【セキュマネ】令和06年度科目Aの解説（情報セキュリティマネジメント試験, SG, 午前）

2025年12月25日 05:12

このNoteでは「情報セキュリティマネジメント試験（SG）」令和06年度科目Aを解説します。

このNoteの解説には、過去問の関連問題へのリンクを貼っています。演習しないと学習効果が無くなるので、必ず演習をお願いしますね。

＞【SG】令和元年度秋期の解説Note
＞【SG】平成31年度春期の解説Note
＞【SG】平成30年度秋期の解説Note
＞【SG】平成30年度春期の解説Note
＞【SG】平成29年度秋期の解説Note
＞【SG】平成29年度春期の解説Note
＞【SG】平成28年度秋期の解説Note
＞【SG】平成28年度春期の解説Note
※以上をできれば2周
＞【SG】サンプルの解説Note
※以上を満点か95%
＞【SG】令和05年度の解説Note

今回の問題を私なりに分類すると以下。

★：05問：必ず正解する
☆：03問：正解できるようになる
同：04問：新しい問題に流用された
推：00問：覚えず消去法/推測で対応
捨：00問：対応しない/捨てる

推測/捨てる問題がなくてシンプルですね。★と同の9問は必ず正解、☆も何度か立ち向かって正解できればSGだけでなく、FE/APでもアドバンテージになります。

それでは始めましょう！

私のNoteは500記事以上あります（2025/11/30）。

＞全Noteへのリンク
＞Iパスの無料51Note
＞Iパスの過去問解説マガジン
＞Iパスの法律20テーマ（メン限）
＞FEの無料58Note
＞FEの科目A過去問解説マガジン
＞FEの科目Bマガジン（セキュリティ）

※このNoteは、いずれマガジンにすると考えています。

問01★ | リスクアセスメント, リスク対応

正答はイ。

工程の順番も重要です。3工程（特定→分析→評価）。

リスク対応とアセスメントは、Iパスから高度資格まで御用達のテーマ。
＞【Iパス】リスク対応のNote
＞【Iパス】リスクアセスメントのNote

「リスクアセスメント」は3工程（特定→分析→評価）。＞【Iパス】リスクアセスメントのNote

リスク特定：リスクを発見して特定します
リスク分析：起こる確率や損害規模などを見積もる
リスク評価：分析結果から、事前に決めたリスク基準と比較して、優先順位をつける

「リクス対応」の4種類。4択問題と相性抜群。＞【Iパス】リスク対応のNote

低減（軽減）は、リスクが顕在化する確率・損害規模を小さくする対策です。
回避は、リスクを完全に回避します。個人情報漏えいを完全回避するには、個人情報を「取り扱わない」のが一番です。
共有（移転, 転嫁）は、保険加入などをして社外組織とリスクを共有・移転します。
保有（受容）では特に対策しません。発生確率や規模が小さい場合、判断します。

工程はアセスメント→対応の順ですが、学習順はリスク対応からがお薦め。出題頻度が高いので。

問02同 | 言い訳させない布石

正答はエ。全く同じ出題あり。＞【SG】平成30年秋問11のNote

覚えなくて良いです。常識で。

全ての選択肢は何らかの効果はありますが、"持ち出してダメだと知らなかった"を潰すには、ブツなりデータなりにデカデカと表記するのは自然な発想。図書館の本にだって"持出禁"などシール貼ってますからね。

ア：電子データ化は漏えい対策にはなる面はありますが、言い訳を潰せません。
イ：「信頼関係の維持」「職場環境の整備」は、不正の動機付けの対策になる面はありますが、言い訳を潰せません。
ウ：「送信データ量の制限」は、大量漏えいは防げる面はありますが、言い訳を潰せません。
エ：ブツに「持出禁」ラベルを貼っておけば、知らなかった・管理側の不備だ、と言い逃れできないでしょう。

