情報セキュリティマネジメント試験【令和元年秋午後】を過去問を徹底解説！
情報セキュリティマネジメント試験【令和元年秋午後】を情報処理安全確保支援士が真剣に解いてみたら・・
情報セキュリティマネジメント試験【令和元年秋午後問１】を情報処理安全確保支援士が真剣に解いてみたら・・
１００点だったので、回答に至るまでの思考プロセスを中心に解説したいと思います(^^)
※少しでもよければ、いいね！チャンネル登録お願いします。。コンテンツ増やします。
情報セキュリティマネジメント過去問題 令和元年秋期 午後問1
ECサイトの情報セキュリティの改善に関する次の記述を読んで，設問1～5に答えよ。
本文は読んでいること前提に設問部分から解説します。
尚、解き方としては本文を読みながら設問部分に当たったら、設問を解くのが効率的で記憶にも残りやすいです。
基本的には設問より前に応えに対するヒントがあります。
設問１
(1) 本文中のaに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
(1) 本文中のaに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
ア Jサイトの顧客の個人情報が保存されているデータベースの管理用アカウントの認証情報を利用して不正アクセスする
イ Jサイトの顧客の個人情報が保存されているデータベースの脆弱性を利用して不正アクセスする
ウ Jサイトのパスワード入力時のパスワード判定ロジックの脆弱性を利用する
エ 認証情報のリストに不正にアクセスし，改ざんする
オ 認証情報のリストを入手して利用するaの部分をかくにんします。
E部長：
攻撃1では，どのような方法が使われたと考えられますか。
Cさん：
攻撃1では，最近よく聞く，★aという方法が使われたと考えています。その方法を使った攻撃は，一般的にb場合に成功しやすいといわれています。
攻撃１に対しての話なので、攻撃１について書かれてある部分を確認していきましょう。
要点としては
・１アカウントに対して１件ずつ
・全て存在するアカウント
・980件のうち90件が成功
Aさんのアカウントに対して パスワードAを試す
Bさんのアカウントに対して パスワードBを試す
・・・ってのを実在するアカウントに対して１件１件試す攻撃手法。
パスワードに関しての攻撃は
ブルートフォース攻撃ってのがあります。
これは、１つのアカウントに対して複数のパスワードを色々試す方法なので
今回の攻撃１は違いますね。
あとは、パスワード辞書攻撃ってのがあります
passなどパスワードに使われそうなのを色々試すほうほうですが、これも1つのアカウントに対して複数試す方法なので、攻撃１では当てはまらないです。
980件のうち90件がビンゴ！ってかなりの高確率ですよね。
なので、アカウントに対してのパスワードを知っていたということになります。
皆さんは、ユーザー登録する際にサイトごとにパスワードって変更していますか？
多分管理が大変なので、結構多くの方が使いまわしているのでは？とおもっています。
その使いまわしを狙った攻撃がパスワードリスト攻撃と言って攻撃１に該当します。
パスワードリスト攻撃（リスト型攻撃／アカウントリスト攻撃）とは、悪意を持つ第三者が、何らかの手法によりあらかじめ入手してリスト化したID・パスワードを利用してWebサイトにアクセスを試み、結果として利用者のアカウントで不正にログインされてしまう攻撃です。
で、選択肢に戻って最も近いものを選びましょう。
ア Jサイトの顧客の個人情報が保存されているデータベースの管理用アカウントの認証情報を利用して不正アクセスする
→データベース管理用アカウントの話って関係ないですよね
イ Jサイトの顧客の個人情報が保存されているデータベースの脆弱性を利用して不正アクセスする
→これも脆弱性をついてた攻撃ではないので関係なし
ウ Jサイトのパスワード入力時のパスワード判定ロジックの脆弱性を利用する
→ユーザーが利用しているパスワードのことなので判定ロジックとは関係なし
エ 認証情報のリストに不正にアクセスし，改ざんする
→改ざんは本文の内容と合致しないので関係なし
オ 認証情報のリストを入手して利用する
→先ほど説明した通りの内容と合致するので、正解！
では、次の問題
設問１（２）
(2) 本文中のbに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
b に関する解答群
ア 攻撃対象のサイトにSQLインジェクションの脆弱性がある
イ 攻撃対象のサイトのWAFのシグネチャやIPSのシグネチャの定期的な更新がされていない
