令和元年度秋期
情報セキュリティマネジメント試験 分析資料
株式会社ウイネット
令和元年度秋期情報セキュリティマネジメント試験が 10 月 20 日（日）に実施されました。
この度弊社では、弊社教材外部ライティングスタッフの皆様から、本試験出題内容に関するご意見を聴取させていただき、整理及び分析を行いました。今後のご参考として、今回の本試験分析をご報告させていただきます。
＜午前問題＞
１．分野別出題数

テクノロジ系
マネジメント系
ストラテジ系

R1 秋
34
33
789合計50

分野
1
2
3H31 春34
33
771050H30 秋
34
33
789H30 春
34
50
79H29 秋33
89H29 春
33
8950

50

5050

(1) 前回と比較して、出題数が増えた分野は、“マネジメント系（＋1 問）”でした。
(2) 前回と比較して、出題数が減った分野は、“ストラテジ系（－1 問）”でした。
２．中分類別出題数
中分類1234567891011セキュリティ法務
システム構成要素
データベース
ネットワークプロジェクトマネジメント
サービスマネジメント
システム監査システム戦略
システム企画
企業活動
合計

R1 秋
30
6111224111H31 春
306111124211H30 秋
305111134211H30 春
306211115111H29 秋
30
6111134111H29 春
30
511113421
1505050505050(1) 前回と比較して、出題数が増えた中分類は、“プロジェクトマネジメント（＋1 問）でした。
(2) 前回と比較して、出題数が減った中分類は、“システム戦略（－1 問）”でした。

（株）ウイネット

令和元年度秋期 情報セキュリティマネジメント試験 分析資料（1/2）

３．令和元年度秋期基本情報技術者試験（試験開始時刻が同じ）と同一の問題の出題
中分類
セキュリティ
法務
システム監査プロジェクトマネジメント問
問 18
問 21
問 22
問 26
問 33
問 39
問 44

テーマ
WPA3
バックドア
マルウェアの動的解析
SMTP-AUTH
シュリンクラップ契約
アクセス制御の監査
アローダイアグラム

基本情報技術者試験
問 37
問 39
問 36
問 44
問 79
問 60
問 52

４．情報セキュリティマネジメント試験の過去問題と同一（非常に類似含む）の問題の出題
中分類

セキュリティ

システム監査

問
問3問4
問5
問7
問 10
問 11
問 15
問 17
問 20
問 24
問 27
問 30
問 37

テーマ
リスクの受容組織における内部不正防止是正処置
SPF
シャドーIT
ステガノグラフィ
ボットネットでの C&C サーバ
AES を使うときの鍵
ディジタル署名に用いる鍵
リスクベース認証PCI DSS
ポートスキャンの利用目的
データの正当性及び網羅性

過去問題
H28 春問 5H30 春問 4H29 秋問 10
H30 春問 10
H29 秋問 16
H29 秋問 17
H29 秋問 21
H28 春問 28
H29 春問 22
H30 春問 25
H29 春問 26
H29 春問 30
H29 秋問 38５．他の試験の過去問題と同一（非常に類似含む）の問題の出題
中分類問
テーマ
問 16 DNS キャッシュポイズニング
セキュリティ
問 26 ハイブリッド暗号方式
問 34 プログラム著作権の原始的帰属法務
問 36 労働法
システム企画問 49 RFP の作成と対応
注記 FE：基本情報技術者試験、AP：応用情報技術者試験、
AU 前Ⅱ：システム監査技術者試験 午前Ⅱ

過去問題
H29 春 FE 問 36
H22 秋 FE 問 41
H30 春 FE 問 79
H28 春 AU 前Ⅱ問 2
H24 春 AP 問 65

６．今後の指導方法(1) シラバスに記載されている用語例を完全にマスタすることが重要です。
(2) 情報セキュリティマネジメント試験の過去問題から多く再出題されていることから、過去問題の演習を徹底し、過去問題を十分にマスタする対策が得点力アップにつながります。
(3) セキュリティや法務，監査などの最新情報に興味をもち、インターネットを活用して学習することも必要でしょう。

Copyright(c) 2019 WENet Inc. All rights reserved.

