セキュリティ｜ITパスポート試験

対策問題（オリジナル）

過去問の傾向をもとに作ったオリジナルの問題です。本試験の問題ではありません。

1. 1／10問・利用者認証とパスワード

   ある会社が、社内システムへのログインのしかたを4つの案で比べている。多要素認証に当たる案はどれか。

   1. ア 12文字以上で、英大文字・英小文字・数字・記号を全部混ぜたパスワードを入力させる。
   2. イ パスワードを入力させたあと、続けて本人が決めた秘密の質問の答えも入力させる。
   3. ウ 社員証のICカードを読み取り機にかざさせ、さらに4桁のPINを入力させる。
   4. エ 一度ログインすれば、メールや経費精算など別の社内システムにも入り直さずに使えるようにする。
   正解と解説

   正解はウです。

   多要素認証は、持っているもの・覚えていること・体の特徴のうち、種類の違う手掛かりを組み合わせて本人を確かめます。ICカードは持っているもの、PINは覚えていることなので、種類の違う2つがそろっています。同じ種類の手掛かりをいくつ重ねても、要素の数は増えません。

   • ア文字の種類を混ぜても、使っている手掛かりは覚えていることの1つだけなので、要素は1つのままです。
   • イパスワードも秘密の質問の答えも覚えていることで、同じ種類を2つ重ねただけなので要素は1つです。
   • エ一度の確認で複数のシステムに入れるのはシングルサインオンで、確かめ方を厳しくする仕組みとは別のものです。

   この論点の過去問：令和2年度 10月 ITパスポート試験（特別措置試験） 問86・令和6年度 ITパスポート試験 問89

2. 2／10問・利用者認証とパスワード

   ある通販サイトは、利用者がいつものスマートフォンから自宅の近くでログインしたときはパスワードだけで通す。初めて使われる機器から海外でログインしようとしたときだけ、登録済みのメールアドレスへ確認の番号を送り、その入力も求める。この認証の考え方はどれか。

   1. ア シングルサインオン
   2. イ リスクベース認証
   3. ウ マトリクス認証
   4. エ バイオメトリクス認証
   正解と解説

   正解はイです。

   リスクベース認証は、機器や場所などがいつもの利用と違うかを見て、あやしいと判断したときだけ追加の確認を求めます。いつもの機器と場所なら手間をかけず、初めての機器と海外からの接続のときだけ確認の番号を求めているので、この考え方に当たります。

   • アシングルサインオンは一度の確認で複数のシステムに入れる仕組みで、いつもと違うときだけ確認を足すものとは別です。
   • ウマトリクス認証は、覚えた位置に並ぶ文字を表から読み取って入力する方式で、この例のように利用の様子で確認を変えるものではありません。
   • エバイオメトリクス認証は指の静脈や指紋など体の特徴で確かめる方式で、この例では体の特徴を使っていません。

   この論点の過去問：令和8年度 ITパスポート試験 問71・令和6年度 ITパスポート試験 問89・令和元年度 秋期 ITパスポート試験（特別措置試験） 問88

3. 3／10問・ISMS と PDCA

   ISMSを運用している会社で、決めた手順どおりに機密文書の持ち出し記録が付けられているかを半年ごとに調べ、その結果を数えて評価している。この活動は、PDCAのどの段に当たるか。

   1. ア P（Plan）
   2. イ D（Do）
   3. ウ C（Check）
   4. エ A（Act）
   正解と解説

   正解はウです。

   PDCAのPは計画、Dは実施、Cは点検、Aは処置に当たります。手順どおりに運べているかを調べて結果を評価することは、監視や測定や評価を受け持つ点検の段の仕事です。見つかった不備をどう直すかを決めるのは、その次のAの段です。

   • アPは方針や体制、目標に届くための手順を決める段で、運用した結果を調べる段より前に来ます。
   • イDは決めた手順を周知し、装置を入れるなどして実際に動かす段で、動かした結果を評価する段とは別です。
   • エAは点検で見つかった不備について見直しと改善策を決める段で、調べて評価するところまではCの仕事です。

   この論点の過去問：令和2年度 10月 ITパスポート試験（特別措置試験） 問89

4. 4／10問・ISMS と PDCA

   ISMSを新しく立ち上げる会社が、次のa〜dを行う。行う順として適切なものはどれか。

   a　守る対象の情報資産についてリスクを見立てて評価する。

   b　ISMSを会社のどの部門や事業に当てはめるかを決める。

   c　評価したリスクごとに、どう手を打つかを決める。

   d　決めたとおりに運べているかを、内部監査で確かめる。

   1. ア a → b → c → d
   2. イ b → c → a → d
   3. ウ a → c → b → d
   4. エ b → a → c → d
   正解と解説