ウ 攻撃対象のサイトの顧客が複数のオンラインサービスで認証情報を使い回している
エ 攻撃対象のサイトの顧客用アカウントの認証情報に単純で短いパスワードを設定できる
オ 攻撃対象のサイトの問合せフォームの処理に脆弱性がある
カ 攻撃対象のサイトのログイン処理に送信元IPアドレスによるアクセス制限機能がない攻撃1では，最近よく聞く，aという方法が使われたと考えています。その方法を使った攻撃は，一般的に★b場合に成功しやすいといわれています。
このパスワードリスト攻撃はどのような場合に成功しやすいか・・
ってさっき話したように、Yahooと楽天のサイトで同じパスワードつかってYahooのパスワード流出したら、楽天もログインできてしまいますよね。
ということで選択しを確認しましょう。
ア 攻撃対象のサイトにSQLインジェクションの脆弱性がある
→SQLインジェクション全く関係ない～
イ 攻撃対象のサイトのWAFのシグネチャやIPSのシグネチャの定期的な更新がされていない
→WAF（ウェブアプリケーションのファイアーウォール）とは直接関係ない
ウ 攻撃対象のサイトの顧客が複数のオンラインサービスで認証情報を使い回している
→これしかないですよね。
エ 攻撃対象のサイトの顧客用アカウントの認証情報に単純で短いパスワードを設定できる
→ブルートフォース攻撃の話
オ 攻撃対象のサイトの問合せフォームの処理に脆弱性がある
→パスワードの話なんだけど・・
カ 攻撃対象のサイトのログイン処理に送信元IPアドレスによるアクセス制限機能がない
→この時点では攻撃サイトのIPアドレスは分かっていないし、パスワードリスト攻撃の内容ではないし、ウが妥当すぎるので対象外
設問１（３）
(3) 本文中のc1，c2に入れる技術と課題を，次の(ⅰ)～(ⅹ)の中から一つずつ挙げた組合せはどれか。cに関する解答群のうち，最も適切なものを選べ。
[技術]
i Jサイトの顧客用アカウントの認証情報の複製を保存して利用するディレクトリシステム
ii 指紋，虹彩，静脈などを利用した生体認証
iii ディジタル証明書を利用したクライアント認証
iv ボットからの入力と人からの入力を判別するCAPTCHA
v ログインごとにメールで通知される認証用キーによる利用者認証
[課題]
vi 顧客が意図せず利用者IDを複数回間違った場合にJサイトにログインできなくなる
vii 顧客がメールアドレスを変更した際にJサイトにログインできなくなる
viii 顧客の端末が変わった際に端末の設定に関する問合せがカスタマサポート部に入る
ix ボットの使い方についてカスタマサポート部に問合せが入る
x 連続ログイン失敗回数が上限を超えてアカウントがロックされ，Jサイトにログインできなくなる
では対応する本文の箇所を見ていきましょう。
E部長：
攻撃1を防ぐにはどのような対策が考えられますか。
Cさん：
攻撃1の対策には複数ありますが，利用者本人かどうかを確認するために，認証情報による利用者認証に加え，c1を導入する方法が一般的だと考えます。この方法は，攻撃1の被害を未然に防ぐことができるというメリットがあり，かつ，他の多数のECサイトでも利用されています。
E部長：
その対策には，c2という特有の課題があるのではないでしょうか。
Cさん：
可能性はありますが，多くの実績があるので問題はないでしょう。
引続き攻撃１についてですね。
C1は IDやパスワードによる認証に加えて＋αが求められています。
C2は C1で答えたものに対する課題なのでC1がわかればC2もわかる感じになります。
ヒントは「他の多数のECサイトでも利用されています」ですね。
最近Yahooで買い物したことありますか？
決済直前に、登録しているメールアドレスや携帯のショートメールに確認コードが届いて、それを入力させる仕組みが主流です。
メールを盗聴されない限り攻撃者は確認コードまでは分からないので、ID,PASSのみでなく更に確認コードという２重に認証している感じになります。
本文内に以下の文言があるので、既に入手している情報から対応可能なのはメールアドレスですね。
「この個人情報には，顧客の氏名，配送先住所，連絡先電話番号，認証情報，メールアドレスが含まれており，それらは，Jサイト内のデータベースに保存されている。」
では選択肢を見ていきましょう
i Jサイトの顧客用アカウントの認証情報の複製を保存して利用するディレクトリシステム
→サーバが落ちた場合はいいかもしれませんが、今回のリスト攻撃とは関係なし。
ii 指紋，虹彩，静脈などを利用した生体認証
→強固な方式ですが、そもそも生体認証機器を持っている顧客って限られているし、顧客への依頼も大変。
iii ディジタル証明書を利用したクライアント認証
