【どこよりも詳しく】サンプル問題科目B（その１）の解説（情報セキュリティマネジメント試験, セキュマネ, SG, 午後）

このNoteでは「情報セキュリティマネジメント試験（SG）」科目Bサンプル問題（令和4年度相当）を”解説し尽く”します。

科目Aは別Noteに作成済み。＞【SG】サンプル科目Aの解説Note【全編無料】

ご存じの通り、CBT後のSGは、年に1回だけ科目Aで21問。Bで3問しか過去問公開されません。CBT前は、年2回午前50問・午後3問（長文, 科目Bの5倍ぐらい）だったのに…。

限られた公開問題を、単に解いて”正解した!””合格点超えた!”で終わっては勿体ないです。正答と不正答選択肢の理解でも、Iパスレベルで浅いです。

もっと、過去問をしゃぶり尽くしましょう。

選択肢をどう絞っていくか、他に学ぶべき点があるか、もし次ここが違って出てきたらどうだったか、などなど、噛めばしっかり味がでます。

新SGの過去問をちょろっと解いただけで受験して、合格すりゃ良いですが、しなかったらサイアクですよ。

圧倒的な実力で安全に合格したい方、過去問全部解いたのに不合格になって学びを深める手立てに困っている方にお薦めです。

AP/SCレベルで書いてる箇所もあるので、深追いはせず適宜スキップしてください。無理せず周回するイメージで。

それでは始めましょう！

＞全Noteへのリンク（SG節）
※新SG科目A/Bも、旧SG午前/午後も網羅！

※2026/04/15 「＊」は今後リンクを追加する箇所です。気長にお待ちください。旧SGの解説はほぼ完成しているのですが、新SGの解説を先行公開した方が良いと判断しました。ご容赦ください🙏

 【NOTICE】著作権を侵害には即座に法的措置をしています。人格否定も即座にブロックなどの自衛手段を行います。私は1個人であり、公人ではありません。プライベート時間の全てを費やして作成してきました。ご理解頂ける方のみ、ご活用されると嬉しいです🫠

問49 | 機器の初期設定

正答はイ。

過去問からの抽出問題です。＞【SG】令和元年度秋午後問3設問3(3)の解説Note

機器の設定/パスワードに初期設定/初期値がされてるので、変更せねばですね。APでも出てます。＞【AP】令和7年秋午後問1設問2cの解説Note

身近だと、Wi-Fiルータかな。
メーカによっては機器ごとに違うPWDを設定してくれてて、機器筐体にシールで載せたりしてますが。外部者に推測されにくく/自分は覚えやすいPWDに変更した方がセキュリティ的/使用的にも良いですね。

正答の解説 | 変えるべき初期設定

イ：図3「初期設定（メール絡み）」と関係してるので候補。

図3-1：複合機が初期設定だと、差出人メアド/件名/本文/添付ファイル名（のルール）が、マニュアル記載でWeb公開されているので、攻撃者も知れます。よって、インターネットから複合機に偽装した、なりすましメールを送信できます。

過去問からの抜き出し。＞【SG】令和元年度秋午後問3設問3(3)の解説Note

他にも、初期PWDがある機器も、初期設定から変更しないと、うっかり攻撃が成立してしまいます。手順書に記載だけでなく、同型機を持ってても分かっちゃいます。しっかり設定を見て、変更すべき設定を変更しないと危ないですね。＞【AP】令和7年秋午後問1設問2cの解説Note

不正答の解説❶ア | 漏えいはネット/USBから

ア：図3「初期設定（メール絡み）」と無関係。

複合機でスキャンするには、利用者ID/PWDを入力するので、他社員へのなりすましリスクは低いかなと。IDに紐づけられたメアドに送信できるでしょうから（予め複合機に設定）。

それより、メール/ファイルサーバから入手したPDFファイルを、インターネット/USBメモリなどで漏えいするリスクの方が高い。

おそらく、PDFを委託元A社のサーバに提出する業務なので。
「プロキシサーバ」で、インターネットへの接続を全てブロックし、「ホワイトリスト」に”A社のサーバだけ登録”ぐらい徹底しないと危ない。

例えば私的なクラウドストレージにアップロードしたり（google driveなど）、私的メアドに送信するかも。＞【SG】平成30年度春午後問2の解説Note（16頁図4）

不正答の解説❷ウ | ランサムウェアを連想

ウ：図3「初期設定（メール絡み）」と無関係。

複合機からのメールを、攻撃者が盗聴はできるかも。社内ネットに侵入できていれば。

でも”添付ファイルを暗号化して身代金要求”と繋がらない。盗聴されても、メールは届きますし。もし届かなくても、原版が残ってるなら再度スキャンすれば良いし。

”添付ファイルを暗号化して身代金要求”は、ランサムウェアを連想する文章でしたね。

不正答の解説❸エ | あり得るけど

エ：図3「初期設定（メール絡み）」と無関係。

難しいのでスキップしても構いません。
AP/SCレベルで、攻撃の可能性について議論します。

メール盗聴はあり得ます（ウに同じ）。

しかしSNS（インターネット）からメール内URLのファイルサーバにアクセスはできないでしょう（社内でのURLなので）。

URLのファイルサーバの指定が、❶名前（ホスト名）でも❷IPアドレスでも、インターネットからはアクセスできません。

❶URLにファイルサーバ名が含まれてる場合。

社内LANの「内部DNSサーバ」にアクセスしないとIPアドレスが分かりません。

外部からでは、内部DNSサーバのIPアドレスは分からないし、FWで遮断されているのが普通。

よって、外部からアクセスは無理。

❷URLにIPアドレスが含まれる場合。

「プライベートIPアドレス」であり社内用。同じく外部からアクセスは無理。

また、FWで外部からファイルサーバへのアクセスを遮断する設定になっているでしょう。

普通は”外部→DMZ”だけ許可。ファイルサーバは社内LANに設置されてるので、アクセスできません。

もし、社内PC/サーバに侵入できたなら、ファイルサーバへのアクセス/PDF窃取はできる可能性は高まります。
プロキシサーバに外部から侵入したり、社内PCにマルウェア感染して外部（攻撃者のC&Cサーバ）と通信できる状況になれば。

