トルカ

印刷プレビューです。ブラウザの印刷機能でPDF保存・印刷できます。

基本情報技術者 ネットワーク・セキュリティ

全40問 ／ トルカ（https://toruca.app）

  1. 問1. 「OSI参照モデル」の説明として最も適切なものはどれか。

    • A. ネットワーク通信の機能を7つの階層に分けて標準化した、通信プロトコルの設計・理解のための基本的な枠組み
    • B. 特定のメーカーのネットワーク機器のみに適用される規格
    • C. インターネット回線の速度を表す単位
    • D. プログラミング言語の一種を指す用語

    正解: A. ネットワーク通信の機能を7つの階層に分けて標準化した、通信プロトコルの設計・理解のための基本的な枠組み ／ OSI参照モデルは、ネットワーク通信の機能を、物理層・データリンク層・ネットワーク層・トランスポート層・セション層・プレゼンテーション層・アプリケーション層の7つの階層に分けて標準化した、通信プロトコルの設計・理解のための基本的な枠組みである。

  2. 問2. OSI参照モデルの階層を、下位層（物理に近い層）から上位層（アプリケーションに近い層）の順に並び替えよ。

    • （　）物理層
    • （　）データリンク層
    • （　）ネットワーク層
    • （　）トランスポート層

    正解の順序: 物理層 → データリンク層 → ネットワーク層 → トランスポート層 ／ OSI参照モデルは下位から順に、物理層（第1層）、データリンク層（第2層）、ネットワーク層（第3層）、トランスポート層（第4層）、セション層（第5層）、プレゼンテーション層（第6層）、アプリケーション層（第7層）の7階層で構成される。

  3. 問3. 「TCP」と「UDP」の違いとして最も適切なものはどれか。

    • A. TCPはコネクション型で信頼性の高い通信を提供し、UDPはコネクションレス型で信頼性よりも速度を重視する通信を提供する
    • B. TCPとUDPは全く同じ機能を提供するプロトコルである
    • C. UDPは必ずTCPよりも信頼性が高い
    • D. TCPは音声・動画のストリーミングにのみ使用される

    正解: A. TCPはコネクション型で信頼性の高い通信を提供し、UDPはコネクションレス型で信頼性よりも速度を重視する通信を提供する ／ TCP（Transmission Control Protocol）は、コネクションを確立し、データの再送制御や順序保証等を行うことで信頼性の高い通信を提供するプロトコルである。一方UDP（User Datagram Protocol）は、コネクションを確立せず、信頼性よりも速度やリアルタイム性を重視する通信（音声・動画のストリーミング等）に適したプロトコルである。

  4. 問4. 「IPアドレス」の役割として最も適切なものはどれか。

    • A. ネットワーク上の機器を一意に識別するための番号
    • B. Webサイトのデザインを定義する情報
    • C. プログラムのソースコードの一部
    • D. ハードディスクの容量を表す数値

    正解: A. ネットワーク上の機器を一意に識別するための番号 ／ IPアドレスは、TCP/IPネットワーク上の機器（コンピュータ、ルーター等）を一意に識別するために割り当てられる番号であり、IPv4（32ビット）とIPv6（128ビット）という2つの主要なバージョンが存在する。

  5. 問5. 「DNS（Domain Name System）」の役割として最も適切なものはどれか。

    • A. 「example.com」のような人間が理解しやすいドメイン名と、IPアドレスとの対応関係を管理し、名前解決を行う仕組み
    • B. Webページのデザインを自動生成する仕組み
    • C. 電子メールの内容を暗号化する仕組み
    • D. ハードディスクの空き容量を管理する仕組み

    正解: A. 「example.com」のような人間が理解しやすいドメイン名と、IPアドレスとの対応関係を管理し、名前解決を行う仕組み ／ DNS（Domain Name System）は、「example.com」のような人間が理解しやすいドメイン名と、コンピュータが通信に使用するIPアドレスとの対応関係を管理し、ドメイン名からIPアドレスを検索する「名前解決」を行う分散型のデータベースシステムである。

  6. 問6. 「DHCP（Dynamic Host Configuration Protocol）」の役割として最も適切なものはどれか。

    • A. ネットワークに接続した機器に対し、IPアドレス等のネットワーク設定情報を自動的に割り当てるプロトコル
    • B. Webサーバーとブラウザ間の通信を暗号化するプロトコル
    • C. 電子メールを送信するためのプロトコル
    • D. ファイルを転送するためのプロトコル

