国家試験に挑戦！ 〜IT パスポート試験編〜
IT パスポート試験（i パス）は、IT 社会で働くすべての社会人が備えておくべき IT に関する基

ストラテジ系【令和5年度・問6】

A 社では，顧客の行動や天候，販売店のロケーションなどの多くの項目から成るデータを取得している。これらのデータを分析することによって販売数量の変化を説明することを考える。その際，説明に使用するパラメータをできるだけ少数に絞りたい。このときに用いる分析法として，最も適切なものはどれか。
ア ABC 分析
ウ 主成分分析イ クラスター分析
エ 相関分析

プロジェクトマネジメントでは，スケジュール，コスト，品質といった競合する制約条件のバランスをとることが求められる。計画していた開発スケジュールを短縮することになった場合の対応として，適切なものはどれか。
ア 資源の追加によってコストを増加させてでもスケジュールを遵守することを検討する。
イ 提供するシステムの高機能化を図ってスケジュールを遵守することを検討する。

ウ プロジェクトの対象スコープを拡大してスケジュールを遵守することを検討する。
エ プロジェクトメンバーを削減してスケジュールを遵守することを検討する。

問3 テクノロジ系【令和5年度・問62】情報セキュリティにおける認証要素は3 種類に分類できる。認証要素の3 種類として，適切なものはどれか。
ア 個人情報，所持情報，生体情報
ウ 個人情報，生体情報，知識情報

イ 個人情報，所持情報，知識情報
エ 所持情報，生体情報，知識情報

正解：問1ウ 問2ア 問3エ●「IPA NEWS」定期送付のお申込み、送付先の変更、送付停止は下記のアドレスにご連絡ください。

メール：spd-ipanews@ipa.go.jp●「IPA NEWS」アンケートはこちら●「IPA NEWS」ウェブ版では最新号の情報をいち早くお届けしています。ウェブ限定記事の掲載や最新号の公開をメールでご案内するサービスも実施中。メール配信サービスへの切り替え、お申込みは上記アドレスまでご連絡ください。

IPA ニュース

検索https://www.ipa.go.jp/about/ipanews/index.html

本誌に記載の製品名、サービス名などは、IPA または各社の商標もしくは登録商標です。
誌面に掲載している QR コードは、cookie によりアクセス状況、簡易位置情報を取得します。制作の参考情報とするため、これらを外部に公表することはございません。

掲載写真の一部は、Shutterstock のライセンス許諾により使用しています。

独立行政法人情報処理推進機構（IPA）は、経済産業省所管の政策実施機関です。
デジタル基盤の構築・提供、デジタル人材の育成、サイバーセキュリティ対策の普及促進などの事業に取り組んでいます。

URL ◉ https://www.ipa.go.jp/

IPA とはIPANEWS

2月号「IPA NEWS」は IPA の日々の活動をわかりやすくご紹介する広報誌です。

特集「情報セキュリティマネジメント試験」導入法人が語る！

組織が「SG」
を活用すべきワケ

独立行政法人情報処理推進機構〒113-6591 東京都文京区本駒込二丁目28番8号 文京グリーンコートセンターオフィス

問2 マネジメント系【令和5年度・問45】

発行日 令和6年2月

問1

vol.65

礎的な知識が証明できる国家試験です。

IPANEWS

目指せ！ 情報処理のエキスパート !!

