脅威と対策（情報セキュリティの基礎）の問題（20問）

正解：2（アー正、イー誤）

ア．正しい

正しい定義

総務省 用語集「機密性」「情報にアクセスすることが認可されたものだけがアクセスできることを確実にすること」e-Gov原文

総務省 用語集「機密性」「Confidentiality（コンフィデンシャリティ）の訳語です」e-Gov原文

イ．誤り

定義の取り違え（機密性⇄完全性）

総務省 用語集「完全性」「情報および処理方法の正確さおよび完全である状態を安全防護すること」e-Gov原文

ひっかけイの文は完全性（Integrity）の定義そのもの。機密性の名札をつけただけで中身が入れ替わっている。

解説機密性（Confidentiality）は、情報にアクセスすることが認可されたものだけがアクセスできることを確実にすること。総務省の用語集が逐語でこう定義しており、アはその訳語と定義をそのまま述べているので正しい。イは「情報および処理方法の正確さおよび完全である状態を安全防護すること／Integrity」と書くが、これは完全性の定義であって機密性ではない。同じ三要素の別の語の説明をすり替えた形で、イは誤り。よって正解はアー正・イー誤。

補足機密性・完全性・可用性は情報セキュリティの三要素（CIA）で、機密性が守るのは「誰がアクセスできるか」の側面。正確さや改ざん防止は完全性、必要なときに使えることは可用性が受け持つ。

正解：3（アー誤、イー正）

ア．誤り

定義の取り違え（完全性⇄可用性）

総務省 用語集「可用性」「認可された利用者が、必要なときに情報にアクセスできることを確実にすること」e-Gov原文

イ．正しい

正しい定義

総務省 用語集「完全性」「情報および処理方法の正確さおよび完全である状態を安全防護すること」e-Gov原文

総務省 用語集「完全性」「Integrity（インテグリティ）の訳語です」e-Gov原文

ひっかけアが言っているのは可用性（Availability）。完全性の名前で可用性の説明を出してきている。

解説完全性（Integrity）の定義は、情報および処理方法の正確さおよび完全である状態を安全防護すること。総務省の用語集にこの文言と訳語がそのまま載っており、イはそれを正確になぞっているので正しい。アは「認可された利用者が、必要なときに情報にアクセスできることを確実にすること／Availability」と述べるが、これは可用性の定義であって完全性ではない。語と定義の組み合わせがずれており、アは誤り。正解はアー誤・イー正。

補足完全性が問題にするのは「中身が正しく、改ざんされていないか」。アクセスできるかどうかは可用性の領域で、両者は守る対象が別。

正解：1（アー正、イー正）

ア．正しい

正しい定義

総務省 用語集「可用性」「認可された利用者が、必要なときに情報にアクセスできることを確実にすること」e-Gov原文

総務省 用語集「可用性」「Availability（アベイラビリィティ）の訳語です」e-Gov原文

イ．正しい

正しい定義

総務省 用語集「情報セキュリティポリシー」「情報の機密性や完全性、可用性を維持していくために規定する組織の方針や行動指針をまとめたもの」e-Gov原文

ひっかけ可用性の定義も、ポリシーの定義も、どちらも用語集の文言とそろっている。崩す要素がない。

解説可用性（Availability）は、認可された利用者が、必要なときに情報にアクセスできることを確実にすること。総務省の用語集の定義どおりで、アは正しい。イの情報セキュリティポリシーも、同用語集が「情報の機密性や完全性、可用性を維持していくために規定する組織の方針や行動指針をまとめたもの」と定義しており、イはその文言に一致するため正しい。両肢とも用語集の逐語定義に沿うので、正解はアー正・イー正。