気にした点❶ | 暗号鍵の運用

図2-3, 2-4：PDFファイルを従業員ごとに異なる鍵で暗号化して、電子メールに添付し、スキャンした本人宛にメール送信。

おそらく「公開鍵暗号方式」を使ってそう。

社員PCで鍵ペア（公開鍵/秘密鍵）を生成し、公開鍵を複合機に保管。複合機はPDFを公開鍵で暗号化して、社員PCは秘密鍵で復号。秘密鍵は絶対にPCから取り出せないようにせねば。＞【Iパス】公開鍵で迷わない方法Note

気にした点❷ | ファイルサーバの役割/権限

図2-5：PDFファイルが大きい場合は、～自社の～サーバに自動的に保存。保存先URLを電子メールで送信。

まず、ファイルサーバに保存する時にPDFファイルを暗号化しているのか、明記がありません。複合機→ファイルサーバへの通信が盗聴されたらファイルが入手できます。ファイルサーバに侵入されても同じ。

また、複合機→社員PCのメールを盗聴し、メール記載のURLにアクセスする手口もあり。エの解説最後で検討した通り。

また、ファイルサーバのどこに保管されるか明記がありません。

誰でもアクセスできる「共有フォルダ」なのか、スキャンした本人だけがアクセスできる「個人フォルダ」なのか。閲覧権限の設定が気になります。
＞【SG】平成29年度春午後問1の解説Note（3頁頭）＊

他にも、部共有, 課共有などの設定も出題されました。
＞【SG】平成28年度秋午後問3設問3(2)の解説Note＊

気にした点❸ | メールURLをクリックする業務に疑問

図2-5：PDFがファイルサーバに保存された時は、URL付メールが社員に届き、社員はURLにアクセス。

下図のように、偽サイトに誘導して、ID/PWDを入力させるなどの手口が代表的です。

上図は、フィッシングサイトに誘導し、ID/PWDを入力させ、更にリアルタイムで本家サーバに”なりすましログイン”を試みてる図。OTP（ワンタイムパスワード）の入力までさせています。＞【SC】令和6年春午後問2の解説Note

気にした点❹ | ファイルサーバ保存だけで良いのでは

ファイルサイズが小さいならメール添付/大きいならファイルサーバへ転送（URLがメール通知）。

どちらもメールが来るとはいえ、イチイチ判断するのが面倒。

いっそ、複合機からファイルサーバに保存した方が楽かなと。手順が1パターンの方が効率良くミスもありません。

またファイルサーバに各社員用の個人フォルダを設置し、社員だけがアクセスできるよう権限設定すれば、本人しかPDFは入手できません。＞【SG】平成29年度春午後問1の解説Note（3頁頭）＊

図1より業務のゴールは、PDFファイルをA社ファイルサーバに格納すると思われます。

B社ファイルサーバから入手して、加工して、A社ファイルサーバに提出する、手順が一本化されて良いかなと。

なお、加工の明記はないですが。図1（誓約書, 源泉徴収票）など色々な書類があるので、ファイル名を変えたり、A社提出場所が違ったりするんだろうと想像。

気にした点❺ | 初期設定のままで使用

図3-1「初期設定の状態で使用」。

正答（イ）の解説で触れたので割愛。

”わざわざ書いてあるなぁ”と怪しんで▶印。＞長文問題を読む６つのテクニックNote（３－３）

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

★＞【SG】令和元年度秋午後問3設問3(3)の解説Note
★＞【AP】令和7年秋午後問1設問2cの解説Note
＞【SG】平成30年度春午後問2の解説Note（16頁図4）
＞【Iパス】マルウェア２：ランサムウェアNote
＞【Iパス】公開鍵で迷わない方法Note
＞【SG】平成29年度春午後問1の解説Note（3頁頭）＊
＞【SG】平成28年度秋午後問3設問3(2)の解説Note＊
＞【SC】令和6年春午後問2の解説Note
＞長文問題を読む６つのテクニックNote（３－３）

問50 | SGで「数少ない」計算問題

正答はエ。

全く同じ解法の出題有。数値が若干違うだけ。＞【SG】平成29年度秋午後問1の解説（表3と4, 設問1と3）＊

正答の解説 | 一致する最大値=一致しない未満

表1右の「例」を確認して、なければ左の基準をみて判断します。

【空欄a1】=0。

機密性=0（公開情報）。23頁頭「Webサイト～機器の説明・操作マニュアルを掲載」。表1左「公開情報」であり右「自社製品カタログ・自社Webサイト掲載情報」と主旨は一致。

なお、機密性=1の表1（商取引）には一致しないのも確認。23頁頭に、製品を販売する機能なしとあり。

【空欄a2】=2。

完全性=0には一致しない。例えば操作マニュアルが改ざんされると大変、と想像。

完全性=1。あり得る。23頁頭「機器の説明」が改ざんされると、販売事業に影響でる。

完全性=2。あり得る。23頁頭「操作マニュアル」が改ざんされると顧客に影響でる。

なお、完全性=2（法律）ではない。社員の健康/税金はWebサーバに絡みなし。

完全性=1, 2があり得るので、2。

【空欄a3】=2

可用性が既に2なので。表1より、2が最高値なので、【空欄a1, a2】が何であろうと2。

【空欄a4】=8 = 2×2×2

図1-4の「リスク値=」の式の通りに計算。

今回はCIA（機密性, 完全性, 可用性）の最大値1個を計算に使ってました。他にも、各評価値を"重み"にして、加重合計を計算する算出法も出題されます。＞【FE】表は掛けて足すNote

試算 | 判断の練習/公式を推測確認

折角、表2「社内規定」もあるので、値を正しく選べるか練習もできますね。

機密性=1。表2の社内規定が、表1機密性=1の社内規定と一致。

完全性=2。表1完全性=2に社内規定があるので。

重要度=2。機密性=1, 完全性2, 可用性=1の最大値は2なので。

リスク値=2 = 2（重要度）×1（脅威）×1（脆弱性）。

SGのリスク値は、評価値（=重み）を掛けて足す（=加重合計）なので計算は簡単です。

FE/APでは会計計算もでます。公式を忘れた/自信がない時に、既に埋まっている欄から公式を推測できます。＞【AP】令和5年秋午後問2設問3の解説Note

今回のリスク値計算の式が図2-4に載ってなくても、表2-1行目「社内規定」から推測できますね。評価値の最大値を重要度にする、はキビシイですが（1, 2, 1 →2）。

