印刷プレビューです。ブラウザの印刷機能でPDF保存・印刷できます。
ITパスポート 情報セキュリティ
全40問 ／ トルカ（https://toruca.app）
問1. 情報セキュリティにおける「機密性」の説明として最も適切なものはどれか。
- A. 許可された者だけが情報にアクセスでき、許可されていない者からは見られないようにすること
- B. 情報が正確で改ざんされていない状態を保つこと
- C. 必要なときに情報やシステムに問題なくアクセスできること
- D. 情報を誰でも自由に閲覧できるようにすること
正解: A. 許可された者だけが情報にアクセスでき、許可されていない者からは見られないようにすること ／ 機密性（Confidentiality）は、情報セキュリティの3要素（CIA）の一つで、許可された者だけが情報にアクセスできるようにし、許可されていない者からの閲覧・漏えいを防ぐことを指す。
問2. 情報セキュリティにおける「完全性」の説明として最も適切なものはどれか。
- A. 情報が正確であり、改ざんや破壊、誤りがない状態を維持すること
- B. 許可された者だけが情報にアクセスできること
- C. 必要なときにいつでも情報にアクセスできること
- D. 情報を暗号化して保存すること全般を指す
正解: A. 情報が正確であり、改ざんや破壊、誤りがない状態を維持すること ／ 完全性（Integrity）は、情報セキュリティの3要素の一つで、情報が正確であり、不正な改ざんや破壊、誤りがない状態を維持することを指す。
問3. 情報セキュリティにおける「可用性」の説明として最も適切なものはどれか。
- A. 許可された利用者が、必要なときに情報やシステムに支障なくアクセスできる状態を維持すること
- B. 情報を誰にも見せないようにすること
- C. 情報の内容が改ざんされていないことを保証すること
- D. 情報を紙媒体でのみ保存すること
正解: A. 許可された利用者が、必要なときに情報やシステムに支障なくアクセスできる状態を維持すること ／ 可用性（Availability）は、情報セキュリティの3要素の一つで、許可された利用者が必要なときに情報やシステムへ支障なくアクセスできる状態を維持することを指す。
問4. コンピュータウイルスの特徴として最も適切なものはどれか。
- A. 他のプログラムに寄生（感染）して自己増殖し、悪意ある動作を引き起こすプログラム
- B. 利用者の同意のもとで正規にインストールされる業務ソフトウェア
- C. ハードウェアの物理的な故障のみを指す用語
- D. サーバーの温度を監視するプログラム
正解: A. 他のプログラムに寄生（感染）して自己増殖し、悪意ある動作を引き起こすプログラム ／ コンピュータウイルスは、他のプログラムやファイルに寄生（感染）することで自己増殖し、データの破壊や不正な動作を引き起こすマルウェア（悪意あるソフトウェア）の一種である。
問5. ワームの特徴として最も適切なものはどれか。
- A. 他のプログラムに寄生せず、単独でネットワークを通じて自己増殖・拡散するマルウェア
- B. 必ず他のプログラムに寄生しなければ動作できないマルウェア
- C. 正規の業務アプリケーションソフトウェアの一種
- D. ハードウェアの部品そのものを指す用語
正解: A. 他のプログラムに寄生せず、単独でネットワークを通じて自己増殖・拡散するマルウェア ／ ワームは、コンピュータウイルスと異なり他のプログラムに寄生することなく、単独でネットワークを通じて自己増殖・拡散する能力を持つマルウェアである。
問6. トロイの木馬の特徴として最も適切なものはどれか。
- A. 無害なソフトウェアやファイルを装って侵入し、利用者が気づかないうちに悪意ある動作を行うマルウェア
- B. 自己増殖能力が最も高く、他のマルウェアより単純な仕組みのマルウェア
- C. 正規のOSに標準搭載されている機能
- D. ハードウェアの故障を検知するための正規のツール
正解: A. 無害なソフトウェアやファイルを装って侵入し、利用者が気づかないうちに悪意ある動作を行うマルウェア ／ トロイの木馬は、一見無害・有用に見えるソフトウェアやファイルを装って利用者にインストールさせ、気づかれないうちにバックドアの設置や情報窃取などの悪意ある動作を行うマルウェアである。