vol.65■ セキュリティのすゝめ 14〈中小企業のセキュリティインシデント対応〉

3ステップで迅速＆的確なインシデント対応を可能に■ IPA の最新情報をまとめてお届け！

Hot ＆ New Topics

Special issue

隈病院 理事長隈夏樹さん（左から2番目）
隈病院 管理本部 管理課

柳田一郎さん（最左）隈病院
診療支援本部 臨床検査科
検体検査室 副室長
臨床検査技師

図表1 SGに応募した社会人の勤務先別人数（2023年4月～9月実施分）
情報システム関連
金融・保険業、不動産業

安藤康浩さん（最右）特集「情報セキュリティマネジメント試験」導入法人が語る！

1,033

官公庁、公益団体

817

サービス業

774

運輸・通信業

641

卸売・小売業、飲食店

511

建設業

335

電気・ガス・熱供給・水道業

190

医療・福祉業176

教育（学校、研究機関）

169

調査業、広告業37

農業、林業、漁業、鉱業

18

丈夫だろうと思っていました。しか結局のところ内部の人間です。当し、それが打ち砕かれたのが 2022

院にとって本当に有効なセキュリティ施策を立案・実践するには、院サイバー攻撃が猛威を振るう中、ビジネス現場の情報セキュリティ向上が急がれる一方

年 10 月に大阪急性期・総合医療センターで発生したサプライチェー内の各部門に情報セキュリティので、その施策を担う人材不足が課題となっています。そこで、今回はITの安全な利活用をンの脆弱性を突くサイバー攻撃で担当者を置き、現場のリテラシーす。その手口の巧妙さに大きな衝をよりいっそう高める必要がある撃を受けました。当院も早急に手と考えたのです」

推進するセキュリティリーダーの育成に役立つ「情報セキュリティマネジメント試験」にクローズアップ。合格者が活躍する医療法人神甲会 隈病院の方々に話を聞きました。

を打たなければと、システムの構築・運用を担う管理本部などと連では、その担当者をどのように先は金融・保険、製造、サービス、の活用と同時にセキュリティにも乗り出したのです」と隈理事長は振医療といった非 IT 系組織が半数以細心の注意を払ってきました。

り返ります。

企業や組織がサイバー攻撃を受上に上ります（図表 1）。IPA デジタル

例えば、不正侵入による被害を施策は多岐にわたりました。セステムの企画・管理・運用に携わるけて業務停止に追い込まれたり、人材センターの安藤康浩さんは、最小化するべく、セグメントを細キュリティ保険の増額、セキュリ柳田一郎さんが注目したのが SG でサプライチェーンに悪影響が及ん「ユーザー部門のセキュリティマネ分化したほか、リスク低減の一環ティ体制に関する外部監査の実施、した。
「前職で SE をしていたこともだりするケースが相次ぐ中、ビジジメント人材の育成に役立つほか、として USB の使用制限、セキュリ

情報セキュリティや個人情報保護あり、情報処理技術者試験は馴染

ネス現場のセキュリティリーダー

SG 合格者がいることで組織のセティポリシーの徹底に向け院内のの規程、運用マニュアルなどの見みがありました。ユーザー向けのセ育成が急務となっています。そこ

キュリティレベルの対外的アピー

ネットワーク工事事業者を 1 社に直しといったソフト面のほか、全キュリティ試験という点でも、SGで役立つのが、IPA が行う情報処理ルにもつながります」と SG 導入の限定するといった施策を実施。さ

端末のログ監視、パケットの振るはまさにわれわれのニーズにマッ技術者試験のひとつである「情報利点を説明します。

らに全職員に機密保護に関する誓舞い検知システムの導入、電子証チしていたので す」と柳田さん。

その SG を活用しているのが、医約書へサインしてもらうなど、内部明書が発行された端末のみネット

IPA の国家試験ならば信頼性が高療法人神甲会 隈病院（兵庫県神戸市）からの情報漏えいを防止する仕組ワークに接続できるようにするな

いと隈理事長も賛同し、2023 年春

SG は情報システム利用部門のセです。1932 年の開院以来、甲状腺みも構築し、情報を安全に利活用ど、ハード面も整備。そして、これから柳田さんは院内の各部門に SGキュリティ対策に特化した国家試の専門病院として高度なケアを提するためのリテラシー向上に努めらと並行して進められたのが、SGの受験を推奨して回ったそうです。

験で、組織の情報セキュリティ確供。外来患者数は年間 17 万人（2022てきました。

を活用したセキュリティ人材の育「人に勧めるなら、まずは自分から」保に貢献し、脅威から継続的に組年）を超え、IT を駆使したチーム医成でした。
「医療の世界は業務が特と柳田さん自身も SG を受験し、同織を守るための基本的な知識とス療体制にも定評があります。

