過去問・一問一答
情報セキュリティマネジメント試験 の演習問題（2ページ目）
情報セキュリティマネジメント試験のオリジナル演習問題 502問を、分野別に整理しました。各問、正解と選択肢ごとの解説つき。このページは121〜240問目。気になる問題を選んで「なぜその答えになるのか」まで確認できます。
情報セキュリティ管理
リスクマネジメント7問
リスクレベルの算定リスクアセスメントでリスクレベルを見積もる際、一般に用いられる要素の組合せアプローチ重要な領域には詳細リスク分析を、それ以外にはベースラインアプローチを適用する手法はどれか非形式的アプローチ担当者の知識や経験に頼ってリスクを評価する手法の特徴リスクマネジメントの文脈確立リスクアセスメントに先立ち、適用範囲・前提・評価基準などを定める活動はどれかリスク登録簿特定したリスクとその評価結果・対応状況を一覧化し、継続管理する文書はどれか定性的評価と定量的評価リスクの大きさを「高・中・低」などの段階で表す、定性的リスク評価の特徴はどれか年間予想損失額(ALE)あるリスクについて、1年間に発生が見込まれる損失の期待額を表す指標はどれか
リスク対応5問
資産管理5問
事業継続管理7問
事業継続管理事業継続計画(BCP)における目標指標の事業影響度分析事業継続計画(BCP)の策定にあたり、各業務が停止した場合の影響度や、許容できる停止時間を分析・評価する活動はどれか目標復旧時間(RTO)事業継続計画で、中断した業務をいつまでに復旧させるかを示す目標値はどれか目標復旧時点(RPO)障害復旧において、どの時点のデータまで復旧できればよいかを示す目標値はどれか最大許容停止時間(MTPD)これを超えて業務が停止すると事業の存続が危うくなる、許容限界の停止時間はどれかホットサイトシステムや最新データを常時待機させ、災害時に即座に業務を引き継げる代替拠点はどれかコンティンジェンシープラン災害や障害など不測の事態が起きた際の、緊急時の行動手順を定めた計画はどれか
情報セキュリティの特性5問
人的管理5問
組織体制5問
その他の項目51問
SLAとセキュリティ外部事業者にシステム運用を委託する際、提供されるサービス水準を合意し文書化したものを何というかセキュリティポリシの構成情報セキュリティポリシを三階層で構成する場合、最上位に置かれ、経営層が組織の基本的な考え方や方針を宣言する文書はどれか情報セキュリティのための個別方針情報セキュリティの個別方針（トピック固有の方針）に関する説明モバイル機器の管理方針モバイル機器の利用に関する管理方針に含める事項CISO組織全体の情報セキュリティに関する方針策定や対策の統括について、経営層の一員として責任を担う役職はどれかSOCネットワークやシステムのログ・通信を常時監視し、サイバー攻撃の兆候をいち早く検知・分析することを専門に担う組織はどれか情報セキュリティのための測定指標情報セキュリティのパフォーマンスを測る指標の設定リスクアセスメントを構成する三つの活動「リスク特定」「リスク分析」「リスク評価」のリスクアセスメントの再実施ISMSにおいてリスクアセスメントを再度実施すべき契機資産価値の評価リスク分析で情報資産の価値を評価する際の考え方残留リスクリスク対応を実施した後にも、なお残って組織が引き受けることになるリスクを何と呼ぶかリスク基準リスクアセスメントの結果を評価する際に、どの程度のリスクなら受け入れられるかをあらかじめ定めた組織の判断のよりどころを何というかリスクコミュニケーション組織内外の利害関係者の間で、リスクに関する情報や認識を共有し、相互理解を図る一連の活動を指す用語はどれかベースラインアプローチリスク分析手法のうち、既存の標準や基準をもとに一定の対策水準(ベースライン)を定め、それを一律に適用する手法はどれか。