＜午後問題＞
１．出題概要情報セキュリティマネジメント試験（以下、SG 試験という）の午後問題について、出題ページ数は、前回に比べて、問 1 は変わらず 13 ページ、問 2 も変わらず 14 ページ、問 3 は 2 ページ増えて 14 ページとなりました。全体では 2 ページの増加となりますが、前々回からは 6 ページの増加となっており、平成 30 年度秋期から 3 回連続の増加となりました。一方、文章量は、前回と同程度だったといえます。設問の数も前回と同程度でした。
また、今回の問題を問ごとに見ると、設問数はほぼ同分量で、難易度に大きな差はなかったと考えます。
今回も IPA から発表されている午後の出題範囲に沿って、「情報セキュリティマネジメントの計画、情報セキュリティ要求事項」及び「情報セキュリティマネジメントの運用・継続的改善」に関連した内容で出題されましたが、インシデント発生時の対応に関する問題や業務委託に関する問題など、「情報セキュリティマネジメントの運用・継続的改善」に関連した内容の出題が多くありました。
問 1「EC サイトの情報セキュリティの改善」では、インシデント対応、原因・目的・対応策の検討などが出題されました。
問 2「アカウント乗っ取りによる情報セキュリティインシデント」では、インシデントの発見、被害状況や被害範囲および原因の調査、対策の検討などが出題されました。
問 3「業務委託先への情報セキュリティ要求事項」では、業務委託先および委託内容の検討、情報セキュリティ要求事項と評価などが出題されました。
技術的な要素の出題内容では、CAPCHA、HTTP over TLS などが出題されました。他に、難易度は高くないものの、午前問題の知識を必要とする内容は今回も随所に見られました。

２．出題テーマ及び難易度 【難易度 ５：高い、４：やや高い、３：並み（普通）、２：やや低い、１：低い】
出題テーマ・要求される技能難易度

EC サイトの情報セキュリティの改善（13 ページ）
・情報セキュリティインシデントの管理（発見、分析、再発防止策の提案・実施）
問1

問2

問3

アカウント乗っ取りによる情報セキュリティインシデント（14 ページ）
・情報セキュリティインシデントの管理（発見、初動処理、分析、再発防止策の提案・実施）

業務委託先への情報セキュリティ要求事項（14 ページ）
・業務の外部委託における情報セキュリティの確保（外部委託先の情報セキュリティの調査、外部委託先の情報セキュリティ管理の実施）
・情報セキュリティリスクアセスメント及びリスク対応（リスク対応策、残留リスク）

出題形式・出題数

配分時間・配点3

設問 1(1)、(2)
設問 1(3)
設問 1(4)
設問 2
設問 3(1)、(2)
設問 3(3)
設問 4(1)
設問 4(2)
設問 5

空欄選択
空欄選択・組合せ
選択
空欄選択
空欄選択
選択
空欄選択
空欄選択・組合せ
空欄選択×330 分程度
34 点

3

設問 1(1)
設問 1(2)
設問 2(1)
設問 2(2)
設問 2(3)
設問 2(4)、(5)
設問 3
設問 4(1)、(2)

選択
選択・組合せ
空欄選択
選択
空欄選択
選択
選択・組合せ空欄選択

30 分程度
34 点

3

設問 1(1)
設問 1(2)
設問 2
設問 3(1)
設問 3(2)
設問 3(3)、(4)
設問 4(1)
設問 4(2)

空欄選択
選択・組合せ空欄選択
空欄選択
空欄選択×2
選択・組合せ選択
選択・組合せ30 分程度34 点

注記 1 得点の上限は 3 問合わせて 100 点として、合計 60 点以上を午後の試験の合格点とする。
注記 2 配分時間は、受験者あるいは指導者が受験対策で想定している 1 問当たりの解法時間を示す。