→これも顧客に証明書作成を依頼するのは現実的ではないし、クライアント証明書をどう発行するかだれが証明するかという問題多数
iv ボットからの入力と人からの入力を判別するCAPTCHA
→パスワードが分かっている攻撃なのでボットじゃなくても手動でできる範囲
v ログインごとにメールで通知される認証用キーによる利用者認証
→最近多く導入されている方式なので正解はこれしかない
で次も上記が分かれば正解は導けます。
vi 顧客が意図せず利用者IDを複数回間違った場合にJサイトにログインできなくなる
→メールで認証コードを送った場合の課題とは関係ない
vii 顧客がメールアドレスを変更した際にJサイトにログインできなくなる
→メールで認証コードを送った場合届かないので これが正解
viii 顧客の端末が変わった際に端末の設定に関する問合せがカスタマサポート部に入る
→メールで認証コードを送った場合なので端末変わっても関係ない
ix ボットの使い方についてカスタマサポート部に問合せが入る
→ボット使う人って？そもそも意味が分からない
x 連続ログイン失敗回数が上限を超えてアカウントがロックされ，Jサイトにログインできなくなる
→メールで認証コードを送った場合の課題とは関係ない
ということで ｖ と vii で キ が正解
設問１（４）
(4) 本文中の下線①について，どのような対策が考えられるか。解答群のうち，最も適切なものを選べ。
ア 各サイトで異なるパスワードを利用する。
イ 公衆無線LANからはJサイトを利用しない。
ウ 顧客のPCのOSに脆弱性修正プログラムを適用し，OSにログインするためのパスワードを定期的に更新する。
エ 顧客の自宅や職場の無線LANアクセスポイントのパスワードを推測されにくいものにする。
オ 顧客の端末にマルウェア対策ソフトを導入し，マルウェア定義ファイルの自動更新を有効にする。
カ 顧客の端末の内蔵ストレージを暗号化する。
キ 送信するメールの添付ファイルにパスワードを付ける。
ク 定期的に教育を受け，標的型メール攻撃に注意する。選択肢多いけど難易度がめちゃめちゃ低いからかな
下線①は
Cさんは，攻撃1が成功したのは，顧客側にも問題があるので，その問題も解決する必要があると考え，顧客に①自衛のための対策を促すことを考えた。
攻撃１の対策は・・
さっき説明したように、サイトごとに異なるパスワードにすること
なので
ア 各サイトで異なるパスワードを利用する。 が正解
設問２
本文中のdに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
ア 顧客用アカウントのパスワードのリストの作成
イ 実際の利用者が使っているパスワードの複雑性の確認
ウ 従業員の認証情報のリストの登録
エ 特定の利用者IDが存在するかどうかの確認
オ 入力フォームに特定の脆弱性があるかどうかの確認
カ 認証方式の確認ということでdの部分についてみていきましょう。
E部長：
攻撃2では何が行われたのでしょうか。
Cさん：
アカウント新規登録画面へのアクセスのログを確認した範囲では，Jサイトに対してdが行われたと考えています。同様の事例が最近，他サイトでもあったという情報がありました。
攻撃２についてですね。なので攻撃２を見ていきましょう。
時系列では前後しますが、攻撃１での前準備で、存在するアカウントを知るための攻撃です。
本文に「新規にアカウントを登録する際に，既に使われている利用者IDを指定すると，使用されている旨を画面に表示」とありますが、この機能が悪用されたのですね。
yahooやgoogleのアカウントう登録もありきたりなアカウント名にすると既に使われていますと はじかれますよね。
で選択肢を見ていきましょう
ア 顧客用アカウントのパスワードのリストの作成
→アカウントの存在チェックしているのでパスワードに関係なし
イ 実際の利用者が使っているパスワードの複雑性の確認
→アカウントの存在チェックしているのでパスワードに関係なし
ウ 従業員の認証情報のリストの登録
→アカウントの存在チェックしているのでパスワードに関係なし
エ 特定の利用者IDが存在するかどうかの確認
→存在チェックなので正解
オ 入力フォームに特定の脆弱性があるかどうかの確認
→入力フォームの話はここで出てきていない
カ 認証方式の確認
→アカウントの存在チェックしているので認証に関係なし
設問３（１）
(1) 本文中のeに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
ア 2要素認証が実装されている
イ ECサイトで要求しているパスワードの強度が低い
ウ ECサイトで利用していないポートが開いている
