用語集
情報セキュリティマネジメント試験 の重要用語
試験で問われる100の重要用語を、意味・試験での問われ方・覚え方つきで整理しました。「〇〇とは？」がすぐ分かります。
用語一覧（100語）
チャレンジレスポンスの再利用防止→チャレンジレスポンスは、予測できず再利用できないチャレンジに対する応答で、秘密情報の直接送信と再生を避ける。
▍なぜ正解…ディープフェイクを疑う送金依頼→ディープフェイクを含むなりすましは、表示内容ではなく独立した本人確認と承認経路で防ぐ。
▍なぜ正解…ハッシュ値と電子署名→電子署名は、署名者の秘密鍵と検証用の公開鍵を対応付け、完全性と作成者確認に用いる。
▍なぜ正解…フットプリンティングとポートスキャン→フットプリンティングは対象の外形を把握する情報収集、ポートスキャンはネットワーク上の開放状況の調査である。
▍なぜ正解…プロンプトインジェクション→AIが扱う入力や参照文書にも、命令として解釈され得る内容が混入することを前提にする。
▍なぜ正解…ラテラルムーブメントの兆候→ラテラルムーブメントは侵害後に別の端末・サーバへ移動する行為であり、資格情報と通信の両面で封じる。
▍なぜ正解…ランサムウェアの封じ込め→ランサムウェアが疑われるときは、自己判断で消去や支払いをせず、隔離・報告・証拠保全を優先する。
▍なぜ正解…不審メールの初動→不審メールは、開封・実行・返信より先に、定められた経路で報告して分析可能な状態を保つ。
▍なぜ正解…共通鍵暗号と公開鍵暗号→公開鍵暗号は鍵を対にして使い、秘密鍵を公開しないまま相手に暗号化を依頼できる。
▍なぜ正解…可用性→可用性は、認可された利用者が必要なときに情報とサービスを利用できる性質である。
▍なぜ正解…完全性→完全性は、情報が正確かつ完全で、無権限の変更から守られている性質である。
▍なぜ正解…機密性→機密性は、情報を知る必要があり、権限を持つ者だけに開示する性質である。
▍なぜ正解…脅威・脆弱性・リスク→脅威は害を与え得る要因、脆弱性は利用され得る弱点、リスクはその結果の不確かさである。
▍なぜ正解…CIAによる影響評価→CIA評価では、資産やサービスが失う性質ごとに、業務、顧客、法令への影響を評価する。
▍なぜ正解…リスクの監視と見直し→リスク管理は一回限りの表作成ではなく、変化を契機に監視・再評価・改善する循環である。
▍なぜ正解…リスク低減→リスク低減は、予防・検知・復旧の管理策で、発生可能性又は影響度を許容水準まで下げる。
▍なぜ正解…リスク保有→リスク保有は、無視ではなく、基準、根拠、責任者の承認を伴う意思決定である。
▍なぜ正解…リスク回避→リスク回避は、リスクを生む活動、利用方法、条件そのものを変更又は中止する対応である。
▍なぜ正解…リスク基準の適用→リスク基準は、対応の優先度だけでなく、誰が受容を承認できるかを定める。
▍なぜ正解…リスク対応計画の不足→リスク対応計画は、選んだ対策を実行可能な責任、期限、確認方法に変換する。
▍なぜ正解…リスク特定→リスク特定では、守る資産に対して何が起こり得るか、どの弱点が利用され得るかを記述する。
▍なぜ正解…リスク移転→リスク移転は、保険、契約、外部委託などを通じて損失負担を移す又は共有する対応である。
▍なぜ正解…変更時の再評価→システム変更は、実装前にリスクと管理策を確認し、承認条件に反映する。
▍なぜ正解…情報分類→情報分類は、価値と影響に応じた保護水準を、日常の取扱いに落とし込む仕組みである。
▍なぜ正解…情報資産台帳と資産所有者→資産所有者は、資産の価値、分類、利用条件、必要な保護水準を判断する役割を持つ。
▍なぜ正解…残留リスク→どの管理策にも限界、例外、運用不備があり、対応後の残留分を評価して受容又は追加対応を決める。
▍なぜ正解…残留リスクの受容権限→リスクを受容する権限は、影響に見合う責任と権限を持つ者に置く。
▍なぜ正解…発生可能性と影響度→リスク分析は、発生可能性と影響度を組織の基準で評価し、対応要否を判断する。
▍なぜ正解…資産リスクの優先付け→リスク優先度は、資産の重要性、脅威・弱点、発生可能性、影響、既存対策を根拠に比較する。
▍なぜ正解…共連れの防止→物理的アクセスでも、認証は個人単位で行い、他者に入室機会を譲らない。
▍なぜ正解…最小権限の原則→最小権限は、利用者・管理者・システムに必要最小限のアクセス権だけを与える原則である。