（株）ウイネット

令和元年度秋期 情報セキュリティマネジメント試験 分析資料（2/2）

３．出題傾向及び問題別分析□ 問１【必須問題】EC サイトの情報セキュリティの改善インターネットなどを利用した商取引の増加に伴い、Web サイトなどへの不正ログインも増えており、サイト運営側はその対策として、複数の認証技術を組み合わせることによる認証の強化を行っています。ただし、利用者側の認証情報の使い回しも攻撃増加の一因であり、認証強化だけでは攻撃を防ぐことはできないため、監視の強化も重要となっています。
問 1 では、生活雑貨販売会社が運営する EC サイトで発生した不正ログインをテーマとして、攻撃の方法や原因・目的を分析し、利用者認証の強化を含めた今後の対応策の検討を行い、追加対策としてログの監視を検討します。
具体的な出題内容は、受けてしまった攻撃および今回防ぐことができた攻撃について行った調査・分析の内容、今後の対応策としての利用者認証強化の方法や技術の導入に関する検討内容、問題点などを問います。また、攻撃を検知するための監視すべき値について問うています。
問題単体のボリュームとしては設問数がやや多めですが、各設問で問われている内容は基本的なものが多く、配分時間内で効率よく整理し読解することで正答が得られたと予想します。
□ 問２【必須問題】アカウント乗っ取りによる情報セキュリティインシデント
業務の効率化のために、外部サービスよるチャットサービスなどを利用する企業が増えていますが、秘密情報のやり取りが含まれることもあり得るため、より高度なインシデント対応能力が必要になっています。
問 2 では、食品メーカの営業所における諸連絡の煩雑化解消のために導入したチャットサービスが乗っ取られたことをテーマとして、被害状況の把握、被害範囲の調査、原因の調査、対策などを行います。
具体的な出題内容は、発見時の対応および被害拡大の防止策の考察、被害状況・範囲などの調査方法などに加え、被害の調査中における乗っ取られた従業員の業務への影響やその軽減策、今後の対応策における利便性の確保などについても問うています。
問題単体のボリュームとしてはページ数および設問数が前回と同じで、各設問で問われている内容も比較的平易であったため、配分時間内で効率よく整理し読解することで正答が得られたと予想します。
□ 問３【必須問題】業務委託先への情報セキュリティ要求事項
業務効率化の一環として外部に業務を委託する企業が増えています。委託先の従業員による委託業務に関する情報の不正持ち出しという事例も発生する中、委託元の情報セキュリティリスク対策が重要となっています。
問 3 では、データ通信サービスおよび通話サービスを提供している企業が業務の一部を外部に委託することをテーマとして、委託先の検討、委託元としての情報セキュリティ要求事項と評価、評価結果に対する委託先としての対応策の検討を行います。
具体的な出題内容は、暗号化された情報を限定した従業員のみが復号できることについて情報セキュリティ上期待できる効果、委託先からの提案における委託元としての選択理由、要求事項に対する委託先の対策について委託元が評価した根拠やリスク、委託先として行う要求事項に有効な対応策などを問うています。
問題単体のボリュームとしては前回よりも 2 ページ増加しました。各設問で問われている内容は比較的平易ですが、細かな状況設定を見落とすことなく配分時間内で効率よく整理し、読解することで正答が得られたと予想します。

４．午後問題の講評
全体的な難易度としては、前回同様、基本情報技術者試験の午後問題対策を行っている受験者であれば、文章をよく読むことにより解答できる平易な問題が多く、時間配分さえしっかり管理できれば午後試験の合格点に到達できたのではないかと予想します。ただし、毎回のことながら文章量は多く、特に、問 3 は委託元と委託先のそれぞれの企業の概要、業務状況の設定を読み込み、細部まで丁寧に理解し整理することが必要で、長文問題が苦手な受験者にとっては時間のかかる問題だった思います。過去問題を解き、問題を丁寧に読み込むなど、長文問題に慣れることが有効な試験対策といえます。
問題の難易度は一定のレベルで落ち着いてきていると考えますが、ボリュームについて、特にページ数については増加傾向が見られます。これらの傾向がこのまま次回以降に継続されるとは限りませんが、今後も注視するとともに、この SG 試験の継続的な実施にあたり受験者数の増加に期待しています。
Copyright(c) 2019 WENet Inc. All rights reserved.