詳細リスク分析情報資産ごとに資産価値・脅威・脆弱性を個別に評価し、リスクの大きさを精密に求めるリスク分析手法はどれか脅威と脆弱性の関係情報セキュリティにおける「脅威」と「脆弱性」の関係の説明リスク特定リスクアセスメントの一連の活動のリスク所有者JIS Q 27001で、特定のリスクを運用管理することについて、説明責任と権限をもつ人または主体を表す用語はどれか委託先の管理M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…委託前の契約M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…変更管理システムへの変更を無秩序に行わず、影響を評価し承認を経てから実施・記録する管理を行う主な目的はどれか不適合の管理ISMSで不適合が発見されたときの対応内部監査プログラムISMSの内部監査プログラム（監査計画）に関する情報セキュリティの独立したレビュー情報セキュリティの独立したレビューに関するログ管理と監視M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…ログの保存M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…職務分掌一人の担当者が業務の申請から承認、実行までを単独で行えないように役割を分け、不正やミスを牽制する管理策はどれか管理策の機能分類不正アクセスの試みを早期に発見するための、検知的管理策に当たるものはどれか監査と統制誰がいつどの情報へアクセスしたかを後から追跡・検証できるよう、操作ログを取得し改ざんされない形で保存している。この管理策が主に支える性質はどれか是正処置内部監査で発見された不適合に対し、その原因を除去して同じ問題が再び起こらないようにする活動はどれか内部監査の独立性ISMSの内部監査を実施する際、客観性と公平性を確保するために監査員に求められる原則有効性の測定ISMSの運用において、実施した情報セキュリティ管理策が意図した効果を上げているかを確かめるために行う活動はどれか供給者関係情報システムの運用を外部委託する際、委託先に起因する情報セキュリティ事故を防ぐために、契約や運用で組織が行うべきことはどれか機密保持契約機密保持契約（NDA）を締結する主な目的脅威インテリジェンス管理策としての脅威インテリジェンスの活用に関するJIS Q 15001マネジメントシステム(PMS)の要求事項を定め、プライバシーマーク制度の認定基準となっている規格はどれか
残り15問を表示
バックアップとランサムウェアM社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…順守のレビュー情報セキュリティに関する順守のレビューの説明情報のラベル付け情報資産を重要度に応じて区分し、取扱い方法を明確にするため、各情報へ「社外秘」などの区分表示を付与する活動はどれかセキュリティ教育M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…訓練後の対応M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…脆弱性管理プロセス技術的脆弱性を管理するプロセスとして、組織が継続的に行うべき活動の説明知る必要性の原則情報へのアクセスを、たとえ権限を持つ者であっても業務上必要な範囲に限定すべきとする原則はどれか在宅勤務端末の持出しM社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…パスワードの使い回しM社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…多要素認証の導入M社は通信販売を営む従業員約300名の企業で、顧客の氏名・住所・購入履歴を扱う。情報システム部のN課長がセキュリティ運用を統括し、社内CSIRTを兼ねる。最…ISMS適合性評価制度組織のISMSが規格に適合していることを、第三者機関が審査し認証する「ISMS適合性評価制度」の説明クリアデスク離席時や退社時に、机上に書類や記憶媒体を放置せず、画面もロックしておくよう求める対策の名称はどれか入退室管理認可されていない者が、認可された者の直後に続いて扉を通り抜け、管理区域へ不正に入る行為を指す用語はどれかセキュリティ境界とゾーニング重要度に応じて施設内を複数の区画に分け、区画ごとに入退室の制限を段階的に強化する物理的セキュリティの考え方はどれかトップマネジメントの責任ISMSにおいて、情報セキュリティ方針を確立し承認するなど、最終的な責任を負う主体はどれか
情報セキュリティ対策・実装技術
