過去問・一問一答
情報セキュリティマネジメント試験 の演習問題
情報セキュリティマネジメント試験のオリジナル演習問題 502問を、分野別に整理しました。各問、正解と選択肢ごとの解説つき。気になる問題を選んで「なぜその答えになるのか」まで確認できます。
情報セキュリティ全般
暗号・認証6問
暗号・認証の基礎12問
デジタル署名送信者の秘密鍵で生成し、受信者が公開鍵で検証することで作成者と非改ざんを確認する仕組みはどれかデジタル証明書認証局が公開鍵とその所有者の対応を保証し、なりすましを防ぐために発行するものはどれかメッセージ認証コード共通鍵とメッセージから生成し、通信内容の改ざん検知と送信元確認に用いる値はどれかソルトパスワードに付加してからハッシュ化し、事前計算表による解析を防ぐためのランダムな値はどれかチャレンジレスポンス認証サーバが毎回異なる乱数を提示し、利用者がそれを基に計算した応答を返して認証する方式はどれかゼロトラスト社内ネットワークの内側であっても無条件には信頼せず、通信のたびに検証する考え方はどれか公開鍵基盤(PKI)認証局が公開鍵の持ち主を証明書で保証し、公開鍵暗号の信頼を支える基盤はどれか証明書失効リスト(CRL)有効期限内であっても無効化されたディジタル証明書の一覧を、認証局が公開する仕組みはどれか多要素認証パスワードに加えてスマートフォンへの確認コードや指紋をシングルサインオン一度の認証で、許可された複数のシステムへ再入力なしに利用できるようにする仕組みはどれかワンタイムパスワード認証のたびに一度しか使えない使い捨ての符号を発行し、盗聴された値の再利用を防ぐ方式はどれか共通脆弱性識別子(CVE)世界で発見された個々の脆弱性に一意の番号を割り当て、関係者が同じ弱点を共通の符号で参照できるようにする仕組みはどれか
攻撃手法11問
ソーシャルエンジニアリング攻撃者が情報システム部員になりすまして利用者に電話をかけ、「障害調査のため」と称してパスワードを聞き出した。この攻撃の分類標的型攻撃特定企業を狙い、業務に関係する内容を装ったメールに不正な添付ファイルを付けて送り、長期間にわたり潜伏して情報を窃取しようとする攻撃を何と呼ぶかゼロデイ攻撃ソフトウェアの脆弱性が公表され修正プログラムが提供されるより前に、その脆弱性を悪用して行われる攻撃を何というかフィッシング実在する銀行を装ったメールで偽のログイン画面へ誘導し、入力された口座番号と暗証番号を盗み取ろうとする手口はどれかブルートフォースあるアカウントに対し、考えうる文字のDoS/DDoS多数の機器から大量の通信を一斉に送りつけてサーバを過負荷にし、正規の利用者がサービスを使えない状態に陥れる攻撃はどれかSQLインジェクションWebアプリの入力欄に不正なSQL文の断片を紛れ込ませ、データベースを意図せず操作して情報を盗み出したり改ざんしたりする攻撃はどれかクロスサイトスクリプティング掲示板などの入力内容がそのまま表示されるWebサイトに、利用者のブラウザ上で実行される不正なスクリプトを埋め込み、閲覧者のCookieなどを盗もうとする攻撃…中間者攻撃通信を行う二者の間に攻撃者がひそかに割り込み、双方になりすましてやり取りを中継しながら内容を盗み見たり書き換えたりする攻撃はどれかパスワードリスト攻撃あるサービスから流出したIDとパスワードの組を、別のサービスのログインでそのまま試す攻撃が成立しやすくなる利用者の習慣はどれかゼロデイ攻撃修正プログラムがまだ提供されていない脆弱性を悪用する攻撃に対し、利用者側の備えとして効果が期待しにくいものはどれか
攻撃手法・脅威38問
ボットネット攻撃者が多数の感染端末を遠隔操作し、指令サーバを通じて一斉に攻撃を行う仕組みはどれかワーム他のプログラムに寄生せず、自己を複製してネットワーク経由で次々に拡散するマルウェアはどれかキーロガー利用者がキーボードで入力した内容を記録し、認証情報などを盗み出すマルウェアはどれかルートキット侵入後に管理者権限を維持しつつ、自身や不正活動の痕跡を隠蔽するためのツール群はどれかドライブバイダウンロード利用者がWebサイトを閲覧しただけで、気付かぬ水飲み場型攻撃標的が頻繁に訪れるWebサイトを改ざんし、その利用者を狙って感染を仕掛ける攻撃はどれかスパイウェア利用者に気付かれずに端末内の情報や利用状況を収集し、外部へ送信するソフトウェアの総称はどれかバックドア正規の認証を経ずにシステムへ侵入できるよう、攻撃者が秘密裏に設けた裏口はどれかリプレイ攻撃正規利用者の認証データを盗聴して記録し、それをそのまま再送信して認証を不正に通過する攻撃はどれかディレクトリトラバーサルパス名の相対指定を悪用し、公開を想定していない上位階層のファイルへ不正にアクセスする攻撃はどれかセッションハイジャック通信中の利用者に割り当てられたセッションIDを盗用し、その利用者になりすます攻撃はどれかポートスキャン攻撃の事前準備として、対象のどのポートが開いており利用可能かを調べる行為はどれかファジングプログラムに想定外のデータを大量に与え、異常終了などから脆弱性を発見する手法はどれかサイドチャネル攻撃暗号処理中の消費電力や処理時間など物理的な漏えい情報を観測し、秘密鍵を推測する攻撃はどれかビジネスメール詐欺(BEC)経営者や取引先になりすましたメールで担当者を欺き、攻撃者の口座へ送金させる詐欺はどれかサラミ法端数処理で生じるごく小さな金額を多数の取引から少しずつ詐取し、累積させる不正行為はどれかクリックジャッキング透明化した罠のボタンを正規ページに重ね、利用者に意図しない操作をさせる攻撃はどれかクリプトジャッキング他人の端末の処理能力を無断で利用し、暗号資産の採掘を密かに行う攻撃はどれかファイルレスマルウェアディスクに実行ファイルを残さず、メモリ上や正規ツールを悪用して活動するマルウェアはどれかクロスサイトリクエストフォージェリログイン中の利用者のブラウザを悪用し、本人の意図しない要求をWebサイトへ送らせる攻撃はどれかDNSキャッシュポイズニングDNSサーバに偽の名前解決情報を覚え込ませ、利用者を不正なサイトへ誘導する攻撃はどれかARPスプーフィングLAN内で偽のMACアドレス情報を流し、通信を自端末に引き込んで盗聴する攻撃はどれかレインボーテーブル攻撃ハッシュ値と元の文字列の対応表をあらかじめ用意し、パスワードを高速に逆算する攻撃はどれかパスワードスプレー攻撃よく使われる少数のパスワードを、多数のアカウントに広く試してロックアウトを避ける攻撃はどれかサプライチェーン攻撃標的を直接狙わず、取引先や利用ソフトの提供元を経由して侵入する攻撃はどれかタイポスクワッティング有名サイトの綴り間違いに似たドメインを取得し、誤入力した利用者を誘い込む手口はどれかスミッシング宅配の不在通知などを装ったSMSで偽サイトへ誘導し情報を盗む手口はどれかビッシング電話で公的機関や金融機関の職員を装い、口頭で暗証番号などを聞き出す手口はどれかペネトレーションテスト実際に攻撃者の手口を模して対象システムへ侵入を試み、防御の有効性を検証する活動はどれかアドウェア利用者の同意なく広告を強制的に表示し、時に閲覧履歴を収集して広告配信に悪用するソフトウェアはどれかダウングレード攻撃通信の交渉に介入し、安全性の低い旧式の暗号方式へ強制的に切り替えさせて解読を狙う攻撃はどれか辞書攻撃よく使われる単語やパスワードを集めた一覧を順に試し、利用者のパスワードを言い当てる攻撃はどれかジュースジャッキング公共の場の充電ポートにつないだだけでデータを盗まれたりマルウェアを仕込まれる脅威はどれかSIMスワップ詐欺携帯電話番号を攻撃者のSIMへ不正に移し替えSMS認証を乗っ取る手口はどれかショルダーハッキング背後からのぞき見て入力中のパスワードや暗証番号を盗み取る行為はどれかスキャベンジングごみ箱や廃棄媒体をあさって機密情報を収集する行為はどれか