問7. ランサムウェアの特徴として最も適切なものはどれか。
- A. 感染したコンピュータ内のデータを暗号化するなどして使用不能にし、復旧と引き換えに金銭を要求するマルウェア
- B. コンピュータの動作を高速化する正規のソフトウェア
- C. 無料で配布される正規のセキュリティ対策ソフト
- D. ハードウェアの温度を下げるための冷却ファン制御プログラム
正解: A. 感染したコンピュータ内のデータを暗号化するなどして使用不能にし、復旧と引き換えに金銭を要求するマルウェア ／ ランサムウェアは、感染したコンピュータ内のファイルを勝手に暗号化するなどして使用できない状態にし、復旧（身代金：Ransom）と引き換えに金銭を要求する悪質なマルウェアである。
問8. スパイウェアの特徴として最も適切なものはどれか。
- A. 利用者が気づかないうちに個人情報や操作履歴などを収集し、外部へ送信するマルウェア
- B. コンピュータの処理速度を意図的に向上させるソフトウェア
- C. 利用者に感謝されるために作られた正規のソフトウェア
- D. ハードウェアの寿命を延ばす専用のツール
正解: A. 利用者が気づかないうちに個人情報や操作履歴などを収集し、外部へ送信するマルウェア ／ スパイウェアは、利用者が気づかないうちにインストールされ、個人情報・閲覧履歴・入力内容などの情報を収集し、外部へ無断で送信するマルウェアである。
問9. フィッシング詐欺の手口として最も適切なものはどれか。
- A. 実在する企業を装った偽のメールやWebサイトへ誘導し、ID・パスワードやクレジットカード情報を盗み取る
- B. 正規のサーバーの物理的な部品を盗み出す
- C. 利用者に代わって正規の請求書を発行する
- D. ネットワーク回線を物理的に切断する
正解: A. 実在する企業を装った偽のメールやWebサイトへ誘導し、ID・パスワードやクレジットカード情報を盗み取る ／ フィッシング詐欺は、実在する銀行や企業を装った偽の電子メールやWebサイトへ利用者を誘導し、ID・パスワードやクレジットカード情報などを入力させて盗み取る詐欺の手口である。
問10. ソーシャルエンジニアリングの説明として最も適切なものはどれか。
- A. 技術的な手段ではなく、人間の心理的な隙や不注意につけこんで機密情報を不正に入手する手口
- B. コンピュータのプログラムのみを使って不正アクセスする技術的な手口
- C. SNSのアカウントを正規に作成する行為
- D. 組織の社会貢献活動を指す用語
正解: A. 技術的な手段ではなく、人間の心理的な隙や不注意につけこんで機密情報を不正に入手する手口 ／ ソーシャルエンジニアリングは、コンピュータへの技術的な侵入ではなく、電話でのなりすましや肩越しの盗み見（ショルダーハッキング）など、人間の心理的な隙や不注意につけこんで機密情報を入手する手口の総称である。
問11. SQLインジェクションの説明として最も適切なものはどれか。
- A. Webサイトの入力フォームなどに不正なSQL文を注入し、データベースを不正に操作・閲覧する攻撃
- B. パスワードを何度も試して不正ログインする攻撃
- C. 大量の通信を送りつけてサーバーを停止させる攻撃
- D. 正規のSQLの利用方法を教育する活動
正解: A. Webサイトの入力フォームなどに不正なSQL文を注入し、データベースを不正に操作・閲覧する攻撃 ／ SQLインジェクションは、Webサイトの入力フォームなどに悪意あるSQL文を注入（インジェクション）することで、データベースを不正に操作・閲覧・改ざんする攻撃手法である。
問12. クロスサイトスクリプティング（XSS）の説明として最も適切なものはどれか。
- A. 脆弱性のあるWebサイトに悪意あるスクリプトを埋め込み、閲覧した利用者のブラウザ上で実行させる攻撃
- B. パスワードを総当たりで試す攻撃
- C. サーバーへ大量の通信を送りつけて停止させる攻撃
- D. 正規のスクリプト教育プログラムを指す
正解: A. 脆弱性のあるWebサイトに悪意あるスクリプトを埋め込み、閲覧した利用者のブラウザ上で実行させる攻撃 ／ クロスサイトスクリプティング（XSS）は、脆弱性のあるWebサイトに悪意あるスクリプト（プログラムコード）を埋め込み、そのサイトを閲覧した利用者のブラウザ上でスクリプトを実行させることで、情報窃取やなりすましなどを行う攻撃手法である。
