EXAM QUICK REFERENCE

情報セキュリティマネジメント（SG）試験対策クイック参照

用語暗記を、守る対象・起こり得る事象・弱点・担当者の行動という判断の連鎖へ戻します。科目Bでは、その連鎖を長い事例で使います。

IPAシラバスVer.4.1と現行の120分・60問の科目A/B構成に沿って整理しています。

知識章: 12
参照項目: 72
収録問題: 180
練習中の支援: Mikoへ随時質問

問題練習は公開中です。資料はログインせずに閲覧できます。

QUICK REFERENCE

用語・文法・解き方を調べる

60項目を表示

安全目標・情報資産

001CIA機密性・完全性・可用性必須

要点: 不正な閲覧を防ぐ機密性、不当な変更を防ぐ完全性、必要時に使える可用性の三要素です。
出題分野: 安全目標・情報資産
判断の焦点: 管理策より先に資産を書く。

002情報資産必須

要点: 組織に価値があり、適切な保護が必要な情報と関連資源です。
出題分野: 安全目標・情報資産
判断の焦点: 管理策より先に資産を書く。

003情報セキュリティ目的必須

要点: 組織の方針を、評価可能なセキュリティ上の成果と指標へ落とします。
出題分野: 安全目標・情報資産
判断の焦点: 管理策より先に資産を書く。

004情報の分類必須

要点: 機密度・業務価値・法的要件で情報を分類し、取扱規則を定めます。
出題分野: 安全目標・情報資産
判断の焦点: 管理策より先に資産を書く。

005情報資産の管理責任者頻出

要点: 資産の分類・アクセス条件・保護要件を決め、適切な管理に責任を持ちます。
出題分野: 安全目標・情報資産
判断の焦点: 管理策より先に資産を書く。

006説明責任頻出

要点: 意思決定・権限行使・管理策の運用が組織要件に沿うことを説明できる状態です。
出題分野: 安全目標・情報資産
判断の焦点: 管理策より先に資産を書く。

脅威・脆弱性・攻撃

007脅威必須

要点: 弱点を利用して損害を生じさせる可能性のある要因です。
出題分野: 脅威・脆弱性・攻撃
判断の焦点: 攻撃手法と悪用される弱点を分ける。

008脆弱性必須

要点: 脅威に悪用され得る資産や管理策の弱点です。
出題分野: 脅威・脆弱性・攻撃
判断の焦点: 攻撃手法と悪用される弱点を分ける。

009マルウェア必須

要点: 破壊・窃取・恐喝・不正操作などを目的とするソフトウェアの総称です。
出題分野: 脅威・脆弱性・攻撃
判断の焦点: 攻撃手法と悪用される弱点を分ける。

011Webアプリケーション攻撃頻出

要点: 入力検証・セッション管理・アクセス制御の不備を悪用します。
出題分野: 脅威・脆弱性・攻撃
判断の焦点: 攻撃手法と悪用される弱点を分ける。

012攻撃対象領域頻出

要点: 攻撃者が接触できるインタフェース・アカウント・サービス・機器・供給網入口の総体です。
出題分野: 脅威・脆弱性・攻撃
判断の焦点: 攻撃手法と悪用される弱点を分ける。

暗号・認証

013多要素認証必須

要点: 同じ種類を増やすのではなく、異なる種類の認証要素を組み合わせます。
出題分野: 暗号・認証
判断の焦点: 機密性・完全性・本人確認に対応する仕組みを分ける。

014暗号化必須

要点: 鍵で情報内容の機密性を守り、鍵管理も管理策の一部です。
出題分野: 暗号・認証
判断の焦点: 機密性・完全性・本人確認に対応する仕組みを分ける。

015共通鍵暗号・公開鍵暗号必須

要点: 共通鍵暗号は同じ鍵、公開鍵暗号は公開鍵と秘密鍵の対を使います。
出題分野: 暗号・認証
判断の焦点: 機密性・完全性・本人確認に対応する仕組みを分ける。

016ハッシュ関数必須

要点: 任意長データを固定長の要約値に変換し、完全性確認などに使います。
出題分野: 暗号・認証
判断の焦点: 機密性・完全性・本人確認に対応する仕組みを分ける。

017ディジタル署名必須

要点: 署名者の秘密鍵で生成し、対応する公開鍵で完全性と鍵の関係を検証します。
出題分野: 暗号・認証
判断の焦点: 機密性・完全性・本人確認に対応する仕組みを分ける。

018ディジタル証明書・PKI頻出

要点: 証明書は主体と公開鍵を結び、PKIは発行・検証・失効などの信頼過程を管理します。
出題分野: 暗号・認証
判断の焦点: 機密性・完全性・本人確認に対応する仕組みを分ける。

ネットワーク・アクセス制御

019アクセス制御必須

要点: 識別情報、役割、属性、規則などに基づいて資源の利用を制限します。
出題分野: ネットワーク・アクセス制御
判断の焦点: 最小権限は範囲と期間の両方を絞る。