情報セキュリティの基本概念5問
情報セキュリティの三要素基幹システムが災害時にも継続して利用できるよう、サーバを地理的に離れた二拠点に配置して冗長化した。この対策が主として維持・向上させる情報セキュリティの特性は…真正性利用者やデータが「なりすましでなく、確かに主張どおりの本人・本物である」ことを確認できる性質を何というか完全性Webサイトのトップページが何者かに書き換えられ、無関係な画像が表示された。この事象によって直接損なわれた情報セキュリティの特性はどれか否認防止電子取引において、注文を行った当事者が後になって「自分は注文していない」と主張しても、それを覆して行為を証明できるようにする性質はどれか機密性重要書類を施錠キャビネットに保管し、閲覧できる担当者を限定する措置が主として高めている情報セキュリティの特性はどれか
情報資産とリスク10問
共通脆弱性評価システム脆弱性の深刻度を共通の基準で数値化し、対応の優先順位付けに用いる指標はどれか脆弱性ソフトウェアの設計や実装の不備で、攻撃の糸口となり得る弱点を指す用語はどれかリスクアセスメントリスクを洗い出し、その大きさを見積もって対応の優先順位を決める一連の活動はどれかリスク移転保険への加入や業務委託により、リスクが顕在化した際の損失を第三者に引き受けてもらう対応はどれか可用性情報セキュリティで認可された者が必要なときに情報資産を使える特性はどれかリスク保有影響が小さいなどの理由で対策を講じずリスクをそのまま受け入れる対応はどれかリスク回避リスクの原因となる活動そのものをやめてリスクの発生を断つ対応はどれかリスク低減管理策を導入してリスクの発生確率や影響度を許容範囲まで下げる対応はどれか残留リスクリスク対応を実施した後もなお残っているリスクを表す用語はどれか改ざん検知データが第三者に書き換えられていないことを確認し完全性を保証する技術はどれか
その他の項目12問
マルウェアの分類ネットワークを通じて自分自身の複製を次々と他のコンピュータへ送り込み、宿主となるプログラムを必要とせず単独で増殖するマルウェアはどれかランサムウェア感染するとファイルを勝手に暗号化して開けなくし、元に戻すことと引き換えに金銭の支払いを要求するマルウェアはどれかトロイの木馬便利なツールに見せかけて利用者に導入させ、実行されると裏で外部へ情報を送信するなどの不正動作を行うが、自己増殖はしないマルウェアはどれかリスクの構成要素情報セキュリティにおける「脆弱性(ぜいじゃくせい)」の説明脅威情報セキュリティにおける「脅威」の説明情報資産情報セキュリティ対策を検討する前提として、まず組織が「何を守るべきか」を明確にするために行うべきことはどれか共通鍵暗号と公開鍵暗号不特定多数の送信者から、自分だけが復号できる形で暗号文を受け取りたい。受信者が自分の公開鍵を広く配布し、送信者にはその鍵で暗号化してもらう方式の説明共通鍵暗号送信者と受信者が同一の鍵を秘密に共有し、その鍵で暗号化と復号の両方を行う暗号方式の特徴ハッシュ関数任意の長さのデータから固定長の値を生成し、元のデータへ戻すことはできず、わずかな変更でも値が大きく変わる関数はどれかハイブリッド暗号公開鍵暗号で共通鍵を安全に相手へ渡し、実際のデータ本文はその共通鍵で暗号化する方式を採る主な理由はどれか認証の要素ログイン時にパスワードの入力に加えて、スマートフォンに表示されるワンタイムパスワードの入力を求める。これが認証強度を高める理由生体認証指紋・顔・虹彩など、本人の身体的特徴を用いて本人確認を行う認証は、認証の三要素のうちどれに分類されるか
情報セキュリティ管理
ISMS6問
ISMSのPDCA運用において、内部監査や有効性評価を通じて管理策が意図どおり機能しているかを点検する活動は、PDCAサイクルのどの段階に当たるか利害関係者のニーズ確立にあたり、組織は最初に何を明確にすることを求められているか。最も適切なものはどれかISMSの認証範囲認証を取得する際に、認証の対象とする組織・拠点・業務などの境界を定めたものを表す用語はどれか情報セキュリティ目的JIS Q 27001で、情報セキュリティ方針と整合し、可能な場合は測定可能とすることが求められる、達成すべき到達点を表すものはどれかマネジメントレビューが引き続き適切・妥当かつ有効であることを確実にするため、トップマネジメントが定期的に実施するレビューはどれかISMSの継続的改善継続的改善の取組み
インシデント管理8問
CSIRT組織内に常設し、セキュリティインシデントの報告受付・原因調査・対応の統括や、平時の予防・情報共有を担う専門チームの一般的な呼称はどれか対応プロセスセキュリティインシデント対応において、被害の拡大を食い止めるために検知の直後に行うべき活動はどれかエスカレーション情報セキュリティインシデント対応における「エスカレーション」の説明情報セキュリティ事象と事故JIS Q 27000における情報セキュリティ「事象」と「インシデント」の関係の説明弱点の報告従業員が業務中に情報システムやサービスに存在する弱点を発見した場合、組織が求める対応インシデントの事後レビューセキュリティインシデント収束後に、再発防止のため経過や対応を検証する活動はどれかインシデントの優先度付け発生した複数のインシデントに、影響度と緊急度から対応順位を付ける活動はどれか教訓の活用情報セキュリティインシデントから得た教訓の活用に関する
リスクマネジメント7問
リスクレベルの算定リスクアセスメントでリスクレベルを見積もる際、一般に用いられる要素の組合せアプローチ重要な領域には詳細リスク分析を、それ以外にはベースラインアプローチを適用する手法はどれか非形式的アプローチ担当者の知識や経験に頼ってリスクを評価する手法の特徴リスクマネジメントの文脈確立リスクアセスメントに先立ち、適用範囲・前提・評価基準などを定める活動はどれかリスク登録簿特定したリスクとその評価結果・対応状況を一覧化し、継続管理する文書はどれか定性的評価と定量的評価リスクの大きさを「高・中・低」などの段階で表す、定性的リスク評価の特徴はどれか年間予想損失額(ALE)あるリスクについて、1年間に発生が見込まれる損失の期待額を表す指標はどれか
リスク対応5問
資産管理5問
事業継続管理7問
事業継続管理事業継続計画(BCP)における目標指標の事業影響度分析事業継続計画(BCP)の策定にあたり、各業務が停止した場合の影響度や、許容できる停止時間を分析・評価する活動はどれか目標復旧時間(RTO)事業継続計画で、中断した業務をいつまでに復旧させるかを示す目標値はどれか目標復旧時点(RPO)障害復旧において、どの時点のデータまで復旧できればよいかを示す目標値はどれか最大許容停止時間(MTPD)これを超えて業務が停止すると事業の存続が危うくなる、許容限界の停止時間はどれかホットサイトシステムや最新データを常時待機させ、災害時に即座に業務を引き継げる代替拠点はどれかコンティンジェンシープラン災害や障害など不測の事態が起きた際の、緊急時の行動手順を定めた計画はどれか
情報セキュリティの特性5問
人的管理5問
組織体制5問
その他の項目63問