    正解: A. ネットワークに接続した機器に対し、IPアドレス等のネットワーク設定情報を自動的に割り当てるプロトコル ／ DHCP（Dynamic Host Configuration Protocol）は、ネットワークに新たに接続した機器に対して、IPアドレス・サブネットマスク・デフォルトゲートウェイ等のネットワーク設定情報を自動的に割り当てるプロトコルであり、手動でのIPアドレス設定の手間を省くことができる。

  7. 問7. 「HTTPS」が「HTTP」と異なる点として最も適切なものはどれか。

    • A. HTTPSはSSL/TLSによって通信内容が暗号化されるのに対し、HTTPは平文（暗号化されていない状態）で通信が行われる
    • B. HTTPSはメールの送受信専用のプロトコルである
    • C. HTTPは常にHTTPSよりも安全に通信できる
    • D. HTTPSはネットワークを一切利用しない通信方式である

    正解: A. HTTPSはSSL/TLSによって通信内容が暗号化されるのに対し、HTTPは平文（暗号化されていない状態）で通信が行われる ／ HTTPS（HTTP Secure）は、SSL/TLSというプロトコルを用いて通信内容を暗号化することで、盗聴や改ざんのリスクを低減したWeb通信のプロトコルである。一方、通常のHTTPは通信内容が平文（暗号化されていない状態）でやり取りされるため、機密情報を扱う通信ではHTTPSの利用が強く推奨される。

  8. 問8. 電子メールの送信に使用されるプロトコル「SMTP」の役割として最も適切なものはどれか。

    • A. 電子メールをメールサーバー間で転送したり、メールクライアントからサーバーへ送信するためのプロトコル
    • B. Webページを閲覧するためのプロトコル
    • C. ファイルをサーバーからダウンロードするためのプロトコル
    • D. ドメイン名をIPアドレスに変換するためのプロトコル

    正解: A. 電子メールをメールサーバー間で転送したり、メールクライアントからサーバーへ送信するためのプロトコル ／ SMTP（Simple Mail Transfer Protocol）は、電子メールをメールサーバー間で転送したり、メールクライアントからメールサーバーへ送信したりする際に使用されるプロトコルである。受信したメールをメールクライアントが取得する際には、POP3やIMAPといった別のプロトコルが使用される。

  9. 問9. 「共通鍵暗号方式」の説明として最も適切なものはどれか。

    • A. 暗号化と復号に同じ鍵を使用する方式で、処理速度は速いが、鍵の安全な受け渡しに課題がある
    • B. 暗号化と復号に異なる鍵を使用する方式（これは公開鍵暗号方式）
    • C. 暗号化を一切行わずにデータを送受信する方式
    • D. 鍵を全く使用せずに暗号化を行う方式

    正解: A. 暗号化と復号に同じ鍵を使用する方式で、処理速度は速いが、鍵の安全な受け渡しに課題がある ／ 共通鍵暗号方式（対称鍵暗号方式）は、暗号化と復号に同じ鍵（共通鍵）を使用する方式であり、公開鍵暗号方式と比べて処理速度が速いという利点がある一方、通信相手と鍵をどのように安全に共有するか（鍵配送問題）という課題がある。

  10. 問10. 「公開鍵暗号方式」の説明として最も適切なものはどれか。

    • A. 暗号化に使用する「公開鍵」と復号に使用する「秘密鍵」という異なる2つの鍵を使用する方式
    • B. 暗号化と復号に全く同じ鍵を使用する方式（これは共通鍵暗号方式）
    • C. 鍵を一切使用せずにデータを暗号化する方式
    • D. 全ての利用者が同じ秘密鍵を共有する方式

    正解: A. 暗号化に使用する「公開鍵」と復号に使用する「秘密鍵」という異なる2つの鍵を使用する方式 ／ 公開鍵暗号方式は、誰でも入手できる「公開鍵」と、本人のみが保持する「秘密鍵」という数学的に関連した異なる2つの鍵を使用する方式であり、公開鍵で暗号化したデータは対応する秘密鍵でのみ復号できる。共通鍵暗号方式の鍵配送問題を解決する手段として利用される一方、処理速度は共通鍵暗号方式より遅い傾向がある。

  11. 問11. 「デジタル署名」の目的として最も適切なものはどれか。

    • A. 送信者の秘密鍵を使ってデータに署名を付与することで、データの改ざん検知と送信者本人であることの証明（否認防止）を実現する
    • B. データを完全に見えなくすることのみを目的とする
    • C. ネットワークの通信速度を向上させることを目的とする
    • D. ハードウェアの故障を検知することを目的とする

