【セキュマネ】平成29年度秋期科目Aの解説（情報セキュリティマネジメント試験, SG, 午前）

このNoteでは「情報セキュリティマネジメント試験（SG）」平成29年度秋期科目Aを解説します。徹底的に解説してます。

なかなか合格できない時、学習の姿勢を間違えてる可能性が高いです。

SGは、半年に1回の紙試験から、いつでも受験できるCBT試験になって、問題数が膨大になっています。用語を覚えるのは効果的ですが、過去問や事例は大量に作られているので、イントロクイズでは絶対に合格できません。

対して現在の問題公開は、1年に1回の20問未満だけ。旧SGの50問を大事に使って対策するしかありません。

圧倒的な情報量のNoteを作りました。1周目は正解だけ、2周目3周目で復習を深く広くしていってください。

今後のIT資格・他の資格・仕事のキャリアアップなど広く適用できるスキル/経験が積めるので、面倒でも「学習する姿勢」に真摯に向き合ってみてください。

このNoteが少しでもキッカケになったら嬉しいです。

SGはITパスポート（Iパス）と基本情報技術者（FE）の中間レベルです。

SGの問題を私なりに分類すると以下。

合格ラインは50問×60%=30問。「★必ず正解する」問題だけで21問。。他回（新しい問題）と同じ問題が13問。21+13=34問>30問。同じ問題にも★を付けたい基礎/重要問題もあるので、半分を正解・4択勘も加えて21+13×50%+26×25%=21+6.5+6.5=34>30問。やはり合格します。

• ★：21問：必ず正解する

• ☆：05問：正解できるようになる

• 同：13問：新しい問題に流用された

• 推：10問：覚えず消去法/推測で対応

• 捨：01問：対応しない/捨てる

☆は次回から正解しますし、推は絞り込みで二択まで絞るので正解確率50%。

今回でSG解説は5回目。流用が13問になりました。復習がどんどん効果を発揮する時期です。嬉しくもあり、引き締める時期です。油断や慢心なく合格していってくださいね。
＞【SG】令和元年度秋期の解説Note
＞【SG】平成31年度春期の解説Note
＞【SG】平成30年度秋期の解説Note
＞【SG】平成30年度春期の解説Note

このNoteでは、Iパス/FEとのシナジーを大事に、知識の重要度まで言及してます。学習を無駄にしないし/させません。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。

＞全Noteへのリンク
＞Iパスの無料51Note
＞Iパスの過去問解説マガジン
＞Iパスの法律20テーマ（メン限）
＞FEの無料58Note
＞FEの科目A過去問解説マガジン
＞FEの科目Bマガジン（セキュリティ）

※このNoteは、いずれマガジンにすると考えています。その際に単品価格よりお得になることはご了承下さい。とはいえ、作成が大変で数溜めてマガジン化するまで時間がかかりそうです。当面は、メンシブの無料期間を使った閲覧がお薦めです。早期購入の方に損をさせたくありません。いつもご理解/応援ありがとうざいます。

問01推 | ケチ付けて消去法

正答はウ。覚えず常識で解けば良いかな。

•  ア：「経営者レベルの権限を持たない者を～任命」って。じゃぁ平社員を責任者に任命するかって話。

• イ：「攻撃についての情報を外部に一切提供しない」って。お互いに困りますよね。被害や手口の情報は共有しないと。

• ウ：正しい。とくにケチを付けれません。他選択肢を見て判断します。

• エ：「ビジネスパートナーに～自社が監査を実施～状況を自社が把握することを禁止」って、心配ですよね。パートナーが個人情報漏えいとかしちゃったら大変。

問02捨 | ISO27001と27002

正答はイ。アとイで迷えばOKとします。一度出てますが、重要な学習内容が他に多いです。＞【SG】平成31年春問38のNote

必ず知っておくべきでは、
JIS27000シリーズは、組織のセキュリティの国際規格（ISO）の日本版。
JIS27001は、守るべき「要求事項」。

これより、アかイに絞れます。ここまででOK。今回の「付属書A」より大事なことがあるので（末尾で解説）。

さて「付属書A」は、補足資料で具体的な管理目的/管理策のリストが載っています。リストなので全て実施する必要はないです。例えば監査の指摘事項を洗い出す時の照合に使われます。＞【SG】平成31年春問38のNote

