情報処理安全確保支援士のそのほかの用語（62語）

情報処理安全確保支援士の過去問から選び出した用語のうち、分類の頁がまだ無い分類の語 62語を、短い言葉で説明しています。

• ASN.1

  通信でやり取りするデータの構造を、機械の種類に左右されない形で記述する記法です。試験では、SNMPのパケットの符号化に使われる記法として問われます。

• CASB

  企業の従業員とクラウドサービスの間に置き、利用を見える化して制御する仕組みです。試験ではクラウドを利用する側の組織が置く点が問われます。

• EAP

  さまざまな認証方式を載せられる枠組みです。クライアント側が証明書を使う方式か、パスワードなどを使う方式かの見分けが問われます。

• Enhanced Open

  パスワードの入力なしに接続できる手軽さを保ったまま、通信を暗号化する仕様です。試験では、新たに規定された仕様として、パスワードなしで暗号化できる点が問われます。

• FIPS 140-2

  出題当時に米国の連邦政府が用いていた標準の一つで、暗号モジュールが満たすべきセキュリティ要求事項を定めています。試験では、何を定めた標準かが問われます。

• GoF

  オブジェクト指向設計のパターンを整理した4人の著者を指す呼び名です。試験では、生成、構造、振る舞いの三つのカテゴリに分ける点が問われます。

• HSTS

  Webサイトが応答のヘッダで、今後はHTTPSだけで接続するようブラウザに指示する仕組みです。試験では、ブラウザがその指示を記憶して働く点が問われます。

• IKE

  IPsecの鍵交換のためのプロトコルで、認証や暗号化のアルゴリズムを両者で取り決めます。試験では、IKEが使うのはUDPの500番ポートである点が問われます。

• IP スプーフィング

  パケットの送信元IPアドレスを偽る攻撃です。試験では外部から入るパケットの送信元が自ネットワークのものなら捨てる対策が問われます。

• Mirai

  ネットワークカメラやルータなどのIoT機器を狙って感染を広げるマルウェアです。試験では、感染した機器がC&Cサーバの指令を受けて動く点が問われます。

• NOTICE

  総務省、NICT及びプロバイダが連携するIoT機器のセキュリティ対策の取組です。試験では調べる主体がNICT、伝える経路がプロバイダである点が問われます。

• OASIS

  SAMLを策定した標準化団体です。認証・属性・認可の情報を交換する仕様を見分ける問いの中で、策定した団体として出てきます。

• OCSP レスポンダ

  OCSPで、問い合わせを受けた証明書の状態を返す側の仕組みです。試験では、有効、失効、不明の三つの状態のいずれかを返す点が問われます。

• PQC

  量子コンピュータが実用化されても解読されにくいように設計された暗号技術です。試験では、PQC自体は量子の仕組みを使う暗号ではない点が問われます。

• RA

  申請者の本人確認をして、証明書の発行申請を承認か却下する登録局です。試験では、証明書の発行や発行後の扱いを担う機関との役割の違いが問われます。

• Referer

  リクエストがどのページから遷移してきたかを確かめられる情報です。試験では、Refererを確かめることがCSRFの対策として効果のある側に入るかが問われます。

• URL フィルタ

  接続先のURLを調べて、登録された不正なWebサイトへのアクセスを止める仕組みです。試験では、マルウェアの追加のダウンロードを防ぐ対策として問われます。

• VA

  デジタル証明書が失効していないかの問合せに応答する検証局です。試験では、発行前の申請の受付など他の機関の役割と、受け持つ段階で区別する点が問われます。

• WITH GRANT OPTION

  受け取った権限をさらに別の利用者へ付与できるようにする、SQLの権限付与の指定です。試験では、付与権も併せて渡すという意味が問われます。

• X.509

  デジタル証明書の形式を定めたITU-Tの規格です。試験では、証明書の書式がASN.1で記述される点や、失効した証明書を知らせるCRLの役割が問われます。