エ FWのルールの末尾に全て拒否のルールが設定されている
オ OSの脆弱性修正プログラムが適用されていない
カ 問合せフォーム処理時のアクセスが攻撃かどうかの判別に不備がある
キ ファイルへのアクセス制御に不備がある
ク 複数のサイトで認証情報を使い回している顧客がいるではeの箇所を確認していきましょう。
〔攻撃3への対応〕
Cさんは，今回，攻撃3は防ぐことができたものの，e場合には成功しやすいと考え，連続ログイン失敗回数の上限を超えたアカウントをロックする(以下，アカウントロックという)という対策をE部長に提案した。
攻撃３に対する対応ですね。
１アカウントに対して約1000回 パスワードが色んなパターンが試されたということで、先ほどのブルートフォース攻撃が当てはまるパターンです。
一般的にパスワードが簡単なものであるほど破られやすいです。
それを前提に選択肢を見ていきましょう
ア 2要素認証が実装されている
→破られやすいパターンをきかれているので、２要素は＋αの認証をとりこむことなのでそもそも違う
イ ECサイトで要求しているパスワードの強度が低い
→簡単なパスワードほど破られやすいので、正解
ウ ECサイトで利用していないポートが開いている
→パスワードとポートは関係ない
エ FWのルールの末尾に全て拒否のルールが設定されている
→FWとは全く関係ない
オ OSの脆弱性修正プログラムが適用されていない
→本文と関係ない（パスワードの話）
カ 問合せフォーム処理時のアクセスが攻撃かどうかの判別に不備がある
→問い合わせフォームの話はしていない。
キ ファイルへのアクセス制御に不備がある
→パスワードの話と関係ない
ク 複数のサイトで認証情報を使い回している顧客がいる
→攻撃１（パスワードリスト）の話に戻っている
設問３（２）
(2) 本文中のfに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
ア 攻撃者の入力したパスワードが誤っていることを攻撃者に知られてしまう
イ 顧客が何回もパスワードを間違えてJサイトにログインできなくなる
ウ 顧客が利用者IDを変更した際にJサイトにログインできなくなる
エ 導入の際，顧客自身での生体情報の登録が必要になる
オ ボットと顧客を判別できなくなるでは、fの部分についてみていきましょう。
Cさん：
アカウントロックは広く使われている技術です。
M部長：
Jサイトの顧客は幅広い年齢層にわたるので，f状況が多数発生し，顧客がカスタマサポート部に電話をして対応を依頼するでしょう。問合せが大幅に増えるのは困ります。
Cさん：
②問合せがなるべく増えないよう，適切に対応します。
一定回数間違ったら、ロックがかかる方法ですね！
で、ここで聞かれているのは「幅広い年齢層にわたるので」 何が発生するかということ、 カスタマーサポート部が対応に追われるということで
ロックがかかる人が多発する ことが予想されます。
おじいちゃんおばあちゃんなど パスワード忘れやすいですよね・・
ア 攻撃者の入力したパスワードが誤っていることを攻撃者に知られてしまう
→別に知られても大丈夫 間違っているから！
イ 顧客が何回もパスワードを間違えてJサイトにログインできなくなる
→忘れやすい人にありがちなので これが正解！
ウ 顧客が利用者IDを変更した際にJサイトにログインできなくなる
→利用者IDの話ではなくパスワードの話
エ 導入の際，顧客自身での生体情報の登録が必要になる
→生体認証の話は出てきていない
オ ボットと顧客を判別できなくなる
→ロックがかかることでの手間のはなしなので直接関係ない
設問３（３）
(3) 本文中の下線②について，どのような対応が必要か。解答群のうち，最も適切なものを選べ。
ア アカウントロックされた顧客からの問合せへの対応マニュアルを作成する。
イ 顧客の連続ログイン失敗回数をログインログから算出し，その値に基づいて，連続ログイン失敗回数の上限を全顧客で一つ決定する。
ウ 今回の不正ログイン試行の回数をログインログから抽出して，連続ログイン失敗回数の上限を決定する。
エ 生体認証導入前に，Webページにカスタマサポート部の問合せ先を掲載しておく。
オ パスワードを連続5回間違えたらアカウントロックする。
カ ボットからのアクセスを検知したらアカウントロックする。本文は
②問合せがなるべく増えないよう，適切に対応します。
ということで、アカウントロックに対する問い合わせが少なくなる方法
→ロックに至るまでの適切な回数 攻撃者は1000回 さすがに普通の人はそこまでやらない
本来の利用者が間違える回数を把握するのが良い。ということで
ア アカウントロックされた顧客からの問合せへの対応マニュアルを作成する。