▍なぜ正解…利用者のインシデント報告→利用者は異常や紛失の一次発見者であり、早期報告によって組織の封じ込めを可能にする。
▍なぜ正解…報告経路の周知→インシデントと疑いの報告経路は、誰でも迷わず使え、受け手が追跡できる形にする。
▍なぜ正解…情報セキュリティ委員会→情報セキュリティ委員会は、責任者、関係部門、経営層をつなぎ、方針と実施状況を統治する場である。
▍なぜ正解…情報セキュリティ方針と規程→文書体系は、経営の意思、管理要求、現場手順をつなぎ、誰が何を守るかを明確にする。
▍なぜ正解…教育の有効性確認→教育・訓練は、受講率ではなく、必要な場面で安全な行動が取れるかで有効性を確認する。
▍なぜ正解…来訪者の入退室管理→来訪者管理は、本人確認、事前承認、入退館記録、同行、証票の回収を組み合わせる。
▍なぜ正解…機密文書の取扱い→情報の分類は、表示だけでなく、保管、持出し、廃棄の行動に反映する。
▍なぜ正解…職務分掌→職務分掌は、開始、承認、記録、資産取扱いを分けて、不正と誤りの機会を抑える。
▍なぜ正解…退職者のアクセス停止→入社、異動、休職、退職はアクセス権を見直す重要なライフサイクルイベントである。
▍なぜ正解…クラウドの責任分界→クラウドでは、事業者と利用組織の責任範囲をサービス・契約ごとに明確にし、利用側の統制を残す。
▍なぜ正解…クラウド利用終了時の管理→クラウドの終了時は、データの移行・残存・削除とアクセス権の停止を契約条件に照らして確認する。
▍なぜ正解…クラウド管理アカウント→クラウド管理面の操作は高い影響を持つため、個人識別、強い認証、権限分離、ログ監視を行う。
▍なぜ正解…サプライチェーン脆弱性通知→外部製品の脆弱性通知は、製品名だけで判断せず、自組織の資産、版数、公開状況、代替策に結び付ける。
▍なぜ正解…再委託の管理→再委託は、委託元が見えない相手に情報が渡る可能性があるため、事前確認と条件の継承が必要である。
▍なぜ正解…委託先のリモート保守→委託先の遠隔接続は、必要な作業に限定し、事前承認と操作の追跡可能性を確保する。
▍なぜ正解…委託先監督の証拠→委託先監督は、契約上の要求を、定期的に確認できる証拠と是正管理へ結び付ける。
▍なぜ正解…委託契約の管理事項→委託契約は、委託前、委託中、再委託、事故時、終了時の安全管理を確認可能な条件にする。
▍なぜ正解…委託終了時のデータ返却・削除→委託終了時は、データ、複製、バックアップ、アカウント、保存義務を整理し、完了を証拠で確認する。
▍なぜ正解…調達時のセキュリティ要件→調達時には、利用部門が守る資産、利用条件、許容停止時間を明確にし、技術・運用・契約要件へ落とす。
▍なぜ正解…DMZ→DMZは、外部から到達する必要があるサーバを内部資産と隔離し、通信を制御するための領域である。
▍なぜ正解…EDR→EDRは、端末の振る舞いを可視化し、侵害の検知、調査、隔離などを支援する。
▍なぜ正解…RPO・RTOと復旧手順→RPOは許容できるデータ損失の時間、RTOは復旧完了までに許容される時間である。
▍なぜ正解…SQLインジェクション対策→SQLインジェクション対策は、入力データとSQL命令を分離し、入力を許容範囲で検証することが基本である。
▍なぜ正解…WAF→WAFはWebアプリケーション層の攻撃を対象にし、一般的なネットワーク境界防御を補完する。
▍なぜ正解…インターネットVPNとIP-VPN→VPNは仮想的な専用通信路の総称であり、インターネットVPNと閉域網型サービスの性質・責任分界を区別する。
▍なぜ正解…バックアップジョブの確認→バックアップは取得設定だけでなく、結果確認、失敗対応、世代管理、復元試験まで運用する。
▍なぜ正解…バッファオーバーフロー対策→セキュアプログラミングでは、外部入力を信頼せず、長さ、形式、範囲を検証して安全に処理する。
▍なぜ正解…ファイアウォール・IDS・IPS→ファイアウォールは通信をルールで制御し、IDSは検知、IPSは検知に基づく防御機能を持つ。
▍なぜ正解…ホワイトボックステスト→ホワイトボックステストは、内部情報を用いて到達しにくい処理や境界条件を検査する。
▍なぜ正解…
情報セキュリティマネジメント試験 今年の変更点（法改正・出題範囲）→
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。