情報システムセキュリティ（技術的安全管理措置）の問題（35問）

正解：3（アー誤、イー正）

ア．誤り

外部送受信限定は誤り

通則編ガイドライン 10-6 技術的安全管理措置「技術的安全管理措置として、次に掲げる措置を講じなければならない」公式資料を確認

イ．正しい

情報システムを使用する場合の義務

通則編ガイドライン 10-6 技術的安全管理措置「技術的安全管理措置として、次に掲げる措置を講じなければならない」公式資料を確認

ひっかけ「外部送受信を含む」を「外部送受信のときだけ」と裏返すと誤り。社内だけの利用も対象。

解説技術的安全管理措置の冒頭は、情報システム（パソコン等の機器を含む）を使用して個人データを取り扱う場合に所定の措置を講じなければならない、と定めており、その場合にはインターネット等を通じて外部と送受信等する場合も含むとしている。アは、これを外部と送受信する場合のみに適用されると読み替え、社内ネットワークのみの情報システムを対象外にしているが、本文は外部送受信を含むと書いているだけで、社内利用を除外していない。よってアは誤り。イは、情報システムを使用して個人データを取り扱う場合に技術的安全管理措置として所定の措置を講じなければならないという本文の義務をそのまま述べており正しい。組み合わせは『アー誤、イー正』。

補足紙だけで個人情報を管理している場合は技術的安全管理措置の対象外で、対象を画するのは情報システム（機器を含む）を使うかどうかになる。

正解：2（アー正、イー誤）

ア．正しい

アクセス制御の義務の根拠

通則編ガイドライン 10-6 技術的安全管理措置(1)アクセス制御「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない」公式資料を確認

イ．誤り

DB限定のみとするのは誤り

通則編ガイドライン 10-6 技術的安全管理措置(1)アクセス制御「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない」公式資料を確認

ひっかけアクセス制御で絞るのはデータベースだけではない。担当者も併せて絞る。

解説技術的安全管理措置(1)アクセス制御は、担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない、と定める。限定する対象は「担当者」と「個人情報データベース等」の二つである。アはこの二つをそのまま挙げており正しい。イは、アクセス制御の目的を個人情報データベース等の範囲の限定のみとし、担当者の範囲の限定を含まないとしているが、本文は担当者の限定も並べて掲げているため、片方を落とすイは誤り。よってアは正しく、イは誤り。

補足手法の例では、ユーザーIDに付与するアクセス権で情報システムを使える従業者を限定する、という形で「担当者の限定」が具体化されている。

正解：1（アー正、イー正）

ア．正しい

情報システム限定は手法の例示

通則編ガイドライン 10-6 技術的安全管理措置(1)アクセス制御（手法の例示）「ムを限定する」公式資料を確認

イ．正しい

ユーザーIDによる限定は手法の例示

通則編ガイドライン 10-6 技術的安全管理措置(1)アクセス制御（手法の例示）「ユーザーID に付与するアクセス権により、個人情報データベ」公式資料を確認

ひっかけシステムを限定する例も、ユーザーIDで使える従業者を限定する例も、どちらもアクセス制御の手法。

解説アクセス制御(1)の手法の例には、複数の限定のかけ方が並んでいる。アは、個人情報データベース等を取り扱うことのできる情報システムを限定する、という例をそのまま述べており正しい。イは、ユーザーIDに付与するアクセス権により、個人情報データベース等を取り扱う情報システムを使用できる従業者を限定する、という例に対応しており、これも正しい。アはシステムの側を絞る例、イはユーザーIDで人の側を絞る例で、どちらも同じ手法の例示の中にある。したがって『アー正、イー正』。

補足同じ例示には、情報システムによってアクセスできる個人情報データベース等を限定する、というもう一つの絞り方も挙げられている。

正解：3（アー誤、イー正）

ア．誤り

物理的安全管理措置への分類取り違え

通則編ガイドライン 10-6 技術的安全管理措置(1)アクセス制御「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない」公式資料を確認

イ．正しい

技術的措置に分類される

通則編ガイドライン 10-6 技術的安全管理措置(1)アクセス制御「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない」公式資料を確認

ひっかけアクセス制御は技術的安全管理措置のほう。物理的安全管理措置に押し込めると誤り。

解説担当者及び取り扱う個人情報データベース等の範囲を限定するためのアクセス制御は、技術的安全管理措置(1)に位置づけられている。アは、これを物理的安全管理措置に分類しているが、物理的安全管理措置は区域の管理・盗難防止・持運び時の漏えい防止・削除廃棄であって、アクセス制御はそこに入らない。よってアは誤り。イは、同じアクセス制御を技術的安全管理措置に分類しており、本文の位置づけどおりで正しい。物理か技術かを入れ替えただけのアを外し、『アー誤、イー正』。

補足物理側で扱う入退室管理は人や物の立入りを室単位で止めるのに対し、技術側のアクセス制御はユーザーID等でシステムやデータへの到達を絞る、という違いになる。

正解：2（アー正、イー誤）

ア．正しい

識別と認証の義務規定

通則編ガイドライン 10-6 技術的安全管理措置(2)アクセス者の識別と認証「個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなけれ」公式資料を確認

イ．誤り

外部業者への当然適用は本文に根拠なし

通則編ガイドライン 10-6 技術的安全管理措置(2)アクセス者の識別と認証「個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなけれ」公式資料を確認

ひっかけ本文が名指しするのは「従業者」。そこへ外部業者まで当然に含めると言い過ぎになる。

解説技術的安全管理措置(2)アクセス者の識別と認証は、個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなければならない、と定める。アはこの本文をそのまま述べており正しい。イは、識別と認証を情報システムを使用する全ての者に行う必要があり、従業者以外の外部業者にも同様に適用されると断じているが、本文が対象として書いているのは「従業者」であり、外部業者への当然適用までは明示していない。本文にない範囲まで広げたイは誤りで、組み合わせは『アー正、イー誤』。