ISMS適用範囲の境界ISMSの適用範囲を定める際、外部や他部門との接点について行うべきことはどれかJIS Q 27001組織が情報セキュリティマネジメントシステム(ISMS)を構築・運用し認証を受ける際に、満たすべき「要求事項」を定めた規格はどれかJIS Q 27002採用する管理策を具体的にどう実装・運用すればよいかについて、実践のための手引き(ガイドライン)を示す規格はどれかサーベイランス審査取得後に、認証を維持するため定期的に実施される審査はどれか適用宣言書ISMSにおいて、リスクアセスメントの結果を踏まえ、採用する管理策と採用しない管理策およびその理由を一覧にした文書はどれか文書化した情報JIS Q 27001で、従来の「文書」と「記録」を包括し、組織が管理し維持することを求められる情報を表す用語はどれか識別と認証と認可の区別利用者が「誰であるか」を名乗らせる、アクセス管理の最初の段階はどれか特権ID管理システム管理者など強い権限をもつIDの不正利用を防ぐ管理アクセス権の棚卸しM社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…最小権限の原則利用者やプロセスに対し、業務遂行に必要な最小限の権限だけを与えるべきとする原則はどれか証拠保全インシデント発生後、原因究明や法的手続に備えて電子的証拠を収集・保全する際の原則標的型メールへの初動M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…SLAとセキュリティ外部事業者にシステム運用を委託する際、提供されるサービス水準を合意し文書化したものを何というかセキュリティポリシの構成情報セキュリティポリシを三階層で構成する場合、最上位に置かれ、経営層が組織の基本的な考え方や方針を宣言する文書はどれか情報セキュリティのための個別方針情報セキュリティの個別方針（トピック固有の方針）に関する説明モバイル機器の管理方針モバイル機器の利用に関する管理方針に含める事項CISO組織全体の情報セキュリティに関する方針策定や対策の統括について、経営層の一員として責任を担う役職はどれかSOCネットワークやシステムのログ・通信を常時監視し、サイバー攻撃の兆候をいち早く検知・分析することを専門に担う組織はどれか情報セキュリティのための測定指標情報セキュリティのパフォーマンスを測る指標の設定リスクアセスメントを構成する三つの活動「リスク特定」「リスク分析」「リスク評価」のリスクアセスメントの再実施ISMSにおいてリスクアセスメントを再度実施すべき契機資産価値の評価リスク分析で情報資産の価値を評価する際の考え方残留リスクリスク対応を実施した後にも、なお残って組織が引き受けることになるリスクを何と呼ぶかリスク基準リスクアセスメントの結果を評価する際に、どの程度のリスクなら受け入れられるかをあらかじめ定めた組織の判断のよりどころを何というかリスクコミュニケーション組織内外の利害関係者の間で、リスクに関する情報や認識を共有し、相互理解を図る一連の活動を指す用語はどれかベースラインアプローチリスク分析手法のうち、既存の標準や基準をもとに一定の対策水準(ベースライン)を定め、それを一律に適用する手法はどれか。詳細リスク分析情報資産ごとに資産価値・脅威・脆弱性を個別に評価し、リスクの大きさを精密に求めるリスク分析手法はどれか脅威と脆弱性の関係情報セキュリティにおける「脅威」と「脆弱性」の関係の説明リスク特定リスクアセスメントの一連の活動のリスク所有者JIS Q 27001で、特定のリスクを運用管理することについて、説明責任と権限をもつ人または主体を表す用語はどれか委託先の管理M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…委託前の契約M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…変更管理システムへの変更を無秩序に行わず、影響を評価し承認を経てから実施・記録する管理を行う主な目的はどれか不適合の管理ISMSで不適合が発見されたときの対応内部監査プログラムISMSの内部監査プログラム（監査計画）に関する情報セキュリティの独立したレビュー情報セキュリティの独立したレビューに関する
残り27問を表示
ログ管理と監視M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…ログの保存M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…職務分掌一人の担当者が業務の申請から承認、実行までを単独で行えないように役割を分け、不正やミスを牽制する管理策はどれか管理策の機能分類不正アクセスの試みを早期に発見するための、検知的管理策に当たるものはどれか監査と統制誰がいつどの情報へアクセスしたかを後から追跡・検証できるよう、操作ログを取得し改ざんされない形で保存している。この管理策が主に支える性質はどれか是正処置内部監査で発見された不適合に対し、その原因を除去して同じ問題が再び起こらないようにする活動はどれか内部監査の独立性ISMSの内部監査を実施する際、客観性と公平性を確保するために監査員に求められる原則有効性の測定ISMSの運用において、実施した情報セキュリティ管理策が意図した効果を上げているかを確かめるために行う活動はどれか供給者関係情報システムの運用を外部委託する際、委託先に起因する情報セキュリティ事故を防ぐために、契約や運用で組織が行うべきことはどれか機密保持契約機密保持契約（NDA）を締結する主な目的脅威インテリジェンス管理策としての脅威インテリジェンスの活用に関するJIS Q 15001マネジメントシステム(PMS)の要求事項を定め、プライバシーマーク制度の認定基準となっている規格はどれかバックアップとランサムウェアM社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…順守のレビュー情報セキュリティに関する順守のレビューの説明情報のラベル付け情報資産を重要度に応じて区分し、取扱い方法を明確にするため、各情報へ「社外秘」などの区分表示を付与する活動はどれかセキュリティ教育M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…訓練後の対応M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…脆弱性管理プロセス技術的脆弱性を管理するプロセスとして、組織が継続的に行うべき活動の説明知る必要性の原則情報へのアクセスを、たとえ権限を持つ者であっても業務上必要な範囲に限定すべきとする原則はどれか在宅勤務端末の持出しM社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…パスワードの使い回しM社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…多要素認証の導入M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…ISMS適合性評価制度組織のISMSが規格に適合していることを、第三者機関が審査し認証する「ISMS適合性評価制度」の説明クリアデスク離席時や退社時に、机上に書類や記憶媒体を放置せず、画面もロックしておくよう求める対策の名称はどれか入退室管理認可されていない者が、認可された者の直後に続いて扉を通り抜け、管理区域へ不正に入る行為を指す用語はどれかセキュリティ境界とゾーニング重要度に応じて施設内を複数の区画に分け、区画ごとに入退室の制限を段階的に強化する物理的セキュリティの考え方はどれかトップマネジメントの責任ISMSにおいて、情報セキュリティ方針を確立し承認するなど、最終的な責任を負う主体はどれか