    正解: A. 送信者の秘密鍵を使ってデータに署名を付与することで、データの改ざん検知と送信者本人であることの証明（否認防止）を実現する ／ デジタル署名は、送信者が自身の秘密鍵を使ってデータに対する署名を生成し、受信者が送信者の公開鍵を使ってその署名を検証することで、データが途中で改ざんされていないことの確認（改ざん検知）と、送信者本人が確かに送信したことの証明（否認防止）を実現する技術である。

  12. 問12. 「ハッシュ関数」の特徴として最も適切なものはどれか。

    • A. 任意の長さの入力データから、固定長のハッシュ値を生成する関数で、入力が少しでも異なれば全く異なるハッシュ値になり、ハッシュ値から元のデータを復元することは極めて困難である
    • B. ハッシュ値から元のデータを常に容易に復元できる関数
    • C. 同じ入力データから毎回異なるハッシュ値を生成する関数
    • D. データを暗号化した後に元に戻す（復号する）ための関数

    正解: A. 任意の長さの入力データから、固定長のハッシュ値を生成する関数で、入力が少しでも異なれば全く異なるハッシュ値になり、ハッシュ値から元のデータを復元することは極めて困難である ／ ハッシュ関数は、任意の長さの入力データから固定長のハッシュ値（メッセージダイジェスト）を生成する一方向性の関数であり、入力データがわずかに異なるだけで全く異なるハッシュ値が生成され、ハッシュ値から元のデータを逆算（復元）することは計算量的に極めて困難であるという性質を持つ。データの改ざん検知やパスワードの安全な保存等に利用される。

  13. 問13. 「多要素認証」の説明として最も適切なものはどれか。

    • A. 「知識情報（パスワード等）」「所持情報（スマートフォン等）」「生体情報（指紋等）」のうち、2つ以上の異なる要素を組み合わせて本人確認を行う認証方式
    • B. パスワードのみを何度も入力させる認証方式
    • C. 認証を一切行わずにシステムへのアクセスを許可する方式
    • D. 生体情報のみを使用し他の要素は一切使用しない認証方式

    正解: A. 「知識情報（パスワード等）」「所持情報（スマートフォン等）」「生体情報（指紋等）」のうち、2つ以上の異なる要素を組み合わせて本人確認を行う認証方式 ／ 多要素認証は、「知識情報（パスワード・PIN等、本人が知っている情報）」「所持情報（ICカード・スマートフォン等、本人が持っている物）」「生体情報（指紋・顔等、本人自身の特徴）」という異なる種類の認証要素のうち、2つ以上を組み合わせて本人確認を行うことで、単一の要素のみに頼る認証よりも高いセキュリティを確保する認証方式である。

  14. 問14. 「マルウェア」の一種「ランサムウェア」の説明として最も適切なものはどれか。

    • A. 感染したコンピュータのファイルを暗号化する等して利用不能にし、復旧と引き換えに金銭を要求する悪意のあるソフトウェア
    • B. コンピュータの処理速度を向上させる正規のソフトウェア
    • C. ハードウェアの故障を自動的に修理するソフトウェア
    • D. ネットワークの通信速度を測定するための診断ツール

    正解: A. 感染したコンピュータのファイルを暗号化する等して利用不能にし、復旧と引き換えに金銭を要求する悪意のあるソフトウェア ／ ランサムウェアは、感染したコンピュータ内のファイルを暗号化する等して利用者がアクセスできない状態にし、その復旧（暗号化の解除）と引き換えに金銭（身代金、ransom）を要求する悪意のあるソフトウェア（マルウェア）の一種であり、近年被害が拡大している深刻な脅威である。

  15. 問15. 「マルウェア」の一種「トロイの木馬」の特徴として最も適切なものはどれか。

    • A. 一見無害または有用なプログラムを装って侵入し、内部で悪意のある動作を行うが、自己増殖はせず自ら他のファイルに感染を広げない
    • B. 他のファイルに寄生して自己増殖しながら感染を広げる
    • C. 正規のソフトウェアのみを指す用語であり悪意は一切ない
    • D. ネットワーク機器の物理的な故障を引き起こす専用のハードウェアを指す

    正解: A. 一見無害または有用なプログラムを装って侵入し、内部で悪意のある動作を行うが、自己増殖はせず自ら他のファイルに感染を広げない ／ トロイの木馬は、一見無害または有用なプログラム（ゲームやツール等）を装ってコンピュータに侵入し、内部でバックドアの設置や情報の窃取等、悪意のある動作を行うマルウェアであるが、ウイルスとは異なり、自己増殖して他のファイルに感染を広げる機能は一般的に持たない点が特徴である。