補足情報セキュリティポリシーは三要素（機密性・完全性・可用性）を維持するための上位の方針であり、個々の技術的対策ではなく組織の行動指針を指す。

正解：3（アー誤、イー正）

ア．誤り

訳語の取り違え（完全性⇄可用性）

総務省 用語集「完全性」「Integrity（インテグリティ）の訳語です」e-Gov原文

イ．正しい

正しい定義

総務省 用語集「機密性」「Confidentiality（コンフィデンシャリティ）の訳語です」e-Gov原文

総務省 用語集「機密性」「情報にアクセスすることが認可されたものだけがアクセスできることを確実にすること」e-Gov原文

ひっかけIntegrityにぶら下げるべき訳語は完全性。可用性に当たる英語はAvailabilityで、別の語。

解説Integrity（インテグリティ）の訳語は完全性。アはこれを「可用性」としているが、可用性に当たる英語はAvailability（アベイラビリィティ）なので、訳語の対応がずれており誤り。イはConfidentiality（コンフィデンシャリティ）の訳語を機密性とし、定義を「情報にアクセスすることが認可されたものだけがアクセスできることを確実にすること」とする。これは用語集どおりで正しい。正解はアー誤・イー正。

補足三要素の英訳は、機密性=Confidentiality・完全性=Integrity・可用性=Availabilityで一対一に対応する。頭文字をとってCIAと呼ばれる。

正解：2（アー正、イー誤）

ア．正しい

正しい定義

総務省 用語集「マルウェア」「「Malicious Software」（悪意のあるソフトウェア）を略したもので、さまざまな脆弱性や情報を利用して攻撃をするソフトウェア（コード）の総称です」e-Gov原文

イ．誤り

マルウェアはウイルスに限定されない

総務省 用語集「マルウェア」「さまざまな脆弱性や情報を利用して攻撃をするソフトウェア（コード）の総称です」e-Gov原文

ひっかけイはマルウェアをウイルス一種類に切り詰めている。語の出発点は「悪意あるソフトの総称」で、最初から束ねる言葉。

解説マルウェアは「Malicious Software」（悪意のあるソフトウェア）を略した語で、さまざまな脆弱性や情報を利用して攻撃をするソフトウェア（コード）の総称。アはこの語源と総称という性格をそのまま述べており正しい。イは「ウイルスのみを指し、ワームやトロイの木馬は含まない」とするが、総称である以上ウイルス・ワーム・スパイウェア・トロイの木馬などを広く含む。対象をウイルスだけに狭めるイは誤り。正解はアー正・イー誤。

補足ワーム・トロイの木馬・スパイウェア・ランサムウェアなどはいずれもマルウェアの一種で、ウイルスはそのうちの一カテゴリにすぎない。

正解：2（アー正、イー誤）

ア．正しい

正しい定義

総務省 用語集「ワーム」「他のファイルに寄生して増殖するのではなく、自分自身がファイルやメモリを使って自己増殖を行うタイプのウイルスのこと」e-Gov原文

イ．誤り

寄生して増殖はワームの定義と逆

総務省 用語集「ワーム」「他のファイルに寄生して増殖するのではなく、自分自身がファイルやメモリを使って自己増殖を行うタイプのウイルスのこと」e-Gov原文

ひっかけ「他のファイルに寄生して増殖」はワームの説明として裏返し。ワームは宿主を使わず自分だけで増える。

解説ワームは、他のファイルに寄生して増殖するのではなく、自分自身がファイルやメモリを使って自己増殖を行うタイプのウイルス。総務省の用語集のこの定義に照らすと、アは正しい。イは「他のファイルに寄生して増殖する」とするが、それは狭義のウイルスの増え方であって、ワームはまさに寄生せず単独で自己増殖する点が特徴。定義と逆を述べたイは誤り。正解はアー正・イー誤。

補足寄生して増えるのが狭義のウイルス、宿主を持たず単独で自己増殖するのがワーム、という増え方の違いで両者は区別される。

正解：2（アー正、イー誤）

ア．正しい

正しい定義

総務省 用語集「トロイの木馬」「コンピュータの内部に潜伏して、システムを破壊したり、外部からの不正侵入を助けたり、そのコンピュータの情報を外部に発信したりするプログラム」e-Gov原文