→問い合わせを減らすための対策なので不正解
イ 顧客の連続ログイン失敗回数をログインログから算出し，その値に基づいて，連続ログイン失敗回数の上限を全顧客で一つ決定する。
→妥当！！
ウ 今回の不正ログイン試行の回数をログインログから抽出して，連続ログイン失敗回数の上限を決定する。
→今回の話は、正規ユーザなのにロックがかかることなので、イの方が妥当
エ 生体認証導入前に，Webページにカスタマサポート部の問合せ先を掲載しておく。
→生体認証の話はしていません
オ パスワードを連続5回間違えたらアカウントロックする。
→５回の妥当性が分からない・・
カ ボットからのアクセスを検知したらアカウントロックする。
→ボットからのアクセスってどうやったら分かるかが微妙だし今回の話は、正規ユーザなのにロックがかかることなので、イの方が妥当
設問４（１）
(1) 本文中のgに入れる字句はどれか。解答群のうち，最も適切なものを選べ。
ア 問合せフォームに入力できる文字数の制限はあるが，文字種の制限がない
イ 問合せフオームへのアクセスを顧客用アカウントをもっている者だけに許可している
ウ 問合せを投稿する際に投稿者を認証する機能がある
エ 問合せを投稿する際にボットかどうかを判別する仕組みがないでは、gの部分についてみていきましょう。
〔攻撃4への対応〕
Cさんは，攻撃4は，問合せフォームに自動で大量の投稿を試みる攻撃であり，大量の投稿が成功してしまった原因はgことであると考え，対策について，U部長及びM部長に相談した。次はU部長，M部長及びCさんの会話である。
攻撃４にたいして、成功した理由を聞かれているので攻撃４を確認します。
問い合わせサイトはだれでも投稿できますが、50000件も本来の問い合わせに関係ない問合せが投稿されたということですね。
その原因
ア 問合せフォームに入力できる文字数の制限はあるが，文字種の制限がない
→正規の文字種のみにしても不正な投稿は防げないかなっと・・
イ 問合せフオームへのアクセスを顧客用アカウントをもっている者だけに許可している
→ログインせずにだれでも投稿できる説明書きがあるため不正解
「顧客用アカウントをもっていない者でも問合せを投稿できるようにするために，問合せを投稿する際には利用者認証が不要」
ウ 問合せを投稿する際に投稿者を認証する機能がある
→「顧客用アカウントをもっていない者でも問合せを投稿できるようにするために，問合せを投稿する際には利用者認証が不要」に反する
エ 問合せを投稿する際にボットかどうかを判別する仕組みがない
→消去法でこれが正解
設問４（２）
(2) 本文中のh1，h2に入れる対策と課題を，次の(ⅰ)～(ⅹ)の中から一つずつ挙げた組合せはどれか。hに関する解答群のうち，最も適切なものを選べ。
[対策]
i 問合せの通信パケットをキャプチャし，解析する
ii 問合せは顧客用アカウントをもっている者だけに許可し，問合せ投稿時に認証情報を暗号化する
iii 問合せは顧客用アカウントをもっている者だけに許可し，問合せフォームへの入力後に認証情報をハッシュ化する
iv 問合せフォームへの入力後にCAPTCHAへの対応を求める
v 問合せフオームへの入力の許容上限時間を設定する
[課題]
vi パスワード誤りが続いてアカウントロックされる
vii パスワードを間違えて問合せが投稿できない
viii パスワードを間違えてメールが送信できない
ix ボットと認識されて問合せが投稿できない
x ボットと認識されてメールが送信できない部長：
問合せを投稿する際に，利用者認証をしてはどうでしょうか。
M部長：
問合せフォームは既存の顧客以外からも広く意見を集める重要な手段なので，誰でも投稿できるようにする必要があり，利用者認証をするのはよい方法とは言えません。
U部長：
それでは，利用者本人かどうかを確認する代わりに，h1のはどうでしょうか。
Cさん：
h1のは，利用者によってはh2という問題が起こる可能性があるので実装には十分注意する必要がありますね。
--
制約事項として、だれでも利用できるようにしたいので利用者認証の代わりにh1に当てはまる語句＝ボット対策で h2はその問題点を答える形です。
[対策]
i 問合せの通信パケットをキャプチャし，解析する
→解析してどうするかが書かれていない。
ii 問合せは顧客用アカウントをもっている者だけに許可し，問合せ投稿時に認証情報を暗号化する
→そもそもアカウントを限定しない話の最中なのだが・・
iii 問合せは顧客用アカウントをもっている者だけに許可し，問合せフォームへの入力後に認証情報をハッシュ化する
→そもそもアカウントを限定しない話の最中なのだが・