  16. 問16. 「フィッシング詐欺」の手口として最も適切なものはどれか。

    • A. 実在する金融機関等を装った偽のメールやWebサイトへ誘導し、利用者にID・パスワードやクレジットカード情報等を入力させて盗み取る
    • B. コンピュータのハードウェアを物理的に破壊する攻撃
    • C. ネットワーク回線を完全に切断する攻撃
    • D. 正規のソフトウェアの機能を向上させる行為

    正解: A. 実在する金融機関等を装った偽のメールやWebサイトへ誘導し、利用者にID・パスワードやクレジットカード情報等を入力させて盗み取る ／ フィッシング詐欺は、実在する金融機関やECサイト等を装った偽の電子メールやWebサイト（フィッシングサイト）へ利用者を誘導し、ID・パスワードやクレジットカード情報等の機密情報を入力させて盗み取る詐欺の手口である。

  17. 問17. 「DoS攻撃（サービス妨害攻撃）」の説明として最も適切なものはどれか。

    • A. 大量のリクエストを標的のサーバーに送りつける等して、サービスを提供できない状態（過負荷）に追い込む攻撃
    • B. 標的のシステムの処理速度を向上させる行為
    • C. 標的のデータを暗号化して安全に保管する行為
    • D. 標的のシステムに新機能を追加する行為

    正解: A. 大量のリクエストを標的のサーバーに送りつける等して、サービスを提供できない状態（過負荷）に追い込む攻撃 ／ DoS攻撃（Denial of Service attack：サービス妨害攻撃）は、標的となるサーバーに大量のリクエストを送りつける等して過剰な負荷をかけ、正規の利用者へのサービス提供を妨げる攻撃である。複数の攻撃元から同時多発的に行うものはDDoS攻撃（Distributed DoS）と呼ばれる。

  18. 問18. 「SQLインジェクション」攻撃の説明として最も適切なものはどれか。

    • A. Webアプリケーションの入力欄に悪意のあるSQL文を注入することで、データベースを不正に操作・情報搾取する攻撃
    • B. ネットワーク回線を物理的に切断する攻撃
    • C. ハードウェアに直接電流を流して破壊する攻撃
    • D. 正規のSQL文の実行速度を向上させる最適化手法

    正解: A. Webアプリケーションの入力欄に悪意のあるSQL文を注入することで、データベースを不正に操作・情報搾取する攻撃 ／ SQLインジェクションは、Webアプリケーションの入力フォーム等に悪意のあるSQL文の断片を注入（インジェクション）することで、開発者が意図しないSQL文を実行させ、データベースの不正な操作（情報の窃取・改ざん・削除等）を行う攻撃手法であり、対策として入力値のエスケープ処理やプレースホルダを用いたSQL文の組み立て等が有効である。

  19. 問19. 「クロスサイトスクリプティング（XSS）」攻撃の説明として最も適切なものはどれか。

    • A. 脆弱性のあるWebサイトに悪意のあるスクリプトを埋め込み、それを閲覧した利用者のブラウザ上でスクリプトを実行させることで、情報窃取等を行う攻撃
    • B. サーバーのハードウェアを物理的に破壊する攻撃
    • C. ネットワークの通信速度を向上させる正規の技術
    • D. データベースの正規化を行う設計手法

    正解: A. 脆弱性のあるWebサイトに悪意のあるスクリプトを埋め込み、それを閲覧した利用者のブラウザ上でスクリプトを実行させることで、情報窃取等を行う攻撃 ／ クロスサイトスクリプティング（XSS）は、脆弱性のあるWebサイトに悪意のあるスクリプト（JavaScript等）を埋め込み、そのサイトを閲覧した別の利用者のブラウザ上で意図せずスクリプトを実行させることで、Cookie情報の窃取やなりすまし等を行う攻撃手法である。

  20. 問20. 「ソーシャルエンジニアリング」の説明として最も適切なものはどれか。

    • A. 技術的な手段ではなく、人間の心理的な隙や行動の癖を利用して機密情報を盗み出す手法
    • B. コンピュータウイルスをネットワーク経由で自動的に拡散させる技術
    • C. ハードウェアの脆弱性のみを悪用する攻撃手法
    • D. 暗号化技術のみを利用した情報保護手法