イ．誤り

感染能力を持つという記述が定義と逆

総務省 用語集「トロイの木馬」「トロイの木馬は感染能力を持つプログラムではないため」e-Gov原文

ひっかけイの言う「自動的に感染して広がる」は、用語集の「感染能力を持つプログラムではない」と正面からぶつかる。

解説トロイの木馬は、コンピュータの内部に潜伏して、システムを破壊したり、外部からの不正侵入を助けたり、そのコンピュータの情報を外部に発信したりするプログラム。アはこの定義どおりで正しい。イは「感染能力を持つため他のファイルに自動的に感染して広がる」とするが、総務省の用語集は「トロイの木馬は感染能力を持つプログラムではない」と明記している。自動感染して広がるという記述はこの定義と相いれず、イは誤り。正解はアー正・イー誤。

補足感染能力を持たないため本来はウイルスに含まれないが、利用者に分からないよう悪意ある動作をすることから、広義ではウイルスの一つとして扱われることがある（総務省 用語集）。

正解：2（アー正、イー誤）

ア．正しい

正しい対比

総務省 用語集「ワーム」「自分自身がファイルやメモリを使って自己増殖を行うタイプのウイルスのこと」e-Gov原文

総務省 用語集「トロイの木馬」「トロイの木馬は感染能力を持つプログラムではないため」e-Gov原文

イ．誤り

寄生増殖はトロイの木馬の特徴ではない

総務省 用語集「トロイの木馬」「トロイの木馬は感染能力を持つプログラムではないため」e-Gov原文

ひっかけ「寄生して増殖」はトロイの木馬には当てはまらない。トロイの木馬は感染して広がる側ではない。

解説ワームは自分自身がファイルやメモリを使って自己増殖するのに対し、トロイの木馬は感染能力を持つプログラムではない。アはこの二つの対比を用語集どおりに述べており正しい。イは「トロイの木馬は他のファイルに寄生して増殖する」とするが、寄生せず単独で増えるのはワームの特徴で、トロイの木馬はそもそも感染能力を持たない。増え方の主体を取り違えたイは誤り。正解はアー正・イー誤。

補足ワームは自力で増殖する点、トロイの木馬は増殖せず内部に潜んで悪意ある動作をする点で、増え方そのものが対照的になる。

正解：3（アー誤、イー正）

ア．誤り

「不特定多数への無差別」が定義と逆

総務省 用語集「標的型攻撃」「特定の組織を狙って、機密情報や知的財産、アカウント情報（ID、パスワード）などを窃取しようとする攻撃です」e-Gov原文

イ．正しい

正しい記述

総務省 用語集「標的型攻撃」「標的の組織がよくやり取りをする形式のメールを送りつけ、そこについている添付ファイルやリンクをクリックさせ実行させ」e-Gov原文

ひっかけ「不特定多数へ無差別」は標的型の逆。名のとおり狙う相手を一つの組織に定めて仕掛けてくる。

解説標的型攻撃は、特定の組織を狙って、機密情報や知的財産、アカウント情報（ID、パスワード）などを窃取しようとする攻撃。アは「不特定多数を対象に無差別に実施される」とするが、狙いが特定の組織に絞られる点が標的型の核心なので、無差別とするアは誤り。イは「標的の組織がよくやり取りをする形式のメールを送りつけ、添付ファイルやリンクをクリックさせる」とし、用語集の手口の説明どおりで正しい。正解はアー誤・イー正。

補足不特定多数を装ってばらまくフィッシング詐欺と違い、標的型は相手の業務に合わせたメールで一組織を狙い撃ちにする点が分かれ目になる。

正解：1（アー正、イー正）

ア．正しい

正しい定義

総務省 用語集「フィッシング詐欺」「実在の金融機関（銀行やクレジットカード会社）、ショッピングサイトなどを装った電子メールを送付し」e-Gov原文

イ．正しい

正しい記述

総務省 フィッシング詐欺とは？「送信者を詐称したメールやSMSを送りつけ」e-Gov原文

ひっかけ定義のアも手口のイも、実在の相手を装って偽サイトへ引き込むという同じ筋を別の角度から述べているだけ。

解説フィッシング詐欺は、実在の金融機関（銀行やクレジットカード会社）、ショッピングサイトなどを装った電子メールを送付し、偽のサイトに誘導して重要な情報を入力させて詐取する行為。アはこの定義に一致し正しい。イは「送信者を詐称したメールやSMSを送りつけ、貼り付けたリンクをクリックさせて偽のホームページに誘導する」とし、総務省が説明する手口どおりで正しい。実在の相手をかたる点と偽サイトへ誘導する点が両肢で噛み合い、正解はアー正・イー正。