   正解はエです。

   ISMSは、どこまでを守る対象にするかという適用範囲を最初に決めます。範囲が決まると、その中の資産についてリスクを見立て、見立てに応じた手当てを決め、決めたとおりに運べているかを内部から確かめる順に進みます。よって b → a → c → d です。

   • ア範囲が決まっていないと、どの資産のリスクを見立てればよいかが定まらないので、aをbより前に置けません。
   • イ手の打ち方は見立てたリスクに対して決めるので、リスクの見立て（a）より前に手当て（c）は決められません。
   • ウ範囲の決定（b）を見立てと手当ての後に置いており、最初に来るべき段が後ろに回っています。

   この論点の過去問：令和8年度 ITパスポート試験 問93

5. 5／10問・マルウェアの種類

   社内のPC1台が不正なプログラムに感染した。その後、利用者が何も操作しておらず、外部の攻撃者から指示が送られた形跡も無いのに、同じネットワークにつながったほかのPCへ、そのプログラムが自分で次々と感染を広げた。この不正なプログラムの種類として最も当てはまるものはどれか。

   1. ア ワーム
   2. イ ランサムウェア
   3. ウ バックドア
   4. エ ボット
   正解と解説

   正解はアです。

   ワームは、自分でネットワークをたどって感染を広げていく不正なプログラムで、広がることそのものが特徴です。利用者の操作も外からの指示も無いまま、プログラムが自分で同じネットワークのほかのPCへ次々と広がったので、ワームが最も当てはまります。

   • イランサムウェアはファイルを勝手に暗号にして読めなくし、元に戻す代わりに金銭を求めるもので、この例にはその振る舞いがありません。
   • ウバックドアは外から入り込むための裏口をひそかに作るもので、自分で感染を広げる振る舞いは特徴に含まれません。
   • エボットは外から指示を受けて勝手に動くように仕込まれたプログラムで、この例では外から指示が送られた形跡が無いので当てはまりません。

   この論点の過去問：令和6年度 ITパスポート試験 問98・令和7年度 ITパスポート試験 問77

6. 6／10問・人をだます手口

   次の出来事のうち、ソーシャルエンジニアリングに当たるものはどれか。

   1. ア 大量の要求を一斉に送りつけられ、会社のWebサイトが数時間表示できなくなった。
   2. イ Webサイトの入力欄にデータベースへの命令の断片を打ち込まれ、会員の情報を引き出された。
   3. ウ 見ただけのWebサイトから、知らないうちにPCへウイルスを送り込まれた。
   4. エ システム部門の担当者を名乗る人から電話があり、点検に使うと言われて自分のパスワードを伝えてしまった。
   正解と解説

   正解はエです。

   ソーシャルエンジニアリングは、仕組みの穴を突くのではなく、人の隙を突いて情報を手に入れる手口です。係員を装って電話をかけるのは、この手口の典型です。担当者を名乗る電話にパスワードを伝えてしまった出来事が当てはまります。

   • ア大量の通信や要求でサービスを使えなくするのはDoS攻撃で、人をだまして情報を聞き出す手口ではありません。
   • イ入力欄にデータベースへの命令を混ぜ込むのはSQLインジェクションで、狙われているのは人ではなくWebアプリケーションの側です。
   • ウサイトを見ただけで害のあるものを送り込まれるのはドライブバイダウンロードで、利用者は何も伝えていません。

   この論点の過去問：令和6年度 ITパスポート試験 問73・平成31年度 春期 ITパスポート試験（特別措置試験） 問69・令和3年度 ITパスポート試験 問56

7. 7／10問・デジタル署名と認証局

   デジタル証明書を受け取った側が、有効期間の日付を見ただけでは見落とし、CRLを照らして初めて使えないと分かる証明書はどれか。

   1. ア 有効期間が先月で終わっている証明書
   2. イ 有効期間は残っているが、持ち主の鍵が漏れたため認証局が途中で取り消した証明書
   3. ウ 有効期間が残っていて、認証局に取り消されてもいない証明書
   4. エ 期限が来たので発行し直され、もう有効期間を過ぎている古いほうの証明書
   正解と解説