    正解: A. 技術的な手段ではなく、人間の心理的な隙や行動の癖を利用して機密情報を盗み出す手法 ／ ソーシャルエンジニアリングは、コンピュータやネットワークの技術的な脆弱性を突くのではなく、人間の心理的な隙（信頼、焦り等）や行動の癖を利用して、パスワード等の機密情報を盗み出したり、不正な行為をさせたりする手法であり、電話でのなりすまし（プリテキスティング）や、ゴミ箱漁り（トラッシング）等の手口がある。

  21. 問21. 「ファイアウォール」の役割として最も適切なものはどれか。

    • A. ネットワークの境界において、あらかじめ定めたルールに基づき通信を許可・拒否することで、不正アクセスを防ぐ
    • B. 全ての通信を無条件に許可すること
    • C. ネットワーク回線の物理的な速度を向上させること
    • D. コンピュータのハードウェアを冷却すること

    正解: A. ネットワークの境界において、あらかじめ定めたルールに基づき通信を許可・拒否することで、不正アクセスを防ぐ ／ ファイアウォールは、内部ネットワークと外部ネットワーク（インターネット等）の境界に設置され、あらかじめ定められたルール（ポート番号、IPアドレス等）に基づいて通信を許可または拒否することで、不正アクセスや不要な通信からネットワークを保護する仕組みである。

  22. 問22. 「IDS（不正侵入検知システム）」と「IPS（不正侵入防止システム）」の違いとして最も適切なものはどれか。

    • A. IDSは不正なアクセスを検知して管理者に通知するのに対し、IPSは検知した不正なアクセスを自動的に遮断するところまで行う
    • B. IDSとIPSに実質的な違いはない
    • C. IPSは不正アクセスの検知機能を一切持たない
    • D. IDSは不正アクセスを自動的に遮断するが通知は行わない

    正解: A. IDSは不正なアクセスを検知して管理者に通知するのに対し、IPSは検知した不正なアクセスを自動的に遮断するところまで行う ／ IDS（Intrusion Detection System：不正侵入検知システム）は、ネットワークやシステムへの不正なアクセスや異常な通信を検知し、管理者に通知する仕組みである。一方IPS（Intrusion Prevention System：不正侵入防止システム）は、検知に加えて、検知した不正な通信を自動的に遮断するところまでを行う仕組みである。

  23. 問23. 「WAF（Web Application Firewall）」の役割として最も適切なものはどれか。

    • A. Webアプリケーションへの通信内容を検査し、SQLインジェクションやXSS等、アプリケーション層に対する攻撃を検知・防御する
    • B. ネットワークのケーブルを物理的に保護するための機器
    • C. ハードウェアの温度を管理する装置
    • D. 電子メールの送受信のみを行う専用の機器

    正解: A. Webアプリケーションへの通信内容を検査し、SQLインジェクションやXSS等、アプリケーション層に対する攻撃を検知・防御する ／ WAF（Web Application Firewall）は、通常のファイアウォールでは検知が難しい、Webアプリケーション層に対する攻撃（SQLインジェクション、クロスサイトスクリプティング等）を、通信内容（HTTPリクエストの中身）まで検査することで検知・防御する専用のセキュリティ機能である。

  24. 問24. 「VPN（仮想プライベートネットワーク）」の役割として最も適切なものはどれか。

    • A. インターネット等の公衆回線上に、暗号化技術等を用いて仮想的な専用回線（トンネル）を構築し、安全な通信を実現する
    • B. 全ての通信を意図的に暗号化せずに送受信する仕組み
    • C. ネットワークの物理的な配線を完全に不要にする技術
    • D. Webサイトのデザインを自動的に生成する技術

    正解: A. インターネット等の公衆回線上に、暗号化技術等を用いて仮想的な専用回線（トンネル）を構築し、安全な通信を実現する ／ VPN（Virtual Private Network：仮想プライベートネットワーク）は、インターネット等の公衆回線上に、暗号化技術やトンネリング技術を用いて仮想的な専用回線を構築する技術であり、遠隔地の拠点間や、リモートワーク時の社内ネットワークへの安全なアクセスを実現するために利用される。

  25. 問25. システムの「脆弱性」に対する適切な対応として最も適切なものはどれか。

    • A. セキュリティパッチ（修正プログラム）を速やかに適用し、既知の脆弱性を解消する
    • B. 脆弱性を一切修正せず放置する
    • C. 脆弱性が発見された場合、直ちに全てのデータを削除する
    • D. 脆弱性への対応はシステム開発時にのみ必要であり、運用後は不要である

    正解: A. セキュリティパッチ（修正プログラム）を速やかに適用し、既知の脆弱性を解消する ／ システムの脆弱性が発見された場合、ソフトウェアベンダー等から提供されるセキュリティパッチ（修正プログラム）を速やかに適用し、既知の脆弱性を解消することが基本的かつ重要な対応である。脆弱性への対応は開発時だけでなく、運用中も継続的に行う必要がある。