補足識別と認証は、識別だけでなくその結果に基づく認証まで行うという二段構えで、識別で止めると要件を満たさない。

正解：3（アー誤、イー正）

ア．誤り

識別のみで足りるとするのは誤り

通則編ガイドライン 10-6 技術的安全管理措置(2)アクセス者の識別と認証「識別した結果に基づき認証しなけれ」公式資料を確認

イ．正しい

識別・認証の手法の例示

通則編ガイドライン 10-6 技術的安全管理措置(2)（手法の例示）「ユーザーID、パスワード、磁気・IC カード等」公式資料を確認

ひっかけ誰かを見分ける（識別）だけでは終わらない。その人が正規かを確かめる認証まで要る。

解説アクセス者の識別と認証(2)は、識別した結果に基づき認証しなければならない、としている。アは、識別のみを行えば足り、その結果に基づく認証は不要だとしているが、本文は識別に続けて認証まで求めているため、識別止まりとするアは誤り。イは、識別・認証の手法の例としてユーザーID、パスワード、磁気・ICカード等が挙げられている点をそのまま述べており正しい。識別だけでなく認証まで要るという義務の中身と、その具体的な手法の例示の関係を確認すれば、正解は『アー誤、イー正』。

補足ユーザーID等のほかに、機器に標準装備されたユーザーアカウント制御で従業者を識別・認証する、という中小規模事業者向けの手法の例も示されている。

正解：2（アー正、イー誤）

ア．正しい

外部からの不正アクセス等防止の義務規定

通則編ガイドライン 10-6 技術的安全管理措置(3)外部からの不正アクセス等の防止「個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなけれ」公式資料を確認

イ．誤り

導入のみで足りるとするのは誤り

通則編ガイドライン 10-6 技術的安全管理措置(3)外部からの不正アクセス等の防止「個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなけれ」公式資料を確認

ひっかけ「仕組みを入れたら終わり」が引っかけ。ガイドラインは導入の後ろに「適切に運用」まで書いている。

解説通則編ガイドラインは技術的安全管理措置の(3)として、個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを「導入し、適切に運用しなければならない」とする。義務は仕組みの導入だけで完結せず、導入後の運用までを一体で含む。アは導入と運用の両方を義務として述べており正しい。イは「導入するだけで足り、その後の運用は義務付けられていない」とするが、ガイドライン本文の「適切に運用しなければならない」に反するため誤り。したがって正解はアー正、イー誤。

補足同じ(3)の手法例として、ログ等の定期的な分析による不正アクセスの検知が挙がっている。導入したファイアウォール等を運用フェーズで監視する具体例がこれにあたる。

正解：1（アー正、イー正）

ア．正しい

ファイアウォールは手法の例示

通則編ガイドライン 10-6 技術的安全管理措置(3)（手法の例示）「不正アクセスを遮断する」公式資料を確認

イ．正しい

ログ分析は手法の例示

通則編ガイドライン 10-6 技術的安全管理措置(3)（手法の例示）「ログ等の定期的な分析により、不正アクセス等を検知する」公式資料を確認

ひっかけファイアウォールもログ分析も、どちらも(3)の手法例にそのまま載っている。片方だけ正しいと早合点させる作りに注意。

解説技術的安全管理措置(3)外部からの不正アクセス等の防止の手法例には、情報システムと外部ネットワークとの接続箇所にファイアウォール等を設置して不正アクセスを遮断すること（ア）と、ログ等の定期的な分析により不正アクセス等を検知すること（イ）が、ともに明記されている。アは接続箇所での遮断という入口側の手法、イはログ分析による事後の検知という監視側の手法で、いずれも(3)の例示に並ぶ。両方とも正しく、正解はアー正、イー正。

補足ファイアウォールは外部との接続箇所で不正アクセスを遮断する措置。アクセス制御(1)が内部の担当者・データベースの範囲を絞る措置である点と、目的が逆向きになる。

正解：1（アー正、イー正）

ア．正しい

セキュリティ対策ソフトは手法の例示

通則編ガイドライン 10-6 技術的安全管理措置(3)（手法の例示）「不正ソフトウェアの有」公式資料を確認

イ．正しい

自動更新は手法の例示

通則編ガイドライン 10-6 技術的安全管理措置(3)（手法の例示）「ソフトウェア等を最新状態とする」公式資料を確認

ひっかけウイルス対策ソフトの導入も自動更新の活用も、(3)の手法例として実際に書かれている。

解説(3)外部からの不正アクセス等の防止の手法例には、情報システム及び機器にセキュリティ対策ソフトウェア等（ウイルス対策ソフトウェア等）を導入して不正ソフトウェアの有無を確認すること（ア）と、機器やソフトウェア等に標準装備されている自動更新機能等を活用してソフトウェア等を最新状態とすること（イ）が並んでいる。アは不正ソフトウェアの検出、イは更新による脆弱性の解消で、どちらも(3)の例示どおり。よってアもイも正しい。

補足中小規模事業者向けの手法例では、機器のOSやセキュリティ対策ソフトを最新状態に保つことが端的に示されており、規模を問わず最新化が求められている。

正解：3（アー誤、イー正）

ア．誤り

人的安全管理措置への分類取り違え

通則編ガイドライン 10-6 技術的安全管理措置(3)外部からの不正アクセス等の防止「個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなけれ」公式資料を確認

イ．正しい

技術的措置に分類される

通則編ガイドライン 10-6 技術的安全管理措置(3)外部からの不正アクセス等の防止「個人データを取り扱う情報システムを外部からの不正アクセス又は不正ソフトウェアから保護する仕組みを導入し、適切に運用しなけれ」公式資料を確認

ひっかけファイアウォールを「人的」措置に分類させる引っかけ。機器側で遮断する手法だから技術的措置に入る。

解説ファイアウォール等を設置して外部からの不正アクセスを遮断する措置は、技術的安全管理措置(3)外部からの不正アクセス等の防止の手法例として位置づけられている。アはこれを人的安全管理措置だとするが、人的措置は従業者への教育・監督などを指すものであり、ファイアウォールの設置は当てはまらないため誤り。イは技術的安全管理措置とするもので、ガイドラインの分類どおり正しい。正解はアー誤、イー正。

補足人的安全管理措置は従業者の教育、物理的安全管理措置は機器・書類の盗難防止や持ち出し管理など、措置の置き場所が別の章で分かれている。ファイアウォールは情報システム側の仕組みなので(3)に入る。

