【97点合格した本】上原本を写真付き読解攻略（情報処理教科書 情報処理安全確保支援士試験）
私は情報安全確保支援士（登録セキスペ）で午後II 97点を取りました。
＞上原先生の本（amazonで購入）＜を選び、大変お世話になりました。他に書籍は購入していません。これ1冊＋過去問演習だけです。
amazonを覗いてみてください。すぐに手に入ります。
＞amazonでの検索結果
＞最新2024年度版
とはいえ、上原本は800頁近くあり、「挫折」する可能性も高いです。
そこで以下を準備しました。
上原本を写真付きで解説（重要ポイント）
挫折しない読み方チャート（1ヶ月で3周）
さらに、過去問との絡みや私の学習ノートを載せて、より具体的な学習のイメージがつくようにしています。
このNoteを参考にして「上原本」を「挫折」せず「ほどほど」に「1周」読破すれば、もう学習の「勢い」はついています。受験までに充分な準備を間に合わせられますよ。
私はIP, FE, APは勿論、高度もSC, NW, DB, ESを合格、IT専門学校で長年授業をしてきました。学校の合格率を2倍に引き上げたこともあり、ずっと担当を任されています。
今回お伝えする勉強法は、以上の経験を経て定まった再現性の高い手堅いものです。
このNoteでは、上原本を写真付きで解説しています。
本の写真10枚以上、7000文字超えでのレビューは、購入前なら「どんなことが載っているのか」の参考に。
購入後に、なかなか進まない時は「挫折しない読み方」が、押し進めてくれますよ。
私が合格した時の学習ノートの写真も7枚以上、過去問の解説図解5枚以上も載せました。読破以降の学習イメージを持てば、先を見据えた「読み込み」ができますよね。
とにかくまずは1周するのが重要
読むポイントを押さえて、挫折しない一周目読破をしちゃえば、あとはズンズン進んでいけますよ。
興味が出たら読んでいってくださいね。
それでは始めましょう！
＼私のセキスペ3ヶ月の勉強法／
上原本を1ヶ月で決着するために
私は3ヶ月前からの対策をお薦めします。
半年に1回しかない試験、7,500円＋書籍代、そして勉強時間と休日を潰しての受験。しっかり対策しないなんて「私には」あり得ません。
本による知識のインプットは1ヶ月間（3か月前～2ヶ月前）でガッチリします。そしてAMIIの過去問演習に入ります。
とはいえ、上原本は800頁近く「挫折」が心配です。
「とにかく1周」を目指しましょう。
上原本を分析して、「挫折しない」読み方を提案します。
ここからは、上原の各章を解説します。
内容濃度や頁数から「重さ」
内容の重要ポイント
午前得点力に即効性か
午後得点力の遅効性か
手早く1周するために
重点的に読むポイント
飛ばして良いポイント
などを解説しています。
上原本の写真を載せたので、具体的な頁まで分かります。
過去問や学習ノートの写真から、本当に重要か・なぜ読み取ばして良いのかも納得して頂けます。
第一章：基礎～モチベが高いうちに「勢い」をつける～
第一章なので内容は難しくないです。いわば捨てジャブ。
特に前半は簡単、後半に若干本気をチラ見せ。
前半はCIA＋真正性, 責任追跡性, 否認防止、ISMSです。
知っていることなので、飛ばし読みしてください。流し読みよりも手早くです。「ふんふん。あったよねぇ」と。＞CIAの解説Note
後半は通信プロトコルが登場します。
通信プロトコルは攻撃手段であり、盗聴や悪用を防御すべきですからね。
HTTPやメール、DNSやICMP（ping）など馴染みあるプロトコルが登場します。＞プロトコルの解説Note
ただし、パケットヘッダの詳細やステータスコードの一覧が出てきて「え？こんなのまで覚えるの？」と思って止まらないよう注意です。
表は中身を理解や覚えもせず飛ばして下さい。「HTTPのステータスコードが載ってる表なのね」「ゆくゆくは必要になるかもね」と把握するだけでOK。
大丈夫。通信プロトコルは今後の章でも出てきますし、過去問演習してから「あの表のあの部分が大事だったんだ」と分かってきますから。