情報セキュリティ対策・実装技術
ネットワークセキュリティ8問
ファイアウォールネットワーク境界に設置し、送信元・宛先のIPアドレスやポート番号などの条件に基づいて通信の通過・遮断を制御する仕組みはどれかIDSとIPS不正な通信や攻撃の兆候を検知した際に、管理者へ通知するだけでなく、その通信を自動的に遮断して被害を未然に防ぐ機能を持つ仕組みはどれか無線LANのセキュリティ無線LANを利用する際に通信を保護する方式として、現在最も安全性が高く推奨されるものはどれかVPNインターネットのような公衆網を経由しながらも、暗号化とトンネリングによって拠点間や在宅勤務者と社内を安全に接続し、あたかも専用線のように使う技術はどれかWAFWebアプリへのSQLインジェクションやクロスサイトスクリプティングなどの攻撃を、通信内容を検査して検知・遮断する仕組みはどれかプロキシ社内端末の代わりに外部サーバへアクセスを中継し、アクセス先の制限やログ取得、コンテンツの検査を行う仕組みはどれかハニーポット攻撃者をわざと誘い込むために設置したおとりのシステムで、攻撃の手口を観察・分析する目的で用いられるものはどれか検疫ネットワーク社内ネットワークへ接続しようとする端末のセキュリティ状態を事前に検査し、基準を満たさない端末は隔離して接続させない仕組みはどれか
暗号技術5問
認証技術10問
ディジタル署名電子文書にディジタル署名を付すことで実現できることディジタル証明書とCA公開鍵が確かにその名義人のものであることを第三者が保証する仕組みにおいて、申請者の本人性を確認したうえでディジタル証明書を発行する機関はどれかワンタイムパスワード一度しか使えず短時間で無効になるパスワードを毎回生成して用いることで、盗聴された場合の再利用を防ぐ認証方式はどれかシングルサインオン一度の認証で、連携する複数のシステムやサービスを再度ログインせずに利用できるようにする仕組みはどれか生体認証の精度生体認証で、他人を誤って本人と認めてしまう割合を表す指標はどれかCAPTCHAログイン画面などで、ゆがんだ文字の入力や画像の選択を求め、プログラムによる自動的な大量アクセスを排除する仕組みはどれかタイムスタンプ電子データがある時刻に確かに存在し、その後改ざんされていないことを第三者機関の情報を用いて証明する仕組みはどれかリスクベース認証普段と異なる場所や端末からのログインなど、ふだんと違う状況を検知したときにのみ追加の本人確認を求める認証方式はどれか多要素認証認証において、知識・所持・生体という性質の異なる要素の管理コンソール保護P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…
その他の項目111問
SameSite属性別サイト起点の遷移ではCookieを送らないよう指定し、意図しない権限行使を抑止するCookieの属性はどれかセキュア属性付きCookie暗号化されていない通信ではCookieをブラウザに送信させず、平文での漏えいを防ぐ属性はどれかDNSSECDNSの応答にディジタル署名を付与し、応答の改ざんやなりすましを検知できるようにする拡張はどれかSYN Cookie接続要求の途中状態を保持せず、応答に符号化した値を埋め込んでSYNフラッド攻撃を緩和する手法はどれかポートセキュリティスイッチの物理ポートで接続できる端末のMACアドレスを制限し、無許可機器の接続を防ぐ機能はどれか動的ARP検査スイッチがARP応答の正当性を検査し、偽のMACアドレス通知による中間者攻撃を防ぐ機能はどれかCSRF対策利用者がログイン中のサイトに対し、攻撃者の用意した別ページから意図しない要求を送らせる攻撃を防ぐ方法はどれか入力悪用対策P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…出力の無害化P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…アクセス制御各利用者やプロセスに対し、その業務の遂行に必要な最小限の権限だけを与える設計方針を採用した。この方針が情報セキュリティ上有効とされる主な理由はどれか最小権限P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…強制アクセス制御資源の所有者ではなく管理者が定めたポリシに従い、利用者の権限を強制的に適用するアクセス制御方式はどれかディジタルフォレンジックインシデント発生後、原因究明や法的手続のために、電子的な記録を改ざんなく収集・保全し分析する活動はどれか設定ミスP社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…CASB利用者とクラウドサービスの間に位置し、利用状況の可視化や認可・データ保護を一元的に行う仕組みはどれかコンテナイメージスキャン配備前のコンテナイメージに含まれるOSパッケージやライブラリの既知脆弱性を検査する対策はどれか電子透かし画像や動画などのコンテンツに、人にはほとんど分からない形で作成者や購入者の情報を埋め込み、不正な複製の追跡や権利の主張に役立てる技術はどれか入力値検証WebアプリでSQLインジェクションやクロスサイトスクリプティングを防ぐために、開発段階で行うべき最も根本的な対策はどれか資格情報の管理P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…入力値検証P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…バッファオーバフロー対策確保した領域を超える長さのデータ入力により隣接メモリを破壊され、不正コードを実行される攻撃への対策はどれかクロスサイトスクリプティング対策Webアプリで利用者入力を画面に出力する際、スクリプトの実行を防ぐために行うべき処理はどれかSQLインジェクション対策SQLインジェクションを防ぐ最も確実な実装として、データベース問合せ時に採用すべき方法はどれかセッションフィクセーション対策攻撃者が用意したセッションIDを利用者に使わせ、ログイン後に成り済ます攻撃を防ぐ対策はどれかKerberos認証信頼できる第三者が発行するチケットを用い、社内の複数サービスへ都度パスワードを送らず認証する方式はどれかディスク暗号化ノートPCの紛失や盗難に備え、記憶装置全体を暗号化して取り外しても内容を読めなくする対策はどれかJSON Web Token(JWT)利用者情報を含み署名が付された自己完結型のトークンで、サーバ側で状態を持たず検証できる仕組みはどれかDMZ外部に公開するWebサーバなどを、社内ネットワークからも外部からも隔離した緩衝地帯に置く構成を何というかネットワーク分離重要システムを扱う区画と一般業務の区画を論理的に分離し、一方が侵害されても他方へ容易に波及しないようにする対策はどれかNAT/NAPT社内のプライベートIPアドレスをインターネット用のグローバルIPアドレスに変換し、結果として内部アドレスを外部から直接見えにくくする技術はどれかTPMPCに搭載され、暗号鍵の生成や保管、機器構成の測定などを安全に行う耐タンパ性の専用チップはどれかステートフルインスペクションパケットの送受信を通信の状態として記憶し、正規の応答かどうかを判断して通過を許可する方式はどれかチャレンジレスポンス認証毎回変わる乱数を相手に提示し、その応答計算結果で本人確認することでパスワードを流さない方式はどれかソルト付きハッシュパスワードを保存する際、利用者ごとに異なる文字列を付加してからハッシュ化する手法の主な目的はどれかストレッチングパスワードのハッシュ化を多数回繰り返して計算コストを高め、総当たり攻撃を遅くする手法はどれかペッパーソルトとは別に、データベースと分離した場所で秘密に保持し全ハッシュへ共通適用する秘密値はどれか