正解：2（アー正、イー誤）

ア．正しい

漏えい等防止の義務規定

通則編ガイドライン 10-6 技術的安全管理措置(4)情報システムの使用に伴う漏えい等の防止「情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用しなければならない」公式資料を確認

イ．誤り

運用不要とするのは誤り

通則編ガイドライン 10-6 技術的安全管理措置(4)情報システムの使用に伴う漏えい等の防止「情報システムの使用に伴う個人データの漏えい等を防止するための措置を講じ、適切に運用しなければならない」公式資料を確認

ひっかけ(3)と同じ型。「措置を講じれば運用は不要」は、ガイドラインの「適切に運用しなければならない」に直接ぶつかる。

解説通則編ガイドラインは技術的安全管理措置の(4)として、情報システムの使用に伴う個人データの漏えい等を防止するための措置を「講じ、適切に運用しなければならない」とする。アは措置を講じることと適切に運用することの両方を義務として述べており正しい。イは「措置を講じるだけで足り、その後の運用は義務付けられていない」とするが、本文は運用までを義務に含めているため誤り。正解はアー正、イー誤。

補足(4)の運用例としては、情報システムの使用状況の定期的な監視がガイドラインに挙がっている。措置を入れた後に使われ方を見続けることが運用にあたる。

正解：1（アー正、イー正）

ア．正しい

暗号化は手法の例示

通則編ガイドライン 10-6 技術的安全管理措置(4)（手法の例示）「個人データを含む通信の経路又は内容を暗号化する」公式資料を確認

イ．正しい

パスワード保護は手法の例示

通則編ガイドライン 10-6 技術的安全管理措置(4)（手法の例示）「移送する個人データについて、パスワード等による保護を行」公式資料を確認

ひっかけ通信の暗号化も移送データのパスワード保護も、両方とも(4)の手法例。片方を落としに来る作り。

解説(4)情報システムの使用に伴う漏えい等の防止の手法例には、個人データを含む通信の経路又は内容を暗号化すること（ア）と、移送する個人データについてパスワード等による保護を行うこと（イ）が、いずれも明記されている。アは通信そのものの秘匿化、イは持ち出す個人データの保護で、ともに(4)の例示どおり。よってアもイも正しい。

補足中小規模事業者向けの例では、メール等で個人データを含むファイルを送信する場合に当該ファイルへのパスワードを設定することが示されている。イの「移送する個人データのパスワード保護」を日常業務に落とした形にあたる。

正解：3（アー誤、イー正）

ア．誤り

設計後の見直し不要とするのは誤り

通則編ガイドライン 10-6 技術的安全管理措置(4)（手法の例示）「報システムのぜい弱性を突いた攻撃への対策を講ずることも」公式資料を確認

イ．正しい

設計時の安全確保は手法の例示

通則編ガイドライン 10-6 技術的安全管理措置(4)（手法の例示）「報システムのぜい弱性を突いた攻撃への対策を講ずることも」公式資料を確認

ひっかけ設計時に作り込めば見直しは要らない、が誤り。手法例の本文は「継続的に見直す」までを書き、脆弱性攻撃への対策もそこに含めている。

解説(4)の手法例には、情報システムの設計時に安全性を確保し、継続的に見直すことが挙げられ、その括弧書きで「情報システムのぜい弱性を突いた攻撃への対策を講ずることも含む」とされている。アは「設計する際には安全性を確保するが、設計後は見直す必要はない」とするが、ガイドラインは設計後の継続的な見直しまでを手法例に含めているため誤り。イは設計時の安全性確保と継続的な見直し（ぜい弱性攻撃への対策を含む）を述べており、本文どおり正しい。正解はアー誤、イー正。

補足脆弱性への対策が手法例の括弧内に置かれているため、設計時に安全に作っても、後から判明する脆弱性に応じて見直す前提になっている。

正解：2（アー正、イー誤）

ア．正しい

技術的措置に分類される

通則編ガイドライン 10-6 技術的安全管理措置(4)（手法の例示）「個人データを含む通信の経路又は内容を暗号化する」公式資料を確認

イ．誤り

物理的安全管理措置への分類取り違え

通則編ガイドライン 10-6 技術的安全管理措置(4)（手法の例示）「個人データを含む通信の経路又は内容を暗号化する」公式資料を確認

ひっかけ暗号化を「物理的」措置に振り分ける引っかけ。情報システム上の処理だから技術的措置に入る。

解説個人データを含む通信の経路又は内容を暗号化することは、(4)情報システムの使用に伴う漏えい等の防止の手法例であり、技術的安全管理措置に属する。アはこれを技術的安全管理措置の手法例とするもので正しい。イは同じ暗号化を物理的安全管理措置の手法例だとするが、物理的措置は機器・書類の盗難防止や持ち出し管理などを指し、通信の暗号化は当てはまらないため誤り。正解はアー正、イー誤。

補足物理的安全管理措置に入るのは、個人データを取り扱う機器・電子媒体・書類等の盗難や紛失を防ぐ施錠・保管などで、配置や運搬といった「モノ」の管理が軸になる。暗号化はデータ自体への処理なので分類が分かれる。

正解：3（アー誤、イー正）

ア．誤り

同一措置とするのは誤り

通則編ガイドライン 10-6 技術的安全管理措置「技術的安全管理措置として、次に掲げる措置を講じなければならない」公式資料を確認

イ．正しい

4論点の体系的構成

通則編ガイドライン 10-6 技術的安全管理措置「技術的安全管理措置として、次に掲げる措置を講じなければならない」公式資料を確認

ひっかけ別々に番号が振られている(1)と(4)を「同じものだ」とまとめさせる作り。ガイドラインは4つを並べて列挙している。

解説通則編ガイドラインは技術的安全管理措置として、(1)アクセス制御、(2)アクセス者の識別と認証、(3)外部からの不正アクセス等の防止、(4)情報システムの使用に伴う漏えい等の防止の4つを「次に掲げる措置」として列挙する。イはこの4つの構成をそのまま述べており正しい。アは(1)アクセス制御と(4)漏えい等の防止を「同一の措置で区別不要」とするが、両者は別個の項目として(1)と(4)に分けて規定されているため誤り。正解はアー誤、イー正。