営業秘密の3要件も復習しましょう。

秘密として管理されている（秘密管理性）
※ラベル貼り、施錠できるキャビネットに収納
事業に有用である（有用性）
※設計図や営業先リストなど業務に役立つ
公然と知られていない（非公性）
※他社や一般的に知られていない

私は「～性」は覚えてなかったのですが、SCで書かせる問題で出ました。せめて選択肢にして欲しかった。＞【SC】平成31年度春期午後2問2設問1abcの解説Note

問03★ | 似た問題あり

正答はエ。詳しくは過去問道場さんへ。

ア：コンペア法は、ファイルを原本と比較する方式。compareは比べること。
イ：チェックサム法は、データにデータから計算した値を付与しておき、後で同じ手法で再計算して一致するかを確認する方式。例えば123に各桁合計の5=1+2+3を付与し1235にします。もしデータが改ざん/化けてしまって1245になったら1+2+4=7≠5なので気づけます。サム"sum"は合計の意。
ウ：パターンマッチング法は、プログラムやデータなどの特徴的なパターンを登録しておいて、検出する方法。マルウェアの特徴的なパターン「シグネチャ」を探すのは代表的な検出方法です。
エ：ビヘイビア（Behavior）は「立ち振る舞い」のこと。別でも似た問題がありました。＞【NW】マルウェアのNote

ビヘイビア法とコンペア法は出題実績あり。
＞【SG】サンプル問29のNote
＞【SG】令和01年春問22のNote
＞【SG】平成30年春問23のNote
＞【SG】平成28年秋問18のNote

問04☆ | 色んな資格で広く出題される

正答はウ。

「サイバーキルチェーン」は、情報システムへの攻撃段階を、偵察・攻撃・目的の実行などのフェーズに分けたモデル。＞【Iパス】ブロックチェーンのNote

ア：サプライチェーンリスク。一連の供給が途絶えたり悪影響を伝播するリスク。覚えなくて良いかな。他が重要なので。
イ：「通信を中継」「盗聴（や改ざんして再送信）」で判断。
ウ：正しい。「攻撃」の「段階」で判断。「偵察」「目的の実行」でも判断できるようになりましょう。
エ：「取引データ」「チェーン」「改ざんを検知」で判断。他にも「分散型台帳」もキーワード。
「ブロックチェーン」は取引データの前後を、ハッシュ値によって数珠つなぎにする技術。仮想通貨やNFTで活用。＞【Iパス】ブロックチェーンのNote

「中間者攻撃（MITM, Man-in-the Middle Attack）」は、攻撃者が利用者とサーバの間に割り込んで、通信情報を一旦受け取り、盗聴や改善をして再度送信先に送る攻撃。

ブラウザ内に中間者がいる「MITB（Man-in-the-Brawser）」も。＞【SC】７３種類の攻撃手法Note（中間者攻撃）

「サイバーキルチェーン」は他資格で出題実績あり。
＞【AP】令和05春問1設問1の解説Note
＞【SC】令和元年度秋期午後2問2設問2(1)dの解説Note
参考Web（NEC社）

問05★ | 経験あるリスクベース認証

正答はイ。日常経験もあるはずです。学校や出張先でgoogleアカウントに入る時に、電話/SMS/メールでの追加認証が必要になったことないですか？

「リスクベース認証」は、普段と違う環境（ネット, 端末）からのアクセスの時に追加認証をすること。普段と同じなら追加認証しません。

ア：「表示された点を正しい順序に」あたりで判断。パターンロック。覚えなくても良いかなぁ。
イ：正しい。「通常とは異なる（IPアドレス, Webブラウザ）」からのアクセスの時「追加の認証」で判断。
ウ：「認証局」が発行する「サーバー証明書」のうち、ドメイン/物理的実在性を確認できるもの「EV証明書」。SGではとても難しいので一旦捨てて下さい。
エ：「ゆがんだ文字」で判断。
「CAPTCHA」は、サーバがアクセス操作者が人間であることを確認する手段。昔は「歪んだ」文字列を表示して、読み取らせて入力させるのが主流でした。最近はパズルを当てはめたり、写真から信号機を選ばせたりなどしますね。
＞【SG】サンプル問25のNote
＞【SG】令和元年秋問11のNote
＞【SG】平成31年春問21のNote
＞【SG】平成30年秋問24のNote
＞【SG】平成29年秋問17のNote
＞【SG】平成28年秋問20のNote