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞【FE】表は掛けて足すNote
＞【FE】パターンは数えてでも解くNote
★＞【SG】平成29年度秋午後問1の解説（表3と4, 設問1と3）＊
＞【AP】令和5年秋午後問2設問3の解説Note

問51 | 相反する対策

正答はク（三, 四）。

ポイントは、24頁末で、
・OS/標準ソフトは自動更新機能で最新状態になっていた。
・非標準ソフトは最新状態になっていなかった。

さらに24頁「2案を考え、どちらかを採用することにした」まで気づくと正解への迷いが消えます。

もちろん不正解選択肢による消去法も有効。でも今回は少し迷うかも。

正答の解説❶ | 覚えなくても想像はできるように

三：全PCにIT資産管理ツールを導入し、脆弱性修正プログラムの自動適用を行う。

非標準ソフトも含めて、PC内の全OS/全アプリの状況を見て最新化を指示できます。全PCを一元管理いして、一括指示できます。

他にも「パッチ配布サーバ」「マルウェア対策サーバ」など別の名称/機能で出ることもあり。

覚えなくても、「IT資産管理」って名前から想像できればOKです。”全PCの状態確認と最新化措置する仕組み/ツールあったよね”ぐらいで。

むしろ「CASB」「UEBA」「BIツール」の方が、覚えるべき用語。＞【SG】平成31年度春午後問3設問3(4)eの解説Note

正答の解説❷ | リスク回避

四：非標準ソフトのインストール禁止/アンインストール。

リスクがあるなら使わなければ良いって「リスク回避」の発想。＞【Iパス】リスク対応４つNote

しかし業務に支障がないか確認して、必要なら標準ソフトに格上げして管理など検討します。

また、インストール禁止がルールではダメ、破れるので。OSの権限やソフトによって技術的にも制限しないと。アンインストールも、本当にしたか上長が確認するとか。

不正答の解説❶ |  流行語「EDR」

一：全PCにEDRを導入しPCプロセスを監視する。

「EDR」は流行語なので、「SIEM」「CASB」などと一緒に。＞【SC】SIEMやCASBなど流行語Note

不正答の解説❷ | ルール

二：PCのOS/標準ソフトを最新状態にするルールを策定。

一瞬迷ったかもですね。
24頁末を丁寧に読んでいれば正解できました。
・OS/標準ソフトは自動更新機能で最新状態になっていた。
・非標準ソフトは最新状態になっていなかった。

懸念点は”非標準ソフト”の方。

正答の解説❷四でも触れた通り「ルール」があるのは良いですが、技術的対策もしてるかも要チェックです。

24頁末「貸与する時に～自動更新機能～最新の状態に更新する」ので、貸与した時に最新はOK。貸与後も自動更新機能で最新にすると推測してOK。

例えば、情シスが管理者権限ID/PWDを使い設定を行う。社員は一般利用者権限IDでインストール/OS設定ができないように。
＞図解で学ぶLinux基礎Note（権限）
＞SG過去問にありました（探しきれず🙏＊）

不正答の解説❸ | 流行語「SIEM」

五：SIEMを導入し、ログを一括管理/分析してセキュリティ脅威の早期発見をする。

不正答の解説❶（EDR）で触れた通り、「EDR」「SIEM」「CASB」などと一緒に。＞【SC】SIEMやCASBなど流行語Note

相反する正答が許された理由

三：全PCにIT資産管理ツールを導入し、脆弱性修正プログラムの自動適用を行う。
四：非標準ソフトのインストール禁止/アンインストール。

私は一瞬迷いました。”四で非標準ソフトを使わない施策したから、三の資産管理ツールは要らないんじゃないかな。OS/標準ソフトの最新化は自動更新機能で出来てたみたいだし”と。

24頁末「2案を考え、どちらかを採用することにした」で、”ちゃんと布石してたんだな”と分かり、三+四の解答に自信が持てました。

2案（＝三と四）を考えて、どちらかを採用したって話。

補強❶ | SECURITY ACTION→IPAもろもろ

IPA（情報処理推進機構）は、この試験を運営している組織。経済産業省の実施期間。

色々やってますが後回しが良いかと。

• JVN及びMyJVNの運営（JPCERT/CCと共同）。
  ＞【SG】平成30年秋問04のNote
  ＞【SG】平成30年春問17のNote
  ＞【SG】平成29年春問12のNote
  ＞【SG】平成28年秋問04のNote

• 組織における内部不正ガイドラインの作成。
  ＞【SG】平成30年秋問01のNote
  ＞【SG】平成29年春問03のNote

• サイバーレスキュー隊（J-CRAT）の設置場所。
  ＞【SG】平成30年春問01のNote
  ＞【SG】平成29年春問12のNote

• SECURITY ACTIONの運営。
  ＞【SG】平成30年秋問04のNote

補強❷ | 困った時の流行後「５」

不正答❶（一：EDR）と❸（五：SIEM）で触れた”流行語”を補強します。

IPAのセキュリティ問題って、流行語が良くでるんですよ。

• ゼロトラスト：従来の境界防御（FW）ではなく、情報への全アクセスを信頼せずに疑う

• SIEM：各機器のログを収集・分析し管理者に通知

• CASB：各社員のクラウド利用の可視化

• EDR：端末を監視し異常や不審な動きがあれば、ネットワーク切断・プロセス終了

• DLP：機密情報を自動的に特定し、送信や出力などを検知しブロック

＞【SC】SIEMやCASBなど流行語Note

補強❸ | ソフトの起動制御

四（非標準ソフトのインストール禁止/アンインストール）絡みの実現方法が出題されました。＞【SG】平成30年度秋午後問2の解説Note（18頁頭）＊

ソフトウェアの起動可否を制御する方式。

プロキシサーバと同じで、ブラックリストやカテゴリで禁止、ホワイトリストで許可。許可/禁止/監視モードも。しかも、管理サーバで全PCを一元管理できちゃう。

覚えなくて良いですが、”アプリを禁止/許可するアプリがあるんだ”と知っておいてください。

＞【SG】平成30年度秋午後問2の解説Note（18頁頭）＊

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）
※補強❶IPA絡みの9リンクは除きました。ゴチャるので。