  26. 問26. 情報セキュリティの3要素「機密性・完全性・可用性（CIA）」のうち「可用性」の説明として最も適切なものはどれか。

    • A. 認可された利用者が、必要なときに情報や情報システムに支障なくアクセスできる状態を維持すること
    • B. 情報が正確かつ完全な状態に保たれ、改ざんされていないこと
    • C. 認可されていない者に情報が漏えいしないようにすること
    • D. 情報を完全に削除して二度と復元できないようにすること

    正解: A. 認可された利用者が、必要なときに情報や情報システムに支障なくアクセスできる状態を維持すること ／ 可用性（Availability）は、情報セキュリティの3要素（CIA）の一つであり、認可された利用者が必要なときに情報や情報システムに支障なくアクセスできる状態を維持することを指す。障害対策の冗長化やバックアップ体制の整備等が可用性確保の代表的な取り組みである。

  27. 問27. 情報セキュリティの3要素（CIA）とその説明を正しく対応させよ。

    • 機密性(Confidentiality) ー （　　　　　）
    • 完全性(Integrity) ー （　　　　　）
    • 可用性(Availability) ー （　　　　　）

    正解: 機密性(Confidentiality)→認可された者だけが情報にアクセスできる状態を確保すること、完全性(Integrity)→情報が正確であり改ざん・破壊されていない状態を維持すること、可用性(Availability)→必要なときに情報やシステムに支障なくアクセスできる状態を維持すること ／ 情報セキュリティの3要素（CIA）は、機密性(Confidentiality)・完全性(Integrity)・可用性(Availability)から成り、情報セキュリティマネジメントにおけるあらゆる対策の基礎となる考え方である。

  28. 問28. 安全なパスワード管理として適切な対応はどれか。

    • A. サービスごとに異なる、十分に複雑で長いパスワードを設定し、可能であれば多要素認証も併用する
    • B. 全てのサービスで同一の簡単なパスワードを使い回す
    • C. パスワードを第三者にも分かるようにメモに書いて公共の場に貼り出す
    • D. パスワードの定期変更や複雑化は一切不要である

    正解: A. サービスごとに異なる、十分に複雑で長いパスワードを設定し、可能であれば多要素認証も併用する ／ 安全なパスワード管理としては、サービスごとに異なる、推測されにくい十分に長く複雑なパスワードを設定し、パスワードマネージャー等を活用して管理すること、さらに可能であれば多要素認証を併用してセキュリティを高めることが推奨される。パスワードの使い回しは、1つのサービスから漏えいした場合に他のサービスへの不正ログイン（パスワードリスト攻撃）につながるリスクがある。

  29. 問29. 無線LANのセキュリティ規格「WPA3」の役割として最も適切なものはどれか。

    • A. 無線LANの通信を暗号化し、不正なアクセスや盗聴から通信を保護するための最新のセキュリティ規格
    • B. 無線LANの通信速度のみを向上させる規格
    • C. 無線LANの電波の到達距離のみを延ばす規格
    • D. 有線LANの通信を保護するための規格

    正解: A. 無線LANの通信を暗号化し、不正なアクセスや盗聴から通信を保護するための最新のセキュリティ規格 ／ WPA3（Wi-Fi Protected Access 3）は、無線LAN（Wi-Fi）通信を暗号化し、盗聴や不正アクセスから通信を保護するための最新のセキュリティ規格であり、旧規格であるWEPやWPA/WPA2と比べてより強固な暗号化方式や認証方式が採用されている。

  30. 問30. 組織における「CSIRT（Computer Security Incident Response Team）」の役割として最も適切なものはどれか。

    • A. 組織内で発生した情報セキュリティインシデントに対応し、被害の拡大防止・原因究明・再発防止策の検討を行う専門チーム
    • B. ハードウェアの物理的な販売のみを行う部署
    • C. 従業員の給与計算のみを行う部署
    • D. 情報セキュリティとは全く関係のない一般的な広報部署

    正解: A. 組織内で発生した情報セキュリティインシデントに対応し、被害の拡大防止・原因究明・再発防止策の検討を行う専門チーム ／ CSIRT（シーサート）は、組織内で発生した情報セキュリティインシデント（不正アクセス、マルウェア感染、情報漏えい等）に対応し、被害の拡大防止、原因の究明、再発防止策の検討・実施等を行う専門チームであり、多くの企業・組織で設置が進められている。