残り75問を表示
ディレクトリトラバーサル対策ファイル名に上位階層を指す記号を含めて公開範囲外のファイルへ到達する攻撃を防ぐ対策はどれかバックアップ方式データを三つ持ち、二種類の媒体に保存しコンテンツセキュリティポリシーWebページが読み込んでよいスクリプトや画像の取得元をサーバが宣言し、ブラウザに強制させてXSSを緩和する仕組みはどれか802.1X認証LANのスイッチや無線アクセスポイントへの接続時に、利用者を認証してから通信を許可するポートベースの認証規格はどれかマルウェア対策既知のマルウェアの特徴を記録した定義ファイルと照合して検出する従来方式では、未知のマルウェアを検知しにくい。この弱点を補う、プログラムの不審な挙動に着目した…EDR端末上の不審な挙動を継続的に監視・記録し、侵入を検知した際に被害範囲の調査や封じ込めを支援する仕組みはどれかサンドボックス不審なファイルを、本番環境から隔離した仮想的な環境で実際に実行し、その挙動を観察して未知のマルウェアかどうかを判定する仕組みはどれかS/MIME電子メールの本文を暗号化し、併せてディジタル署名により送信者の正当性と改ざん検出を実現する方式はどれかSSHサーバへ遠隔ログインする際に通信経路を暗号化し、パスワードや操作内容の盗聴を防ぐプロトコルはどれか安全な接続P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…ブロック暗号の利用モード固定長ブロックを処理する暗号で、直前の暗号文を次の平文にXORして同一平文の繰返しを隠す利用モードはどれかデータダイオード重要システムから外部へのデータ送出だけを物理的に許し、逆向きの通信を不可能にする装置はどれかレート制限一定時間内に同一利用者や同一IPから受け付ける要求の回数に上限を設け、過大な負荷や総当たりを抑える対策はどれかOSコマンドインジェクション対策利用者入力をそのままシェルに渡して任意のOSコマンドを実行されないようにする対策はどれか異常の検知P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…SIEM多数の機器やサーバが出力するログを一元的に収集・相関分析し、不審な兆候をリアルタイムに検知して通知する仕組みはどれかWORM一度書き込んだデータは追記のみ可能で上書きや消去ができない記録方式により、ログの改ざんを防ぐものはどれかセキュアブートPCの起動時に、署名を検証して正当なソフトウェアだけを読み込ませ、不正な改ざんを防ぐ仕組みはどれかSELinuxプロセスやファイルにラベルを付与し、管理者が定めた規則で操作可否を強制するLinuxの仕組みはどれかTOCTOU(競合状態)資源を検査してから実際に使うまでの隙に状態を書き換えられ、不正な処理を許す脆弱性はどれかPGPの信頼モデルPGPで採用される、利用者同士が互いの公開鍵を保証し合って信頼を広げる仕組みはどれか鍵導出関数(KDF)パスワードなどから暗号鍵を生成する際、総当たりを困難にするため反復計算で鍵を導く関数はどれかHSM暗号鍵の生成・保管や暗号処理を専用ハードウェア内で完結させ、鍵の外部流出を防ぐ装置はどれか前方秘匿性(PFS)長期秘密鍵が将来漏れても、過去に録音した通信の解読を防げる鍵交換の性質はどれか証明書透明性(CT)発行された全てのサーバ証明書を公開記録に登録し、不正発行や誤発行を後から検知可能にする仕組みはどれかリバースプロキシ外部からの要求を代理して受け、背後の複数の公開サーバへ振り分けつつ、それらの存在を直接見せない機器はどれか楕円曲線暗号(ECC)RSAより短い鍵長で同等の安全性が得られ、処理や鍵の取り回しが軽い公開鍵暗号方式はどれかランサム対策P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…クリックジャッキング対策透明な枠を上に重ねて利用者に意図しないボタンを押させる攻撃を、枠内表示の制限で防ぐ対策はどれか書式文字列攻撃対策利用者入力を書式指定の引数にそのまま渡すと任意のメモリ参照や書き換えを許す問題への対策はどれか証明書チェーン検証サーバ証明書からルート認証局まで署名の連なりをたどり、信頼の起点まで到達するか確かめる検証はどれかOCSPディジタル証明書が失効していないかを、一覧の取得ではなくサーバへの問合せで都度確認するプロトコルはどれか証明書失効リスト認証局が、有効期限内であっても失効させた証明書の一覧を公開し、利用者が無効性を確認できるようにする仕組みはどれかDLP機密情報の内容や種類を識別し、メール送信やファイル持出しといった経路での外部流出を検知・ブロックする仕組みはどれかルート証明書ストアOSやブラウザが信頼する認証局のルート証明書をあらかじめ保持し、検証の起点とする格納領域はどれか整数オーバフロー対策計算結果が変数の扱える範囲を超えて値が破綻し、確保サイズの誤りなどにつながる不具合への対策はどれかファジング検査対象に想定外や異常なデータを大量に送り込み、異常終了などからソフトウェアの欠陥を見つける手法はどれか脆弱性スキャナ既知の脆弱性の特徴を蓄積した情報に照らし、システムやネットワークを自動診断して問題箇所を洗い出すツールはどれかパッチ管理公表された脆弱性を悪用されないように、修正プログラムを速やかに適用して脆弱性を解消する管理活動はどれかペネトレーションテストシステムに対し実際に攻撃者の手口で侵入を試み、防御の有効性や悪用可能な弱点を実践的に確認する活動はどれか脆弱性の解消P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…証明書ピンニングアプリが接続先の正規の証明書や公開鍵をあらかじめ固定保持し、別の証明書を拒否して中間者攻撃を防ぐ手法はどれかネットワークアクセス制御接続を試みる端末の安全性を点検し、要件を満たさない端末の接続を制限したり是正に誘導する仕組みはどれかクライアント証明書認証サーバだけでなく接続してくる端末側にも証明書の提示を求め、双方を検証する認証方式はどれかSPF差出人ドメインの正規の送信元サーバをDNSに登録し、受信側が送信元IPを照合してなりすましメールを判別する仕組みはどれかDKIM送信メールに電子署名を付け、受信側が公開鍵で検証して送信元と内容の正当性を確認する仕組みはどれかDMARCSPFやDKIMの認証結果に基づき、認証失敗メールの扱いをドメイン所有者がポリシとして指定できる仕組みはどれか送信元アドレス検証ルータが受信パケットの送信元アドレスが経路上妥当かを確認し、偽装パケットを破棄する対策はどれかSMTP-AUTHメール送信を受け付ける前に利用者を認証し、認可された者だけに送信させて第三者中継を防ぐ仕組みはどれかSOAR検知したインシデントへの対応手順を定型化し、機器操作や通知などの処理を自動で実行して運用を効率化する仕組みはどれかポートスキャン攻撃の準備として標的の多数のポートへ順に接続を試み、開いているサービスを調べる探索行為はどれかMDM業務で使う多数のスマートフォンやタブレットに対し、設定の一括配布や紛失時の遠隔ロック・データ消去を集中管理する仕組みはどれかTLSWebブラウザとWebサーバの間の通信を暗号化し、盗聴や改ざん、なりすましを防ぐためにHTTPSで用いられる仕組みはどれかIPsec拠点間をつなぐVPNなどで、ネットワーク層(IP)のレベルでパケットを暗号化・認証し、通信を保護するプロトコルはどれか通信路の保護P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…HSTSWebサーバがブラウザにHTTPSでの接続を強制し、以後の平文HTTP接続を自動的に拒否させるHTTPの仕組みはどれかSTARTTLS平文で始めたメール通信を、同じ接続のまま暗号化通信へ切り替える命令や仕組みはどれかUTMファイアウォールやアンチウイルス、不正侵入防御などの複数機能を一台に統合し、まとめて管理できる機器はどれか特権ID管理管理者権限の利用を申請制とし、貸出や操作記録を集中管理して権限の濫用を防ぐ仕組みはどれかアンチパスバック入室記録のない者の退室や、共連れによる不正入室を防ぐため入退の順序整合を求める入退室制御はどれかOAuth 