補足メールに加えてSMSを使う手口はスミッシングとも呼ばれ、いずれも送信者を詐称して偽のホームページへ誘導する点はフィッシングと共通する。

正解：2（アー正、イー誤）

ア．正しい

正しい定義

総務省 用語集「ソーシャルエンジニアリング」「人間の心理的な隙などを突いて、コンピュータに侵入するための情報を盗み出すこと」e-Gov原文

イ．誤り

「技術的ハッキング」に分類するのは誤り

総務省 用語集「ショルダハッキング」「ソーシャルエンジニアリングの手法のひとつ」e-Gov原文

ひっかけ鍵は『技術を使うかどうか』。のぞき見やごみ箱あさりは技術ではなく人につけ込む手口なので、ショルダハッキングはソーシャルエンジニアリング側に入る。

解説ソーシャルエンジニアリングは、情報通信技術ではなく人間の心理的な隙を突いて、コンピュータに侵入するための情報（ID・パスワード等）を盗み出す手口を指す。総務省「国民のためのサイバーセキュリティサイト」用語集の定義そのままで、アは正しい。問題はイで、ショルダハッキングを『技術的なハッキング』に分類しているが、同サイトはショルダハッキングを背後からキー入力や画面を盗み見るソーシャルエンジニアリングの手法の一つと位置づけている。手口に技術を使わない点が分類の決め手で、技術的ハッキングへ振り分けるイは誤り。よって正解はアー正、イー誤。

補足同じソーシャルエンジニアリングでも、ごみ箱の廃棄資料から設定情報やパスワードを拾うトラッシング、管理者や利用者を装ってパスワードを聞き出す電話型など手口は複数あり、総務省はいずれも技術を介さない攻撃として並べている。

正解：2（アー正、イー誤）

ア．正しい

正しい定義

総務省 用語集「なりすまし」「他の利用者のふりをすること。または、中間者（Man-in-the-Middle）攻撃など他の利用者のふりをして行う不正行為のこと」e-Gov原文

イ．誤り

不正アクセスの定義と別の概念（ソーシャルエンジニアリング）を混同

総務省 用語集「不正アクセス」「利用する権限を与えられていないコンピュータに対して、不正に接続しようとすること」e-Gov原文

ひっかけイの文は不正アクセスの顔をしてソーシャルエンジニアリングの中身を語っている。定義の取り違えに気づけるかが分かれ目。

解説なりすましは、他の利用者のふりをすること、あるいは中間者（Man-in-the-Middle）攻撃のように他人になりすまして行う不正行為を指す。総務省用語集の定義どおりでアは正しい。イは『不正アクセスとは心理的手段で侵入情報を盗み出す行為』とするが、その説明はソーシャルエンジニアリングの定義であって不正アクセスのものではない。不正アクセスの定義は、利用する権限を与えられていないコンピュータに不正に接続しようとすること。心理的手段で情報を盗む話とは別概念をすり替えているため、イは誤り。正解はアー正、イー誤。

補足なりすましそのものは不正アクセス禁止法（不正アクセス行為の禁止等に関する法律、平成11年法律第128号）でも規制対象で、他人のID・パスワードを入力してアクセス制御を破る行為が典型。フィッシングのように管理者を装って識別符号の入力を求める行為も同法が禁じている。

正解：3（アー誤、イー正）

ア．誤り

「変更不要・恒久的」は定義と逆

総務省 情報セキュリティポリシーの見直し「社会的な状況に応じて定期的に見直さなければなりません」e-Gov原文

イ．正しい

正しい定義

総務省 用語集「不正アクセス」「利用する権限を与えられていないコンピュータに対して、不正に接続しようとすること」e-Gov原文

総務省 用語集「不正アクセス」「不正アクセス禁止法が施行されました」e-Gov原文

ひっかけポリシーは作って終わりではなく、脅威も法律も動くから定期的に見直す。『恒久的に不変』の一語で誤りと判定できる。

解説アは情報セキュリティポリシーを『一度策定したら変更不要・恒久的』とするが、総務省サイトは、企業や組織の状況、新たな脅威、新しい法律の施行など社会的な状況に応じて定期的に見直さなければならないとしている。見直し前提の運用と逆を述べるアは誤り。イの不正アクセスの定義（権限を与えられていないコンピュータへの不正な接続）と、これを処罰する不正アクセス禁止法が施行されているという点は用語集の記載どおりで正しい。したがって正解はアー誤、イー正。

