ委員会

Ver.4.0
情報セキュリティ委員会は、ISMSを推進する社内に置かれる組織です。

構成：複数の部門の代表者

役割：自部門の課題の提出や、部門指導と管理、相互理解

テクノロジ　セキュリティ　情報セキュリティ管理

CSIRT

CSIRT（Computer Security Incident Response Team：シーサート）

CSIRTは、企業内・組織内や政府機関に設置され、情報セキュリティインシデントに関する報告を受け取り、調査し、対応活動を行う組織の総称です。
（情報セキュリティマネジメント　平成28年春午前　問1より）

テクノロジ　セキュリティ　情報セキュリティ管理

SOC

Ver.4.0
SOC（Security Operation Center）

SOCは、民間企業のサーバに対するセキュリティ攻撃を監視、検知する組織です。
（情報セキュリティマネジメント　平成29年秋午前　問4より）

SOCは自分の会社で構築・運用する場合と、外部の会社が提供するサービスを利用する場合があります。

テクノロジ　セキュリティ　情報セキュリティ管理

コンピュータ不正アクセス届出制度

Ver.4.0
コンピュータ不正アクセス届出制度は、国内の不正アクセス被害をIPA（情報処理推進機構）に届け出る制度です。

目的：IPA（情報処理推進機構）は、不正アクセス被害の実態把握や同様の被害発生の防止に役立てます。

テクノロジ　セキュリティ　情報セキュリティ管理

コンピュータウイルス届出制度

Ver.4.0
コンピュータウイルス届出制度は、コンピュータウイルス被害をIPA（情報処理推進機構）に届け出る制度です。

目的：IPA（情報処理推進機構）は、ウイルス感染被害の拡大や再発の防止に役立てます。

テクノロジ　セキュリティ　情報セキュリティ管理

ソフトウェア等の脆弱性関連情報に関する届出制度

Ver.4.0
ソフトウェア等の脆弱性関連情報に関する届出制度は、ソフトウェア等の脆弱性関連情報をIPA（情報処理推進機構）に届け出る制度です。

目的：脆弱性関連情報の適切な流通および対策の促進を図り、インターネット利用者に対する被害を予防する。

テクノロジ　セキュリティ　情報セキュリティ管理

ISMAP

Ver.6.3
ISMAP（政府情報システムのためのセキュリティ評価制度）

ISMAPは、政府が求めるセキュリティ要求を満たしているクラウドサービスをあらかじめ評価、登録することによって、政府のクラウドサービス調達におけるセキュリティ水準の確保を図る制度です。
（応用情報　令和5年春午前　問39より）

簡単に言うと、「クラウドサービスのセキュリティに関する政府のお墨付き」のようなものです。

問題をチェック! セキュ予想27

テクノロジ　セキュリティ　情報セキュリティ管理

J-CSIP

Ver.4.0
J-CSIP（ジェイシップ：サイバー情報共有イニシアティブ）

J-CSIPは、参加組織及びそのグループ企業において検知されたサイバー攻撃などの情報を、IPAが情報ハブになって集約し、参加組織間で共有する取組です。
（情報セキュリティマネジメント　令和元年秋午前　問2より）

テクノロジ　セキュリティ　情報セキュリティ管理

J-CRAT

Ver.4.0
J-CRAT（Cyber Rescue and Advice Team against targeted attack of Japan：サイバーレスキュー隊）

J-CRATは、標的型サイバー攻撃を受けた組織や個人から提供された情報を分析し、社会や産業に重大な被害を及ぼしかねない標的型サイバー攻撃の把握、被害の分析、対策の早期着手の支援を行う活動です。
（応用情報　平成29年秋午前　問42より）

問題をチェック! R3年問81

テクノロジ　セキュリティ　情報セキュリティ管理

SECURITY ACTION

Ver.5.0
SECURITY ACTIONは、中小企業の情報セキュリティ対策普及の加速化に向けて、情報セキュリティ対策に取り組むことを自己宣言する制度です。
　(ITパスポート　令和3年　問79より）

中小企業の自発的な情報セキュリティ対策への取組みを促す活動を推進し、安全・安心なIT社会を実現するためにIPAが創設した制度です。

SECURITY ACTIONは、情報セキュリティ対策状況等をIPAが認定するあるいは認証等を与える制度ではありません。
（よくある質問 : SECURITY ACTION セキュリティ対策自己宣言 (ipa.go.jp)より）

問題をチェック! R3年問79

テクノロジ　セキュリティ　情報セキュリティ管理

情報セキュリティ対策・情報セキュリティ実装技術

”実装”は、”機能を組み込むこと”だよ。

次の点を確認して覚えるといいよ。

・対象は何か？

・どんな脅威のための対策？

・どんな方法？

人的なセキュリティ対策です。

情報セキュリティ訓練

Ver.5.0
情報セキュリティ訓練は、サイバー攻撃に対する『防災訓練』です。

（目的）インシデントが発生した際の対応力を高めます。

認証要素		例
	生体情報	・虹彩・指紋・声紋
	ユーザー自身の生物学的な特性

	所持情報	・スマートフォン・タブレット・ICカード
	ユーザーが所持しているもの

	知識情報	・パスワード・秘密の質問・ワンタイムパスワード
	ユーザーだけが知っている情報