020ログ頻出

要点: システムや利用者の活動を時系列で記録し、監視・調査・監査の証拠にします。
出題分野: ネットワーク・アクセス制御
判断の焦点: 最小権限は範囲と期間の両方を絞る。

021ゼロトラスト発展

要点: ネットワーク上の位置だけでは信頼せず、ID・端末・状況に基づいて継続的に検証します。
出題分野: ネットワーク・アクセス制御
判断の焦点: 最小権限は範囲と期間の両方を絞る。

022最小権限の原則必須

要点: 業務に必要な最小範囲・最短期間・最低限の権限だけを与えます。
出題分野: ネットワーク・アクセス制御
判断の焦点: 最小権限は範囲と期間の両方を絞る。

023ロールベースアクセス制御頻出

要点: 権限を役割へ割り当て、職務に応じて利用者を役割へ所属させます。
出題分野: ネットワーク・アクセス制御
判断の焦点: 最小権限は範囲と期間の両方を絞る。

024ネットワーク分離頻出

要点: 信頼水準と用途でネットワークを分け、横展開と影響範囲を抑えます。
出題分野: ネットワーク・アクセス制御
判断の焦点: 最小権限は範囲と期間の両方を絞る。

リスク評価・対応

025リスク必須

要点: 不確かさが目的に与える影響で、セキュリティでは発生可能性と影響を組み合わせて評価します。
出題分野: リスク評価・対応
判断の焦点: 管理策の後に残るのが残留リスクです。

026リスク対応必須

要点: 回避・低減・移転・受容などによってリスクを扱います。
出題分野: リスク評価・対応
判断の焦点: 管理策の後に残るのが残留リスクです。

027リスク特定必須

要点: 資産・脅威・脆弱性・既存管理策・結果を洗い出します。
出題分野: リスク評価・対応
判断の焦点: 管理策の後に残るのが残留リスクです。

028発生可能性・影響度必須

要点: 発生可能性と業務影響を組み合わせてリスク水準を評価します。
出題分野: リスク評価・対応
判断の焦点: 管理策の後に残るのが残留リスクです。

029リスク基準頻出

要点: リスクの比較・優先順位付け・受容可否判断に使う組織の基準です。
出題分野: リスク評価・対応
判断の焦点: 管理策の後に残るのが残留リスクです。

030残留リスク必須

要点: 管理策の実施後にも残り、監視又は受容が必要なリスクです。
出題分野: リスク評価・対応
判断の焦点: 管理策の後に残るのが残留リスクです。

ISMS・ガバナンス

031ISMS情報セキュリティマネジメントシステム必須

要点: 方針、リスク管理、管理策、継続的改善によって情報セキュリティを体系的に管理します。
出題分野: ISMS・ガバナンス
判断の焦点: ガバナンスは方向を示し、マネジメントは実行する。

032情報セキュリティ方針必須

要点: 経営層が組織のセキュリティ方向・原則・責任を示す上位文書です。
出題分野: ISMS・ガバナンス
判断の焦点: ガバナンスは方向を示し、マネジメントは実行する。

033継続的改善頻出

要点: 監視・監査・事象・環境変化を基にISMSの適切性と有効性を改善します。
出題分野: ISMS・ガバナンス
判断の焦点: ガバナンスは方向を示し、マネジメントは実行する。

034適用宣言書必須

要点: 採用・除外する管理策、その理由と実施状況を示します。
出題分野: ISMS・ガバナンス
判断の焦点: ガバナンスは方向を示し、マネジメントは実行する。

035マネジメントレビュー頻出

要点: 経営層がISMSの継続的な適切性・十分性・有効性を評価します。
出題分野: ISMS・ガバナンス
判断の焦点: ガバナンスは方向を示し、マネジメントは実行する。

036役割・責任・権限頻出

要点: 決定・実行・承認・監督の担当を明確にし、責任の空白や衝突を防ぎます。
出題分野: ISMS・ガバナンス
判断の焦点: ガバナンスは方向を示し、マネジメントは実行する。

法令・プライバシー・コンプライアンス

037個人データ頻出

要点: 個人情報保護法上の用語で、該当性は現行法と設問条件に基づいて判断します。
出題分野: 法令・プライバシー・コンプライアンス
判断の焦点: 法令問題は主体・データ種別・行為を確認する。

038個人情報・個人データ頻出

要点: 個人情報保護法上の範囲が異なり、データの状態と取扱いから判断します。
出題分野: 法令・プライバシー・コンプライアンス
判断の焦点: 法令問題は主体・データ種別・行為を確認する。

039要配慮個人情報必須

要点: 人種・信条・病歴など、特に慎重な取扱いが必要な法定区分です。
出題分野: 法令・プライバシー・コンプライアンス
判断の焦点: 法令問題は主体・データ種別・行為を確認する。