補足(1)アクセス制御は担当者と取り扱う個人情報データベース等の範囲を限定する措置、(4)は情報システムを使う過程での漏えい等を防ぐ措置で、狙う場面が違う。だから別項目として分かれている。

正解：2（アー正、イー誤）

ア．正しい

識別と認証の義務内容

通則編ガイドライン 10-6 技術的安全管理措置(2)アクセス者の識別と認証「個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証しなけれ」公式資料を確認

イ．誤り

外部不正アクセス遮断との混同は誤り

通則編ガイドライン 10-6 技術的安全管理措置(1)アクセス制御「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない」公式資料を確認

ひっかけアクセス制御の狙いは内部の範囲限定。外部からの遮断は(3)の仕事で、そこを混ぜると誤りになる。

解説アクセス者の識別と認証(2)は、個人データを取り扱う情報システムを使用する従業者が正当なアクセス権を有する者であることを、識別した結果に基づき認証することを求める。アはこの内容どおりで正しい。一方アクセス制御(1)は、担当者及び取り扱う個人情報データベース等の範囲を限定するために行う措置であり、外部からの不正アクセスの遮断は別項目(3)が担う。イはアクセス制御の目的を外部不正アクセスの遮断にすり替えているため誤り。正解はアー正、イー誤。

補足(1)が「誰がどのデータベースに入れるか」を内部で絞る措置、(2)がその入る人を識別・認証で本人確認する措置で、対になって機能する。外部を遮断する(3)とは向きが異なる。

正解：2（アー正、イー誤）

ア．正しい

アクセス制御の目的

10-6 技術的安全管理措置(1)アクセス制御「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない」公式資料を確認

イ．誤り

範囲限定がない

10-6 技術的安全管理措置(1)アクセス制御「担当者及び取り扱う個人情報データベース等の範囲を限定するため」公式資料を確認

ひっかけ全員に権限を配って事後に注意すればよい、と考えるとイを正しいと誤る。アクセス制御の本体は、担当者と個人情報データベース等の範囲の限定である。

解説アクセス制御の中心は、誰がどの個人情報データベース等を扱えるかを限定することである。全員に全範囲を開けて後から注意するだけでは、範囲限定という目的を満たさない。最小限の権限に絞る発想で押さえる。

補足技術的安全管理措置の最初の項目がアクセス制御で、「担当者及び取り扱う個人情報データベース等の範囲を限定する」ことが求められる。事後的な注意喚起は範囲の限定の代わりにならない。

正解：2（アー正、イー誤）

ア．正しい

入口遮断だけでなく検知も必要

10-6 技術的安全管理措置(3)（手法の例示）「ログ等の定期的な分析により、不正アクセス等を検知する」公式資料を確認

イ．誤り

ログ分析を除外しない

10-6 技術的安全管理措置(3)（手法の例示）「ログ等の定期的な分析により、不正アクセス等を検知する」公式資料を確認

ひっかけ入口で遮断すれば中を監視する必要はない、と考えるとイを正しいと誤る。ログ等の定期的な分析による検知も手法として示されている。

解説外部からの不正アクセス等の防止は、入口で遮断するだけではなく、ログ等の分析により不正アクセス等を検知する観点も含む。ファイアウォール等とログ分析は対立する措置ではなく、組み合わせて押さえる。

補足外部からの不正アクセス等の防止では「ログ等の定期的な分析により不正アクセス等を検知すること」が手法として例示されている。防御（遮断）と検知（分析）の二層で考える。

正解：2（アー正、イー誤）

ア．正しい

継続的な更新が必要

10-6 技術的安全管理措置(3)（手法の例示）「機器やソフトウェア等に標準装備されている自動更新機能等」公式資料を確認

イ．誤り

導入だけで終わらない

10-6 技術的安全管理措置(3)（手法の例示）「の活用により、ソフトウェア等を最新状態とする」公式資料を確認

ひっかけ対策ソフトは入れた時点で完了、と考えるとイを正しいと誤る。自動更新機能等の活用により最新状態とすることまで手法として示されている。

解説技術的安全管理措置では、導入して終わりではなく、脆弱性対策や対策ソフトの最新状態維持が問われる。OS・アプリへの修正ソフトウェア適用、セキュリティ対策ソフトの自動更新は、継続運用の論点として整理する。

補足例示は「OSやアプリケーション等に修正ソフトウェアを適用すること」と「セキュリティ対策ソフトウェア等を導入し、自動更新機能等の活用により、これを最新状態とすること」。導入と維持の両方が問われる。

正解：2（アー正、イー誤）

ア．正しい

通信時の漏えい防止

10-6 技術的安全管理措置(4)（手法の例示）「個人データを含む通信の経路又は内容を暗号化する」公式資料を確認

イ．誤り

入力時統制を除外しない

通則編ガイドライン 4-2 データ内容の正確性の確保等「個人情報データベース等への個人情報の入力時の照合・確認の手続の整備」公式資料を確認

ひっかけ漏えい対策は暗号化だけ、と考えるとイを正しいと誤る。入力する際の照合等による入力誤りの訂正も手法として示されている。

解説情報システムの使用に伴う漏えい等の防止は、暗号化だけではない。通信の経路・内容を守る対策に加え、入力時の照合等によって誤りを訂正する運用も含まれる。暗号化だけを覚えると、この入力時統制を落としやすい。

補足情報システムの使用に伴う漏えい等の防止では、「通信の経路又は内容を暗号化すること」と「入力する際に、照合等により入力誤りを訂正すること」が並んで例示されている。通信の保護と入力の正確性の両面で覚える。

正解：2（アー正、イー誤）

ア．正しい

時刻がずれる → ログの時刻もずれる → システム間で突き合わせられない

総務省 職場での対策「監査ログの管理」システムの時刻同期の必要性「ログを取得する場合、各コンピュータ間でシステムの時刻を一致させておく必要があります」公式資料を確認

