【セキュマネ】令和05年度科目Aの解説（情報セキュリティマネジメント試験, SG, 午前）

2025年12月24日 05:03

このNoteでは「情報セキュリティマネジメント試験（SG）」令和06年度科目Aを解説します。

全9回（旧SG8回+サンプル1回）を前提にしています。

このNoteの解説には、過去問の関連問題へのリンクを貼っています。演習しないと学習効果が無くなるので、必ず全8+1回の演習をお願いしますね。

＞【SG】令和元年度秋期の解説Note
＞【SG】平成31年度春期の解説Note
＞【SG】平成30年度秋期の解説Note
＞【SG】平成30年度春期の解説Note
＞【SG】平成29年度秋期の解説Note
＞【SG】平成29年度春期の解説Note
＞【SG】平成28年度秋期の解説Note
＞【SG】平成28年度春期の解説Note
※以上をできれば2周
＞【SG】サンプルの解説Note
※以上を満点か95%

今回の問題を私なりに分類すると以下。

★：06問：必ず正解する
☆：01問：正解できるようになる
同：03問：新しい問題に流用された
推：01問：覚えず消去法/推測で対応
捨：01問：対応しない/捨てる

新SGは公開問題が少ないので、なるべく多く正解できるようになっておきたいですね。私は問01だけ捨てようと判断しました。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。

＞全Noteへのリンク
＞Iパスの無料51Note
＞Iパスの過去問解説マガジン
＞Iパスの法律20テーマ（メン限）
＞FEの無料58Note
＞FEの科目A過去問解説マガジン
＞FEの科目Bマガジン（セキュリティ）

※このNoteは、いずれマガジンにすると考えています。

問01捨 | 捨てたいから、正答だけ理解する

正答はイ。わざわざ数少ない公開問題に組み入れたので、重要なんでしょうけど、覚えたくないですね。詳しい解説は過去問道場さんへ。

私は捨てたいです。でも数少ない公開問題なので、最小限の復習。イだけ理解。

「ISO27000」は、組織におけるセキュリティの国際規格。
「ISO27001」は、守るべき「要求事項」。
「ISO27002」は、やってるのが望ましい「実践規範」つまりお手本。

よってイの「27001～と～27002～との整合性」を取るのは良いことですね。

重要なのは「ISO27000シリーズ」の基礎。

「ISO27000」は、組織におけるセキュリティの国際規格。
「ISO27001」は、守るべき「要求事項」。
「ISO27002」は、やってるのが望ましい「実践規範」。いわばお手本やテンプレ。
「JIS27000」は、ISO27000を基に日本版にアレンジした規格。「JIS」は定規にマークありますよね。
「ISO27017」「JIS27017」は、クラウドの普及に対応して制定（2015年）。

＞【SG】令和元年秋問09のNote
＞【SG】平成30年秋問03のNote
＞【SG】平成29年秋問02のNote
＞【SG】平成28年秋問10のNote
＞【SG】平成28年秋問30のNote
＞【SG】平成28年秋問37のNote
＞【SG】平成28年秋問40のNote
＞【SG】平成28年春問06のNote
＞【SG】平成28年春問08のNote

問02同 | 全て重要語へ格上げ

正答はイ。全く同じ出題あり。
＞【SG】平成31年春問13のNote
＞【SG】平成29年秋問15のNote

わざわざ組み入れたので、重要だと判断し、今まで優先順位を下げてたTPMORとインターロックゲートも重要語として扱います。

ア：「TPMOR」は、在室人数1名を避け、2名以上でに保つ仕組み。相互牽制によって1名での不正を防ぎます。
イ：「アンチパスバック」は、いわゆる"共連れ防止"。入退室の矛盾を見つける仕組みです。入室記録がないのに、退室しようとしたらエラーを出します。入室→入室もオカシイですよね。
ウ：インターロックゲートは、二重扉によって入退室を一人ずつ行う出入口。"共連れ防止"。
エ：パニックオープンは、非常時に扉を開錠/開放する機能。

私の優先順は、アンチパスバック＞パニックオープン＞TPMOR＞インターロックゲートでしたが、今回で全て覚えるように考え改めます。

問03★ | Iパスから御用達

正答はウ。

「デジタルフォレンジックス」は、不正アクセスなどの電子的な記録を法的証拠として使えるようにすること。

ア：覚えなくて良いです。
イ：「実行ファイルを動作させ」「振る舞い」を確認している旨から「サンドボックス」だと判断。「サンドボックス」は、外部から隔離された"砂場"。マルウェアなどを動作させ観察します。
＞【SG】令和01年秋問22のNote
＞【SG】平成30年春問23のNote
＞【SG】平成29年秋問14のNote
ウ：正しい。「法的な証拠」がキーワード。
エ：通信の暗号化。内部ネットワークでも暗号化できれば良いですね。ひょっとしたら無線LANも含めているのかな（電波傍受で手軽に盗聴できるので）。