＞【SG】平成31年度春午後問3設問3(4)eの解説Note
＞【Iパス】リスク対応４つNote
＞【SC】SIEMやCASBなど流行語Note
＞図解で学ぶLinux基礎Note（権限）
＞【SG】平成30年秋科目A問04のNote
＞長文問題を解く６つのテクニックNote（６－３）
＞【SG】平成30年度秋午後問2の解説Note（18頁頭）＊

問52 | 一方通行のアクセス

正答はエ（一, 三）。

ポイントは、表1-4注1”外部記憶→NPCのみできる”点を見逃さないこと。

正答の解説 | 外部記憶→PC

一も三も、外部記憶媒体→NPCの流れなので適切。

一：外部記憶にB社が許可していないアプリが保存されてた時、NPCにマルウェア感染する、のを防げる。

三：外部記憶にマルウェアが保存されてた時、NPCにマルウェア感染する、のを防げる。

一は、インストール不要のアプリなのかな。USBメモリを挿して自動再生されたり、クリックして起動しちゃったりして、PCに感染するケースかな。

三も同じような感じ。

不正答の解説 |  PC→外部記憶

二も四も、NPC→外部記憶媒体の流れなので不適切。表1-4注1”外部記憶→NPCのみできる”旨なので。

二：外部記憶にNPC内のデータが保存され持ち出される、のを防げる。

四：NPCがマルウェア感染してる時、外部記憶に感染する、のを防げる。

表1-4注1がなければ、全部あり得ますね。

気になった点❶ | 規定/ルール止まりか、技術的対策までやってるか

26頁頭「規定を作成して順守することにした」。

表1-3「技術的に制限」と規定ではちゃんと考えてますね。でも、できてない（=NG）ようですが。

表1-4も「技術的に禁止」なので規定はOK。「禁止」だけなら”ルール止まりかな？”と疑います。また「1)」注記にも注目。＞長文問題を解く６つのテクニックNote（２）

気になった点❷ | Bluetoothメモリの可能性

表1-5も「技術的に禁止」。

ちょっと気になりました。

もしBluetoothメモリがあったら、表1-4「外部記憶媒体へのアクセスを禁止」が出来ていても無駄になるかなぁと。USBや別端子での本体接続を指していると思うので。

Bluetoothは、マウスやイヤホンのイメージが強いですが、探せばメモリもありそうですよね。

探しましたが音楽プレイヤーだけかも、でもデータとして送れそう。＞amazon検索結果）

ディジタルカメラでも、Bluetoothでスマホとやり取る機種は普及してます。データとして送れるんじゃないかなぁ。＞amazon検索結果

でも外部接続対策をしても、ネットワーク経由で漏えいできちゃうリスクは残るんですけどね。とはいえ、外部接続対策は要検討です。

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞長文問題を解く６つのテクニックNote（２）
＞【SG】平成30年度春午後問3の解説Note（25頁図3）
＞長文問題を読む６つのテクニックNote（３－３）
＞長文問題を解く６つのテクニックNote（６－２）

問53 | 一番良い技術は不正答の理由

正答は（ニ, 七）。

過去問からの抽出問題です。＞【セキュマネ】平成29年度春午後問3の解説Note（23頁図1）＊

五を採用して間違えた方は、私と同じですね。

「正門」に気づかないと…。ちょっとイジワルに感じました。”共連れ防止=アンチパスバックorインターロックゲート”って覚えて早とちりになっちゃいましたね。
＞【SG】令和05年度科目A問02の解説Note
＞【SG】平成31年春科目A問13の解説Note
＞【SG】平成29年秋科目A問15の解説Note

正答の解説 | イマイチな効果なんだけど

効果の大きさはさておき、適切ではありますね。

ニ：ICドア脇に共連れリスクの標語を掲示
七：共連れを発見したら注意する

職場や学校など日常生活から、上記策の効果がイマイチだと分かります。＞長文問題を解く６つのテクニックNote（６－２）

「標語」は意識付けにはなるけど、ずっと掲示してたら見なくなるし。結局共連れ行動はやろうと思えばできます。

「（口頭）注意」も、上司からだったら多少効果はあるかもですが、そもそも発見するのが稀かなと。見てる時にやりませんし。同僚同士なら”めんどいよねー”と共感したり、人間関係悪化を懸念して注意しないかなと。

でも他選択肢を消去したら、ニと七が残ります。ただ、五の「正門」に気づかなければ、五を採用して間違えます（私と同じように💦）。

不正答の解説❶ | ３つの「共連れ」対策

私同様に五を採用して、”ニ+五がないから、五+七のコかな”で間違えた方がいるかなと思ったので、最初に解説しますね。

五：正門にアンチパスバックを導入する

アンチパスバックは良い策（むしろ理想）ですが、「正門」が図1を見るとダメでした。

正門は自動ドアで、ICカードを使わないのでアンチパスバックが導入できません。入退室記録を取ってからこそ、アンチパスバックで検証できるので。

イジワルというか、私の注意不足というか。”アンチパスバックキターーー！”って飛びつきました…💦過去問で見ただけに変な自信（過信, 油断）がありました…
＞【SG】令和05年度科目A問02の解説Note
＞【SG】平成31年春科目A問13の解説Note
＞【SG】平成29年秋科目A問15の解説Note

不正答の解説❷ | 監視カメラは抑止/早期発見

一：監視カメラは、共連れ対策になりはしますが。抑止や早期発見（事後）寄り。

監視カメラは共連れの抑止になるし、チェック（最近はAIあるし）すれば発見もできますね。

でも「1年に1回～映像をチェック」で、改善には不充分すぎるなぁと。最大1年後に発見ですし、1年に全部確認する作業も現実的じゃない。

せめて1ヶ月に1回はチェックですかね（勝手な体感ですが）。

折角ICカードで記録取るんだから、「アンチパスバック」導入が良いですね。あと「インターロックゲート」も。
＞【SG】令和05年度科目A問02の解説Note
＞【SG】平成31年春科目A問13の解説Note
＞【SG】平成29年秋科目A問15の解説Note