総務省 職場での対策「監査ログの管理」システムの時刻同期の必要性「システムの時刻を同期させる手段として、一般的にNTP（Network Time Protocol）が広く利用されています」公式資料を確認

イ．誤り

機器の本体内に置く → 侵入者に一緒に改ざんされうる → 別の場所で保管が推奨。本体内とする点が逆

総務省 職場での対策「監査ログの管理」ログの保管とバックアップ「ログは、収集した機器の本体内ではなく、ログ取得のために別途ログ管理システムなどを設計し、そこで保管を行うことが推奨されます」公式資料を確認

ひっかけ改ざんを防ぐなら『手元に置く』ではなく『別の場所に集める』。

解説監査ログは、事故が起きた後に何が起きたかを追跡するための記録である。複数の機器のログを並べて読むには、各機器の時計が合っていることが前提になるため、NTPで時刻を同期させ、正しく動いているかも確認しておく。保管は、ログを出した機器の中ではなく、別に用意したログ管理システムで行うのが推奨される。機器が侵入を受けると、中にあるログも書き換えられるおそれがあるからで、別の場所に集めると改ざんからの保護に加え、可視化や保存期間の管理もしやすくなる。

補足ログには通信の相手や入力された個人情報が含まれることもあり、ログそのものが機密情報として扱われる。外部の調査会社に渡すときは秘密保持契約や暗号化を検討する。

正解：3（アー誤、イー正）

ア．誤り

本人確認なしで電話で答える → なりすましに教えてしまう → ソーシャルエンジニアリングの危険

総務省 職場での対策「アカウント管理」「電話での問い合わせに対し本人確認をせずに、電話で回答するというのではソーシャルエンジニアリングの危険があります」公式資料を確認

総務省 職場での対策「アカウント管理」「問い合わせた本人が所有していることがわかっている電話にコールバックを行うこと」公式資料を確認

イ．正しい

退職者やテスト用のアカウントが残る → 攻撃者に正規のIDとして使われる → 定期的に棚卸

総務省 職場での対策「アカウント管理」アカウントの棚卸「長期間利用されていないアカウントや、本来であれば削除しておくべきアカウントがないか定期的に確認し、不要なアカウントは無効化したり、削除したりするようにしましょう」公式資料を確認

ひっかけ『急ぎだから』はなりすましの常套句。再発行こそ本人確認を省かない。

解説攻撃者は正規の利用者のIDとパスワードで入り込むことがあり、その入手経路として、退職者やテスト用のアカウントの放置、長く変えていない共有アカウント、ソーシャルエンジニアリングが挙げられている。対策は二つある。一つは、パスワードの再発行を頼まれたときに、本人の電話へかけ直す（コールバック）、本人しか知らない情報を確かめる、といった本人確認の方法をあらかじめ決めておくこと。もう一つは、使われていないアカウントや消し忘れたアカウントを定期的に洗い出し（棚卸）、無効化・削除すること。

補足システム管理者や特権を持つアカウントは権限が大きく、格好の標的になる。一般の従業員と同じく、推測されにくいパスワードを設定する。

正解：1（アー正、イー正）

ア．正しい

異動・退職後も権限が残る → 本来見られない人が見られる → 変更のたびに見直す

総務省 職場での対策「アクセス制御・管理」アクセス権の確認「人事異動や、退職、新入社員の受け入れ等で、組織の人員構成に変更があった際には都度アクセス権設定の見直しを実施し」公式資料を確認

イ．正しい

『一時的』なものほど消し忘れる → 定期的な棚卸で探す

総務省 職場での対策「アクセス制御・管理」アクセス権の確認「定期的にアクセス権の棚卸を実施し、一時的に利用したテストユーザや、一時的に特定のユーザに付与した権限が残っていないか」公式資料を確認

ひっかけ『一時的』に付けた権限は、外し忘れの代表例。棚卸はまさにそれを探すためにある。

解説アクセス制御の基本は、必要な人にだけ必要最低限の権限を与えることだが、与えた後の見直しも同じくらい重要である。見直しのきっかけは二つある。人事異動・退職・入社のように人員構成が変わったときに都度見直すことと、定期的に棚卸をすることである。棚卸では、一時的に使ったテストユーザ、一時的に特定の人に付けた権限、退職した人のアカウントが有効なまま残っていないかを確かめる。

補足部門ごとの付与の例として、開発中の製品のデータは開発部門には編集・削除・閲覧を許し、営業部門には閲覧だけを許す、といった分け方が挙げられている。

正解：4（アー誤、イー誤）

ア．誤り

同じネットワーク上にある → ランサムウェア等がバックアップまで暗号化 → 共倒れ。推奨とする点が逆

総務省 職場での対策「データ復旧・バックアップの管理」ネットワーク上の隔離「安易に同一ネットワーク上にバックアップシステムを接続すると、共倒れのリスクが高まります」公式資料を確認

イ．誤り

取るだけで戻せるかは分からない → 復旧できることが重要 → 戻す訓練が推奨。不要とする点が逆

総務省 職場での対策「データ復旧・バックアップの管理」「平時からバックアップを戻す訓練を実施しておくことも推奨されます」公式資料を確認

総務省 職場での対策「データ復旧・バックアップの管理」「トラブル発生時に復旧できることが重要です」公式資料を確認

ひっかけバックアップの目的は『取ること』ではなく『戻せること』。

解説バックアップは、ランサムウェアへの感染、障害、操作ミス、災害のどれが起きても、どれか一つは残るようにする考え方で組み立てる。具体例として、遠隔地への保管（物理的な隔離）、クラウドに置くときの自動暗号化、オンラインで取るときのネットワーク上の隔離が挙げられている。業務と同じネットワークにバックアップを置くと、攻撃がバックアップにも及び、共倒れになりやすい。また、取っただけでは本当に戻せるか分からないので、平時から戻す訓練をしておくことが推奨されている。

補足バックアップの方法や頻度は、情報セキュリティポリシーに組織のルールとして明記しておく。

正解：3（アー誤、イー正）

ア．誤り

定期変更 → 作り方がパターン化・使い回し → かえって危険。流出時に速やかに変える

総務省 職場での対策「安全なパスワードの設定・管理」「サービス側から流出した事実がない場合は、パスワードを変更する必要はありません」公式資料を確認

総務省 職場での対策「安全なパスワードの設定・管理」「定期的に変更するよりも、機器やサービスの間で使い回しのない、固有のパスワードを設定することが求められます」公式資料を確認