2.0利用者の資格情報を渡さずに、第三者アプリへ特定資源への限定的なアクセス権限を与える枠組みはどれかRADIUS複数のアクセスサーバからの認証要求を集約し、利用者の認証・認可・課金情報を一元的に処理するプロトコルはどれかSAML組織間でXML形式の認証情報を受け渡し、一度の認証で外部サービスを利用可能にする標準はどれか認証付き暗号(AEAD)暗号化による秘匿に加え、改ざんの有無を検知する認証も同時に実現する暗号利用の仕組みはどれかFIDO2端末内の生体認証や鍵で本人を確認し、パスワードを送らずに公開鍵暗号で認証するパスワードレス認証の規格はどれかチャレンジレスポンス認証毎回異なる乱数を相手に送り、それを鍵で処理した結果を返させて、盗聴による再利用を防ぐ認証方式はどれかOpenID Connect認可の枠組みを土台に、利用者が誰かを示すトークンを発行して認証を実現する仕組みはどれかコードサイニング配布するソフトウェアにディジタル署名を付け、作成者の正当性と改ざんの有無を利用者が確認できるようにする仕組みはどれか記憶媒体のデータ消去廃棄する記憶装置から情報を復元できないようにするため、論理的な削除では不十分な場合に確実性が最も高い方法はどれかサイドチャネル攻撃対策処理時間や消費電力などの物理的な漏れから秘密鍵を推定する攻撃に備える、実装上の対策はどれか耐タンパ性ICカードなどで内部の鍵を物理的にこじ開けたり解析しようとすると、その情報を破壊して保護する性質はどれかゼロトラスト社内ネットワークの内側であっても安全とは見なさず、アクセスのたびに検証を求める考え方に基づくセキュリティモデルはどれかDNSシンクホール悪性ドメインへの名前解決を意図的に別の安全なアドレスへ誘導し、不正通信を遮断・観測する手法はどれかOP25Bプロバイダが契約者回線から外部メールサーバへの直接送信を遮断し、迷惑メールの大量送信を抑える対策はどれか暗号論的擬似乱数(CSPRNG)鍵やトークンの生成に用いるため、出力から次の値を予測できないことが求められる乱数生成はどれか
関連法規
刑法5問
刑法(コンピュータ関連犯罪)正当な理由なく、他人のコンピュータで意図に反する不正な動作をさせる目的でコンピュータウイルスを作成・提供する行為を処罰する規定はどれか電子計算機使用詐欺他人の口座情報を不正に操作し、コンピュータに虚偽の情報を与えて自己の口座へ預金残高を不正に移転させる行為を処罰する規定はどれか電子計算機損壊等業務妨害企業のサーバへ大量の不正データを送りつけて誤動作させ、業務用システムを停止に追い込んで事業を妨害する行為を直接処罰する規定はどれか電磁的記録不正作出罪権利義務や事実証明に関する他人の電磁的記録を、権限なく不正に作り出して用いる行為を処罰する規定はどれか不正指令電磁的記録に関する罪正当な理由なくコンピュータウイルスを作成したり提供したりする行為そのものを処罰する刑法の規定はどれか
個人情報5問
漏えい等報告義務個人データの漏えい等が発生し個人の権利利益を害するおそれが大きい場合に、個人情報取扱事業者が原則として負う義務はどれか要配慮個人情報本人に対する不当な差別や偏見が生じないよう取扱いに特に配慮を要するとして個人情報保護法が定める情報はどれか仮名加工情報他の情報と照合しない限り特定の個人を識別できないよう加工し、主に内部分析での活用を想定して個人情報保護法が設けた類型はどれか個人情報保護委員会保護に関する法律の運用を担い、事業者への監督や報告徴収、指導などを行う独立した行政機関はどれか個人データの越境移転取扱事業者が外国にある第三者へ個人データを提供する場合に、個人情報保護法が原則として求める対応はどれか
個人情報保護6問
漏えい時の本人通知個人データの漏えい等が発生し本人の権利利益を害するおそれが大きい場合に、個人情報取扱事業者が本人に対して負う義務はどれか個人情報取扱事業者の定義法における「個人情報取扱事業者」に関する保有個人データの公表事項法上の保有個人データについて、本人が知り得る状態に置くべき事項利用停止等の請求法が本人に認める「利用停止等の請求」に関する第三者提供記録の作成義務個人データを第三者へ提供し、又は第三者から提供を受けた場合に個人情報取扱事業者が原則として負う義務はどれか個人関連情報の第三者提供Cookie等の閲覧履歴のように単体では特定の個人を識別しない個人関連情報を第三者へ提供する場合の規律
個人情報保護法13問
個人情報保護法で、その取扱いに特に配慮を要するとして「要配慮個人情報」に位置づけられているものはどれか個人情報保護法個人データの漏えいが発生し、本人の権利利益を害するおそれが大きいと判断された場合、個人情報取扱事業者が原則として行うべき対応はどれか個人情報の定義「個人情報」に関する説明利用目的個人情報取扱事業者が個人情報を取得する際の、利用目的の取扱い第三者提供個人データを第三者へ提供する場合の原則的なルール匿名加工情報個人情報を、特定の個人を識別できず、かつ元の個人情報に復元できないように加工した情報を何というか開示請求個人情報取扱事業者が保有する自分の個人データについて、本人が事業者に対して行使できる権利データベース等不正提供罪個人情報取扱事業者の従業者等が、業務で扱う個人情報データベース等を不正な利益を図る目的で提供等した場合を処罰する規定はどれか安全管理措置の区分ガイドラインが、個人データの安全管理措置として整理している主な区分のデータ内容の正確性確保個人情報取扱事業者が保有する個人データの内容について、個人情報保護法が求めている取扱いはどれかオプトアウト届出本人の同意を得ずにオプトアウト方式で個人データを第三者へ提供しようとする事業者に、個人情報保護法が求める手続はどれか域外適用国内の本人に係る個人情報を取り扱う外国の事業者に対する、日本の個人情報保護法の適用に関する説明はどれか保有個人データの開示方法本人から保有個人データの開示請求を受けた事業者の対応について、個人情報保護法の定めに沿うものはどれか
情報セキュリティ関連法規5問
知的財産20問