よってイが正答。

重要なのは「ISO27000シリーズ」の基礎。

• 「ISO27000」は、組織におけるセキュリティの国際規格。

• 「ISO27001」は、守るべき「要求事項」。

• 「ISO27002」は、やってるのが望ましい「実践規範」。いわばお手本やテンプレ。

• 「JIS27000」は、ISO27000を基に日本版にアレンジした規格。「JIS」は定規にマークありますよね。

• 「ISO27017」「JIS27017」は、クラウドの普及に対応して制定（2015年）。

＞【SG】令和元年秋問09のNote
＞【SG】平成30年秋問03のNote

問03同 | CSIRTが大事

正答はア。全く同じ出題あり。＞【SG】平成31年春問02のNote

「CSIRT」の6分類は、過去問道場さんへ。

「コーディネーションセンター」の"コーディネート"って服の組合せで耳にするように、"調和""調整"などの意味。となると、アかなぁと。

消去法でも薄っすら正解できそう。イ「分析」「解析」や、ウ「パッチ作成」は開発っぽいし。エ「有償で請け負う」ってサービスっぽいし。

問04同 | CRYPTREC=電子政府, 暗号

正答はウ。全く同じ出題あり。＞【SG】平成31年春問03のNote「CRYPTREC」と「電子政府」のキーワード連結の一発正解引きでOK。

「CRYPTREC」は、電子政府推奨暗号の安全性を評価/監視して、適切な実装/運用法調査/検討するプロジェクト。"この暗号はもう危ない"とか"この暗号がお薦め"などを提示しています。政府公式Web

出題実績もあります。＞【SG】令和元年秋科目A問2のNote
そのうち書けた方が良いです。"選択肢で正解できるけど、いざ書けと言われたら…"は勿体ない。＞【SC】令和3年度秋期午後2問2設問1(2)eの解説Note

• ア：忘れましょう。「為替」「貿易」なんてIT資格に無関係。

• イ：JISEC：IT関連製品のセキュリティ機能の適切性/確実性を評価する。IPA公式Web。
  出題実績はありますが、正答にはなってないので、まだ覚えないかなぁ。暗記大変ですよね。＞【SG】令和元年秋科目A問2のNote

• ウ：正しい。「電子政府」に即反応でOK。

• エ：SOC。それより「CSIRT」：セキュリティインシデントへの対応チーム、の方が重要。＞【SG】令和元年秋科目A問2のNote

問05推 | リスクアセスメント３工程

正答はエ（b, c, d）。aは必ず消せるので、ウとエで迷えばOK。dは外せないので、エを選ぶでしょうね。

「リスク特定」は、「リスクアセスメント」３工程の一工程。

1. リスク特定：リスクを発見して特定する

2. リスク分析：起こる確率や損害規模などを見積もる

3. リスク評価：分析結果から、事前に決めたリスク基準と比較して、優先順位をつける

• a：「リスク対応」は、リスク特定（リスクアセスメント）の後。費用を確保することを「リスクファイナンシング」とも云います。＞【SG】平成31年春問05のNote