イ．正しい

パスワード（知識）＋SMSのコード（所持）のように種類の違う要素を組み合わせる → 1つが漏れても破られにくい

総務省 職場での対策「安全なパスワードの設定・管理」多要素認証の活用「多要素認証とは、認証の3要素である「知識情報」「所持情報」「生体情報」のうち、2つ以上を組み合わせて認証することを指し」公式資料を確認

総務省 職場での対策「安全なパスワードの設定・管理」多要素認証の活用「多要素認証の中でも2つの要素を使う認証のことを2要素認証と呼びます」公式資料を確認

ひっかけ『パスワードは定期的に変える』は古い常識。今は『使い回さない・流出したらすぐ変える』。

解説以前はパスワードの定期的な変更が勧められていたが、定期的に変えさせると作り方がパターン化したり、使い回したりしやすくなることの方が問題とされ、今は、流出の事実がなければ変える必要はないとされている（総務省サイトは、米国国立標準技術研究所のガイドラインと内閣サイバーセキュリティセンターの説明を挙げている）。大切なのは、サービスごとに異なる固有のパスワードにすることと、流出したときに速やかに変えることである。さらに守りを強めるのが多要素認証で、知識情報（パスワードなど）、所持情報（スマートフォンに届くコードなど）、生体情報（指紋や顔など）のうち2つ以上を組み合わせる。

補足サービスごとに違うパスワードを覚えるのは大変なので、パスワード管理ツール（スマートフォンやWebブラウザの標準機能など）の利用も勧められている。その場合、ツール自体はマスターパスワードや端末のロックで守る。

正解：3（アー誤、イー正）

ア．誤り

脆弱性が知られた状態で放置 → 攻撃される → 待つのではなく回避策を当てる

総務省 職場での対策「ソフトウェアの最新化・脆弱性管理」「修正プログラムが発表されるまでの間は、一時的回避策を適用してシステムを保護し、修正プログラムが発表された後に脆弱性の修正対応を行うようにしましょう」公式資料を確認

イ．正しい

止められないから更新しない → 攻撃で長期の業務停止 → 先延ばしの方が損失が大きい

総務省 職場での対策「ソフトウェアの最新化・脆弱性管理」「安易な先延ばしは行わないようにしましょう」公式資料を確認

総務省 職場での対策「ソフトウェアの最新化・脆弱性管理」「組織幹部の判断を仰ぐなどして対応することが必要です」公式資料を確認

ひっかけ修正プログラムが無い間こそ危ない。『待つ』ではなく『一時的回避策』。

解説ソフトウェアは導入時に最新でも、後から脆弱性が見つかるため、常に最新に保つ必要がある。修正の更新が出たら、自分のシステムへの影響と緊急性を検討し、特に外部に公開しているWebサーバに深刻な脆弱性が出たときは迅速に適用する。脆弱性だけが先に発表され、修正プログラムが間に合わないこともあり、その間は一時的回避策でシステムを守り、修正プログラムが出た後に修正する。止められない基幹業務のサーバほど更新が後回しになりがちだが、攻撃を受ければ長期間の業務停止にもつながるため、安易に先延ばしせず、業務への影響が出るなら組織幹部の判断を仰ぐ。

補足日頃から、開発元・メーカーのサポート情報や、国内外の脆弱性情報の調整機関の発表に注意しておくと、発表時に慌てずに済む。

正解：1（アー正、イー正）

ア．正しい

網羅的に洗い出す → 直ちに攻撃につながらない弱点も見つかる

総務省 職場での対策「脆弱性診断・ペネトレーションテスト実施」脆弱性診断「対象のシステム全体に対して網羅的に検査を行い、攻撃のきっかけとなりうる脆弱性を見つけることを目的としています」公式資料を確認

イ．正しい

網羅ではなくシナリオ → 狙われやすい欠陥と被害の大きさが分かる

総務省 職場での対策「脆弱性診断・ペネトレーションテスト実施」ペネトレーションテスト「攻撃者と同じ視点で攻撃を行い、実際に攻撃が成功するかをリスクベースで確認する検査をペネトレーションテストと言います」公式資料を確認

総務省 職場での対策「脆弱性診断・ペネトレーションテスト実施」ペネトレーションテスト「その攻撃シナリオによってどの程度の被害が生じるかも確認することができます」公式資料を確認

ひっかけ『網羅』が脆弱性診断、『攻撃シナリオ』がペネトレーションテスト。入れ替えのひっかけに注意。

解説どちらもシステムの弱点を見つける検査だが、見方が違う。脆弱性診断は、システム全体を網羅的に調べ、基準に照らして、すぐには攻撃につながらない点も含めて脆弱性を洗い出す。ペネトレーションテストは、攻撃者の視点で、現実的な攻撃シナリオに沿って実際に目的を達成できるか（攻撃が成功するか）を確かめ、狙われやすい欠陥と、そのシナリオでの被害の大きさを評価する。WebアプリケーションのSQLインジェクションやセッションハイジャックの脆弱性の有無を診断する、といった使い方が挙げられている。

補足最も確実な方法は、情報セキュリティの専門家による診断サービスに依頼すること。無料の診断ツールで自分である程度調べる方法もある。

正解：2（アー正、イー誤）

ア．正しい

WEPは短時間で解読できる → 安全ではない

総務省 職場での対策「安全な無線LANの利用」「現時点では、WPA2方式またはWPA3方式による暗号化を推奨します」公式資料を確認

総務省 職場での対策「安全な無線LANの利用」「WEPは短時間で解読される方法が発見され、安全な方式とは言えなくなっていますので、使用は推奨しません」公式資料を確認

イ．誤り

SSIDは誰でも見える → 似た共有鍵は当てられる → 接続・解読される

総務省 職場での対策「安全な無線LANの利用」「一般的にSSIDは公開されて使用されるため、SSIDと似たパスワードを設定していると、第三者に類推されてしまう可能性があるからです」公式資料を確認