  31. 問31. 情報セキュリティにおける「リスク移転」の対応策として最も適切なものはどれか。

    • A. サイバー保険への加入等により、リスクが顕在化した際の損害を第三者に移す対応
    • B. リスクの原因となる業務や機能を完全に廃止すること（リスク回避）
    • C. リスクの発生確率や影響度を低減するための対策を講じること（リスク低減）
    • D. リスクを認識したうえで特に対策を取らずそのまま許容すること（リスク保有）

    正解: A. サイバー保険への加入等により、リスクが顕在化した際の損害を第三者に移す対応 ／ 情報セキュリティにおけるリスク対応には、リスク回避（原因となる活動をやめる）、リスク低減（対策により発生確率・影響を下げる）、リスク移転（保険加入等でリスクを第三者に移す）、リスク保有（許容範囲として受け入れる）の4種類があり、リスク移転はサイバー保険への加入等がその代表例である。

  32. 問32. 個人情報保護における「匿名加工情報」の説明として最も適切なものはどれか。

    • A. 特定の個人を識別できないよう加工し、かつ元の個人情報に復元できないようにした情報
    • B. 個人情報を一切加工せずそのまま公開する情報
    • C. 個人を特定する情報を全く含まない、最初から存在しない架空の情報のみを指す
    • D. 暗号化のみを施し、元の個人を復元することが技術的に容易な情報

    正解: A. 特定の個人を識別できないよう加工し、かつ元の個人情報に復元できないようにした情報 ／ 匿名加工情報は、個人情報保護法において、特定の個人を識別できないように個人情報を加工し、かつ、その加工方法に関する情報も含めて、元の個人情報に復元することができないようにした情報と定義されており、一定の条件下で本人の同意を得ずに第三者提供が可能となる。

  33. 問33. 「電子証明書」の役割として最も適切なものはどれか。

    • A. 認証局（CA）が発行し、公開鍵が確かにその所有者本人のものであることを証明する電子的な証明書
    • B. 紙の書類を電子化しただけの単純なスキャンデータ
    • C. パスワードそのものを記載した文書
    • D. ネットワーク回線の物理的な接続を証明する書類

    正解: A. 認証局（CA）が発行し、公開鍵が確かにその所有者本人のものであることを証明する電子的な証明書 ／ 電子証明書は、信頼できる第三者機関である認証局（CA: Certificate Authority）が発行し、ある公開鍵が確かにその所有者本人（またはそのサーバー・組織）のものであることを証明する電子的な証明書であり、SSL/TLS通信における「なりすまし」防止等に利用される。

  34. 問34. 「Bluetooth」の特徴として最も適切なものはどれか。

    • A. 数メートル〜数十メートル程度の近距離間で機器同士を無線接続するための通信規格
    • B. 地球全体をカバーする長距離無線通信規格
    • C. 有線接続専用の通信規格であり無線通信には使用できない
    • D. 特定のメーカーの製品のみが対応する非公開の独自規格

    正解: A. 数メートル〜数十メートル程度の近距離間で機器同士を無線接続するための通信規格 ／ Bluetoothは、数メートル〜数十メートル程度の近距離間で、パソコン・スマートフォン・ワイヤレスイヤホン等の機器同士を無線接続するための通信規格であり、ケーブルを使わずに手軽にデータ通信や音声伝送を行うことができる。

  35. 問35. 「ルーター」の役割として最も適切なものはどれか。

    • A. 異なるネットワーク間でデータを中継し、宛先IPアドレスに基づいて最適な経路を選択して転送する機器
    • B. 同一ネットワーク内でのみデータを増幅する単純な機器
    • C. 電力を供給するための専用の電源装置
    • D. ハードディスクのデータを暗号化する専用の機器

    正解: A. 異なるネットワーク間でデータを中継し、宛先IPアドレスに基づいて最適な経路を選択して転送する機器 ／ ルーターは、異なるネットワーク（例：家庭内LANとインターネット）間でデータを中継する機器であり、宛先のIPアドレスに基づいて、データ（パケット）を届けるための最適な経路を選択して転送する「経路選択（ルーティング）」機能を持つ。

  36. 問36. 「スイッチングハブ（L2スイッチ）」の役割として最も適切なものはどれか。

    • A. 接続された機器のMACアドレスを学習し、宛先のMACアドレス宛にのみデータを転送することで、LAN内の通信を効率化する
    • B. 異なるネットワーク間のIPアドレスに基づく経路選択を行う機器（これはルーターの役割）
    • C. 無線LANの電波を発信するためだけの機器
    • D. 電子メールのサーバー機能を提供する機器