問13. DoS攻撃の説明として最も適切なものはどれか。
- A. 対象のサーバーに大量の通信・処理要求を送りつけ、サービスを提供できない状態に追い込む攻撃
- B. 対象のサーバーのデータを暗号化して身代金を要求する攻撃
- C. 対象のサーバーへ正規の問い合わせメールを送る行為
- D. サーバーの温度を計測するための正規の監視行為
正解: A. 対象のサーバーに大量の通信・処理要求を送りつけ、サービスを提供できない状態に追い込む攻撃 ／ DoS（Denial of Service：サービス妨害）攻撃は、対象のサーバーに大量の通信や処理要求を送りつけることで処理能力を圧迫し、正規の利用者へサービスを提供できない状態に追い込む攻撃である。
問14. DDoS攻撃がDoS攻撃と異なる点として最も適切なものはどれか。
- A. 多数の攻撃元（乗っ取られた複数のコンピュータ等）から分散して同時に攻撃を行う
- B. 攻撃元が必ず1台のコンピュータのみに限定される
- C. 攻撃対象が必ず個人のみに限定される
- D. 通信を一切発生させずに攻撃を行う
正解: A. 多数の攻撃元（乗っ取られた複数のコンピュータ等）から分散して同時に攻撃を行う ／ DDoS（Distributed Denial of Service：分散型サービス妨害）攻撃は、マルウェアなどに感染し乗っ取られた多数のコンピュータ（ボットネット）から、分散して同時に攻撃対象へ大量の通信を送りつける攻撃であり、単一の攻撃元からのDoS攻撃より防御が困難とされる。
問15. 辞書攻撃の説明として最も適切なものはどれか。
- A. 辞書に載っている単語や一般的によく使われる文字列を組み合わせてパスワードを推測し、不正ログインを試みる攻撃
- B. 紙の辞書そのものを盗み出す行為
- C. 考えられる全ての文字の組み合わせを機械的に試す攻撃
- D. 正規の翻訳ソフトを使用する行為
正解: A. 辞書に載っている単語や一般的によく使われる文字列を組み合わせてパスワードを推測し、不正ログインを試みる攻撃 ／ 辞書攻撃は、辞書に載っている単語や、誕生日・氏名など推測されやすい文字列のリストを用いてパスワードを試行し、不正ログインを試みる攻撃手法である。
問16. 総当たり攻撃（ブルートフォース攻撃）の説明として最も適切なものはどれか。
- A. 考えられる全ての文字の組み合わせを機械的に試すことで、パスワードなどを解読しようとする攻撃
- B. 辞書に載っている単語のみを使ってパスワードを試す攻撃
- C. 利用者に電話をかけて心理的に情報を聞き出す攻撃
- D. 正規の暗証番号を発行する仕組み
正解: A. 考えられる全ての文字の組み合わせを機械的に試すことで、パスワードなどを解読しようとする攻撃 ／ 総当たり攻撃（ブルートフォース攻撃）は、考えられる文字・数字の組み合わせを機械的に片っ端から全て試すことで、パスワードなどを解読しようとする攻撃手法である。
問17. 標的型攻撃の特徴として最も適切なものはどれか。
- A. 特定の組織や個人を狙い、業務に関係するかのように装ったメール等を使って侵入を試みる攻撃
- B. 無作為に選んだ不特定多数を対象に、同一のウイルスを一斉にばらまく攻撃
- C. 攻撃者が自らの身元を必ず名乗ってから行う攻撃
- D. ハードウェアの物理的な盗難のみを指す
正解: A. 特定の組織や個人を狙い、業務に関係するかのように装ったメール等を使って侵入を試みる攻撃 ／ 標的型攻撃は、特定の組織や個人を明確な標的として、その業務内容に関連するかのように巧妙に偽装したメールなどを送りつけ、機密情報の窃取などを狙う攻撃である。
問18. ゼロデイ攻撃の説明として最も適切なものはどれか。
- A. ソフトウェアの脆弱性の修正プログラム（パッチ）が提供される前に、その脆弱性を悪用して行われる攻撃
- B. 攻撃発生からちょうど0日後に検知される攻撃を指す一般的な用語
- C. 全ての脆弱性が解消された後にのみ行われる攻撃
- D. 無料のセキュリティ対策ソフトの別名
