【セキュマネ】平成31年度春期科目Aの解説（情報セキュリティマネジメント試験, SG, 午前）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成31年度春期科目Aを解説します。徹底的に解説してます。

なかなか合格できない時、学習の姿勢を間違えてる可能性が高いです。

SGは、半年に1回の紙試験から、いつでも受験できるCBT試験になって、問題数が膨大になっています。用語を覚えるのは効果的ですが、過去問や事例は大量に作られているので、イントロクイズでは絶対に合格できません。

対して現在の問題公開は、1年に1回の20問未満だけ。旧SGの50問を大事に使って対策するしかありません。

圧倒的な情報量です。1周目は正解だけ、2周目3周目で復習を深く広くしていってください。

今後のIT資格・他の資格・仕事のキャリアアップなど広く適用できるスキル/経験が積めるので、面倒でも「学習する姿勢」に真摯に向き合ってみてください。

このNoteが少しでもキッカケになったら嬉しいです。

SGはITパスポート（Iパス）と基本情報技術者（FE）の中間レベルです。

SGの問題を私なりに分類すると以下。

合格ラインは50問×60%=30問。「★必ず正解する」問題だけで26問。あとは勘でも合格できます（24×25%=6.0問, 26+6.0=32問>30問）。

• ★：26問：必ず正解する

• ☆：02問：正解できるようになる

• 推：21問：覚えず消去法/推測で対応

• 捨：01問：対応しない/捨てる

今回は推測がめっちゃ多かったです。消去法/推測で粘り強く点を積み上げたいですね。令和元年は8問だったのに。＞【SG】令和元年度秋期科目Aの解説Note

このNoteでは、Iパス/FEとのシナジーを大事に、知識の重要度まで言及してます。学習を無駄にしないし/させません。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。

＞全Noteへのリンク
＞Iパスの無料51Note
＞Iパスの過去問解説マガジン
＞Iパスの法律20テーマ（メン限）
＞FEの無料58Note
＞FEの科目A過去問解説マガジン
＞FEの科目Bマガジン（セキュリティ）

※このNoteは、いずれマガジンにすると考えています。その際に単品価格よりお得になることはご了承下さい。とはいえ、作成が大変で数溜めてマガジン化するまで時間がかかりそうです。当面は、メンシブの無料期間を使った閲覧がお薦めです。早期購入の方に損をさせたくありません。いつもご理解/応援ありがとうざいます。

問01推 | 原理原則で考えて最後に相対比較

正答はウ。考慮すべき6項目を知りたい方は、過去問道場さんへ。

絞れれば、それで充分かな。

マネジメントレビューは、経営層（マネジメント層）が行うレビュー（反省会）と考えると「内部監査の結果」は絶対要るかなと。監査結果を鑑みた改善実施は経営層の責任ですからね。＞【Iパス】監査のNote

ア, ウ, エが残り。

次に知らないけど「前回のマネジメントレビューの結果」か考慮するでしょうと。継続的な活動ですからね「PDCA」を繰り返すはず。＞【Iパス】PDCAのNote

ア, ウが残り。

最後に「トップマネジメントが設定した～目的」か「発生した不適合及び是正処置の状況」。どちらか一つなら後者でしょう。現場で出たインシデントと対応を見て、完了と判断したり、組織的な改善を考えるはず。

一応「トップマネジメントが設定した～目的」を考慮しないのは、違和感がありますが、屁理屈でも良いかなケチをつけて自信を持ちたいです。例えば「トップマネジメントが設定」なんで、"お前ら自身やないかい"とか"下々が方針に沿って手順など作成する時考慮だろうな"とか。

再度今までの判断を振り返って、「トップマネジメントが設定した～目的」を採用すべき強い理由がなければOKとします。

問02推 | コアだけ覚える/消去法を使う

正答はア。「CSIRT」の6分類は、過去問道場さんへ。

「コーディネーションセンター」の"コーディネート"って服の組合せで耳にするように、"調和""調整"などの意味。となると、アかなぁと。

消去法でも薄っすら正解できそう。イ「分析」「解析」や、ウ「パッチ作成」は開発っぽいし。エ「有償で請け負う」ってサービスっぽいし。

問03★ | CRYPTREC=電子政府, 暗号

正答は、ウ。「CRYPTREC」と「電子政府」のキーワード連結の一発正解引きでOK。

「CRYPTREC」は、電子政府推奨暗号の安全性を評価/監視して、適切な実装/運用法調査/検討するプロジェクト。"この暗号はもう危ない"とか"この暗号がお薦め"などを提示しています。政府公式Web

出題実績もあります。＞【SG】令和元年秋科目A問2のNote
そのうち書けた方が良いです。"選択肢で正解できるけど、いざ書けと言われたら…"は勿体ない。＞【SC】令和3年度秋期午後2問2設問1(2)eの解説Note