現段階では、たとえ全部覚えてとして、出題されない表・コードも含まれてしまいます。学習コスパが悪いです。
なお「一覧表を飛ばす」度胸は、午後問題を解くときにも効いてくるので今のうちに体験しておいてください。
第一章なので、勿論最初に読んで構いません。
平日3日間で読み切ってください。ページ数は76頁で中堅どころ。できますよ。
せっかく本が手に入って、勉強し始めのモチベが高い時期。ケチケチせずに一気に勢いをつけましょう。
どうせ一周目では覚えきれません。
まだ一章です。一章の内容は他の章ででも出てきますし。
理解できなくても良いので、「こんなことが書いてあった」ぐらいの気軽さでどんどん進んで勢いをつけましょう。
第二章：攻撃手法～「２大柱」の１つ！～
第二章でセキュリティのメインディッシュ「攻撃」が来ました！ ページ数も最多の136頁で、ヘビー級！ 第七章と「SC2大柱」です。
SCでは、今まで正直「用語問題だった攻撃」について、細かい分類や仕組みまで学びます。
例えばDoS攻撃。
今までは、DoS, DDoS, DRDoS, EDoSだけでしたよね。＞DoS攻撃の解説Note
しかしSCでは細かく覚えます。
SYN Flood：TCPプロトコルを使う
UDP Flood：UDPプロトコルを使う
ICMP Flood (Ping Flood)：ICMPプロトコルを使う
smurf：ICMPでDRDoS攻撃をする
Connection Flood：TCPプロトコルを使う（接続確立）
これ全部DoS攻撃なんです。
しかしやっていることは「大量のデータを送りつける=DoS攻撃」で同じ。
データを送り付けるプロトコルが違うだけ。半分ぐらいは名前から推測できちゃいます。「FloodだからDoSの類だなぁ」って。
共通点を見つけたり、名前で推測をするなどして「情報圧縮」すれば大丈夫です。
とはいえ、攻撃手法はこんなにあります。
心して取り掛かりましょう。
その他にマルウェアも多いですね。 ＞マルウェア解説Note
分類だけでなく、miraiなどの固有名も出題されます。
また、BoFも仕組みまで理解します。なぜ想定以上の長いデータを送ると誤作動が起き、仕込んだプログラムを実行できるのか。
とはいえ、プログラムは8章が本腰なのでまぁお気になさらず。「良い機会なので軽く理解しておくか」程度でOKです。
攻撃手法の学習には「おさえるべき3つのポイント」があります。＞Web系攻撃の解説Note
攻撃名, 手口, 対策の3点セットを揃えて習得しましょう。
気づいていますよね。以下の問題に遭遇したはずです。
第二章も「挫折しない」が最重要。
136頁と最長ですし、攻撃・マルウェアの種類が膨大です。第一章の「勢い」作戦だけではちょっと無理。
1日に読む区切りを決めたり、飽きたら別の章に「味変」しても構いません。
味変先は、短い3章、内容が軽めの4, 5, 9章がお薦め。
3章：56頁：頁が少なく。メールなど馴染み深いテーマ。
4章：82頁：組織体制はふんわりし。物理セキュリティは身近なテーマ。
5章：86頁：知っているセキュリティ機器がほとんどテーマ。
9章：90頁：知っている法律が多く、軽く読み飛ばせるテーマ。
なお、第7章も118頁で重いので、上記を食べ残しておいて大丈夫です。
他の章を途中まで読んでまた戻ってきてもOK。できれば区切りの良いところまで読んで、章を切り替えてくださいね。
最終的にはこれぐらい覚えていることになります。
第三章：脆弱性～コンパクトで「学習コスパ」が良い～
第三章は「脆弱性（と対策）」で、セキュリティ機器の構成や設定・プロトコルなどの悪用の原因を学びます。
56頁と2番目にコンパクト。その上、メールやDNSなど基本的技術なので重要なので、学習コスパが良い章です。
最初の段階・第一章の後に読破しても良いかもしれません。一章読み終えると達成感もあり、学習モチベがキープですから。
第三章では、メール・HTTP（Web）・DNSなど、どこのネットワークにもある、誰もが使っているサービスの脆弱性と対策を学びます。
特にメールやHTTPは日頃から使っているので興味深く読めますし、午後問題でも必ずテーマになります。