リスクベース認証の出題。
＞【SG】サンプル問24のNote
＞【SG】令和01年秋問24のNote
＞【SG】平成30年春問25のNote

ウの「EV証明書」はSCでも難しいので、SGでは一旦捨てて下さい。
＞【SC】平成29年秋午後1問3設問1(1)dの解説Note

サーバ証明書は以下3種類。下に行くほど、認証局の審査が厳格になるので時間はかかりますが、信頼度が増します。

DV（ドメイン認証）：ドメインの所有者
OV（企業認証）：DV＋組織の法的実在性
EV（Extended Validation）：OV＋組織の物理的実在性

「EV証明書」が一番堅牢です。

問06同 | サーバ証明書⊂電子証明書

正答はウ。全く同じ出題あり。＞【SG】平成30年秋問22のNote

ポイントは検証は「公開鍵」を使う点。デジタル署名/電子証明書を作成できるのは、世界で唯一「秘密鍵」の所持者だけなので。

アとイ：公開鍵とペアになるのは秘密鍵。設問文の「共通鍵」が誤り。
エ：目的は暗号化ではなく、サーバの正当性の検証。

「サーバ証明書」はサーバが"本物ですよ"と示すための電子証明書。「サーバ証明書」が信用できるかを「検証」するために「認証局の公開鍵」を使います。なぜなら「サーバ証明書」は「（信頼できる第三者）認証局の秘密鍵」によって作成されたので。

「サーバ証明書」でサーバが"本物ですよ"と主張してるのを、第三者である認証局が証明してくれる仕組みです。

さらに問題文の「TLS通信」は暗号化通信のこと。

クライアントは、暗号通信に使う「共通鍵」を生成し、
「サーバ証明書」に付与された「サーバの公開鍵」で暗号化してサーバへ送付。
サーバは「サーバの秘密鍵」で復号し「共通鍵」を入手。
以降はお互いに「共通鍵」を使って暗号化通信（TLS通信=HTTPSなど）を行います。

「共通鍵」が漏えいしないよう、公開鍵暗号方式で安全に輸送しています。この手順を「ハイブリッド暗号方式」と云います。

「ハイブリッド暗号方式」は、共通鍵を公開鍵で安全に送り、暗号通信は共通鍵で行う方式。
＞【SG】令和元年秋科目A問26のNote
＞【SG】平成31年春科目A問18のNote
＞【Iパス】公開鍵/秘密鍵で迷わないNote
「S/MIME」「PGP」で使われています。どんどん芋づるなのでこの辺にしときましょ。

公開鍵/秘密鍵の特性/使い方を理解できたら、「ディジタル署名」「電子証明書」「認証局」に進んでいきます。
＞【SG】平成28年春問23のNote
＞【SG】平成28年春問24のNote

問07同 | 法適用外が可哀そうか

正答はウ。全く同じ出題あり。＞【SG】平成29年秋問31のNote

「限られる」が怪しいので、一番良さそうなの/可哀そうじゃなさそうなの、を選んでみて下さい。

ア：企業が管理しているのは、社員や取引先もあるわけで。
イ：個人情報は個人が特定できるデータ。Webや名刺に公開してても、氏名や電話番号を悪いようには使えません。
ウ：故人は適用外。覚えてOK。内心思うところはありますが、他選択肢の方が可哀そうなので。亡くなってる偉人のラブレターとか展示されてますもんね。
エ：日本は、外国人の権利を蔑む国じゃないですね。

個人情報保護法は個人情報の取り扱いに関する法律。最近は「要配慮個人情報」「匿名加工情報」も重要。
＞【Iパス】法律⓯A：個人情報保護法（定義/取扱）Note
＞【Iパス】法律⓯B：個人情報保護法（事業者）Note