不正答の解説❸ | 「共通鍵」のアルゴリズム変遷

三：AESは暗号アルゴリズム。共連れとは無関係。

「公開鍵」で使われるのは、「RSA」「楕円曲線暗号（ECC）」から覚えます。他にも色々ありますが、一旦ここまで。

SCだと、さらにECDSAやPFS特性（前方秘匿性）など出てくるんですが。SGで見かけたら対策しましょう。＞【SG】令和7年秋午後問2の解説Note

不正答の解説❹ | 「2要素認証」

四：ICカードに指静脈認証も追加しても、一緒にくっついて入れば共連れできちゃいます。

不正答の解説❺ | 社員証の意味

六：社員証を見える位置に所持していても、くっついて入退室すれば共連れできちゃいます。

入口での警備員、社内での部外者検知に役立ちます。

私の専門学校でも社員証/学生証をネックストラップで首から下げてます。ストラップをしてなかったら部外者だと警戒します（忘れた学生さんをイジってます😅）。

外部の方は受付手続きをして、臨時の来訪者用ネームを渡して掲示して頂き、必ず教員が同行の上、教室や応接室へ向かいます。

過去問も是非解いて

図1は複合機の位置がオカシイですよね。

折角ICカードドア（図1CR）を設置したのに、複合機はドア外。複合機に個人情報が印刷されたら漏えいの可能性が残ったままです。

元の過去問では、複合機をCRドア内にも設置するだけでなく、複合機に認証機能を付けるなどの対策も検討されました。＞【SG】平成29年度春午後問3の解説Note（23頁図1）＊

”そんな機能がある製品もあるんだなぁ”と学びになりました。筆記試験の解答カードに持っとくと良き。＞長文問題を解く６つのテクニックNote（６－４）

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞【セキュマネ】平成29年度春午後問3の解説Note（23頁図1）＊
＞【SG】令和05年度科目A問02の解説Note
＞【SG】平成31年春科目A問13の解説Note
＞【SG】平成29年秋科目A問15の解説Note
＞長文問題を解く６つのテクニックNote（６－２）
＞【SG】令和7年秋午後問2の解説Note
＞【Iパス】バイオメトリクス認証Note
＞【Iパス】２要素/段階/経路の認証Note
＞長文問題を解く６つのテクニックNote（６－４）

問54 | 小まめにバックアップ

正答はア。

過去問からの抽出問題です。＞【SG】平成30年度秋午後問2設問1(6)cの解説Note

「ランサムウェア」は、問49不正答ウに出てきました。今度は正答に絡みましたね。やはり復習は不正答までしっかり噛まねば💪

正答の解説 | 頻度を上げるだけ

ア：バックアップを週1回から毎日1回実施にする。

問題文に「毎週土曜日にバックアップ」してて、図1「1週間分の更新情報が失われる」のを対策したいなら、週1よりも短い間隔でバックアップするしかないと発想できますね。2日に1度とか、毎日とか。

またア後半「7世代分保存」も良き。7日（=1週間分）は遡れそう。もし最新バックアップに不具合があった場合、少し前の世代でも復帰したいですからね。

ここで"増分/差分バックアップのどっちだろう"と思った方、素晴らしい！！ 後節で一緒に復習しましょう。私もよくどっちか分からなくなります💦

不正答の解説 | バックアップは傍/遠隔地か

各選択肢を考察します。オに力入れて下さい。

イ：バックアップすべきファイルを、ちゃんとバックアップしたかの確認。＞【SG】平成30年度秋午後問2設問1(6)fの解説Note

ウ：バックアップ作業の時間を短縮するだけ。

エ：ハードディスクは常時読み書きできるので、バックアップ作業中以外はサーバから切り離します。折角のバックアップデータが攻撃者/マルウェアによってイジられちゃいますからね。
＞【SG】平成29年度春午後問1設問3(2) の解説Note＊

オ：バックアップデータの喪失を防ぐ対策。

問題文より「バックアップは～ファイルサーバの隣にあるキャビネットに保管」なので、サーバ室が被災すると、サーバもバックアップもデータが喪失します。

ただサーバ隣にバックアップデータがあると、サーバ障害からの復旧は速い。よって、サーバ室（即復旧）と遠隔地（被災時）で2つ用意したのでしょう。＞【SG】平成30年度秋午後問2設問1(6)dの解説Note

カ：サーバのマルウェア感染対策なだけ。

補強 | バックアップの「3」方式→「RAID」

差分と増分は、私はいつもゴチャゴチャします。

• 差分バックアップ：前回のフルバックアップからの変更を保存。復元はフル＋1個の差分。

• 増分バックアップ：前回のフルor増分バックアップからの変更を保存。復元はフル＋複数の増分。

「増分バックアップ」は、復元に必要なファイル数が「増える」とこじつけますかね。＞【AP】バックアップ・RAIDのNote

さて、ややこい方式といえば「RAID」も、頭をよぎったのではないでしょうか。軽く触れておきます。バックアップと一緒にノート裏表紙に図解を描いておくと良き。

• RAID0（ストライピング）：分散保存

• RAID1（ミラーリング）：複製保存

• RAID5：パリティビットで復元可

＞【AP】バックアップ・RAIDのNote

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞【SG】平成30年度秋午後問2設問1(6)cの解説Note
＞【Iパス】マルウェア２：ランサムウェアNote
＞【SG】平成30年度秋午後問2設問1(6)dの解説Note
＞【SG】平成29年度春午後問1設問3(2) の解説Note＊
＞【AP】バックアップ・RAIDのNote

問55 | ロックアウトの回数/期間

正答はウ。

話の流れと表1（メール本文）から、”ロックを解除するために、偽解除サイトへのURLを踏ませて、偽サイトで入力させるんだろうな（ID, PWDなど）”と自然に発想できればOKです。

＞【SG】令和元年度秋午後問1設問3(3)の解説Note（回数決め）
＞【SG】平成29年度秋午後問2設問1(1)の解説の解説Note（1分は短い＊）

正答の解説 | 「フィッシング」や「中間者攻撃」

ウ：攻撃者のWebサイトに誘導し、個人情報を入手する

具体的には以下。

1. システムを装ったメールで、ロックアウトして使えないから解除手続きをしてねこのURLで、の旨を送ります。”利用できないの!?”って危機感感じて行動し易いような文体で。