限定提供データの保護ID管理などで限定して他者に提供される事業上有用なデータを不正競争防止法が新たに保護対象とした類型はどれか著作権の保護期間個人が創作した著作物の財産権としての著作権について、現行の著作権法が定める原則的な保護期間はどれか違法複製物のダウンロード著作権を侵害して公衆送信されていると知りながら有償著作物の複製物をダウンロードする行為について、現行法の扱いはどれか商標権自社の商品やサービスの出所を示す文字や図形などの標識について、登録により独占的に使用できる権利を認める法律はどれか周知表示混同惹起行為他社の広く知られた商品表示と同一・類似の表示を用い消費者に混同を生じさせる行為を規制する不正競争防止法上の類型はどれか意匠権工業製品のデザイン(形状・模様・色彩等)を保護する権利実用新案権物品の形状・構造又はプログラムの著作物性コンピュータプログラムの著作権法上の取扱いに関する著作者人格権著作者人格権に含まれる権利の職務著作従業員が職務上作成する著作物の著作者に関する職務著作(法人著作)の原則コピーレフト型ライセンスGPLに代表されるコピーレフト型のオープンソースソフトウェアライセンスの特徴特許権の存続期間発明を保護する特許権について、特許法が定める原則的な存続期間の起算点と長さの職務発明従業者が職務として行った発明、いわゆる職務発明について、特許法が定める原則的な取扱いはどれか私的使用のための複製著作権法が定める私的使用のための複製として、原則として権利者の許諾なく認められる行為はどれか著作権の利用許諾著作物の利用許諾(ライセンス)と著作権の譲渡との違いに関する説明データベースの著作物情報の集合体であるデータベースが著作権法上の著作物として保護されるための要件はどれか技術的制限手段の回避コピーガード等のコンテンツ保護技術を無効化する装置やプログラムの提供を規制するのはどれかドメイン名の不正取得他人の商品等表示と同一又は類似のドメイン名を不正の利益を得る目的で取得・保有する行為を規制するのはどれか著作権の登録制度著作権法における登録制度の位置付けに関する説明営業秘密の三要件不正競争防止法上の営業秘密として保護されるために、ある情報が満たすべき三つの要件はどれか
その他の項目44問
文書の電子保存法令で書面による保存が義務づけられている文書について、一定の要件のもとで電子データによる保存を容認することを主な目的とする法律はどれかガイドライン経済産業省とIPAが公表し、経営者がサイバーセキュリティを経営課題として認識し主導的に取り組むべきことを示した文書はどれかサイバーセキュリティ協議会基本法に基づき設置された、官民が脅威情報を共有し対策に資するための枠組みはどれかサイバーセキュリティ基本法サイバーセキュリティ基本法の説明として、最も適切なものはどれか。関係者の責務サイバーセキュリティ基本法が定める考え方として、最も適切なものはどれか。発信者情報インターネット上の書き込みで権利を侵害された者が、その発信者を特定するために用いることができる、プロバイダ責任制限法に基づく手続はどれか番号の利用制限マイナンバー(個人番号)の取扱いに関する説明個人番号関係事務実施者従業員の個人番号を給与の源泉徴収票などの作成事務のために取り扱う民間事業者の、マイナンバー法上の位置付けはどれか労働・委託に関する管理業務委託先に自社の機密情報を提供する際、委託先が情報を目的外に利用したり第三者へ漏らしたりしないよう、契約上の手当てとして最初に締結すべきものはどれかクラウドサービスのセキュリティ規格クラウドサービスの提供者と利用者を対象に、クラウド特有の情報セキュリティ管理策の実践規範を示す国際規格はどれかクラウド上の個人情報保護規格公衆クラウドで個人情報を処理する事業者を対象に、個人情報の保護に関する管理策を示した国際規格はどれか国内規格と国際規格の関係ISO/IEC が定めた国際規格を基に、日本国内向けに制定・対応づけされる国家規格はどれかPCI DSSクレジットカードの会員番号など決済データを取り扱う事業者に求められる、業界が定めたセキュリティ基準はどれか十分性認定ある国や地域が個人データについて十分な保護の水準を確保していると認められ、本人同意なしでも円滑な越境移転が認められる仕組みはどれかGDPREUの一般データ保護規則(GDPR)に関する説明情報処理安全確保支援士情報処理の促進に関する法律に基づき、情報セキュリティの専門人材を登録制で認定する国家資格はどれか下請代金支払遅延等防止法発注側が優越的な地位を利用して下請事業者へ代金の支払を不当に遅らせるなどの行為を禁止する法律はどれか特定商取引法インターネット通販などの取引で、事業者に販売価格や返品の可否といった一定事項の表示義務を課す法律はどれか製造物責任法引き渡した製造物の欠陥によって人の生命や身体、財産に損害が生じた場合に、製造業者等の賠償責任を定める法律はどれか電子消費者契約法インターネット通販で消費者が申込みの操作を誤った場合の救済に関し、事業者に確認措置を促すなど特例を定める法律はどれか電子政府推奨暗号リストCRYPTRECが作成・公表する電子政府推奨暗号リストの位置付け脆弱性関連情報の届出制度発見されたソフトウェア製品などの脆弱性に関する情報を受け付け、開発者との調整や公表のとりまとめを担う国内の枠組みはどれかサイバーセキュリティ戦略本部とNISCサイバーセキュリティ基本法に基づき、政府全体の施策を推進する戦略本部とその事務を担う組織の著作権法他社が開発し公開しているプログラムのソースコードを、許諾を得ずに自社製品へそのまま組み込んで販売した。この行為が侵害するおそれが最も高い権利はどれか引用他人の著作物を、許諾を得ずに自分の著作物へ取り込んでも著作権侵害とならない「適法な引用」の要件通信の秘密電気通信事業者が取り扱う通信について、その秘密を侵してはならないと定め、利用者の通信内容の保護を図る法律はどれかオプトイン方式特定電子メール法が広告宣伝メールの送信について採用している、原則として本人の事前同意を得た相手にのみ送信できる方式はどれかプロバイダ責任制限法インターネット上の権利侵害情報について、特定電気通信役務提供者の損害賠償責任の制限などを定める法律はどれか外部送信規律利用者の端末情報をウェブサイト等が外部の第三者へ送信する場合に、その旨の通知や公表などを求める電気通信事業法上の規律はどれか電子署名の効力一定の要件を満たす電子署名が本人によって行われたとき、その電子文書について認められる効果はどれか電子取引データに関連して、メールやWebでやり取りした請求書などの電子取引データの取扱い広告メール広告・宣伝を目的とする電子メール(特定電子メール)の送信に関する原則的なルール公益通報者保護法勤務先の法令違反を通報した労働者を、その通報を理由とする解雇などの不利益な取扱いから保護することを目的とする法律はどれかIT統制金融商品取引法に基づく内部統制報告制度(いわゆるJ-SOX)において、ITに関する統制が求められる主な目的はどれかISMS適合性評価制度組織が構築した情報セキュリティマネジメントシステムを第三者が審査し、規格適合を認証する制度の根拠となる規格はどれかプライバシーマーク制度個人情報を適切に取り扱う体制を整えている事業者に対し、その旨を示すマークの使用を認める制度はどれか
残り8問を表示
特定個人情報の安全管理マイナンバーを含む特定個人情報の取扱いについて、番号法が事業者に求めている事項不正アクセス禁止法他人の利用者IDとパスワードを無断で用い、本来アクセス権限のないネットワーク上のサーバへログインした。この行為を直接規制する法律はどれか識別符号の不正取得が禁止する行為として、他人の識別符号(ID・パスワード)に関し定められているものはどれか不正アクセス助長行為業務上知り得た他人の利用者IDとパスワードを、正当な理由なく第三者に提供する行為を規制するのはどれかアクセス管理者の防御措置がアクセス管理者に対して定めている、不正アクセスを防ぐための措置に関する位置付けはどれか営業秘密「営業秘密」として保護されるための要件に関する説明不法行為に基づく損害賠償故意または過失によって他人の権利や利益を侵害し損害を与えた者に、その損害の賠償義務を負わせる一般的な根拠はどれか派遣と請負外部の人材に業務を行わせる形態の