補足不正アクセス禁止法（平成11年法律第128号）が処罰するのは、他人の識別符号を使うか脆弱性を突くなどして、本来は権限のないコンピュータを利用できる状態にする行為。情報セキュリティポリシーの定期見直しは、こうした手口や法改正に運用を追従させるための作業にあたる。

正解：2（アー正、イー誤）

ア．正しい

正しい定義

総務省 基礎知識「ランサムウェア」「感染したPC上に保存しているファイル（PCからアクセス可能なネットワーク上のファイルも含みます。）を暗号化して使用ができない状態にするマルウェアです」e-Gov原文

イ．誤り

推奨するとする点が逆

総務省 基礎知識「ランサムウェア」「支払いに応じることは推奨されません」e-Gov原文

ひっかけ『身代金を払えば戻る』という実務上ありがちな思い込みを問う。原典は支払いを推奨していない。

解説ランサムウェアは暗号化などによりファイルを使えなくし、復旧と引き換えに身代金を要求するマルウェアである。定義を問うアは正しい。イは支払えば復旧されるから支払い推奨とするが、実際には復旧されない可能性や犯罪者への利益供与の問題があるため、支払いは推奨されない。したがってアー正、イー誤となる。

補足ランサムウェア対策では、感染後の支払い判断ではなく、バックアップ、復旧手順、初動対応体制の整備が重要になる。

正解：2（アー正、イー誤）

ア．正しい

正しい説明

総務省 基礎知識「マルウェア」「コンピュータ内に記録されている情報を外部に送信するスパイウェア」e-Gov原文

イ．誤り

用語の混同

総務省 基礎知識「マルウェア」「利用者がキーボードで入力した情報を記録するキーロガー」e-Gov原文

総務省 用語集「バックドア」「外部からコンピュータに侵入しやすいように、“裏口”を開ける行為、または裏口を開けるプログラムのこと」e-Gov原文

ひっかけ『情報を盗むもの』同士でも、入力を記録するキーロガー、内部情報を送るスパイウェア、裏口を作るバックドアは役割が違う。

解説スパイウェアは利用者に気づかれにくい形で情報を外部に送るソフトウェアであり、アは正しい。キーロガーはキーボード入力を記録するものなので、裏口を開けるプログラムとするイはバックドアとの混同で誤り。情報漏えい型の脅威は、何を盗むか、どう侵入・残存するかで区別する。

補足試験では脅威名の暗記ではなく、被害の出方と用語を対応させると誤答を避けやすい。

正解：2（アー正、イー誤）

ア．正しい

正しい定義

総務省 用語集「バックドア」「外部からコンピュータに侵入しやすいように、“裏口”を開ける行為、または裏口を開けるプログラムのこと」e-Gov原文

イ．誤り

危険性を否定する点が誤り

総務省 基礎知識「マルウェア」「いつでも攻撃者から遠隔操作できてしまう可能性があるため極めて危険です」e-Gov原文

ひっかけバックドアは侵入口を残す脅威。感染そのものより、後から継続的に操作され得る点が危ない。

解説バックドアは外部から侵入しやすい裏口を開ける行為またはプログラムであり、アは正しい。これが作られると、攻撃者から遠隔操作される可能性があるため危険性が高い。イのように遠隔操作の可能性を否定するのは原典の説明と逆である。