2. URLは攻撃者が用意したWebページのURL。本家システムとレイアウトや配色を似せた偽サイトだと騙し易い。

3. 偽Webで、ID/PWDを入力させたり、解除に本人確認が必要と伝えて個人情報を入力させたりします。”解除しました”メッセージを表示するぐらいまでしますかね。見せかけで（実際は処理されません、本家と無関係なので）。

他にも、上記2でID/PWDを入力させて、そのまま攻撃者サーバがシステムへアクセスしてID/PWDを入力して、なりすましログインするテもあります。いわゆる「中間者攻撃」。＞SCに出た73種類の攻撃手法Note（中間者攻撃）

上図は、フィッシングサイトに誘導し、ID/PWDを入力させ、更にリアルタイムで本家サーバに”なりすましログイン”を試みてる図。OTP（ワンタイムパスワード）の入力までさせています。＞【SC】令和6年春午後問2の解説Note

不正答の解説 | 消去法も充分可能

ア：Aサービスに誘導しません。誘導しても、そもそもロックされてないし。前もってAサービスにパスワードクラックして、ロックさせたのを解除するのは、あるかなぁ…。でも被害はないかな。

イ：ロックされないことには、失敗できる上限回数は分かりません。野球ルール知らなければ、何回ストライクでアウトか分かりませんよね。ルール知らないなら、アウト宣告されて初めて”3回目なんだな”とい分かります。

エ：普段利用している社員数にはサーバは充分耐えれるでしょう。DDoS攻撃には足りません。
＞【Iパス】DoS攻撃を学校で例えた解説Note
＞SCに出た73種類の攻撃手法Note（DoS）

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞【SG】令和元年度秋午後問1設問3(3)の解説Note（回数決め）
＞【SG】平成29年度秋午後問2設問1(1)の解説の解説Note（1分は短い＊）
＞SCに出た73種類の攻撃手法Note（中間者攻撃）
＞【SC】令和6年春午後問2の解説Note
＞【Iパス】DoS攻撃を学校で例えた解説Note
＞SCに出た73種類の攻撃手法Note（DoS）

問56 | 識別子=1つ

正答はオ。

図1-7にて”OS-IDに、端末の識別子を使っている”で、識別子は唯一（他と被らない文字列）だから、”複数人で1つのIDを共用しているなぁ”と解釈するのが、ハードルでした。

また端末へのログインで使うID（OS-ID）と、塾生管理システムへのログインで使うIDの2種類があるのも、ややこしく見えたかもですね。

なぜ共有IDだと判断できるか

教務部員たちが使っている端末について。

図1-2「教務部員～共用端末」を使い、図1-7「共用端末のOSへのログインには～端末ID～とパスワード」を使っている。

複数の教務部員で、同じPCで同じOS-ID/PWDでログインしている状況と判断します。

OS-IDの記載が明確じゃないので、ちょっと解釈が必要ですが…。

一言”同じID”とか”IDを共用”と書いて欲しいですね。あからさまに怪しいって分かっちゃいますが、とはいえ、どっちか分からない情報不足な書き方は微妙。

「端末の識別子」の時点で1つのIDってことなんでしょう。

Webブラウザの履歴

❶34頁末「（共用端末）Webブラウザに塾生管理システムのシステムの利用者IDとパスワードを保存して」いる、を状況解釈します。

複数人で1つのOS-IDで共用端末にログインします。

❷みんな同じWebブラウザを使って、塾生管理システムにログインします。

塾生管理システムのIDは、各人別々。
図1-3「塾生管理システムへのログインには利用者IDとパスワードを利用」し、図1-4「利用者IDの共用はしていない」より。

各自の利用者IDごとに、アクセス権限が設定されてる状況。図1-5に参照/更新権限の説明、図1-6に権限付与の方針。

しかし、❷みんな同じWebブラウザを使うでの、❶Webブラウザに保存された他人のID/PWDを呼び出せちゃいます。

Webページのテキストボックスに入力する時、今までの入力値が複数見えた経験ありますよね。googleの検索欄でも構いません。

したがって、参照権限（見る）だけしか持ってない部員が、更新権限を持つ部員のID/PWDでログインしちゃったら、不正ができます。

しかもログには、”なりすまされたID”での操作が残るので、特定されません。なりすまされた方とだけ。

ログの時刻を見て、端末ログを見て特定しようにも。共用端末のID1つをみんなで使っているので、分かりません。せいぜい、共用端末から不正が行われたまでしか。

正答の解説 | OS-IDが違えば良かった

オ：塾生データにアクセス権限を持ってない教務部員がアクセスできる。

今まで議論した通りです。同じOS-IDで端末ログインするので、Webブラウザに保存された他人のID（塾生システム）が使えるので。

担当でない塾生さん（自IDでは更新権限なし）のデータを、”担当である他人ID”によって更新できます。

端末へログインするOS-IDが、各人で違えば、別環境になります。WebブラウザにID/PWDを保存しても、自分（OS-ID）でログインした時にしか呼び出せません。他人の塾生用IDは表示されません。