デジタルフォレンジックスの出題。
＞【SG】平成29年春問15のNote
＞【SG】平成28年秋問38のNote
＞【SG】平成28年春問03のNote
＞【SG】平成28年春問16のNote
IパスでもSCでも出ます。
＞【Iパス】令和04年問61の解説Note
＞【SC】平成25年春午後1問4設問2の解説Note

問04推 | 共通鍵/公開鍵のアルゴリズム

正答はエ。

ア：誤り。各暗号方式で色んな暗号化アルゴリズムがあります。設問文の「素因数分解が困難」な特性を利用するのは「RSA」で、公開鍵暗号方式に使われます。
イ：誤り。セッションとは通信応答の一区切り。サーバとクライアントは「セッションID」によって通信を区別します。鍵は変えた方が安全ですよね。万が一漏えい/解読されているかも知れません。設問文の「共通鍵～複数のセッションに繰り返し利用する」のは危ないですね。
ウ：誤り。常識的な推測でOK。「共通鍵～はベンダーによる独自の仕様」だったら使いにくいです。国際規格にしておいて欲しいですよね」。
エ：正しい。「大量のデータを短い時間で暗号化」したいなら、処理が速いのが良い。共通鍵の方が処理は速いです。公開方式は暗号鍵/復号鍵が違うので複雑で処理が遅いのは想像できますね。Iパス/FEレベル。

共通鍵と公開鍵のアルゴリズムをまとめます。

「共通鍵」で使われる暗号アルゴリズム。「RC4」→「DES」→3DES→AESと変遷してきました。

「公開鍵」で使われる暗号アルゴリズムも知っておきましょう。Iパス/FEレベル。

「RSA」：素因数分解の困難さを利用
「楕円曲線暗号(ECC)」：楕円曲線上の離散対数問題の困難さを利用

＞【Iパス】公開鍵で迷わない方法Note
＞【Iパス】公開鍵/秘密鍵を完全理解するNote

＞【SG】令和01年秋問17のNote
＞【SG】平成31年春問27のNote
＞【SG】平成30年秋問26のNote
＞【SG】平成29年秋問23のNote
＞【SG】平成28年春問28のNote

問05★ | ハッシュ関数の性質

正答はエ。

「ハッシュ関数」に入力すると「ハッシュ値」が得られます。「ハッシュ値」の性質は、３点。

入力値が少し違うだけで、全く違うハッシュ値が出力される
入力値の長さに関係なく、一定の長さのハッシュ値が出力される
ハッシュ値から入力値の逆算推定は極めて困難である（一方向性）

ア：不明確。ファイルAとファイルBの内容が同じなら、再計算しようがしまいがハッシュ値は一致します。内容が違うなら一致しません（再計算しようが一致することはありません）。
イ：データ量は無関係。ハッシュ関数に入力すれば固定長の出力値が得られるのは当然。両ハッシュ値の一致/不一致とは無関係。
ウ：ハッシュ関数の出力値（ハッシュ値）は固定長。ファイルAとBを結合しても長さは変わりません。そもそも一致/不一致とも無関係。
エ：正しい。入力値が同じ（ファイルA=ファイルB）なら、出力値（ハッシュ値）は同じになります。

なお起こって欲しくないですが、異なる入力値のハッシュ値が同じになることを「シノニム」と云います。Iパスレベル。

「ハッシュ関数」「ハッシュ関数」をガッツリ補強。
沢山の問題が出てますよ。

ハッシュ値は色んな技術で使われています。ファイル改ざん検知, メールなど通信データ改ざん（MAC）、PWDの輸送（CHAP）などなど。

問06★ | メール受信のセキュリティ

正答はア。

「SPF」は、届いたメールのメールアドレスのドメイン（@以降）を管轄するDNSサーバに管轄下メールサーバのIPアドレスを問い合わせます。受信したメールの送信元IPアドレスとDNSから得たIPアドレスが同じならOKと判断。＞【SC】メール受信のNote

出題実績もあります。＞【SG】令和元年秋科目A問07のNote

ア：正しい。「送信側メールサーバのIPアドレスを（送信側）DNSに登録」して、「受信メールサーバ」がメールアドレスのドメインから送信側DNSサーバにメールサーバのIPアドレスを問い合わせて、メールの送信元IPアドレスと一致するのを確認すると解釈できます。
イ：「デジタル署名」を用いているメール検証なので、「DKIM」「DomainKeys」。
ウ：メールの送信元IPアドレスを、スパムを送るIPアドレスのデータベースと照合。相手DNSに問い合わせていなので、SPFではないです。
エ：「ファイアウォール（FW）」による制御なので、「パケットフィルタリング」。「動的」があるため「ダイナミックパケットフィルタリング（ステートフルインスペクション）」。予めルールで許可された通信が発生した時に、応答通信を一時的に許可するルールを追加するフィルタリング方式です。