正解: A. ソフトウェアの脆弱性の修正プログラム（パッチ）が提供される前に、その脆弱性を悪用して行われる攻撃 ／ ゼロデイ攻撃は、ソフトウェアの脆弱性が発見されてから、開発元が修正プログラム（パッチ）を提供するまでの間（対策が存在しない期間）に、その脆弱性を悪用して行われる攻撃である。
問19. ウイルス対策ソフトが用いる「パターンマッチング」による検知方式の説明として最も適切なものはどれか。
- A. 既知のウイルスの特徴（パターン）を登録したデータベースと照合し、一致するものを検出する方式
- B. 利用者の操作履歴のみから将来のウイルスを予測する方式
- C. ハードウェアの温度上昇のみでウイルスを検知する方式
- D. ネットワーク回線を完全に遮断することでウイルスを検知する方式
正解: A. 既知のウイルスの特徴（パターン）を登録したデータベースと照合し、一致するものを検出する方式 ／ パターンマッチング方式は、既知のウイルスの特徴的なコード（シグネチャ）を登録したデータベース（パターンファイル、定義ファイル）と、検査対象のファイルを照合し、一致するものを検出する、ウイルス対策ソフトの基本的な検知方式である。パターンファイルは常に最新に更新する必要がある。
問20. DMZ（非武装地帯）の説明として最も適切なものはどれか。
- A. インターネットと社内ネットワークの中間に設置し、外部公開が必要なサーバーを隔離配置するネットワーク領域
- B. 社内ネットワークの中で最も機密性の高いデータのみを保存する領域
- C. インターネットに一切接続しない完全に独立したネットワーク
- D. 従業員の休憩スペースを指す用語
正解: A. インターネットと社内ネットワークの中間に設置し、外部公開が必要なサーバーを隔離配置するネットワーク領域 ／ DMZ（DeMilitarized Zone：非武装地帯）は、インターネットと社内ネットワーク（内部ネットワーク）の中間に設置するネットワーク領域であり、外部に公開する必要があるWebサーバーやメールサーバーなどを配置することで、万一そのサーバーが侵害されても内部ネットワークへの直接侵入を防ぐ設計である。
問21. 多要素認証の説明として最も適切なものはどれか。
- A. 「知識情報（パスワード等）」「所持情報（スマートフォン等）」「生体情報（指紋等）」のうち、異なる種類を2つ以上組み合わせて認証する方式
- B. パスワードのみを2回連続で入力させる方式
- C. 認証を一切行わずにログインを許可する方式
- D. 利用者の氏名のみで認証する方式
正解: A. 「知識情報（パスワード等）」「所持情報（スマートフォン等）」「生体情報（指紋等）」のうち、異なる種類を2つ以上組み合わせて認証する方式 ／ 多要素認証は、「知識情報（パスワード・PIN等）」「所持情報（ICカード・スマートフォン等）」「生体情報（指紋・顔等）」という異なる種類の認証要素を2つ以上組み合わせることで、単一要素のみの認証よりもセキュリティを強化する認証方式である。
問22. 生体認証（バイオメトリクス認証）の例として最も適切なものはどれか。
- A. 指紋・顔・虹彩など身体的特徴を用いて本人を識別する認証方式
- B. IDとパスワードの組み合わせのみによる認証方式
- C. ICカードの所持のみによる認証方式
- D. 秘密の質問への回答のみによる認証方式
正解: A. 指紋・顔・虹彩など身体的特徴を用いて本人を識別する認証方式 ／ 生体認証（バイオメトリクス認証）は、指紋・顔・虹彩・静脈など、個人に固有の身体的特徴を用いて本人であることを識別する認証方式であり、パスワードのように忘れる・盗まれるリスクが低い一方、専用のセンサー機器が必要になる場合がある。
問23. シングルサインオン（SSO）の説明として最も適切なものはどれか。
- A. 1回のログイン認証で、複数の連携するシステムやサービスを利用できるようにする仕組み
- B. 1つのサービスに対して複数のパスワードを設定する仕組み
- C. ログイン自体を完全に廃止する仕組み
- D. 認証情報を毎回紙に手書きで記録する仕組み
正解: A. 1回のログイン認証で、複数の連携するシステムやサービスを利用できるようにする仕組み ／ シングルサインオン（SSO）は、1回のログイン認証を行うだけで、あらかじめ連携設定された複数のシステムやクラウドサービスを、再度ログインすることなく利用できるようにする仕組みである。