iv 問合せフォームへの入力後にCAPTCHAへの対応を求める
→ボット対策としては有効！
v 問合せフオームへの入力の許容上限時間を設定する
→ボットの書き込みは一瞬・・正規のユーザーが困る
[課題]
vi パスワード誤りが続いてアカウントロックされる
→アカウントロックの話はしていない
vii パスワードを間違えて問合せが投稿できない
→今している話と関係ない
viii パスワードを間違えてメールが送信できない
→メール送信の話はしていない
ix ボットと認識されて問合せが投稿できない
→CAPTCHAに不慣れならありえる
x ボットと認識されてメールが送信できない
→メールの話は関係ない
ということで iv ④と ix⑨ で カが正解
設問５
表2中のi～kに入れる字句はどれか。解答群のうち，最も適切なものをそれぞれ選べ。
ア WAFが検知した攻撃のうちJサイトの脆弱性を悪用した攻撃の数
イ カスタマサポート部に入った電話での問合せ数
ウ 同一IPアドレスからの問合せフォームへのアクセス数
エ 同一の顧客用アカウントについて一定数以上のIPアドレスから試行したログイン数
オ 同一の顧客用アカウントについて失敗したログイン数
カ 複数の顧客用アカウントについて同一のIPアドレスから試行したログイン数
各攻撃を察知するために監視すべき内容について問われています。
攻撃１は パスワードリスト攻撃
攻撃１の説明で海外の同一IPから980人分のアカウントとあるので
カ 複数の顧客用アカウントについて同一のIPアドレスから試行したログイン数
が妥当
攻撃３は１つの顧客に対して「異なる」IPから平均1000回の試行なので※IPを考慮に入れるのはNG
オ 同一の顧客用アカウントについて失敗したログイン数
攻撃３は同一IPからのボットの大量投稿なので
ウ 同一IPアドレスからの問合せフォームへのアクセス数
事前知識はあまりなくても、文脈や常識、消去法で８割は狙えると思います。
以上で解説を終了します。
情報セキュリティマネジメントの勉強法、参考書、過去問攻略法を情報処理安全確保支援士が解説！
情報セキュリティマネジメント試験とは
情報セキュリティマネジメントの計画・運用・評価・改善を通して組織の情報セキュリティ確保に貢献し、脅威から継続的に組織を守るための基本的なスキルを認定する試験です。
２０１６年より開始された比較的新しい試験です。
受験者・合格率
１回目の合格率が驚異的ですね。。ITパスポートより高難易度のはずなのですが、、
近年は５０％前後になるように調整が行われ、試験自体も難化傾向にあります。
受験時間
午前、午後に分かれており それぞれ９０分です。
午前は全５０問で全て４択
午後は全部で３問とありますが、１問あたりに複数の設問があり、長文問題を１問あたり３０分で解くイメージです。
おすすめテキスト・過去問題集
定番書になります。テキストだけでなく試験開始当時からの過去問題の解説もついてきますので、これだけで良い感じはします。
情報処理教科書よりテキスト的な要素が強いです。情報処理教科書で物足りない方はこちらの方も購入されて穴を埋めていくのもいいと思います。
合格率から考えて、１冊で十分と思いますが、高得点で合格し上位の情報処理安全確保支援士を目指す方は複数テキスト読むと今後につながると思います。
その他以下の書籍もありますが、好みが分かれると思うので
本屋で一通り見て理解しやすいものを選ぶといいでしょう
午前対策法
テキストベースの分厚いテキストから入ると挫折する可能性が高いです。
IPAのページでは以下が範囲となっており、浅く広く勉強することが大切です
情報セキュリティ全般
機密性・完全性・可用性、脅威、脆弱性、サイバー攻撃手法、暗号、認証 など
情報セキュリティ管理
情報資産、リスク、ISMS、インシデント管理などの各種管理策、CSIRT など
情報セキュリティ対策
マルウェア対策、不正アクセス対策、情報漏えい対策、アクセス管理、情報セキュリティ啓発 など
情報セキュリティ関連法規
サイバーセキュリティ基本法、個人情報保護法、不正アクセス禁止法 など
テクノロジ
ネットワーク、データベース、システム構成要素
マネジメント
システム監査、サービスマネジメント、プロジェクトマネジメント
ストラテジ
経営管理、システム戦略、システム企画
午前問題は過去の問題から流用される可能性が高いので、過去問題から入って、わからないところを正解を見ながら理解するというプロセスが最も効率的に身につきます。
先ほどおすすめテキスト・過去問題集について話しましたが、午前問題に関しては「情報セキュリティマネジメント試験ドットコム」のみで大丈夫です。
全ての午前問題の解説を無料！で行っています。WEBなので電車の中などでも書籍を持ち歩かずに勉強ができます。