SPFは2系統の問題が出ています。
今回とは別の系統。
＞【SG】令和元年秋問07のNote
＞【SG】平成30年春問10のNote
今回の系統
＞【SG】平成31年春問11のNote
＞【SG】平成28年秋問16のNote

メール受信のセキュリティを補強します。＞【SC】メール受信のNote

SPF, SenderID：相手DNSサーバにメールサーバの実在性を問い合わせる
DomainKeys, DKIM：相手DNSサーバから公開鍵を入手し、メールのデジタル署名を検証する

これでFE/APまで安泰。SCを学習する時には、DMARCまで理解が必要になります。少しずつ知識を増やしていって下さいね。
＞【SC】メール受信のNote
＞【SC】令和元年秋午後1問1の解説Note
＞【SC】令和6年秋午後問2の解説Note

問07★ | 攻撃名と手口と対策をセットで

正答はイ。

ア：「セッションハイジャック」への対策。「セッションID」で判断。通信を区別するセッションIDが他者に知られると、セッションIDを使われてなりすまされてしまいます。＞【SG】平成29年春問23のNote
イ：正しい。「データベース」「プレースホルダ」で判断。
ウ：「ディレクトリトラバーサル攻撃」への対策。「直接参照」で判断。
エ：「OSコマンドインジェクション攻撃」への対策。「シェル」がコマンドを受けつけるプログラムなので。

以下をざっくり見てからが良いかも。
＞【Iパス】Web系攻撃５種のNote
＞【SC】出題された攻撃73種のNote（Web系攻撃）
＞【SC】出題された攻撃73種のNote（セッションハイジャック）

Webアプリ（入力機能のあるWebサーバ）を悪用した攻撃は5種類が基礎。＞Web系攻撃５種のNote

XSS（クロスサイトスクリプティング）：Webサイトに悪意のあるスクリプトを埋め込んで、閲覧者の訪問時に実行させ偽サイトに誘導する
XSRF（CSRF, クロスサイトリクエストフォージェリ）：Webサイトに悪意のあるスクリプトを埋め込んで、閲覧者が気づかないうちに別サイトで意図しない操作をする
SQLインジェクション：データベースを不正利用する
BoF（バッファオーバーフロー）：想定外の長大な入力をしてバッファをあふれさせ、攻撃者の用意したプログラムを実行させるなど誤動作させる
ディレクトリトラバーサル攻撃：Webサーバ内のファイル・ディレクトリ構造を推測して、直接アクセスする攻撃

＞【SG】令和元年秋問21のNote
＞【SG】平成31年春問21のNote
＞【SG】平成30年春問21のNote
＞【SG】平成29年春問23のNote
＞【SG】平成28年秋問22のNote
＞【SG】平成28年春問21のNote

＞【Iパス】Web系攻撃５種のNote
＞【SC】出題された攻撃73種のNote（Web系攻撃）
＞【SC】出題された攻撃73種のNote（セッションハイジャック）

問08同 | その名の通り

正答はイ。全く同じ出題あり。
＞【SG】平成30年秋問33のNote
＞【SG】平成29年春問31のNote

「電子署名法」は、紙への署名と同じような法的効力を電子署名（デジタル署名）にも与える法律です。

ア：誤り。電磁気的記録だけが対象。
イ：正しい。
ウ：誤り。「政府が運営する認証局」が限定されすぎ、認定を受ければOK。お役所が大変ですからね。
エ：誤り。電子署名は公開鍵基盤を使ってますよね。

法律はともかく大事なのは、デジタル署名の仕組み。公開鍵の使い方などSGでは逃げられません。
＞【Iパス】デジタル署名のNote
＞【Iパス】公開鍵のNote
＞【Iパス】公開鍵完全理解のNote

問09同 | 指摘事項=悪いこと

正答はウ。全く同じ出題あり。＞【SG】平成29年春問39のNote

「監査人が監査報告書え～指摘事項」とは、つまり悪いこと。

ア：マニュアル（手順書）が作られ、オペレータに周知されてるの良き。
イ：規定があって、バックアップされるの良き。
ウ：正答、指摘すべき。「影響度に関係なく」が怪しい。めっちゃ軽い障害とめっちゃ重い障害で対応手順が違わないのも気持ち悪いですね。
エ：全ての記録があり、（記録が正しいことへの）上長の承認制度があるの良き。ちょっと文章分かりにくかったかなぁ。