問24. 安全なパスワード管理として最も適切なものはどれか。
- A. サービスごとに異なる、推測されにくい複雑なパスワードを設定し、使い回しを避ける
- B. 全てのサービスで同一の簡単なパスワードを使い回す
- C. パスワードを付箋に書いてパソコンのモニターに貼り付けておく
- D. パスワードを誰にでも分かるように公開しておく
正解: A. サービスごとに異なる、推測されにくい複雑なパスワードを設定し、使い回しを避ける ／ 安全なパスワード管理の基本は、サービスごとに異なる、推測されにくい複雑なパスワードを設定し、使い回しを避けることである。使い回しは、1つのサービスから漏えいした場合に他のサービスへも不正ログインされる被害（パスワードリスト攻撃）につながる。
問25. 共通鍵暗号方式の説明として最も適切なものはどれか。
- A. 暗号化と復号に同じ鍵を使用する暗号方式で、処理は高速だが鍵の受け渡し方法に注意が必要
- B. 暗号化に使う鍵と復号に使う鍵が全く異なる暗号方式
- C. 暗号化を一切行わずに通信する方式
- D. 鍵を使わずにデータを保護する方式
正解: A. 暗号化と復号に同じ鍵を使用する暗号方式で、処理は高速だが鍵の受け渡し方法に注意が必要 ／ 共通鍵暗号方式は、暗号化と復号に同じ鍵（共通鍵）を使用する暗号方式であり、処理速度は速いが、通信相手と安全に鍵を共有する方法をどう確保するかが課題となる。
問26. 公開鍵暗号方式の説明として最も適切なものはどれか。
- A. 暗号化に使う「公開鍵」と復号に使う「秘密鍵」が異なる鍵のペアを用いる暗号方式
- B. 暗号化と復号に完全に同一の鍵を使用する暗号方式
- C. 鍵を一切使わずにデータを暗号化する方式
- D. 紙媒体でのみ鍵を受け渡しする方式
正解: A. 暗号化に使う「公開鍵」と復号に使う「秘密鍵」が異なる鍵のペアを用いる暗号方式 ／ 公開鍵暗号方式は、誰でも入手できる「公開鍵」で暗号化し、対応する本人だけが持つ「秘密鍵」でのみ復号できる、異なる鍵のペアを用いる暗号方式である。鍵の事前共有が不要な反面、処理速度は共通鍵暗号方式より遅い傾向がある。
問27. ハイブリッド暗号方式の説明として最も適切なものはどれか。
- A. データ本体の暗号化には高速な共通鍵暗号方式を使い、その共通鍵の受け渡しには公開鍵暗号方式を使う組み合わせ方式
- B. 暗号化を全く行わない通信方式
- C. 共通鍵暗号方式のみを2回繰り返す方式
- D. 公開鍵暗号方式のみをデータ全体に使う方式
正解: A. データ本体の暗号化には高速な共通鍵暗号方式を使い、その共通鍵の受け渡しには公開鍵暗号方式を使う組み合わせ方式 ／ ハイブリッド暗号方式は、処理が高速な共通鍵暗号方式でデータ本体を暗号化し、その共通鍵自体を安全に受け渡すために公開鍵暗号方式を使うという、双方の長所を組み合わせた方式であり、SSL/TLS通信などで実際に採用されている。
問28. デジタル署名の目的として最も適切なものはどれか。
- A. 送信されたデータが改ざんされていないこと、および送信者本人が作成したものであることを証明する
- B. データを誰でも自由に読めるようにするため
- C. データの送信速度を高速化するため
- D. データのファイルサイズを縮小するため
正解: A. 送信されたデータが改ざんされていないこと、および送信者本人が作成したものであることを証明する ／ デジタル署名は、公開鍵暗号方式の技術を応用し、送信されたデータが途中で改ざんされていないこと（完全性）、および送信者本人が作成したものであること（真正性）を検証・証明するための仕組みである。
問29. 電子証明書を発行する認証局（CA：Certificate Authority）の役割として最も適切なものはどれか。
- A. 公開鍵の持ち主が本当にその本人であることを保証する電子証明書を発行する
- B. パスワードを利用者に代わって記憶する
- C. ハードウェアの製造そのものを行う
- D. ネットワークケーブルの敷設工事を行う
正解: A. 公開鍵の持ち主が本当にその本人であることを保証する電子証明書を発行する ／ 認証局（CA）は、公開鍵とその持ち主の対応関係が正当であることを保証する電子証明書を発行する第三者機関であり、SSL/TLS通信における「なりすまし」防止の基盤となっている。