SameSite属性別サイト起点の遷移ではCookieを送らないよう指定し、意図しない権限行使を抑止するCookieの属性はどれかセキュア属性付きCookie暗号化されていない通信ではCookieをブラウザに送信させず、平文での漏えいを防ぐ属性はどれかDNSSECDNSの応答にディジタル署名を付与し、応答の改ざんやなりすましを検知できるようにする拡張はどれかSYN Cookie接続要求の途中状態を保持せず、応答に符号化した値を埋め込んでSYNフラッド攻撃を緩和する手法はどれかポートセキュリティスイッチの物理ポートで接続できる端末のMACアドレスを制限し、無許可機器の接続を防ぐ機能はどれか動的ARP検査スイッチがARP応答の正当性を検査し、偽のMACアドレス通知による中間者攻撃を防ぐ機能はどれかCSRF対策利用者がログイン中のサイトに対し、攻撃者の用意した別ページから意図しない要求を送らせる攻撃を防ぐ方法はどれか入力悪用対策P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…出力の無害化P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…アクセス制御各利用者やプロセスに対し、その業務の遂行に必要な最小限の権限だけを与える設計方針を採用した。この方針が情報セキュリティ上有効とされる主な理由はどれか最小権限P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…強制アクセス制御資源の所有者ではなく管理者が定めたポリシに従い、利用者の権限を強制的に適用するアクセス制御方式はどれかディジタルフォレンジックインシデント発生後、原因究明や法的手続のために、電子的な記録を改ざんなく収集・保全し分析する活動はどれか設定ミスP社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…CASB利用者とクラウドサービスの間に位置し、利用状況の可視化や認可・データ保護を一元的に行う仕組みはどれかコンテナイメージスキャン配備前のコンテナイメージに含まれるOSパッケージやライブラリの既知脆弱性を検査する対策はどれか電子透かし画像や動画などのコンテンツに、人にはほとんど分からない形で作成者や購入者の情報を埋め込み、不正な複製の追跡や権利の主張に役立てる技術はどれか入力値検証WebアプリでSQLインジェクションやクロスサイトスクリプティングを防ぐために、開発段階で行うべき最も根本的な対策はどれか資格情報の管理P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…入力値検証P社は会員向けWebサービスを自社開発・運用する従業員約120名のIT企業である。利用者の個人情報を扱い、開発チームはクラウド上に構築した環境で在宅勤務を交…バッファオーバフロー対策確保した領域を超える長さのデータ入力により隣接メモリを破壊され、不正コードを実行される攻撃への対策はどれかクロスサイトスクリプティング対策Webアプリで利用者入力を画面に出力する際、スクリプトの実行を防ぐために行うべき処理はどれかSQLインジェクション対策SQLインジェクションを防ぐ最も確実な実装として、データベース問合せ時に採用すべき方法はどれかセッションフィクセーション対策攻撃者が用意したセッションIDを利用者に使わせ、ログイン後に成り済ます攻撃を防ぐ対策はどれかKerberos認証信頼できる第三者が発行するチケットを用い、社内の複数サービスへ都度パスワードを送らず認証する方式はどれかディスク暗号化ノートPCの紛失や盗難に備え、記憶装置全体を暗号化して取り外しても内容を読めなくする対策はどれかJSON Web Token(JWT)利用者情報を含み署名が付された自己完結型のトークンで、サーバ側で状態を持たず検証できる仕組みはどれかファイアウォールネットワーク境界に設置し、送信元・宛先のIPアドレスやポート番号などの条件に基づいて通信の通過・遮断を制御する仕組みはどれかIDSとIPS不正な通信や攻撃の兆候を検知した際に、管理者へ通知するだけでなく、その通信を自動的に遮断して被害を未然に防ぐ機能を持つ仕組みはどれか無線LANのセキュリティ無線LANを利用する際に通信を保護する方式として、現在最も安全性が高く推奨されるものはどれか
このページの502問は一部です。登録すると情報セキュリティマネジメント試験の全3,036問。
一問ごとにAIが「なぜ正解か・なぜ他が誤りか」まで解説。まちがえた問題は自動で復習に回り、暗記カードと模試まで無料で使えます。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。