家族でPCを共用してたら分かるかと。

不正答の解説 | 無関係か、根拠があるか

軽く触れるだけで。考えるに値する事例と、値しない荒唐無稽な事例もあるので、全部解釈する必要はないです。

ア：端末とシステム間の通信の盗聴には無関係。荒唐無稽。

イ：Webブラウザと物理的な持出しには無関係。荒唐無稽。

ウ：たしかに、情報システム部は塾生システムでのアクセス権限/付与を変更できます（図1-8）。しかし、共用端末のWebブラウザとは無関係。

図1-2「教務部の共用端末」なので、情シス部は使わないでしょう。情シス部にある端末で、サーバにログインして設定するはずです。

仮に、情シス部が”教務部の共用端末”を使って、Webブラウザから設定できる塾生管理システムなら、できますが。ハードルが2段階な上、現実的な運用じゃないです。

エ：ウと同じ。

たしかに、情報システム部は共用端末へのOS-PWDを変更できます（図1-8）。

変更は、OSの設定で行ないます。Webブラウザ（アプリ）からはできません。

過去問で指摘された3点

複数人で1つのIDを使うのは、ダメです。

１：内部不正があった時に”誰が”操作したか、ログから特定できません（責任追及性）。

２：退職者が出た時にPWD変えてなければ引き続きログインできます。さらにPWDを部外者に広められたら…。

３：でもPWDを変更したら、複数名に伝えるのも手間。万が一、メモ紙に書いて置手紙とかしたら、誰かに見られるかも。

以上3点は、過去問で指摘されてます。＞【SG】平成31年度春午後問3設問1の解説Note

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞【SG】平成31年度春午後問3設問1の解説Note

問57 | 過去問から雑すぎる流用

正答はア。

過去問からの抽出問題です。「最小権限の原則」も知っておきます。＞【SG】平成28年度春午後問3の解説Note（22頁表1）＊

しかもすごく雑に改変。

36頁頭「ファイルのアクセス権がそのとおりに設定されていることを確認した」ので、図1「評価項目どおりに実施している場合："OK"」より”OK”。

”OK”の選択肢は3つ（ア, イ, ウ）。

アが問題文まんま。考えるまでもなくア。舐めてますよね。

一応。イは、ルール存在確認であり実施とは無関係。ウは運用体制であり適切な設定になっているかは無関係。

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞【SG】平成28年度春午後問3の解説Note（22頁表1）＊

問58 | 他欄の情報も使うって微妙

正答はク。

表1の「A社」と「（B社の）点検結果」を見比べるだけですね。

解き筋❶ | 二, 三は分かりやすい

一：×。
A社「年1回以上行う」が、B社「3年前～以降は実施していない」のでダメ。3年放置してるので。

二：○。
A社「年1回以上行う」が、B社「毎年4月及び10月」なのでOK。年2回なので。

三：○。
A社「結果を～2ヶ月以内に～委員会に報告する」が、B社「2週間後に～委員会に報告した」「月末～委員会に報告した」なのでOK。どちらも2ヶ月以内なので。

解き筋❷ | （四）も正解っぽい

四：○かな。
A社「1ヶ月以内に対応する　条件❶」か「対応が困難な場合、対応の時期を明確にし～CISOの承認を得る　条件❷」。

B社-5行目「4月に検出した～脆弱性～2件は翌日に対応」は、1ヶ月以内なのでOK。条件❶。

B社-最後「診断の10日後にCISOの承認を得た」のは「来年1月～に対応」と明確にしたのでOK。条件❷。

この辺りで、四も○にして良いです。

B社-3行目「リリース1週間前」が不明のままでも、選択肢は（二, 三）が含まれる キorクの2択。

解き筋❸ | （四）は（一）の情報が必要

B社-3行目「リリース1週間前」は判断できなかったですよね。「1ヶ月以内に対応」したのか分かりにくい。

項番(一)のB社-2行目「リリースする1ヶ月前に～診断を行った」、対応は、項目(四)B社-3行目「リリース1週間前」なので、3週間（=4-1）。「1ヶ月以内」なのでOK。条件❶。

（四）の検討なのに、（一）に情報も使うって、イジワルだなぁと思いました。

以上より、ク（二, 三, 四）。

さらに学習を深めたい方向けリンク

なし…すみません💦＊

問59 | 表1に1個なので即答

正答はア（Z販売課の販売責任者）。

過去問からの抽出問題です。＞【SG】平成28年度春午後問2の解説Note（13頁表1, 14頁2）＊

表1に「承認」が1つなので、権限が絶対必要な人を考えるだけ。

Z販売課の図1-(2)「販売責任者は～承認する」ので、Z販売課の販売責任者（ア）に必要。

即答して終わり。

申請と承認の実施者を別々にするのは、内部不正/ミスを防ぐ策で「職務分掌」と云います。
＞法律⓬B：内部統制（職務分掌）Note
＞【SG】平成30年度秋午後問1設問5(5)fの解説Note

問題文を読み進めて、即答を確認

一応、読み進めて考えてみます。

[方針1]：入力者と承認者が別人ならOK。図1で、販売担当者が入力、販売責任者が承認、なので別人OK。変更不要。＞法律⓬B：内部統制（職務分掌）Note

[方針2]：閲覧権限の話なので、承認とは無関係。

B社への委託。

B社販売担当者が入力。
B社販売責任者がチェック。承認までするかは不明❶。入力はしなさそう❷。

[要求1]：B社入力をA社が承認。
→A社Z販売責任者が承認権限のままでOK。
→「A社が承認」に、A社Z販売担当者が含まれるか気になる❸

[要求2]：閲覧権限の話なので、承認とは無関係。

表1を見ると、【空欄a】だけが承認権限を唯一持っている者。Z販売課の販売責任者を絶対選ばねばなりません。

ついでに委託/派遣の指揮命令関係も復習しといて下さい。
＞委託託/派遣を図解２つで理解するNote
＞法律⓴：派遣/委託&請負Note

確認 | 空欄を埋めて見る

表1を1行ずつ考えていきます。
選択肢が5つ、表1は4行で、1つ余りますが。

【空欄a】：A社Z販売責任者。
承認権限が絶対必要なので。

2行目：A社Z販売担当者。
図1-(1)より販売担当者に入力権限が必要なので。

3行目：B社販売責任者
[方針2=販売責任者は～閲覧できる]及び40頁末「B社販売担当者の入力結果をチェックする～B社販売責任者」より閲覧権限が必要。承認は明記がない。40頁末にチェックとだけ❶。
入力はできない（方針1と❷）。

4行目：B社販売担当者
40頁末「販売担当者の入力結果」なので、入力権限が必要。

考察 | もし他に承認権限を付与するなら

もし表1に承認権限を持つのが複数がいたら、迷った❶❸を考え直します。

❶「B社販売責任者がチェック」は、承認までするかは不明でしたが、与えても良いかも。

B社で業務が完結しますし。責任者がチェックしてOKしたら、A社Z販売責任者に連絡するか手続きも不明でしたしスッキリ。

❸「A社が承認」に、A社Z販売担当者が含まれるか迷ってましたが、与えても良いかも。

B社担当者入力してB責任者がチェックして、（何らかの方法でA社に報告）、A社担当者が承認。まぁ良いかも。A社責任者はA社担当者とB社担当者の全入力を見るハメになって大変でしたから。