040個人番号頻出

要点: 社会保障・税番号制度の番号で、取得・利用・保管・提供に特別な制限があります。
出題分野: 法令・プライバシー・コンプライアンス
判断の焦点: 法令問題は主体・データ種別・行為を確認する。

041不正アクセス禁止法頻出

要点: 他人の識別符号を悪用する不正アクセス行為や助長行為などを規制します。
出題分野: 法令・プライバシー・コンプライアンス
判断の焦点: 法令問題は主体・データ種別・行為を確認する。

042守秘義務・秘密保持契約頻出

要点: 法令・雇用関係・契約によって秘密情報の利用と開示を制限します。
出題分野: 法令・プライバシー・コンプライアンス
判断の焦点: 法令問題は主体・データ種別・行為を確認する。

委託・クラウド・サプライチェーン

043委託先管理必須

要点: 委託しても組織の責任はなくならず、選定・契約・監督・終了管理が必要です。
出題分野: 委託・クラウド・サプライチェーン
判断の焦点: 業務を委託しても責任まで移るわけではない。

044責任分界必須

要点: 委託元・委託先・クラウド事業者が担う安全責任を明確にします。
出題分野: 委託・クラウド・サプライチェーン
判断の焦点: 業務を委託しても責任まで移るわけではない。

045SLA頻出

要点: サービス品質指標・測定方法・報告・未達時の扱いを合意します。
出題分野: 委託・クラウド・サプライチェーン
判断の焦点: 業務を委託しても責任まで移るわけではない。

046サプライチェーンリスク必須

要点: 第三者のソフトウェア・機器・サービス・再委託から生じる安全リスクです。
出題分野: 委託・クラウド・サプライチェーン
判断の焦点: 業務を委託しても責任まで移るわけではない。

047委託先評価頻出

要点: 選定前と契約中に、委託先の管理策・能力・事故歴・法令順守を評価します。
出題分野: 委託・クラウド・サプライチェーン
判断の焦点: 業務を委託しても責任まで移るわけではない。

048契約終了時の管理頻出

要点: 契約終了時に権限を回収し、データ返却・削除と資産・記録の処置を確認します。
出題分野: 委託・クラウド・サプライチェーン
判断の焦点: 業務を委託しても責任まで移るわけではない。

インシデント対応・事業継続

049インシデント必須

要点: 情報セキュリティを損なった、又は損なう可能性がある一つ以上の事象です。
出題分野: インシデント対応・事業継続
判断の焦点: 証拠保全と早期復旧を両立させる。

050BCP事業継続計画頻出

要点: 中断時に重要業務を継続又は復旧するための計画です。
出題分野: インシデント対応・事業継続
判断の焦点: 証拠保全と早期復旧を両立させる。

051CSIRT必須

要点: セキュリティ事象の受付・分析・対応・連絡・振返りを調整します。
出題分野: インシデント対応・事業継続
判断の焦点: 証拠保全と早期復旧を両立させる。

052インシデント対応手順必須

要点: 準備・検知・封じ込め・根絶・復旧・事後改善の順で対応します。
出題分野: インシデント対応・事業継続
判断の焦点: 証拠保全と早期復旧を両立させる。

053証拠保全頻出

要点: 完全性と取得過程を説明できる方法で、ログ・イメージ・記録を保存します。
出題分野: インシデント対応・事業継続
判断の焦点: 証拠保全と早期復旧を両立させる。

054BIA・RTO・RPO必須

要点: BIAは重要業務の影響、RTOは復旧時間、RPOはデータ復旧時点の目標です。
出題分野: インシデント対応・事業継続
判断の焦点: 証拠保全と早期復旧を両立させる。

監視・監査

055情報セキュリティ監査頻出

要点: 管理策が基準に適合し有効に機能しているかを独立・客観的に評価します。
出題分野: 監視・監査
判断の焦点: 監査上の助言と業務執行の独立性を保つ。

056継続的監視必須

要点: 事象・設定状態・脆弱性・管理策の実績を継続して収集・評価します。
出題分野: 監視・監査
判断の焦点: 監査上の助言と業務執行の独立性を保つ。

057ログの完全性頻出

要点: ログの不正な変更・削除を防ぎ、時刻と発生元を追跡可能にします。
出題分野: 監視・監査
判断の焦点: 監査上の助言と業務執行の独立性を保つ。

058監査証拠必須

要点: 監査結論を支える、十分で適切かつ検証可能な情報です。
出題分野: 監視・監査
判断の焦点: 監査上の助言と業務執行の独立性を保つ。

059是正処置頻出

要点: 不適合の原因を除去し、同じ問題の再発を防ぎます。
出題分野: 監視・監査
判断の焦点: 監査上の助言と業務執行の独立性を保つ。

060KPI・KRI頻出

要点: KPIは目標・管理策の実績、KRIはリスク顕在化の兆候を見ます。
出題分野: 監視・監査
判断の焦点: 監査上の助言と業務執行の独立性を保つ。