「～に関わらず」「～考慮せず」「～に限って」は怪しい言葉。"ほんとにそうして良いのかな？不都合ないかな？"と、反例を考えると正解し易いです。ちょいちょい役に立ちます。
＞【SG】平成31年春問39のNote
＞【SG】平成31年春問38のNote
＞【SG】平成30年秋問03のNote

問10☆ | 今後の資格で重要なCookie

正答はア。

Cookieは次回サーバにアクセスする時に見せるデータです。私たちが、ID, PWD認証でログインしてから、しばらくの間ログインしたままになるのもcookieのお陰です。

ア：正しい。
イ：cookieはサーバが発行して、クライアントのWebブラウザに保存され、次回サーバにアクセスした時に提出します。　
ウ：cookie自体は暗号化されません。送信（通信）が暗号化されるのはHTTPS。HTTPなら暗号化されません。
エ：cookieの有効期限は、cookieを発行するサーバが設定します。

Cookieの属性などが出題されたら、以下を覗いてみて下さい。FE/APでもちらっとは出てきます。SC/NWの頃にはかなりの量を覚えている状態になります。
＞【SC】CookieのNote
＞【NW】CookieのNote

問11★ | Iパス御用達：BPR+PDCA→BPM

正答はイ。

「BPR」は「業務プロセス」「抜本的に」「改革」すること。「PDCA」を加えて改革→マネジメントになると「BPM」。
＞【Iパス勉強法】KW連結のNote
＞【Iパス勉強法】英単語を知るNote
＞【Iパス】PDCAのNote

ア：「生産」「物流」「一元管理」から「ERP」だと判断。
イ：正しい。「業務プロセス」から「BPR」か「BPM」、「マネジメント」から「BPM」だと判断。
ウ：「顧客」「一貫して管理」から「CRM」だと判断。
エ：「供給」から「SCM」だと判断。前半の「供給」などがなく、在庫や部品だけの記述なら「MRP」だったかも。

ERP, SCMに、MRP, CRMはIパス基本用語。

「一元管理」シリーズで、「ERP=ヒト, モノ, カネ, 情報」「SCM=調達から配送まで」「MRP=材料/部品」「CRM=顧客」がキーワード。4用語は4選択肢と相性が良いので重要。
＞4用語の3出題パターンNote
＞【SG】平成31年春問47のNote
＞【SG】平成28年秋問48のNote
＞【SG】平成28年春問47のNote
SGで「ECM=コンテンツ」も出たのが印象的でした。余裕があれば対策を。
＞【SG】平成28年秋問13のNote

問12★ | Iパス御用達 QC7つ道具

正答はイ。QC7つ道具はIパス御用達。

「魚の骨」で確定。「結果」と「原因」でも絞れるようになっておきたいですね。

ア：管理図 ：上限・下限をはみ出していないかチェックする図
イ：特性要因図 ：魚の骨のような図。フィッシュボーンチャートとも云う
ウ：パレート図：大きい順に並べた棒グラフと累積を折れ線グラフ
エ：ヒストグラム：各範囲（階級）での個数を棒グラフで表したもの。クラスの成績の分布などの図

QC7つ道具ですね。5～7個は知っておきましょう。

お勧めの順番に並べました。

パレート図：大きい順に並べた棒グラフと累積を折れ線グラフ
特性要因図 ：魚の骨のような図。フィッシュボーンチャートとも云う
散布図：2値の「相関」が見れる図
管理図 ：上限・下限をはみ出していないかチェックする図
ヒストグラム：各範囲（階級）での個数を棒グラフで表したもの。クラスの成績の分布などの図
チェックシート：忘れ物チェックやタスク管理する時に使っていますよね
グラフ：数学で使ったことありますよね

1～5番目までは、図として覚えておくと良いですね。6～7は既に知っている方もいらっしゃいますよね。

＞【Iパス】令和06年問14の解説Note❷
＞【Iパス】令和06年問51の解説Note❷
＞【Iパス】令和05年問38の解説Note
＞【Iパス】令和04年問31の解説Note
＞【Iパス】令和04年問48の解説Note

まとめ

お疲れ様でした！

問題数が少ないので、なるべく全部正解できるようになりたいです。また、さくっと解けたので、復習を手厚くもしてくださいね。

次回は、＞【SG】令和06年度の解説Note＊でお会いしましょう！

私のNoteにはIパスやFEのも沢山あるので、SGへ活かす/FEへ活かすこともできます。更に高度なAP, SC, DB, NWまで作成を進めています。

是非ご活用下さい。少しでも参考になる部分があったら嬉しいです。

またお会いしたいです。気が向いたが覗きにきてやってください。でわでわ！（＞ω＜*▼）ノシ

他資格から/他資格へ活かすには以下をどうぞ！

#情報セキュリティマネジメント試験

#情報セキュリティマネジメント試験