• b：リスクによる発生事象は、該当。

• c：bと同じ。

• d：リスク（可能性）も該当。

以上より、a以外が該当。正答はエ（b, c, d）。

「リスクアセスメント」の後は、「リスク対応」を行いますが、次の問06で特集します。

問06同 | 選択肢順が変わっただけ

正答はエ。ほぼ同じ出題あり。選択肢の順番が変わって、単語レベルで若干変わった程度。＞【SG】平成31年春問05のNote

「リスクファイナンス」は、リスクが顕在化した時に備えた資金を準備しておくこと。

「ファイナンス」は”財政”という意味。日常でもフィナンシャルなど似た言葉を耳にするはずです。Iパスで学んだ「CFO」のF（Financial）も同じ。

ア～エの全てに「資金」があるので、1つずつ見ないとですね。

• ア：「抑える対策」なので、コトが起こる前。

• イ：「新たな～システムの構築」なので、コトが起こる前。

• ウ：「被害を小さくする設備」なので、コトが起こる前。

• エ：正しい。「保険」は、コトが起こった時にお金が出るの

大事なのは、リクス対応の4種類。4択問題と相性抜群。＞【Iパス】リスク対応のNote

• 低減（軽減）は、リスクが顕在化する確率・損害規模を小さくする対策です。

• 回避は、リスクを完全に回避します。個人情報漏えいを完全回避するには、個人情報を「取り扱わない」のが一番です。

• 共有（移転, 転嫁）は、保険加入などをして社外組織とリスクを共有・移転します。

• 保有（受容）では特に対策しません。発生確率や規模が小さい場合、判断します。

またリスク対応と「リスクアセスメント」3種類（特定→分析→評価）で4択にすることも。＞【Iパス】リスクアセスメントのNote

問07★ | 全選択肢に用語/意味がないことも

正答はウ。

「リスクアセスメント」の3工程。

1. リスク特定：リスクを発見して特定する

2. リスク分析：起こる確率や損害規模などを見積もる

3. リスク評価：分析結果から、事前に決めたリスク基準と比較して、優先順位をつける

問題文「リスク分析結果と比較」なので、分析より後の「リスク評価」。キーワードの「リスク基準」があるウが正当。

他選択肢はよく分からないですねぇ。リスク対応での対策選択や計画にかかっている気もしますが。微妙なのまで対応しなくて良いです。

例えば「適用宣言書」「リスク計画」がリスク対応の一部として出たことがあります。でもリスク対応は４種類が最優先（低減, 回避, 転嫁, 受容）。＞【SG】平成30秋問06のNote

問08同 | 絞って相対比較

正答はエ。全く同じ出題あり。初見ならイかエで迷えば良いかな。＞【SG】平成31年春問07のNote

「リスクを運用管理する」「権限をもつ人」で考えると、エ「リスク所有者」かイ「トップマネジメント（経営層）」かなと。少なくともア「監査人」は第三者だし、ウ「利害関係者」には当事者も含まれるけど大抵は外部の人（関係者, 顧客）。

イのトップマネジメント（経営層）よりは、エのリスク保有者の方が運営管理の当事者っぽいと判断、ぐらいで。

なお、アカウンタビリティとは"説明責任"とのこと。覚えておくと便利かも。一応、不正解選択肢に出たことあり。Iパス平成23年秋問22

＞【Iパス】監査のNote
＞【Iパス】情報セキュリティポリシーNote
＞【Iパス】法律⓱：情報セキュリティポリシーNote

問09推 | 脆弱性×脅威=リスク→インシデント

正答はイ。

事例や論は覚えなくて良いです。無限に作れるので暗記してたらキリがないので。用語と本質を身に付け、論理と常識で推測します。

「脆弱性」は、弱点のこと。
「脅威」は、脆弱性を突く原因（攻撃者, 内部不正者, 災害など）。
「脆弱性」と「脅威」で「リスク」が顕在化し「インシデント」となり、被害がでます。

• ア：「管理策の欠如」で「深刻度が低くなる」わけないです。

• イ：正しい。弱点があっても付け込んでくる脅威がないなら、対処の優先順は低くはあるでしょう。あんまり例はなさそうですけど。他選択肢も見て消去法でも確認します。

• ウ：「環境的脅威」は自然災害など。「脅威」の一つとしてはOKですが、攻撃者や内部不正・システムの不具合/不備などもありますね。

• エ：弱点があった方が発生確率は高くなりますよね。「～にかかわらず」は怪しい言葉。例えば「予算に関わらず対策する」は良く出る怪しい言葉、現実的ではないですから。

問10同 | 聞いたことある言葉で

正答はウ。全く同じ出題あり。＞【SG】令和01年秋問05のNote

覚えなくて良いです。「再発を防止するため」の改善。PDCA問題で「是正処置」がよく出ていた馴染みある言葉。＞【Iパス】PDCAのNote

一応選択肢を少し解説。イ：修正は、修正した行為に焦点があり、ア：継続的改善は、繰り返す行為に。

むしろ大事なのは、エ：「リスクアセスメント」。

問11★ | 否認防止

正答はア。

「否認防止」は、後で"なかったこと"にするのを防ぐこと。例えば"え？発注してませんよ"みたいな。「タイムスタンプ」が実現代表例。＞【Iパス】デジタル署名とタイムスタンプのNote

• ア：正しい。「した事実」をなかったことにしないので。

• イ：可用性かなぁ、ウと比べれたら（ウがなかったら機密性に分類したかも）。＞【Iパス】CIAのNote

• ウ：機密性C。＞【Iパス】CIAのNote

• エ：信頼性かなぁ。

似た問題は出ました（真正性, 信頼性, 責任追跡性, 否認防止）。＞【SG】平成30春問08のNote

「～性」は多いので優先を付けます。私は「CIA（機密性C, 完全性I, 可用性A）」（→営業秘密3要件@不正競争防止法, 秘密管理性, 有用性, 非公知性）→RASIS（信頼性R, 可用性A, 保守性S, 保全性/完全性I, 安全性/機密性S）かな。機密性がCとSなのがややこい。
＞【Iパス】CIAのNote
＞【Iパス】法律➒：不正競争防止法Note