テクノロジ・マネジメント基礎
サービスマネジメント9問
SLAITサービスの提供者と利用者の間で、提供するサービスの品質水準(可用性や応答時間など)を数値などで合意する文書はどれかインシデント管理ITサービスマネジメントにおける「インシデント管理」の主たる目的はどれか問題管理ITサービスマネジメントにおいて、インシデントの根本原因を調査・特定し、再発を防止することを主たる目的とするプロセスはどれか変更管理ITサービスマネジメントで、システムへの変更が及ぼす影響を事前に評価し、承認の手続を経てから変更を実施するプロセスはどれかサービスデスクITサービスの利用者からの問合せや障害連絡を一元的に受け付け、対応の窓口となる単一の窓口機能はどれかキャパシティ管理ITサービスの需要を予測し、必要な処理能力や容量を過不足なく確保できるよう資源を計画・調整するプロセスはどれか構成管理ITサービスを構成する機器やソフトの情報と相互関係を正確に記録し維持する活動はどれかサービスカタログ提供中のサービスの内容や仕様、利用条件などを利用者向けに一覧化した文書はどれか既知の誤り根本原因と暫定的な回避策の両方が判明している問題を記録して管理する状態はどれか
システム監査5問
データベース基礎6問
アクセス権限業務システムが使うデータベースのアカウントに対し、情報セキュリティ上適切な権限の与え方はどれか正規化関係データベースで、データの重複や更新時の矛盾を防ぐため、表を一定の規則に従って分割し整理する作業を何というかトランザクションのACID特性データベースのトランザクション処理に求められ、処理の中途半端な反映を防ぐ「不可分性(原子性)」を含む四つの特性をまとめて何と呼ぶか主キー関係データベースの表で、各行を一意に識別するために設定する列または列の組はどれかストアドプロシージャ一連の処理手順をあらかじめDBMSに登録し、呼び出して実行できるようにしたものはどれかデッドロック複数の処理が互いに相手の確保した資源の解放を待ち続け、処理が進まなくなる状態はどれか
ネットワーク基礎13問
IPアドレスTCP/IPネットワークにおいて、通信先のコンピュータ(ホスト)を一意に識別するために用いられる番号はどれかDNS人が利用するドメイン名(例 www.example.jp)を、通信に必要なIPアドレスへ変換する仕組みはどれかプロトコルネットワーク上で機器どうしが正しく通信できるよう、データの形式ややり取りの手順をあらかじめ定めた約束事を何というかNAT組織内で使うプライベートIPアドレスを、外部と通信する際にグローバルIPアドレスへ相互変換する仕組みはどれかルータ異なるネットワークどうしを相互に接続し、宛先のIPアドレスを見て最適な経路へパケットを転送する機器はどれかデフォルトゲートウェイ端末が自分の所属するネットワーク外の宛先へ通信する際、最初にパケットを送り出す宛先となる機器の設定はどれかDHCPネットワークに接続した端末に対し、IPアドレスやサブネットマスクなどの設定情報を自動的に割り当てる仕組みはどれかMACアドレスネットワーク機器の製造時に各ネットワークインタフェースへ割り当てられ、原則として重複しない固有の物理アドレスはどれかサブネットマスクIPアドレスのうちネットワーク部とホスト部の境界を区切るために用いる値はどれか。ポート番号同一のホスト上で動作する複数の通信サービスを区別するために用いられる番号はどれかスイッチングハブ宛先のMACアドレスを見て、その機器が接続されたポートにだけフレームを送る装置はどれかOSI基本参照モデル通信機能を役割ごとに7階層に分けて整理した、ネットワークの概念的な参照モデルはどれかTCPとUDP相手と接続を確立し、到達確認と再送によってデータの確実な伝送を保証するプロトコルはどれか
信頼性8問
稼働率システムの信頼性に関する指標のRAID複数の磁気ディスクをMTBF修理して使う装置において、故障せずに連続して正常稼働できる時間の平均値を表す信頼性の指標はどれかMTTR故障した装置を修理して再び使えるようにするまでに要する時間の平均値を表し、保守性を示す指標はどれか可用性システムが必要なときに停止せず継続して利用できる度合いを表し、稼働率などで評価される性質はどれかバスタブ曲線機器の故障率が初期は高く、安定期に低く一定で、末期に再び上昇する時間変化を表す曲線はどれかターンアラウンドタイム処理の依頼を出してから、その結果がすべて利用者に返ってくるまでに要する時間はどれかベンチマークテスト標準的な処理を実際に実行させ、システムの処理性能を数値で測定し比較する手法はどれか
その他の項目19問
IoTセキュリティ多数のIoT機器を安全に運用するうえで、特に重要とされる基本的な対策はどれか責任共有モデルサービスの利用において、提供事業者と利用者がセキュリティ上の責任を分担するという考え方を何というかSaaS電子メールや業務用ソフトなど、アプリケーションそのものをインターネット経由のサービスとして利用者に提供する形態はどれかPaaSアプリケーションの開発や実行に必要なOS・ミドルウェアなどの基盤環境を、インターネット経由で提供するクラウドサービスの形態はどれかフォローアップ監査監査で指摘した事項について、後日その改善状況を確認し是正を促す活動はどれかデュプレックスシステム通常は主系で処理し、障害時に待機させた従系へ切り替えて処理を引き継ぐ構成はどれかファイアウォール内部ネットワークと外部ネットワークの境界に置き、あらかじめ定めた規則に従って通信の通過を許可・遮断する機器はどれかプロキシサーバ内部の端末に代わって外部のWebサーバへアクセスし、通信を中継するとともにアクセス制御やログ取得を行うサーバはどれかVPNインターネットなどの公衆網上に、暗号化により仮想的な専用線のような安全な通信路を構築する技術はどれかバックアップ方式前回のフルバックアップ以降に変更されたデータだけを毎回まとめて取得していく方式はどれか仮想化技術一台の物理サーバ上に複数の仮想的なサーバを構築し、資源を効率的に共有して運用する技術はどれか冗長構成システムの可用性を高めるために、ある一か所が故障しただけで全体が停止してしまう箇所(単一障害点)をなくす設計の考え方はどれか負荷分散多数の利用者からのアクセスを複数のサーバへ振り分けて処理し、一台への集中を避けて性能と可用性を高める仕組みはどれかRASIS信頼性・可用性・保守性・保全性・機密性の5項目でシステムの品質を総合評価する概念はどれかフェールセーフシステムや機器に障害が発生した際、被害が拡大しないよう常に安全な側に動作させる設計の考え方はどれかフールプルーフ利用者が誤った操作や使い方をしても、危険な状態や故障につながらないようあらかじめ工夫しておく設計の考え方はどれかフォールトトレラント構成要素の一部に障害が発生しても、システム全体を停止させず正常な機能を維持し続けられるようにする設計の考え方はどれかフェールソフト障害が発生した際に、一部の機能や性能を制限してでもシステムを完全には停止させず、稼働を継続させる設計の考え方はどれか国際標準製品やマネジメントシステムについて、国際的に共通の基準を定めて互換性や品質、信頼性の確保を図る取組みを何というか
このページの502問は一部です。登録すると情報セキュリティマネジメント試験の全3,036問。
一問ごとにAIが「なぜ正解か・なぜ他が誤りか」まで解説。まちがえた問題は自動で復習に回り、暗記カードと模試まで無料で使えます。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。