ひとまずは、用語のキーワードをおさえ、図から仕組み（データの流れ）をおさえると良いです。
例えば、メールセキュリティの手法は多く。しかも仕組みまで知る必要があります。
SMTP-AUTH（p233）
POP before SMTP（p233）
OP25B（p234）
SPF（p237）
DKIM（p238）
S/MIME（p241）
PGP（p241）
本書では、全て分かりやすく図解で解説しているので安心してください。
第三章は手軽に読めるお薦め章。
ページも二番目に少ないですからね。
第二章などで「重い」「飽きた」ときの味変に、「一章読み切ったぞ」と達成感を得るために、序盤から読破して構わない章です。
第四章：リスク～午後センスを磨く「遅効性」～
第四章はリスクマネジメントと組織体制がメイン。頁数82は5位でちょうど真ん中です。2～3日で読める内容の軽さです。
AMII対策では、リスクアセスメントとリスク対策はこれまで通り。＞リスクアセスメントの解説Note
SCで追加するのは、リスク分析の手法です。
これらはAMII対策で、午後問題で問われることはありません。とはいえ、記述するときのネタにはなります。
第四章は午後に正解するセンスを磨く章。
後半の組織的な対応・物理的な対応は午後対策の面が強いです。AM対策としては、あまり効果は感じない章かもしれません。
SCの午後問題では、組織でのセキュリティインシデント対応がストーリー展開されます。
社員がマルウェアに感染したり、サーバが侵入を受けて個人情報が漏えいしたりなどが発生したときに、組織としての判断・対応が描かれます。
第4章の後半に書かれているのは、まさしく組織で取るべき行動（判断）。
「組織対応の考え方」のお手本を学んで、問題演習で「ん？この対応おかしくないか？」と思えるセンスを身に付けるのが目的になります。
セキュリティの午後問題では、組織の判断・セキュリティの技術的対策を読んで「怪しいポイント」に気づくのが重要です。
設問で問われたら「はいはい、これのことでしょ」と、ササッと答えられますよ。
第四章は、午後問題で正解するセンスが身に着く章。
午後問題を演習し始めたら、効果が出てくる遅効性の章。ひとまず「読み物」として手隙の時に、暗記や計算に疲れた時の「味変」として読んでいくのでも良いですよ。
AMII演習をして「さっぱり出なかったなぁ」と肩透かし感があっても、午後問題で「正しいセキュリティ判断」できるセンスが自然と身についてますよ。
第五章：セキュリティ対策～8割が「知っている事」～
第五章は、PCやサーバのセキュリティ設定、セキュリティ機器の機能を学びます。
86頁で真ん中の長さでお手頃サイズなのは、第四章と同じ。さらに、8割方がAPまでに学んだ知識の拡張なので、読みやすいです。
セキュリティ機器は、いつものFW, IDS, IPS, WAF, UTMで変わらず。＞セキュリティ機器の解説Note
もちろん、SCならではの拡張機能や細かい分類を「少し」学びます。
例えば、IDSとIPSの区別をする程度でしたよね。
実はIDSは、ネットワー全体を監視する「NIDS（機器）」と、端末だけを監視する「HIDS（ソフトウェア）」に分類され、それぞれの特性を理解していきます。
次はネットワーク構成について。
今までは、FWでDMZと社内LANに分ける構成が基本でしたよね。＞セキュリティ考慮のネットワーク構造のNote
しかし昨今は、リモートワークやクラウド利用でさらに細かくネットワークを分けたり、FWに特殊な設定や暗号通信への対応も必要になりました。
今までのT字を土台として、しっかり知識幅を広げていくのが第五章。
侵入手口を学ぶというよりは、防御を正しくすること、適材適所、防げること防げないことを知るイメージです。＞APに出てくる12のサーバ配置まとめNote
第一章の後に読んでも構いません。
お薦めは、まずは各節で重要となっている用語の理解。
逆に細かすぎる用語を無視するよう気をつけてください。
例えば、SELinuxのTEなど、使ってなければ理解も難しい上に、出題もされないものもあります。TrustedOSやサンドボックスも同様。