殊なこともあり、コンサルタントや年 7 月に合格しました。

下、SG）
」です。

2

携し、さらなるセキュリティ強化にセキュリティ対策の実践には正しい知識が必要

脅威から組織を守る基本的な知識とスキルを認定

セキュリティマネジメント試験（以キルを認定するものです。試験応IT 化推進の立役者は、IT 業界出

募者の 9 割が社会人で、その勤務身の理事長・隈夏樹さん。システム

44.8％

55.2％

IT 系

非 IT 系

N=10,734（※社会人のうち、無職、その他無記入は除く）育成するのか。管理本部で情報シセキュリティ強化には︑現場のリテラシー向上が不可欠！

組織が「SG」を活用すべきワケ

1,223

製造業

立花悟さん（中央）

IPA
デジタル人材センター
国家資格・試験部
管理グループ 主任

4,810

月に合格を果たした職員がいました。血液検査や生化学・免疫検査、採血業務などを行う検体検査室の副室長で管理責任者でもある、臨床検査技師の立花悟さんです。
立花さんは AI を医療に活用する外部との研究プロジェクトに参画したことをきっかけに、2022 年 10月、情報処理技術者試験の初級編ともいえる「IT パスポート試験」に合格しており、さらなるステップアップとして SG に挑戦したとのこと。
「外注検査や研究業務において外部とデータを送受信する際は暗号化やハッシュ化などを行い、セキュリティに配慮しています。実効性のあるセキュリティ対策を行うには正しい知識が必要。そんな観点で SG が役立つと感じました」と立花さんは語ります。
また、新卒で入職した診療情報管理科の職員 1 名も学生時代に SGに合格しているため、隈病院の SG合格者は現在 3 名となっています。
「昨今の情勢を踏まえ、それぞれが自発的に SG に挑戦しているのは非常に頼もしいですね」と隈理事長。

医療機関が狙われる現実。
矢継ぎ早に対策を打ち出す

ベンダーなど外部頼みの対策では一方、柳田さんの働きかけとはまた、「組織としてセキュリティ対「これだけ対策をしていれば大限界があります。情報を扱うのは別に独自に SG を受験し、2023 年 6策にかける費用は決して安くあり3する費用に比べるとはるかにロー「インシデントが起きれば、おそらコ ストで す。SG を 中 核 とし た セ

くシステム室だけでは対処しきれキュリティ人材の育成は、ある意ないでしょう。平時のセキュリティ味最も効果的でコストパフォーマ対策のみならず、インシデント発ンスの高い方法といえるのではな

生時、あるいはその兆候があったいでしょうか」と SG を活用するこ場合でも、SG 合格者が現場で指揮とのコストメリットを説きます。

を執ってくれる。それが心強いのです」と語ります。
立花さんも「いまや医療と IT はインシデント発生時に即応体制を取りやすくなる切り離せず、その意味でセキュリティの知識はますます医療分野でルへの対処方法について相談を受重視されるのでは」と見ています。

けるなど、同僚から信頼を得られ、一方で、隈病院を含め医療関係者日々の生活においてもメリットをの大多数は医療系の学校を卒業し感じられるはず。さらに多くの職員ており、IT の知識やスキルがほとに取得してほしい」と柳田さん。そんどない状態で業務に携わることうして個々人のセキュリティ意識に立花さんは警鐘を鳴らします。

が高まることで、仮にサイバー攻「だからこそ、セキュリティについ撃を受けた場合でも即応体制を取て学ぶことが大事だと部門内の他りやすくなり、結果として被害拡大のスタッフに伝えており、実際にその防止や早期復旧にもつながるのうした考えが浸透してきたのを感ではないかと、システム管理者とじます」と SG 受験の機運の高まりして有事も見据えます。

を示唆します。

図表2 2
 022年度と2023年度における上期（4～9月）のSG応募者数の推移

前年同期比

14,253123.9

17,658%「サイバー攻撃の被害に遭えば、事業停止、金銭被害、信用低下など深刻な事態を招き、組織の存続さえ左右しかねません。つまり、セキュリティ対策は重要な経営課題のひとつであり、トップの関与は当然なのではないでしょうか」と隈理事長。今後は SG 受験のサポート体の立案や外部への説明が困難になりまめの初動対応を行います。