    正解: A. 接続された機器のMACアドレスを学習し、宛先のMACアドレス宛にのみデータを転送することで、LAN内の通信を効率化する ／ スイッチングハブ（L2スイッチ）は、接続された各機器のMACアドレス（機器固有の物理アドレス）を学習し、受信したデータの宛先MACアドレス宛のポートにのみデータを転送することで、無駄な通信を減らしLAN内の通信を効率化するネットワーク機器である。

  37. 問37. TCP/IP通信における「ポート番号」の役割として最も適切なものはどれか。

    • A. 同一のコンピュータ内で動作する複数のアプリケーション（サービス）を識別するための番号
    • B. コンピュータの物理的な設置場所を表す番号
    • C. ハードディスクの残り容量を表す番号
    • D. ネットワークケーブルの長さを表す番号

    正解: A. 同一のコンピュータ内で動作する複数のアプリケーション（サービス）を識別するための番号 ／ ポート番号は、TCP/IP通信において、同一のコンピュータ内で同時に動作する複数のアプリケーション（Webサーバー、メールサーバー等のサービス）を識別するために使用される番号であり、例えばHTTPは80番、HTTPSは443番のポート番号が慣習的に使用される。

  38. 問38. Webアプリケーション開発における「入力値の検証（バリデーション）」がセキュリティ上重要である理由として最も適切なものはどれか。

    • A. 利用者からの入力値を適切に検証・無害化しないと、SQLインジェクションやXSS等の攻撃を許してしまう可能性があるため
    • B. 入力値の検証を行うとシステムの見た目が美しくなるため
    • C. 入力値の検証は法律で義務付けられておらず全く意味がないため
    • D. 入力値の検証を行うとデータベースの容量が増えるため

    正解: A. 利用者からの入力値を適切に検証・無害化しないと、SQLインジェクションやXSS等の攻撃を許してしまう可能性があるため ／ Webアプリケーションにおいて、利用者からの入力値（フォームの入力内容等）を適切に検証・無害化（エスケープ処理等）しないまま処理してしまうと、悪意のある入力によってSQLインジェクションやクロスサイトスクリプティング（XSS）等の攻撃を許してしまう可能性があるため、入力値の検証はセキュアなアプリケーション開発における基本的かつ重要な対策である。

  39. 問39. 情報セキュリティの新しい考え方「ゼロトラスト」の説明として最も適切なものはどれか。

    • A. 「何も信頼しない」ことを前提に、社内ネットワークからのアクセスであっても都度検証・認証を行うセキュリティモデル
    • B. 社内ネットワークからのアクセスは無条件に全て信頼するという従来型の考え方
    • C. 全ての通信を暗号化する必要はないという考え方
    • D. セキュリティ対策を一切講じないことを推奨する考え方

    正解: A. 「何も信頼しない」ことを前提に、社内ネットワークからのアクセスであっても都度検証・認証を行うセキュリティモデル ／ ゼロトラストは、「社内ネットワークだから安全」という従来の境界防御の考え方とは異なり、「何も信頼しない（Trust No One）」ことを前提として、社内・社外を問わず、あらゆるアクセスに対して都度厳格な検証・認証を行うことでセキュリティを確保する、近年注目されているセキュリティモデルである。

  40. 問40. 基本情報技術者試験のネットワーク・セキュリティ分野で求められる能力として最も適切なものはどれか。

    • A. TCP/IPやプロトコルの仕組み、暗号化・認証の技術、代表的なサイバー攻撃の手口とその対策を体系的に理解し、安全なシステムの構築・運用に活かせる能力
    • B. 特定のセキュリティ製品の操作方法のみを暗記していればよいという能力
    • C. ネットワークの物理的な配線工事のみを行う能力
    • D. セキュリティ対策は開発時のみ考慮すればよく運用時には不要であるという考え方

    正解: A. TCP/IPやプロトコルの仕組み、暗号化・認証の技術、代表的なサイバー攻撃の手口とその対策を体系的に理解し、安全なシステムの構築・運用に活かせる能力 ／ 基本情報技術者試験のネットワーク・セキュリティ分野で求められるのは、TCP/IPやDNS等のプロトコルの仕組み、共通鍵・公開鍵暗号方式やデジタル署名等の暗号技術、多要素認証、そしてフィッシング・ランサムウェア・SQLインジェクション等の代表的なサイバー攻撃の手口とその対策を体系的に理解し、安全なシステムの構築・運用の実務に活かせる能力である。