教科書ですからね。「載ってないのが試験に出た！」を防ぐために網羅的に詳しく書いているんです。細かい箇所は過去問演習で見かけてから、読み返しましょう。
第六章：認証～中身まで詳しく知る～
第六章は認証関連。サービスへのログインなので重要なセキュリティ対策ですね。68頁で中堅なのがありがたい。
パスワード・バイオメトリクスなどの要素認証は勿論、リスクベース認証やCAPTCHAなどセキュリティを更に高める手法を学びます。
今までの認証技術は用語問題でしたが、実際の仕組み（通信や計算）まで理解していきます。
例えばチャレンジレスポンスの内容。今まで難しかったかもですが、立ち向かったください。一度、午後問題に出題されました。
勿論、午前問題ですぐに効果がでる知識もあります。
最近普及している新しい言葉や技術に注目します。特に、SSOはインターネットのサービス利用で使っていますね。
別のサービスを初めて使う時に、googleアカウントやYahooアカウントで会員登録することなくスムーズにログインできたのではないでしょうか。その後もサービスにログインしたら、別サービスにもいつの間にかログインされています。
SSOの実現手法、特にSAMLはAMIIの常連。令和になってから必ず1問以上出ています。
エージェント型
Cookie用いた手法
リバースプロキシ型
SAMLを用いた手法
まず、AMII対策で「アクセス制御の種類（任意DAC, 強制MAC, ロールベースRDBA, 情報フロー, MLS）」「EAPの種類（-TLS, -TTLS, PEAP, -MD5）」をひとまず覚えるとすぐに成果がでますよ。
あと注目は、ゼロトラスト。最近の午後問題で「とりあえず使えば良い答え」。昔の「サーバ証明書」「クライアント認証」と同じです。
第七章：暗号～「２大柱」の１つ！～
第七章のテーマは暗号。
118頁は第二章に次いで2番目。第二章「攻撃」と同じで「SC２大柱」。
内容も濃いので、3, 4, 5, 9章の読み残しがあるなら、切り替えながら読み通してもOKです。
暗号・無線LANの規格は午前対策で即効果、用語とキーワードで覚えちゃえば終わりなんですが。
合格に重要な大テーマが2つあります。
VPN：暗号通信
PKI：公開鍵を用いる技術全般
VPNは一大テーマです。
VPNは通信路を暗号化するため、インターネット上で使え、あらゆるプロトコルが使えるので汎用性が高いです。
昨今はリモートワークで自宅から社内サーバ/PCにアクセスするために尚更重宝されています。
IT資格内での学習シナジーも大変高く。勉強したことはNWに生かせますし、逆にNWを先に学んだらSCにも生かせます。
読んだだけでは完全理解はキビシイですが、ゆくゆくは包括的に理解していきましょう。
個人的に一度やって欲しいのはDH鍵。
不思議ですよー。一切パスワードが伝送されないのに、なぜかパスワード認証ができちゃいますからね。
試験対策というよりは教養として、資格とは関係なくやって欲しいです。なお、一度問題になったことはあります。
第七章と第二章は2大柱。量が多く、かなり難しいです。まずはチャレンジレスポンスやDH鍵を理解して、残りは過去問演習をして理解力が付いてから読み返すことになるので、スルーして大丈夫です。
第八章：プログラム～「全く読まない」決断も～
私は8章は一切読まなくて構わないです。
「プログラムが絡む問題を選ばない」と心に決めれば。
たしかに、SCにはプログラムの知識も必要ではあります。XSSやBoFの手口が出題されるからです。
私もSCの過去問は全て解きました。
私は、PG問題を17回分解きましたが、出題テーマだけでなく言語まで毎回異なりました。得点の再現性が低く、解けたり解けなかったり。たしかに不正解でも正解を見て復習すれば理解できるけど、初見で解けるかというと。。。
「得点再現性」は甚だ疑問です。
また「PCでできることはPCでやりたい」という思いもあります。
「とりあえず読んでおかないと気持ち悪い」と思う方は、48頁は一番少ないので、読みたければ読んでも良いです。時間が確保できるなら、8章を読んで、手ごろなPMIでPG問題を解いて判断してけば良いです。