補足トロイの木馬の一部はバックドアを作成するため、侵入後の残存・再侵入リスクまで意識する必要がある。

正解：1（アー正、イー正）

ア．正しい

正しい定義

総務省 用語集「ボット」「コンピュータを外部から遠隔操作するためのコンピュータウイルスの一種」e-Gov原文

イ．正しい

正しい説明

総務省 用語集「ボットネット」「ボットに感染したコンピュータによって構成される特殊なネットワーク」e-Gov原文

総務省 用語集「ボットネット」「迷惑メールの配信や他のコンピュータへの攻撃、情報の窃取などを行う」e-Gov原文

ひっかけボット単体の定義と、感染端末群であるボットネットを切り分ける。単数かネットワークかが焦点。

解説ボットは外部から遠隔操作するためのウイルスの一種であり、ボットネットは感染端末が多数集まって構成されるネットワークである。攻撃者はそれらを使って迷惑メール配信、他のコンピュータへの攻撃、情報窃取などを行い得る。ア・イとも原典どおりで正しい。

補足DDoSなどの大規模攻撃では、個々の感染端末よりも、それらを束ねるボットネットが攻撃基盤として問題になる。

正解：2（アー正、イー誤）

ア．正しい

正しい定義

総務省 用語集「ファイアウォール」「外部のネットワークと内部のネットワークを結ぶ箇所に導入することで、外部からの不正な侵入を防ぐことができるシステム」e-Gov原文

イ．誤り

WAFの機能を逆に述べている

総務省 用語集「ウェブアプリケーションファイアウォール」「WAFはアプリケーションレベルでの監視を行います」e-Gov原文

総務省 用語集「ウェブアプリケーションファイアウォール」「SQLインジェクションなどを防ぐことができます」e-Gov原文

ひっかけWAFのWはWebアプリケーション。ネットワーク境界だけを見る一般的なファイアウォールと同じに扱うと誤る。

解説ファイアウォールは外部と内部のネットワークの境界で不正侵入を防ぐシステムであり、アは正しい。WAFは一般的なファイアウォールと異なり、Webアプリケーションへの通信をアプリケーションレベルで監視し、SQLインジェクション等を防ぐ。イはこの違いを逆にしている。

補足技術的安全管理措置では、不正アクセス防止策としてファイアウォール等が出るため、基礎用語としての機能差も押さえておくとよい。

正解：1（アー正、イー正）

ア．正しい

正しい説明

総務省 用語集「IDS」「インターネットから送られてくるパケットを識別することで、不正侵入やアタック、事前調査を検知するシステム」e-Gov原文

イ．正しい

正しい説明

総務省 用語集「IPS」「侵入検知システムの機能に加えて、不正なパケットを自動的に遮断する機能を持ちます」e-Gov原文

ひっかけIDSはDetection、IPSはPrevention。名称の英語に含まれる検知・防止の差を意識する。

解説IDSは不正侵入や攻撃の検知を主眼とするシステムであり、IPSはその検知機能に加えて不正なパケットを自動的に遮断する機能を持つ。ア・イとも原典どおりで正しい。検知するだけか、遮断まで行うかが両者の大きな違いである。

補足個人データを扱う情報システムを外部不正アクセスから守る技術的対策の理解にもつながる基本用語である。

正解：3（アー誤、イー正）

ア．誤り

方式の取り違え

総務省 用語集「公開鍵暗号方式」「公開鍵暗号方式は、暗号化と復号とで異なる鍵を使用する暗号方式です」e-Gov原文

総務省 用語集「共通鍵暗号方式」「暗号化と復号で同じ鍵を使用する暗号方式」e-Gov原文

イ．正しい

正しい説明

総務省 用語集「電子署名」「電子署名を利用することにより、なりすましやメッセージの改ざんが行われていないことの検証と、否認防止が可能になります」e-Gov原文

ひっかけ『同じ鍵』と出たら共通鍵暗号方式。公開鍵暗号方式の説明に置かれていたら取り違えを疑う。

解説公開鍵暗号方式は暗号化と復号で異なる鍵を使う方式であり、同じ鍵を使うのは共通鍵暗号方式である。アは両方式を混同しているため誤り。電子署名は、なりすましやメッセージ改ざんがないことの検証、否認防止に役立つため、イは正しい。

補足暗号化、電子署名、サーバ証明書は情報セキュリティの基礎で、個人データの通信・保管時の保護理解にもつながる。