• 暗号スイート

  TLSの通信で使う暗号などの方式の組です。試験では、TLS 1.3の暗号スイートが認証暗号アルゴリズムとハッシュアルゴリズムの組で構成される点が問われます。

• 暗号モジュール

  暗号の処理を行うハードウェアやソフトウェアのまとまりです。試験ではFIPS 140-2がセキュリティ要求事項を定める対象として問われます。

• インラインモード

  IPSを通信経路の途中に置いて動作させる設置方法です。試験では、監視対象の通信がIPSを通過する形で動作させる点が問われます。

• エンベローピング署名

  Signature要素が、署名対象をその内側に包み込む形の署名です。試験では、エンベロープ署名やデタッチ署名と、署名と対象の位置関係で見分ける点が問われます。

• 鍵ペア

  公開鍵暗号で使う、公開鍵と秘密鍵の対です。試験では、TPMがチップの中で鍵ペアを生成し秘密鍵を外に出さない点などが問われます。

• クッキー

  閲覧に使ったPCのブラウザに残り、発行元と同じドメインにしか送られない情報です。試験では、別のPCには残らない点が問われます。

• クラウドサービスカスタマ

  クラウドサービスを利用する側の事業者です。試験では、どの層から上をクラウドサービスカスタマが受け持つかでサービスの区分が決まる点が問われます。

• コミュニケーション図

  オブジェクトを線で結び、順序番号付きのメッセージで相互作用を表すUMLの図です。試験では、つながりの構造に注目して描く点が問われます。

• コールドアイル

  ラックの前面同士を向かい合わせたときの、間を冷気が通る通路です。試験では、背面同士の間のホットアイルとの違いが問われます。

• コンテンツサーバ

  DNSで、自ドメインの情報を外部へ答えるサーバです。試験では、再帰的な問合せに答えるキャッシュサーバと役割を分ける対策が問われます。

• システム結合テスト

  品目を結合してシステムを組み上げ、システムとして正しく動くかを確かめるテストです。試験では、システム方式設計と対になる点が問われます。

• ステートフルインスペクション

  パケットフィルタリングを拡張し、通信セッションの状態に照らして通過か遮断かを判断するファイアウォールの方式です。試験では、過去のパケットを覚える点が問われます。

• ステートフルパケットインスペクション

  ファイアウォールが通信の状態を記録し、それに照らして通過の可否を判断する方式です。パケットフィルタリングを拡張した方式である点が問われます。

• ソフトウェア管理ガイドライン

  ソフトウェアの違法な複製を防ぐため、使う法人や団体が行うべき事項を示した指針です。試験では、違法複製の防止という目的が問われます。

• ソフトウェアユニットテスト

  各ユニットの中身を確かめるテストです。開発の各工程とテストの対応で、ソフトウェア詳細設計と対になるテストとして問われます。

• ソフトウェア結合テスト

  ユニットやコンポーネントを順に結合し、組み合わせて正しく動くかを確かめるテストです。ソフトウェア方式設計と対になるテストとして問われます。

• ゾーン転送

  プライマリDNSサーバのゾーンの情報をセカンダリへまとめて複製する仕組みである。試験では、許可する相手を限定して情報の読出しを防ぐ点が問われる。

• ダイナミックパケットフィルタリング

  内側から出たリクエストを記録し、対応する戻りのパケットが来たときだけ通す方式である。試験では、戻りのパケットの扱いが特徴として問われる。

• デザインパターン

  オブジェクト指向の設計で繰り返し現れる典型的な問題と解決策の型に、名前を付けて整理したものです。GoFの生成・構造・振る舞いの分類が問われます。

• デタッチ署名

  署名対象と署名が別々の要素になっているXMLデジタル署名の形です。試験では、同じXML文書の中の別のエレメントを対象にして文書に含められる点が問われます。

• データリネージ

  データがどこで生まれ、どんな加工を経て今の形になったかをたどれるようにしたメタデータです。試験では、データの系譜を示す点が問われます。