例えば問題ごとに以下の様な解説があります。
テキストレベル以上の解説なので、全ての解説を集めると午前に関してはテキストは買わなくていいと私個人では思っています。
また、youtubeで情報セキュリティマネジメント試験 で検索すると午前問題を解説している方が多々います。
テキストベースで勉強するよりも、動画で勉強できるものは動画で学んだ方が効率的に勉強できます。
将来上位資格を受けられる際も上記の◎◎試験ドットコムやyoutube動画は非常に役に立つので心の片隅で覚えておいてください。
事実、私自身上位の情報処理安全確保支援士はテキストで挫折しかけた時にyoutube動画を見て理解を深めていました。
午前問題については、過去問から選択肢や答えを流用するパターンが多々あるので、最低限今まで出た問題の答えの選択肢は暗記するようにしてください。
午後対策
こちらも過去問から入るのがいいと思います。
厄介なのは、ひたすら文章が長いので日本語の長文が苦手な方はきついと思います。
普段から長文を読んでいる人は、セキュリティ知識が無くても一般常識や文脈からある程度解ける問題もあります。
上位の情報処理安全確保支援士との徹底的な違いは、選択肢の中に答えがある（情報処理安全確保支援士は文書で答えを書かせる）さらに、設問に該当する箇所に応えの要素が固まっているのでその部分を重点的に読めば答えが導ける問題が多いです。
問題の本文自体は長いですが、各設問はある程度均等に散りばめられていて、その部分まで読んでいれば答えられる問題が大半です。
一気に全部を読んでも内容を忘れると思うので、設問箇所に来たら設問を解いて次に行くというのが集中力を切らさずに最後まで解ける効率的な方法と言えます。
ただ、気を付けなくてはいけないのが、ペース配分です。
大問３問あるので１問あたり３０分さらにその中に設問も５つ以上あるので１つの問題に考え込みそうになったら次にいって満遍なく解くというペース配分が大切です。
ですので、過去問演習の場合は必ず１問３０分の時間をはかって解くようにしてください。
私の方でもyoutube動画で試験問題解説などを追加していくので以下のチャンネル登録頂けると嬉しいです。
午後問題の解き方は以下のページに実践編としてまとめましたので合わせて参考にして頂けると幸いです。
上位の情報処理安全確保支援士を目指される方は以下を参考にしてください。
TEST
受験を目指される方のために、勉強方法、おすすめテキスト・問題集 過去問対策のまとめたいと思います。
※「情報処理安全確保支援士」（旧名：情報セキュリティスペシャリスト 別名：登録セキスペ）
【今回合格率】
18.5%（例年16～17％なので若干高め）
【動画解説】
【合格率の推移】
開催年度
受験者数 合格者数 合格率
30年秋期 15,257人 2,818人 18.50%
30年春期 15,379人 2,596人 16.90%
29年秋期 16,218人 2,767人 17.10%
29年春期 17,266人 2,822人 16.30%
28年秋期 22,171人 3,004人 13.50%
28年春期 18,143人 2,988人 16.50%
27年秋期 18,930人 3,141人 16.60%
27年春期 18,052人 2,623人 14.50%
26年秋期 18,460人 2,528人 13.70%
26年春期 17,644人 2,543人 14.40%
25年秋期 17,892人 2,657人 14.90%
25年春期 19,013人 2,490人 13.10%
24年秋期 19,381人 2,700人 13.90%
24年春期 19,711人 2,707人 13.70%
23年秋期 17,753人 2,398人 13.50%
23年特別 19,445人 2,712人 13.90%
22年秋期 19,391人 2,759人 14.20%
22年春期 19,951人 3,045人 15.30%
21年秋期 17,980人 3,326人 18.50%
21年春期 16,094人 2,580人 16.00%
【受験対象者像・役割と業務】（ＩＰＡホームページ抜粋）
サイバーセキュリティに関する専門的な知識・技能を活用して企業や組織における安全な情報システムの企画・設計・開発・運用を支援し，また，サイバーセキュリティ対策の調査・分析・評価を行い，その結果に基づき必要な指導・助言を行う者
(1) 情報システムの脅威・脆弱性を分析、評価し、これらを適切に回避、防止するセキュリティ機能の企画・要件定義・開発を推進又は支援する。
(2) 情報システム又はセキュリティ機能の開発プロジェクトにおいて、情報システムへの脅威を分析し、プロジェクト管理を適切に支援する。