ひっかけSSIDは『公開されている名前』。そこから推測できる鍵は、鍵の役目を果たさない。

解説無線LANは電波で通信するため、通信内容を傍受される危険がある。自分でアクセスポイントを置くときは暗号化を設定し、方式はWPA2またはWPA3を使う（WPA3の方がより強固）。古いWEPは短時間で解読される方法が見つかっており、使わない。アクセスポイントの管理パスワードや共有鍵は、単純なものや、SSIDから類推できるものにしない。SSIDは一般に見える状態で使われるため、似た鍵は第三者に当てられ、アクセスポイントへの接続や通信の解読を許してしまう。

補足ログイン情報やクレジットカード番号などをやり取りするときは、自分と相手の間の通信が暗号化されていることを確かめる。

正解：4（アー誤、イー誤）

ア．誤り

共通のパスワードではない → 利用者ごとに認証、アクセスポイントも認証 → 偽のアクセスポイントに接続しない

総務省 職場での対策「安全な無線LANの利用」コラム 企業向けのWi-Fiセキュリティ方式「共通のパスワードを利用する一般利用向けのWi-Fiセキュリティ方式とは異なり、利用者ごとにID等を設定し、接続の際に利用者側とアクセスポイント側で相互に認証する方式となります」公式資料を確認

イ．誤り

共有が有効 → 他人にファイルを読まれる・ウイルスを送り込まれる

総務省 職場での対策「安全な無線LANの利用」「公共の場で無線LANを利用する際には、必ずファイル共有機能を解除しましょう」公式資料を確認

ひっかけ『パーソナル』は共通のパスワード、『エンタープライズ』は利用者ごとの相互認証。

解説一般利用向けのWPA2パーソナル・WPA3パーソナルは、全員で共通のパスワードを使う。企業向けのWPA2エンタープライズ・WPA3エンタープライズは、利用者ごとにIDなどを設定し、接続のたびに利用者とアクセスポイントが互いに認証し、暗号鍵も個別に設定される。利用者の側からもアクセスポイントを確かめるので、偽のアクセスポイントにつながる心配がない。また、公共の場の無線LANでファイル共有機能が有効だと、端末のファイルを読まれたり、ウイルスなどを送り込まれたりするため、必ず解除する。

補足セキュリティ機能を強化した無線LAN機器が普及しているので、そうした機器を積極的に使うことも勧められている。

正解：1（アー正、イー正）

ア．正しい

処理と保管はサーバ側 → 端末をなくしても中に情報が無い

総務省 職場での対策「テレワーク端末の保護」「シンクライアントや仮想デスクトップ技術を使うことにより、社員や職員が使うパソコン本体に重要情報を保存しないようにすることができるため」公式資料を確認

イ．正しい

スマートフォンはなくしやすい → 離れた場所からロック・消去できる仕組みが有効

総務省 職場での対策「テレワーク端末の保護」MDM「携帯情報端末のソフトウェアの更新を一元管理したり」公式資料を確認

総務省 職場での対策「テレワーク端末の保護」MDM「遠隔操作で端末のロックや内部データの消去などを行うことのできる機能も提供されています」公式資料を確認

ひっかけ紛失対策の考え方は二つ。『端末に残さない』（シンクライアント）と『離れて消す』（MDM）。

解説業務用の端末を社外で使うときの最大の心配は、紛失・盗難による情報漏えいである。シンクライアントは、処理と保管をサーバ側に集め、端末には画面を表示させるだけにする仕組みで、仮想デスクトップはサーバ上で複数のデスクトップ環境を動かし、端末から呼び出して使う技術である。どちらも端末本体に重要情報を残さないので紛失時の漏えい対策になり、ソフトウェアをサーバ側でまとめて管理できる。スマートフォンはパソコンよりなくしやすいため、MDMで更新の一元管理や機能の制限を行い、なくしたときは位置の検索や遠隔でのロック・データ消去を行う。

補足持ち出す場合は、持ち出し専用の端末を用意して強固な対策を施し、事前の申請（持ち出す情報の種類・内容・目的）を義務づける、といったルールを情報セキュリティポリシーで決めておく。

正解：2（アー正、イー誤）

ア．正しい

つながったまま → 組織全体に広がる → 切り離してから連絡

総務省 職場での対策「マルウェア（ウイルス等）対策管理」「パソコンのLANケーブルを抜く、無線LANのスイッチを切るなどの方法で、社内のネットワークからパソコンを切り離すことを心がけてください」公式資料を確認

イ．誤り

対策ソフトを入れるとOSの機能が無効になることがある → 古いまま放置すると守りが弱い

総務省 職場での対策「マルウェア（ウイルス等）対策管理」パターンファイルの更新「パターンファイルが古いままでは、かえって脆弱で危険な状態になりかねないので注意が必要です」公式資料を確認

総務省 職場での対策「マルウェア（ウイルス等）対策管理」パターンファイルの更新「マルウェア対策ソフトの導入により、OS自身のセキュリティ機能が無効となっている場合があるからです」公式資料を確認

ひっかけ『入れてあるから安心』ではない。更新していない対策ソフトは、かえって守りを弱めることがある。

解説マルウェアの予防は、OSやソフトウェアを最新に保つことと、対策ソフトのパターンファイル（マルウェア検知用データ、定義ファイルとも呼ばれる）を常に最新に更新することが基本である。対策ソフトを入れるとOS自身のセキュリティ機能が無効になっている場合があり、パターンファイルが古いままだと、かえって危険な状態になりかねない。契約が切れて更新が止まっていないかも確かめる。対策を尽くしても感染することはあるため、感染したら、LANケーブルを抜く・無線LANを切るなどでネットワークから切り離し、組織全体への蔓延を防いでから、情報システム部門などに連絡する。

補足パターンファイルの更新に加え、定期的なマルウェアスキャンも実行する。スケジュールを決めて自動で行えるが、その時刻に電源が入っていないと実行されない。

正解：3（アー誤、イー正）

ア．誤り

差し込むだけで感染するものがある → 確かめるために差すこと自体が危ない

総務省 職場での対策「マルウェア（ウイルス等）対策管理」USBメモリを介したマルウェア感染への対策「許可されていない記憶媒体や持ち主の分からないものを使用しないようにしてください」公式資料を確認