しかし、A社担当者に入力権限と承認権限が揃ってしまうので、[方針1=入力者と承認者が別人]に反します。何らかの仕掛けで、B社の入力だけに承認できる権限の新設が必要です。

以上のように考えると、次に承認権限を与えるなら、❸B社販売責任者かなぁ。B社が承認の責務を負うので、業務委託の契約書に、承認ミスした場合などの表記も盛り込んでおきたいですね。

さらに学習を深めたい方向けリンク

＞【SG】平成28年度春午後問2の解説Note（13頁表1, 14頁2）＊
＞法律⓬B：内部統制（職務分掌）Note
＞【SG】平成30年度秋午後問1設問5(5)fの解説Note
＞委託託/派遣を図解２つで理解するNote
＞法律⓴：派遣/委託&請負Note

問60 | ソーシャルエンジニアリングかな

正答はカ。

過去問からの抽出問題です。＞【セキュマネ】平成28年度春午後問1設問1(3)の解説Note＊

また、疑われないように色々悪知恵してますが。人間の”心の隙”をついてますね。＞【Iパス】ソーシャルエンジニアリングNote

各選択肢の解説 | 見破れるかは個人差が大きい

[項番1]。私は△。

「早急な対応を求めたことは～1回もなかった」のに「早急に変更するよう求めて」きたので、驚いて疑うかも。

一方で取引先から「早急な対応」を求められたら焦って疑いもせずやるかも。

[項番2]。○。

C社使っている請求書のテンプレートと同じだったら、なりすましだと疑わないですね。

[項番3]。×。

C社のある国と違ったら疑いますね。

ちゃんと口座を確認したらの話ですが。言われるがまま振込入力しちゃう人もいそう。でも×。普通は入力後の確認をするでしょう。

[項番4]。×。

C社の国/地域の時刻と違ったら疑いますね。日本企業なのになぜか時差がある、しかも世界協定時UTC（=9時間差）ですらないとか。

でもタイムゾーンまで確認するか、は個人差はありそう。

[項番5]。○。

メアドが「～@g-sha.com」じゃなくて「～@9-sha.com」だと気づかないでしょうね。※例はG（g）と九（9）。似てますよね。

[項番6]。×。

Reply-Toとは、受信者が返信ボタンを押した時に宛先とする指定。普通は受信メールのFrom（差出人）が宛先になるのですが、別途Reply-Toが指定されてると、Reply-Toが優先されます。

Reply-Toの前に、From, To, CC, BCCを覚えて下さい。Iパスレベルなので。＞【Iパス】メール２：宛先・データ形式Note

[項番6]は、Reply-Toがフリーメールのアドレス。ちゃんと見てるなら偽だと気づきます。見てなかったら気づかず送りますが。

[項番7]。○。

6ヶ月前のメール内容をコピペ引用したなら、今までやりとりしていた人と同じだと思って、偽物だと疑わないですね。

以上より、[項番2, 5, 7]のカが正答。全て判定は○。選択肢通り3個見つかったので、△の[項番1]を含める隙がありませんでした。

解き筋❶ | ２個分かれば正解

多少分からなくても、2個分かれば正解できそう。
[項番2, 5]➡カ。
[項番2, 7]➡カ。
[項番5, 7]➡カorク（3=口座の国が違う）。クは消せます。

解き筋❷ | 迷ったら優先順/自信順で正答に採用

私は[項番2, 7]を軸に考えて、カ（2, 5, 7）が残ったので、[項番5]を正答採用できるか再検討しました。

始めは、[項番5=メアドがC社とは別の類似名]の「類似」に気づきませんでした。「別の」ドメインなので、バレるでしょうと考えて終わってました。

でもカ（2, 5, 7）しか選べるのがなかったので、項番5を再考して「類似」に気づきました。

具体例「～@g-sha.com」「～@9-sha.com」も考えて納得して、カに確定。※例はG（g）と九（9）。似てますよね。

補強 | [項番6]の真意

[項番6]で、Reply-Toにフリーメールアドレス（Dさんではない）を設定して、返信先をFrom以外にしました。おそらくFromにはDさんのアドレスが設定されていると思います。

実はFromは偽装できます。

例えば実際の封筒と手紙。封筒の差出人/宛先が正しいけど、中の手紙の差出人/宛先はデタラメでも届きますよね。

メールはエンベロープ（封筒）のヘッダ/ボディ（手紙）の二重構造。

メールの送受信では、サーバ間の通信ではエンベロープFrom/Toを用いいます。サーバが利用者が渡す時に、ヘッダ/ボディだけを利用者に渡します。

よってヘッダFrom/Toが嘘でも、エンベロープFrom/Toが合ってればメールは正常に送られます。

攻撃者は、（明記ないですが）FromをDさんにして疑われないようにしつつ、返事はReply-Toのフリーメールに誘導したかったんでしょう。

＞【登録セキスペ】平成28年春午後1問2設問4の解説Note

さらに学習を深めたい方向けリンク

今回引用したNoteです（登場順）

＞【セキュマネ】平成28年度春午後問1設問1(3)の解説Note＊
＞【Iパス】ソーシャルエンジニアリングNote

まとめ

お疲れ様でした！

復習は深まりましたか？

”もしこう出てたら”まで書きました。

CBTは、いつでも何回でも受験できるので、膨大な問題数が必要です。結構水増ししてると思います。選択肢の順番を変えたり、値を変えたりですね。

引用リンクから分かった通り、新SGは旧SGからの流用も多いです。抜き出す部分や視点を変えたり、少し表や値を変えてるものも散見されました。

Iパスで経験したかもですが、”過去問はバリ正解できるのに、ちょっと言葉/表現が変わると別問に見えてしまって…”は、まだ本質的な理解が弱く、”揺れ”に弱い学習状態です。

だからこそ、見るポイントや”もしこう出てたら”って妄想も効果があるかなと書いてみました。

こういう学習って初見受験じゃ難しいんですよね。

私みたく過去問を全部解いて、教えた経験が活きる場面かなぁと思っています。

今後もSG科目Bの解説を作っていきますので、気が向いたら覗きに来て頂ければ嬉しいです。でわでわ。

＞全Noteへのリンク（SG）