第九章：法律～最新動向だけチェック！～
第九章のテーマは法律。
全く深くないのでAPに合格したならまず大丈夫。90頁と3番目に長いのですが、序盤に読んでも大丈夫です。
「ふんふんあったねそんな法律」でOK。
全6部で、FEレベルでも充分読める内容。
第1部が最も午前に絡みます。
ISO27000
ISO15408
CMMI
PCI DSS
ITILL
気構える必要はありません。午後に絡むことも早々ありません。
第2部の個人情報。GDPRは長いコト新しい用語として出題されていましたね。
現在は社会事情やAIから、要配慮情報や匿名加工情報が出題され始めたのでチェックしておきましょう。
第4部は知的財産権も同じく今まで通り。
第九章は、今までの復習と思ってください。IP～FEレベルという具合です。
まとめ | 周回するための準備
お疲れ様でした！
最後に「1ヶ月で3周」するコツを伝えます。
本を章毎に切り刻む
肌身離さず持ち隙間時間に読む
読んだら回数が分かる印をつける
もう読まなく良い個所に印をつける
コツ１：本を章ごとに切り刻む
分厚い本を持ち歩くのも取り出すのも大変です。
どうせ全部の章を見ないですよね。
太いカッターで切ってください。
手に気をつけてくださいね（私は小学校の頃、手のひらをヤリました。。。）。
バラけるときはホチキス（ステープラ）で。
コツ２：肌身離さず持ち隙間時間に読む
章ごとに持ち歩いて、隙あれば読みます。
バスや電車は勿論、横断歩道やエレベーターを待っている間、ありとあらゆる隙間時間を活用してください。
当時学生だった私は、アルバイトに行く電車の中・休憩時間で読んでました。ちょっとイケナイですがメモに書いて、警備のアルバイト中に見てつぶやいてました。
先生になってからは、朝早めに学校に行って自習室で勉強していました。社会人なので出勤時間に遅刻するわけにはいきませんからね。勿論昼休みも。
まとまった時間は要りません。あらゆる隙間時間を使ってください。ポケットにメモを入れて見ては、ぶつぶつぶつぶつつぶやいてください。
コツ３：読んだら回数が分かる印をつける
隙間時間で小まめに読んでいると「あれ？どこまで読んだっけ？」と忘れて、読み直すことはないですか？
忘れてようが、とにかく「1周する」が重要です。
「どうせ読んだだけで全部覚えられない/理解もできない」と認め下さい。
読んだ場所にマーキングします。1回目・2回目・3回目とマークしていきます。私は一回目は□、二回目は☑、三回目は横線・・・と決めています。
印をつけたら「読んだ！」ってことで、どんどん先へ行ってください。
もちろん理解できなかったら何度も読んでもOK。回数が多ければ「難しいポイント」も分かりますよね。
でも、まずは「1周読んだ」って実績を出すのが最重要。
コツ４：もう読まなく良い個所に印をつける
読み返したときに「あー、ここもうよく分かってたとこだった」って時間が勿体ないですよね。
「もう読まなくて良い」箇所は「済」マークをします。
とはいえ、1語2語「まだ覚えられない」って場合もあります。
その時は、章扉前や他の節に書き込んで、移動させたから「済」マークをしてもOKです。
掃除でホコリを掃き集めるように、まだ定着していない知識を集めるんです。
更に具体的な学習法について
ここまで「とにかく1周」して2周目3周目に備えるコツを書きました。
さらにAMII過去問演習→午後問題対策へ、と学習は進んでいきます。
SCは半年に1回。他の高度試験（年1回）よりはチャンス多いです。
逆に不合格になると、年に1回しかないDBやNWの受験機会を失っているとも言えますね。それに同じ試験に多額の受験料を繰り返し支払うのもバカバカしい。
私の学習履歴でよければまとめています。興味があれば、是非ご一読して使えそうか考えて頂ければと思います。
もし、あなたの合格のお手伝いになったら嬉しいです。
ぜひ「情報セキュリティスペシャリスト」に合格してくださいね。
p.s. 普段は >> 専門学校とIT就職のブログ << をやってます。
でわでわ（・ω・▼）ノシ