(3) セキュリティ侵犯への対処やセキュリテ
【勉強法】集中力・モチベーション・やる気が持続する勉強法 難関国家資格多数合格実績有！
【勉強法】集中力・モチベーション・やる気が持続する勉強法 難関国家資格多数合格実績有！
Amazon（アマゾン）
5,000円
集中力・モチベーション・やる気が持続する勉強法について説明していきます。
多くの方が、資格試験や受験等で「勉強に対する集中力・モチベーション・やる気が持続しない」
ということで悩んでいると思います。
私自身多くの難関国家試験に合格していますが、
過去多くの勉強法に関する本を読みあさり自分なりに実績を残せているので
その方法について説明していきますので参考にして頂けると幸いです。
まず私について
資格マニアというわけではありませんが
国家資格では上位５％の難易度に入る
プロジェクトマネージャ、システムアーキテクト、情報処理安全確保支援士に一発合格しています。
また、学生時代は
秘書技能検定２級、英語検定２級、パソコン検定１級などに一発合格しています。
元々頭いいだけじゃん？と思うかもしれませんが
本当に怠け者で、偏差値３０台の時もありました
ただ、勉強法を実践することで偏差値７０レベルまであげられました。
結局いかににモチベーションと集中力を高め、
継続できるかつまり習慣化できるかということにあります。
では、勉強を習慣化する上で効果があったテクニックを順に説明していきます。
Amazon（アマゾン）
5,000円
①自分自身を追い込む
結局勉強しないのは「なんの役に立つの？」とか自分に対してやらない言い訳をして逃げ道を作っている感じです。
なので、逃げ道を塞ぐように、「今度◎◎試験受けるんだ」「◎◎大学受けるんだ」という風に高い目標を
友達などにいいふらかし、じぶんを追い込みましょう！
進捗を聞かれた場合も「もう受かるに決まっているじゃん！」と決して勉強していないとは言わないようにします。
落ちたら恥ずかしいという気持ちが芽生え、勉強するきっかけが作れます。
Amazon（アマゾン）
5,000円
②テキストから入らない過去問から入る
分からない状態で問題なんて解けるはずないじゃんと思われると思いますが
分厚いテキストから入ると挫折の可能性が高いです。
ヒトの脳は、問題に対する答えが見つかったときに快感を覚える性質があります。
それが長期記憶となりやすいのです。
なので、問題をわからないながら見てみる＝脳が答えを探すモードになり
その流れで、その部分に関するテキストや解説を読んでみると初めからテキストから入るより
集中力と理解力がぐっと増す感じになります。
Amazon（アマゾン）
5,000円
③人に教えるつもりで学ぶ
別動画で情報処理技術者試験の対策動画を上げていますが
じつはこれは私が受験勉強時に作った独自問題集がベースとなっています。
つまり、学んだ知識を人に教えるつもりで勉強に取り組んでいました。
これはラーニングピラミッドといってアメリカの国立訓練研究所がどの学習法が定着率が高いかを表したもので
下に行くほど学習定着率が高いです。
本による学習が１０％にあるのに対して、人に教えるつもりつまりOUTPUT前提での学習は
本による学習の９倍の効果があるという研究結果です。
なので、同じ試験を受ける方が周りにいるかたは、ぜひ友達巻き込んで学んだ知識をアピールして下さい。
いまはyoutubeがあるので、本の著作権違反しないレベルで自分自身の言葉で動画発信してみるのもいいと思います。
Amazon（アマゾン）
5,000円
④受かった後の妄想
わたしの場合はプロジェクトマネージャに受かったときは
逃げるは恥だが役に立つのドラマがはやったころで
主人公のヒラマサさんが、同じ系統の難関試験を持っていたことで
この試験にうかればがっきーに会えるなんて妄想をしていました。
受かるだけでなく、その先の楽しい未来妄想にニヤニヤしながら勉強していくことも
モチベーションの維持につながります。
Amazon（アマゾン）
5,000円
⑤短時間集中法
勉強をやり始めるまでが一番大変だと思います。
スマホなど勉強を妨げるものを目に見えるところに置かないで
机をきれいにシンプルにして、まずは10分など時間をはかって勉強に取り掛かるようにするのが
効果的です。
ある程度やりつづけると勉強が習慣化してきます。
他にも方法がありますが、私が効果が得られた勉強法になりますので
参考にして頂けると幸いです。
このチャンネルではこのような勉強法に関する動画もアップしていきますので
いいね チャンネル登録して頂けると嬉しいです。
最後までご視聴ありがとうございました。
まず私については、