• ア：忘れましょう。「為替」「貿易」なんてIT資格に無関係。

• イ：JISEC：IT関連製品のセキュリティ機能の適切性/確実性を評価する。IPA公式Web。
  出題実績はありますが、正答にはなってないので、まだ覚えないかなぁ。暗記大変ですよね。＞【SG】令和元年秋科目A問2のNote

• ウ：正しい。「電子政府」に即反応でOK。

• エ：SOC。それより「CSIRT」：セキュリティインシデントへの対応チーム、の方が重要。＞【SG】令和元年秋科目A問2のNote

問04推 | っぽいのは/消去法

正答はア。アかイで迷うまででOK。

私は覚えないかなぁ。どうしても細かいことが気になるなら、過去問道場さんへ。

「サポート」なので、迷うならアかイ。

ウ「特権管理プログラム」や、エ「ネットワーク管理者」は如何にも管理で、サポートとは思えないので消去。

問05推 | ファイナンス=お金

正答はア。

「リスクファイナンス」は、リスクが顕在化した時に備えた資金を準備しておくこと。

「ファイナンス」は”財政”という意味。日常でもフィナンシャルなど似た言葉を耳にするはずです。Iパスで学んだ「CFO」のF（Financial）も同じ。

ア～エの全てに「資金」があるので、1つずつ見ないとですね。

• ア：正しい。「保険」は、コトが起こった時にお金が出るので。

• イ：「抑える対策」なので、コトが起こる前。

• ウ：「新たな～システムの構築」なので、コトが起こる前。

• エ：「被害を小さくする設備」なので、コトが起こる前。

大事なのは、リクス対応の4種類。4択問題と相性抜群。＞【Iパス】リスク対応のNote

• 低減（軽減）は、リスクが顕在化する確率・損害規模を小さくする対策です。

• 回避は、リスクを完全に回避します。個人情報漏えいを完全回避するには、個人情報を「取り扱わない」のが一番です。

• 共有（移転, 転嫁）は、保険加入などをして社外組織とリスクを共有・移転します。

• 保有（受容）では特に対策しません。発生確率や規模が小さい場合、判断します。

またリスク対応と「リスクアセスメント」3種類（特定→分析→評価）で4択にすることも。＞【Iパス】リスクアセスメントのNote

問06推 | 屁理屈で良いから裏付け

正答はイ。イ, ウ, エで迷ってOK。うっすら"イだな"と判断できると尚良き。

リスクのレベルなので、"発生確率や被害規模だろうな"と想像できますね。被害規模がヤバかったらレベル高そう。

• ア：「弱点」なので「脆弱性」

• イ：「結果」が被害、「起こりやすさ」が発生確率と解釈。

• ウ：イと見比べてイを採用する屁理屈を。「優先順位」は、見積もったリスクに応じて決めることであり、レベルそのものではないかなと。

• エ：「条件」ではないかなと。前半は良かったんですけどね。

問07推 | 絞って相対比較

正答はエ。イかエで迷えば良いかなと。

「リスクを運用管理する」「権限をもつ人」で考えると、エ「リスク所有者」かイ「トップマネジメント（経営層）」かなと。少なくともア「監査人」は第三者だし、ウ「利害関係者」には当事者も含まれるけど大抵は外部の人（関係者, 顧客）。

イのトップマネジメント（経営層）よりは、エのリスク保有者の方が運営管理の当事者っぽいと判断、ぐらいで。

なお、アカウンタビリティとは"説明責任"とのこと。覚えておくと便利かも。一応、不正解選択肢に出たことあり。Iパス平成23年秋問22

＞【Iパス】監査のNote
＞【Iパス】情報セキュリティポリシーNote
＞【Iパス】法律⓱：情報セキュリティポリシーNote

問08推 | 良い結果のために方法を工夫する

正答はア。決定事項は5つあるらしいですが、過去問道場さんへ。

私は覚えないですね。アかイで迷えば良いかな。

ウとエの「必要なプロセス」は、具体的なので現場が考えるでしょう。消します。

アかイ。評価方法と管理策のどちらを先に決めとく（≒あまり変えたくない）かなと考えて、うっすらア（評価）とか。策は手段、評価は結果。良い結果を出すために手段を工夫するわけで。

問09推 | ツッコミ所がないのは

正答はエ。

私は覚えません。1つずつ見て、ツッコミを入れて一番良さそうなのを選びます。アが保留、エが良いなぁと比較して、エと解答。

• ア：一見良さそう。保留。でも「評価できない」を理由に対象外にするのもなぁと。

• イ：「～してから」が怪しい。手遅れになりそう。

• ウ：「いずれか片方だけ」が怪しい。紙も電子も両方保存した方が良いに決まってます。

• エ：外部の「クラウドサービス」も対象にしているのが良い。

アとエを比較して、エ「クラウド」を対象外にしても良い強い理由はないので。

問10★ | DNSキャッシュポイズニング

正答はイ。

「DNSキャッシュポイズニング」は、DNSサーバに謝った情報を登録する攻撃。DNSサーバ利用者を誤ったWebサイトに誘導します。
＞【SC】出題さらえた攻撃73種Note
＞【SG】令和元年秋科目A問16のNote