   正解はイです。

   CRLは、有効期間の途中で認証局が取り消した証明書を一覧にして公開したものです。期間を過ぎた証明書は日付を見るだけで弾けますが、期間が残っているのに取り消された証明書は日付だけでは分かりません。鍵が漏れて途中で取り消された証明書が、CRLで初めて分かるものに当たります。

   • ア有効期間が終わった証明書は、日付を比べるだけで使えないと判断できます。
   • ウ期間が残っていて取り消されてもいない証明書は使ってよいもので、使えない証明書ではありません。
   • エ発行し直された古いほうは期限切れになっているので、日付を見るだけで弾けます。

   この論点の過去問：令和7年度 ITパスポート試験 問87

8. 8／10問・情報セキュリティの3要素

   次の出来事のうち、主に損なわれた情報セキュリティの要素が完全性であるものはどれか。

   1. ア 停電で受注システムが止まり、半日のあいだ注文を受けられなかった。
   2. イ 顧客名簿を入れたUSBメモリを電車に置き忘れ、拾った人に中身を見られた。
   3. ウ 経理の担当者が単価を打ち間違え、請求書に誤った金額が載った。
   4. エ 回線の混雑で社内の共有フォルダが開けず、会議の資料を配れなかった。
   正解と解説

   正解はウです。

   完全性は、情報が正しく保たれていることです。打ち間違いで請求書に誤った金額が載ったのは、中身が正しくなくなった出来事なので、完全性が損なわれています。止まったのか、誤ったのか、漏れたのかで3つの要素を分けられます。

   • アシステムが止まって使えなくなったので、損なわれたのは使いたいときに使えるという可用性です。
   • イ見せてはいけない相手に名簿を見られたので、損なわれたのは機密性です。
   • エ必要なときに資料を開けなかったので、損なわれたのは可用性で、資料の中身は変わっていません。

   この論点の過去問：令和4年度 ITパスポート試験 問72

9. 9／10問・リスクアセスメントとリスク対応

   情報セキュリティのリスク対応を、リスク回避・リスク共有・リスク低減・リスク保有の4つに分けるとき、リスク回避に当たるものはどれか。

   1. ア 多くの個人情報を扱う新しいサービスについて、漏えいしたときの損害が大きいと見て、そのサービスを始めないことにした。
   2. イ 情報が漏れたときの損害賠償の費用に備えて、サイバー保険に入った。
   3. ウ ノートPCの社外への持ち出しを申請制にして、紛失や盗難が起きにくくなるようにした。
   4. エ 起きても損害が小さいと見て、特に手を打たずにそのまま受け入れることにした。
   正解と解説

   正解はアです。

   リスク回避は、危険のもとになる活動そのものをやめてしまう対応です。個人情報を扱うサービスを始めないことにすれば、そのサービスから漏れる危険そのものが無くなるので、リスク回避に当たります。4つはリスクごとに選ぶ選択肢で、順にこなす手順ではありません。

   • イ保険に入るのは、損害の負担を保険会社に引き受けてもらうことなので、リスク共有に当たります。
   • ウ持ち出しの管理を厳しくして紛失や盗難を起きにくくするのは、リスク低減に当たります。
   • エ手を打たずにそのまま受け入れるのは、リスク保有に当たります。

   この論点の過去問：令和4年度 ITパスポート試験 問76・令和7年度 ITパスポート試験 問91

10. 10／10問・暗号方式

    AさんがBさんへ、Bさん以外には読めない形で文書を送りたい。公開鍵暗号方式を使うとき、Aさんが文書の暗号化に使う鍵はどれか。

    1. ア Aさんの公開鍵
    2. イ Aさんの秘密鍵
    3. ウ Bさんの秘密鍵
    4. エ Bさんの公開鍵
    正解と解説

    正解はエです。

    公開鍵で暗号にしたものは、対になる秘密鍵でしか元に戻せません。Bさんの公開鍵で暗号にすれば、開けられるのはBさんの秘密鍵を持つBさんだけになります。Bさんの公開鍵は公開されているので、Aさんも手に入れて使えます。

    • アAさんの公開鍵で暗号にすると、開けられるのはAさんの秘密鍵を持つAさん自身だけで、Bさんは読めません。
    • イAさんの秘密鍵で暗号にしたものは、公開されているAさんの公開鍵で誰でも開けられるので、Bさん以外にも読めてしまいます。
    • ウBさんの秘密鍵はBさんだけが持つもので、送る側のAさんの手元にはないので使えません。

    この論点の過去問：令和5年度 ITパスポート試験 問86・令和7年度 ITパスポート試験 問89