問08☆ | 大混乱するガバナンス/統制の類

正答はウ。

「内部統制」は、全社員（経営者含む）が守る会社のルールや仕組みのこと。業務/財務/遵守/資産の健全さを維持します。＞法律⓬A：内部統制（定義）Note

ウの「業務プロセス」の「処理結果の検証」が、会社のルール/仕組の健全さの検証が維持に繋がっていると判断。

エの「内部業務監査」は「監査」。第三者による客観的なチェック。＞【Iパス】監査の解説Note

イの「脅威と脆弱性の分析」は、リスクアセスメントのリスク分析/評価あたり。＞【Iパス】リスクアセスメントのNote

深追いを薦めません。どうしても気になる方は過去問道場さんへ。

ガバナンス系は煩雑で大混乱ですね。

＞【SG】サンプル問37のNote
＞【SG】平成30年秋問08のNote
＞【SG】平成30年秋問48のNote
＞【SG】平成28年春問50のNote

Web検索しても曖昧なので、Iパスの全問題を分析して分類しました。Iパスで通用したならSG以降にも適用できるかと。

＞法律➓：コンプライアンスNote
＞法律⓫：コーポレートガバナンスNote
＞法律⓬A：内部統制（定義）Note
＞法律⓬B：内部統制（職務分掌）Note
＞法律⓬C：内部統制（法律/責任）Note
＞法律⓬D：内部統制（プロセス）Note
＞法律⓭：ITガバナンスNote
＞法律⓮：IT統制Note

問09☆ | FE/APで正解できるように

正答は。Iパス/SGで難しくても、FE/APでは簡単な計算なので立ち向かって、ゆくゆくは正解できるようになって欲しいです。

RASIS（信頼性R, 可用性A, 保守性S, 保全性/完全性I, 安全性/機密性S）。

MTBFは、Mean(平均) Time(時間) Between(～の間) Failure(失敗)なので、動いていない時期と動いていない時期の間の時間。つまり動いている時間のこと。

MTTRは、Mean(平均) Time(時間) To(～のために) Repair(修理)なので、動いて期間（修理している期間）の時間のこと。

稼働率=MTBF/(MTBF+MTTR)。

ア：MTBF→2MTBF, MTTR→2MTTRとして稼働率を再計算すると。
2MTBF/(2MTBF+2MTTR)=MTBF/(MTBF+MTTR)。
2が全部消えたので、稼働率に変化なし。
イ：MTBF/(MTBF+2MTTR)。
分母が増加したので、稼働率は低くなります。
1/1=1が1/2=0.5になったら減少ですよね。
ウ：2MTBF/(2MTBF+MTTR)=MTBF/(MTBF+0.5MTTR)。
分母が減少したので、稼働率は高くなります。
1/2=0.5が1/1=1になったら増加ですよね。
エ：0.5MTBF/(0.5MTBF+2MTTR)=MTBF/(MTBF+4MTTR)。
分母が増加したので、稼働率は低くなります。

「～性」は多いので優先を付けます。私は「CIA（機密性C, 完全性I, 可用性A）」（→営業秘密3要件@不正競争防止法, 秘密管理性, 有用性, 非公知性）→RASIS（信頼性R, 可用性A, 保守性S, 保全性/完全性I, 安全性/機密性S）かな。機密性がCとSなのがややこい。
＞【Iパス】CIAのNote
＞【Iパス】法律➒：不正競争防止法Note

MTBFやMTTRは、稼働率やSLAに絡んできます。今後の資格で計算問題も出てくるので、少し覗いてみるのもテです。お目通し程度で。

＞【FE】計算⑬稼働率/MTBF/MTTR
＞【FE】計算⑭SLAの計算
＞【AP】計算⑦稼働率（MTBF/MTTRの式, 直列/並列公式）
＞【AP】計算⑧SLA/可用性（動くべき時間）