• ア：「フィッシング」の手口。「HTMLメール」はWebページと同じ記述ができるので、リンク付き文字列やスクリプトの実行ができますね。テキスト形式にした方が良いですよ。学生さんや新入社員さんが最初に注意を受ける所。＞【Iパス】メール❷宛先と形式Note

• イ：「DNSキャッシュサーバ」のAレコード（ドメイン名→IPアドレス）に偽情報を登録して、偽サイトに誘導します。例えばgoogle.comの対応IPアドレスが攻撃者サーバになってしまってたら、私たちは攻撃者サーバにアクセスしてしまう。

• ウ：ドメイン名ハイジャックとのこと。ひとまず覚えないかなぁ。再度出題されたら考えます。参考Web（GMO社）

• エ：WHOISは、ドメイン名やIPアドレスの登録情報を表示できるサービス。試しに「google.co.jp」を入力してみてください。＞WHOISデータベース
  ＞【SC】令和7年春午後問4設問2(2)の解説Note

問11★ | 名称なしは覚えない

正答はエ。ア～ウは特に名前はないかなぁ。

「SPF」は、届いたメールのメールアドレスのドメイン（@以降）を管轄するDNSサーバに管轄下メールサーバのIPアドレスを問い合わせます。受信したメールの送信元IPアドレスとDNSから得たIPアドレスが同じならOKと判断。＞【SC】メール受信のNote

出題実績もあります。＞【SG】令和元年秋科目A問07のNote

問12★ | コンピュータは2進数

正答はイ。

問題文の意味は、000や001や111で、3種類の権限の有無を表現すること。実際にLinuxコマンド「chmod」で指定します。

①：0は000、読み/書き/実行ができなかったので、0は権限なし、と分かります。
②：3は011、実行できなかったので、3桁目が実行権限。
③：7は111、読み/書き/実行ができたのは、①でツジツマ合います。
結局、読み/書きの権限が1桁目/2桁目のどちらか特定できませんでした。

• ア：2は010、実行はできないし、読み/書きのどちらかができないはず。

• イ：正しい。4は100、実行はできる。

• ウ：5は101、書き込みができるかは不明。実行はできるが選択文に書かれてないので誤り。

• エ：6は110、実行はできる。選択文に実行が書かれてないし、読み/書き両方ができると書かれてるので誤り。

今回の問題では3桁は「実行/読取/書取」か「実行/書込/読取」ですが、実際のLinuxは「読取/書取/実行」。覚えなくて良いですが、"実際こうなってるのね"と把握はしてください。SCで役立ちますよ。＞【SC】LinuxのNote（権限）

問13★ | 正解一発引き

正答はイ。

「アンチパスバック」は必須知識として、他もちょいちょい覚えておきたいかな。

• ア：TPMORは、在室人数1名を避け、2名以上でに保つ仕組み。相互牽制によって1名での不正を防ぎます。

• イ：「アンチパスバック」は、いわゆる"共連れ防止"。入退室の矛盾を見つける仕組みです。入室記録がないのに、退室しようとしたらエラーを出します。入室→入室もオカシイですよね。

• ウ：インターロックゲートは、二重扉によって入退室を一人ずつ行う出入口。"共連れ防止"。

• エ：パニックオープンは、非常時に扉を開錠/開放する機能。

問14推 | クレカはとっても大事

正答はエ。

「PCI DSS」はクレジットカード絡みのセキュリティ基準。＞【SG】令和元年秋科目A問27のNote

• ア：「店内に保管」が怪しい。

• イ：「店内に保管」しかも「平文（暗号化なし）」がヤバい。

• ウ：「平文で～保管」がヤバい。

• エ：良き。店にもシステムにも保管してないの良き。個人情報漏えいのニュースで"クレカの情報は保存してないので、漏えいはありません"で、ホッとした覚えがあります。＞参考Web（KADOKAWA社）

問15★ | IDSとIPS

正答はイ。＞【FE】NW❻セキュリティ機器のNote

• IDS：攻撃を検知したら、管理者に通知する

• IPS：攻撃を検知したら、通信を遮断する

• ア：「SSLアクセラレータ」は、暗号化/復号を行う専用機器。

• イ：正しい。「検知」して「遮断」なので「IPS」。

• ウ：「侵入」するテストなので、「ペネトレーションテスト」。＞【SG】令和元年秋科目A問29のNote

• エ：「指紋」「虹彩」は「バイオメトリクス認証（生体認証）」の代表格。＞【Iパス】バイオメトリクス認証のNote

問16★ | パスワードクラック4+1種類

正答はア。必ず正解し、全選択肢の意味も知ってください。