問12同 | っぽいのは/消去法

正答はア。全く同じ出題あり。初見なら、アかイで迷うまででOK。＞【SG】平成31年春問04のNote

私は覚えないかなぁ。どうしても細かいことが気になるなら、過去問道場さんへ。

「サポート」なので、迷うならアかイ。

ウ「特権管理プログラム」や、エ「ネットワーク管理者」は如何にも管理で、サポートとは思えないので消去。

問13★ | 初見なら消去法/次は正解一発で

正答はア。イ～エが基礎用語なので消去法でもOK。正解のア（DLP）は、セキュリティの流行語です。次の問14で流行語特集しますね。ここでは基礎的な装置の学びをしておきます。

• ア：正しい。「DLP」は、機密情報を自動的に特定し、送信や出力などを検知しブロックする技術。＞SIEMやCASBなど流行語の解説Note

• イ：「DMZ」は、外部からも内部からもアクセスできる領域。
  ＞【FE】NW❻セキュリティ機器Note
  ＞【NW】DMZを用いたセキュリティNote

• ウ：IDS：攻撃を検知したら、管理者に通知する
  ＞【FE】NW❻セキュリティ機器Note

• エ：IPS：攻撃を検知したら、通信を遮断する
  ＞【FE】NW❻セキュリティ機器Note

Iパスレベルですが「DMZ」は、Webサーバやプロキシサーバを置いて、外部と内部の橋渡しをする領域。学校や会社におけるミーティングルーム/応接室みたいな。

問14★ | セキュリティ流行語

正答はイ。

「SIEM」は、各機器のログを収集・分析し管理者に通知。＞【SG, FE, AP, SC】SIEMとCASBのNote

• ア：「サンドボックス」は、外部から隔離された"砂場"。マルウェアなどを動作させ観察します。
  ＞【SG】令和01年秋問22のNote
  ＞【SG】平成30年春問23のNote

• イ：正しい。「集められたログ」「分析」で判断。

• ウ：SGでは覚えなくても良いかなぁ。「SDN」：ネットワーク機器をソフトウェアで制御する規格。「OpenFlow」：SDNの実現手段。制御機能と転送機能を分離し、制御機能をソフトウェアで担う。制御機能とアプリ・機器はAPIでやり取りする。＞【NW】SDNのOpenFlowのNote

• エ：イマイチ明確でないですが、データの中身まで見て「通信の制御（遮断も含める）」もしてるので、IPSやWAF。「WAF」とは、Webサーバ（アプリ）への攻撃を防ぐ機器。データの中身を見て判断します。＞【FE】NW❻セキュリティ機器のNote（WAF）

令和以降のセキュリティの流行語。FE/AP/SC/NWどれでも役立ちます。分からなかったらとりあえず書けば良い、ってぐらい。

• ゼロトラスト：従来の境界防御（FW）ではなく、情報への全アクセスを信頼せずに疑う

• SIEM：各機器のログを収集・分析し管理者に通知

• CASB：各社員のクラウド利用の可視化

• EDR：端末を監視し異常や不審な動きがあれば、ネットワーク切断・プロセス終了

• DLP：機密情報を自動的に特定し、送信や出力などを検知しブロック

問15同 | 正解一発引き

正答はイ。全く同じ出題あり。＞【SG】平成31年春問13のNote

「アンチパスバック」は必須知識として、他もちょいちょい覚えておきたいかな。

• ア：TPMORは、在室人数1名を避け、2名以上でに保つ仕組み。相互牽制によって1名での不正を防ぎます。

• イ：「アンチパスバック」は、いわゆる"共連れ防止"。入退室の矛盾を見つける仕組みです。入室記録がないのに、退室しようとしたらエラーを出します。入室→入室もオカシイですよね。

• ウ：インターロックゲートは、二重扉によって入退室を一人ずつ行う出入口。"共連れ防止"。

• エ：パニックオープンは、非常時に扉を開錠/開放する機能。

私の優先順は、アンチパスバック＞パニックオープン＞TPMOR＞インターロックゲート。

問16同 | 単発用語の学びを深める

正答はイ。全く同じ出題あり。＞【SG】令和元年春問10のNote
必ず正解してください。