問30. 情報セキュリティポリシーの説明として最も適切なものはどれか。
- A. 組織における情報セキュリティに関する基本方針・対策基準・実施手順を明文化したもの
- B. 従業員個人の私的なパスワードメモ
- C. 特定のソフトウェアの操作マニュアルのみを指す
- D. 顧客からの入金記録のみを指す
正解: A. 組織における情報セキュリティに関する基本方針・対策基準・実施手順を明文化したもの ／ 情報セキュリティポリシーは、組織が情報資産を守るための基本方針、それを実現する対策基準、具体的な実施手順を明文化したものであり、組織全体で一貫したセキュリティ対策を実施するための土台となる。
問31. ISMS（情報セキュリティマネジメントシステム）の説明として最も適切なものはどれか。
- A. 組織が情報セキュリティを継続的に維持・改善するための、PDCAサイクルに基づく管理の仕組み
- B. ウイルス対策ソフトの製品名を指す固有名詞
- C. 1回限りのセキュリティ診断のみを指す
- D. サーバーの物理的な冷却装置を指す
正解: A. 組織が情報セキュリティを継続的に維持・改善するための、PDCAサイクルに基づく管理の仕組み ／ ISMS（Information Security Management System）は、組織が情報資産のリスクを評価し、対策を計画・実施・評価・改善するというPDCAサイクルを継続的に回すことで、情報セキュリティを組織的に維持・改善していく管理の仕組みである（国際規格ISO/IEC 27001が代表的な認証基準）。
問32. 情報セキュリティにおけるリスクアセスメントの説明として最も適切なものはどれか。
- A. 情報資産に対する脅威や脆弱性を洗い出し、リスクの大きさを分析・評価する活動
- B. 発生したインシデントの後始末のみを行う活動
- C. 従業員の給与を計算する活動
- D. 顧客への広告宣伝を行う活動
正解: A. 情報資産に対する脅威や脆弱性を洗い出し、リスクの大きさを分析・評価する活動 ／ リスクアセスメントは、組織が保有する情報資産に対する脅威（攻撃・災害等）や脆弱性を洗い出し、それらが引き起こすリスクの大きさ（発生可能性×影響度）を分析・評価する活動であり、対策の優先順位付けの基礎となる。
問33. アクセス制御における「最小権限の原則」の説明として最も適切なものはどれか。
- A. 利用者には、業務上必要最小限のアクセス権限のみを付与する
- B. 全ての利用者に無条件で管理者権限を付与する
- C. アクセス権限の設定を一切行わない
- D. 退職した従業員のアカウントもそのまま無期限に有効にしておく
正解: A. 利用者には、業務上必要最小限のアクセス権限のみを付与する ／ 最小権限の原則は、利用者には業務の遂行に必要最小限のアクセス権限のみを付与し、不要な権限を与えないことで、万一アカウントが乗っ取られた場合の被害範囲を限定する情報セキュリティの基本原則である。
問34. システムの操作ログ・アクセスログを記録・監視する目的として最も適切なものはどれか。
- A. 不正アクセスや情報漏えいなどのインシデント発生時に、原因究明や影響範囲の特定に役立てる
- B. サーバーの物理的な温度を調整する
- C. 従業員の給与を自動計算する
- D. 広告のクリック数のみを集計する
正解: A. 不正アクセスや情報漏えいなどのインシデント発生時に、原因究明や影響範囲の特定に役立てる ／ 操作ログ・アクセスログの記録・監視は、平常時の異常検知に役立つだけでなく、実際に不正アクセスや情報漏えいなどのインシデントが発生した際に、原因究明や影響範囲の特定を行うための重要な手がかりとなる。
問35. ソフトウェアの脆弱性対策として最も重要なこととして最も適切なものはどれか。
- A. OSやソフトウェアの修正プログラム（セキュリティパッチ）を速やかに適用する
- B. 修正プログラムの適用を一切行わず初期状態を維持する
- C. 脆弱性情報を積極的に不特定多数に公開して回る
- D. ソフトウェアを二度と更新しない