イ．正しい

自動実行機能で感染するものがある → 自動再生を止め、開く前に検査

総務省 職場での対策「マルウェア（ウイルス等）対策管理」USBメモリを介したマルウェア感染への対策「記憶媒体を差し込んだときには、フォルダやファイルを開く前に必ずマルウェアチェックを行うようにするとよいでしょう」公式資料を確認

総務省 職場での対策「マルウェア（ウイルス等）対策管理」USBメモリを介したマルウェア感染への対策「パソコンの設定を変更して、自動再生機能を停止しておくと、さらに安心して利用できるようになります」公式資料を確認

ひっかけ拾ったUSBメモリは『落とし物』ではなく『わな』かもしれない。差し込む前に止める。

解説USBメモリなどの記憶媒体には、自動実行機能を悪用して、パソコンに差し込んだだけで感染するマルウェアがある。対策は三つ。許可されていない記憶媒体や持ち主の分からない記憶媒体を使わないこと、差し込んだらフォルダやファイルを開く前にマルウェアチェックを行うこと、パソコンの自動再生機能を停止しておくことである。

補足怪しい電子メールが届いたときも、自分で判断せず、情報システム部門などにすぐに連絡する。

正解：1（アー正、イー正）

ア．正しい

狙った組織向けに作り込まれる → 市販の検知をすり抜ける → 複数の対策を重ねる

総務省 職場での対策「電子メールとWebサイトにおける対策」入口対策「標的型攻撃メールに利用されるマルウェアは、市販のフィルタリングサービスやマルウェア対策ソフトなどに検知されないものも多く、それだけでは十分な対策とは言えません」公式資料を確認

イ．正しい

入口で完全には防げない → 外に出す段階で止める・ログで早く見つける

総務省 職場での対策「電子メールとWebサイトにおける対策」出口対策「組織内から重要な情報が外部に送信される段階で被害を食い止める対策（出口対策）を行うことが重要です」公式資料を確認

総務省 職場での対策「電子メールとWebサイトにおける対策」出口対策「マルウェア感染による外部への不審な通信を見つけて遮断する」公式資料を確認

ひっかけ標的型攻撃は『完全には防げない』が前提。入口・侵入後の検知・対処を重ねる。

解説標的型攻撃は、実在の人物や組織になりすますなど、狙った組織向けに作り込まれるため、完璧に防ぐのは難しい。そこで、侵入を防ぐ対策（入口対策）、侵入をすばやく検知する対策、検知したらすばやく対処する対策を組み合わせる（多層的な対策）。入口対策の基本はメールのフィルタリングと対策ソフトだが、標的型攻撃のマルウェアはこれらをすり抜けるものも多いため、実行形式の添付ファイルを開かないルールや、ソフトウェアを最新に保つことを組み合わせる。出口対策は、侵入された後に情報が外へ送られる段階で止めるもので、不審な通信の遮断や、ログを日常的に取って定期的に確かめることが挙げられる。

補足万一データが流出しても中身を読まれないよう、データを暗号化しておくことも重要とされている。

正解：4（アー誤、イー誤）

ア．誤り

迷惑メールの多くは送信元を詐称 → 送信者のドメインを確かめる技術。本文のURLとする点が誤り

総務省 職場での対策「電子メールとWebサイトにおける対策」送信ドメイン認証技術「送信ドメイン認証は、電子メールの送信者情報のうち、ドメイン部分の正当性確認を目的としています」公式資料を確認

イ．誤り

両者の根拠を入れ替えている → 誤り

総務省 職場での対策「電子メールとWebサイトにおける対策」送信ドメイン認証技術「SPFは電子メールの送信元のIPアドレスをもとに、DKIMは電子署名をもとに、メール送信者情報のドメインの正当性を評価します」公式資料を確認

ひっかけSPFは『どこ（IPアドレス）から送ったか』、DKIMは『署名が合うか』。入れ替えのひっかけが定番。

解説迷惑メールや不審なメールの多くは、送信元のメールアドレスを詐称している。送信ドメイン認証は、送信者情報のうちドメイン部分が正当かを受信側で確かめる技術で、SPFとDKIMの2種類の規格が知られている。SPFは送信元のIPアドレスをもとに、DKIMは電子署名をもとに評価する。導入すると、受信者側が送信元の正当性を確かめられ、なりすましを検出できるようになる。

補足DKIMでは、署名する側のメール転送エージェント（MTA）が署名ヘッダを付け、検証する側のMTAがDNSへの問い合わせで送信者の公開鍵を入手して署名を検証する。

正解：3（アー誤、イー正）

ア．誤り

エラーの中身 → データベースの構造などのヒント → 攻撃者を助ける

総務省 職場での対策「電子メールとWebサイトにおける対策」Webサイトにおけるセキュリティ対策「Webサイトにシステムから表示されるエラーメッセージをそのまま表示しないようにすること（攻撃者に対してヒントを与えてしまうことになるため）」公式資料を確認

イ．正しい

不正な命令が通っても、権限が小さければできることが限られる

総務省 職場での対策「電子メールとWebサイトにおける対策」Webサイトにおけるセキュリティ対策「システムで利用するデータベースアカウントに対しては、最小限の権限だけを設定すること」公式資料を確認

ひっかけ『親切なエラー表示』は攻撃者にも親切。利用者向けの画面に内部のエラーを出さない。

解説SQLインジェクションは、入力欄に不正なデータベース命令を入れて実行させる攻撃で、パスワードを知らないままログインされたり、データを一括で取り出されたり、改ざんされたりする。データベースと連携するWebサイトでは、開発担当者や委託先に次の対策を依頼する。プログラムで不正な入力値による処理を防ぐこと、エラーメッセージをそのまま表示しないこと、データベースアカウントの権限を最小限にすること、アクセスログから攻撃を検出して解析すること、サイト全体の脆弱性検査を定期的に行うこと。WAFの利用も有効な対策とされている。

補足外部の業者に開発・運用を任せている場合も、SQLインジェクションの対策状況を確かめておく。