• トランスポートモード

  IPsecで、発信ホスト自身が暗号化し、受信ホスト自身が復号する方式です。試験では、元のIPヘッダは暗号化されない点が問われます。

• トンネリング

  パケットなどを包んで運び、VPNの通り道を作るのに使う仕組みです。試験では、PPTPなどトンネリングのプロトコルを何を包むかで見分ける点が問われます。

• トンネルモード

  元のIPパケットを丸ごと包み、外側に新しいIPヘッダを付けて送るIPsecの方式です。試験では、元のIPヘッダも含めて暗号化できる点が問われます。

• ポリモーフィック型ウイルス

  感染するたびに異なる鍵で自分のコードを暗号化し直すウイルスです。試験では、同じパターンでは検知しにくくなる点が問われます。

• リスクアプローチ

  リスクが高い項目に監査の資源を重点的に配分する考え方です。試験では、財務諸表の重要な虚偽表示リスクを基準に配分する点が問われます。

• リスクの特定

  リスクアセスメントの最初に行う、守るべき資産にどんな危険があるかを洗い出す作業です。試験では、リスクの分析、リスクの評価と続く段階の順序が問われます。

• レトロスペクティブ

  スプリントの終わりに、チームの進め方や協力の仕方を振り返るイベントです。試験では、スプリントの最後に置かれ、次に生かす場である点が問われます。

• ログバッファ

  ログを書き出す前に、一時的にためておく主記憶上の領域です。試験では、障害が起きると中身が失われるおそれがある点が問われます。

• 中間者攻撃

  通信する二者の間に攻撃者が入り込み、やり取りを盗聴したり改ざんしたりする攻撃です。試験では、装置から漏れる情報を狙うサイドチャネル攻撃との区別が問われます。

• 保証報告書

  業務を受託する会社の内部統制について、受託会社の監査人が検証して意見をまとめる文書です。試験では、記述書と確認書を作る受託会社との役割の分け方が問われます。

• 前方秘匿性

  鍵が後で漏れても過去の暗号文が守られる性質です。試験では、長期間使う秘密鍵が将来漏えいしても過去の暗号文が解読されない点が問われます。

• 属性証明書

  公開鍵ではなく、所属や権限などの属性を証明するための証明書です。試験では、公開鍵の証明書の申請を扱うRAの役割との区別が問われます。

• 性能効率性

  明記された状態で使用する資源の量に関係する性能の度合いです。試験では、JIS X 25010の品質特性を、資源の量という語を手がかりに選ぶ形で問われます。

• 探索的テスト

  ソフトウェアを動かして学びながら、次に何を試すかをその場で決めて進めるテストである。試験では、結果を見て次を考える繰返しの有無が問われる。

• 環境評価基準

  CVSSで、利用者の環境に応じた影響を評価する基準です。試験では、利用環境まで含めて評価するので、製品利用者ごとに結果が異なる点が問われます。

• 統計的サンプリング

  無作為抽出で選んだサンプルの評価結果から、確率論の考え方で母集団の結論を出す手法である。試験では、抽出と評価の両方に確率論を使う点が問われる。

• 総合評価点

  項目の点数に重みを掛けて区分ごとに合計し、効果からリスクを引いて求める点数です。試験では、重みの大きいスケジュールリスクの差が案の順位を分ける点が問われます。

• 衝突発見困難性

  ハッシュ値が一致する二つの異なるメッセージを見つけることの難しさである。試験では、原像計算困難性との違いが問われる。

• 進化的モデル

  要求に不明確な部分があるとき、開発と評価を繰り返しながら要求を洗練していくモデルです。試験では、作る順番を分ける段階的モデルとの違いが問われます。

• 量子暗号

  光子などの量子の性質を利用して、2者の間で安全に鍵を共有する技術です。試験では、量子コンピュータで暗号化を速く行う技術ではない点が問われます。

• 静的プレースホルダ

  SQL文の構造を先に確定させてから、利用者の入力を値として当てはめる方法です。試験では、SQLインジェクションへの対策として使う点が問われます。