正解: A. OSやソフトウェアの修正プログラム（セキュリティパッチ）を速やかに適用する ／ ソフトウェアの脆弱性が発見された場合、開発元から提供される修正プログラム（セキュリティパッチ）を速やかに適用することが、ゼロデイ攻撃以外の既知の脆弱性を悪用した攻撃を防ぐための最も基本的かつ重要な対策である。
問36. 業務でSNS（ソーシャルメディア）を利用する際に注意すべきこととして最も適切なものはどれか。
- A. 取引先情報や社内の機密情報など、業務上知り得た情報を不用意に投稿しない
- B. 業務上知り得た機密情報を積極的に発信して宣伝に活用する
- C. SNSのアカウント情報を同僚と共有して利用する
- D. SNS利用に関するルールは特に定めなくてよい
正解: A. 取引先情報や社内の機密情報など、業務上知り得た情報を不用意に投稿しない ／ SNSの利用に際しては、取引先情報や未公開の社内情報など、業務上知り得た機密情報を不用意に投稿しないよう注意することが重要であり、多くの組織でSNS利用に関するガイドラインが定められている。
問37. USBメモリなど外部記憶媒体の管理として最も適切なものはどれか。
- A. 組織のルールに従い、許可された媒体のみを使用し、重要データを保存する際は暗号化するなどの対策を講じる
- B. 出所が分からないUSBメモリでも自由にパソコンへ接続してよい
- C. 重要なデータは暗号化せず平文のまま保存する
- D. 外部記憶媒体の使用に関するルールは一切設けない
正解: A. 組織のルールに従い、許可された媒体のみを使用し、重要データを保存する際は暗号化するなどの対策を講じる ／ USBメモリなど外部記憶媒体は、紛失・盗難時の情報漏えいリスクやウイルス感染の媒介となるリスクがあるため、組織のルールに従い許可された媒体のみを使用し、重要データの保存時には暗号化するなどの対策を講じることが重要である。
問38. 組織における情報セキュリティ教育・訓練の目的として最も適切なものはどれか。
- A. 従業員一人ひとりのセキュリティ意識を高め、標的型攻撃メールなどへの対応力を向上させる
- B. 従業員の給与を削減するための口実とする
- C. セキュリティ対策の責任を全て従業員個人に転嫁する
- D. 教育・訓練は一度実施すれば二度と実施しなくてよい
正解: A. 従業員一人ひとりのセキュリティ意識を高め、標的型攻撃メールなどへの対応力を向上させる ／ 情報セキュリティ教育・訓練は、従業員一人ひとりのセキュリティに対する意識と知識を高め、標的型攻撃メールの疑似訓練などを通じて、実際の脅威に対する対応力を組織全体で向上させることを目的として、継続的に実施することが望ましい。
問39. CSIRT（Computer Security Incident Response Team）の役割として最も適切なものはどれか。
- A. 情報セキュリティインシデントが発生した際に、原因調査・被害拡大防止・復旧などの対応を専門に行う組織
- B. 従業員の給与計算のみを行う組織
- C. 広告宣伝活動のみを行う組織
- D. 商品の在庫管理のみを行う組織
正解: A. 情報セキュリティインシデントが発生した際に、原因調査・被害拡大防止・復旧などの対応を専門に行う組織 ／ CSIRT（シーサート）は、組織内で発生した情報セキュリティインシデント（不正アクセス、情報漏えい等）に対し、原因調査・被害拡大防止・復旧・再発防止策の検討などの対応を専門的に行うための組織・チームである。
問40. テレワーク（在宅勤務）時の情報セキュリティ対策として最も適切なものはどれか。
- A. VPNなど安全な通信経路を利用し、公共のフリーWi-Fiでの機密情報の取り扱いは避ける
- B. 自宅の無防備な無線LANであれば機密情報を自由にやり取りしてよい
- C. テレワーク中はセキュリティ対策を一切考慮しなくてよい
- D. 会社支給以外の私物パソコンで機密情報を無制限に扱ってよい
正解: A. VPNなど安全な通信経路を利用し、公共のフリーWi-Fiでの機密情報の取り扱いは避ける ／ テレワーク時は、VPNなど暗号化された安全な通信経路を利用して社内システムへアクセスし、セキュリティ対策が不十分な公共のフリーWi-Fiでの機密情報のやり取りは避けるなど、オフィス外で作業することに伴うリスクを踏まえた対策が求められる。