ウイルスやランサムウェアへの感す。被害が明らかになった段階では、次が「報告・公表」。特に被害を受ける可能性がある関係者には速やかに第一報を発し、二次被害を防ぎます。

門に 1 人の SG 合格者を配置したい発生のリスクが高まっています。そこ避けるためには情報統制も必要でしょ最後に「復旧・再発防止」です。5Wで重要なのが、被害に遭うことを想定う。ひとたびインシデントに見舞われ1H（いつ、どこで、誰が、何を、なぜ、どうしと展望を描いています。

し、対応体制と対応手順をあらかじめると、その影響が取引先やサプライたのか）の観点を踏まえつつ、時系列でSG に対する注目も高まってお整理しておくこと。いざというときにチェーン全体に及ぶ恐れもあります。

情報を整理（図2）。証拠を保全したうえり、2023 年度上期は前年同期に比迅速かつ的確に対応し、被害を最小限被害を極小化するには、インシデントで、修復を行いシステムなどを復旧しに抑えるのが狙いです。例えば、ウイ発生時に求められる対応を事前に把握ます。再発防止策の実施も欠かせませルス感染に気付かず外部に不審なメーしておくことが重要です。

ん。自社で対応が難しい場合は、保守率向上につなげ、少なくとも各部べ応募者数が大きく増加しています（図表 2）。
その背景について安藤さんは、

2023 年 度より通 年 の CBT 方 式 の試験が始まったことによる受験機会の増加、サイバー攻撃の手法の巧妙化・悪質化、さらにサプライチェーンを構成する中小企業では発注元企業への標的型攻撃の足掛かりとなる懸念も指摘されており、セキュリティ意識が高まっていることを挙げています。
デジタルを安全に活用するための知識・スキルは必要不可欠であり、情報セキュリティマネジメントの現場で今まで以上に存在感を増すと考えられます。
安藤さんは「デジタル技術を安心して活用できる組織づくりのために、あらゆる現場で SG がいっそう活用されることを願っています」と語ってくれました。

4

機器の隔離といった被害拡大防止のたす。従業員のSNSなどを通じた暴露を理などの部門にかかわらず、多くあなたのセキュリティ知識をチェック！ SG お試し問題はこちら…
https://www.ipa.go.jp/about/ipanews/ipanews202402.html#specialissue_weblimited

攻撃の証拠や痕跡が消え、再発防止策

事実を適切に公開する姿勢が問われま

人材は業種・職種を問わず、また2023年度上期

パソコンの強制終了で証拠が消える恐れも染、情報漏えい、システムの停止など、営業・企画・製造・総務・人事・経2022年度上期

3ステップで迅速＆的確なインシデント対応を可能に中小企業でもインシデント（事故・事象）制や資格手当などを整備して取得

14
Theme

中小企業のセキュリティインシデント対応

SGに合格したことで、「迷惑メー

応募者数増加の背景にある3つの要素セキュリティのすゝめ

その言葉に隈理事長もうなずき、平時も有事もSG 合格者が現場で指揮を執る︒それが心強いません。しかし、被害を受けて発生影響を最小限に抑えるカギは“被害を想定した準備” ！

ルが送られ、相手から指摘されてインベンダーやIT製品のメーカーなど外シデントが発覚した場合、組織の信用IPA の「対応の手引き」や「お助け隊」の活用を部の専門組織も活用しましょう。サイ低下は免れません。また、そうした外部からの通報に適切に対応できず、発インシデント対応の基本ステップはをリーズナブルに担う、IPAの「サイ見が遅れるケースも見受けられます。

図1の通りです。まずは「検知・初動対バーセキュリティお助け隊サービス」

システムの不審な挙動を発見し、あ応」。インシデントの兆候や発生を見の利用も有効な手段です。

わててパソコンやシステムの強制終つけたら経営者に報告して対応体制を状況把握や復旧の進捗に応じて、引了・クリーンアップを行うのもNG。

立ち上げ、ネットワークの遮断や対象き続き報告・公表も行います。インシバー攻撃の監視から駆け付け対応までデントの対応状況や再発防止策、被害者への補償などを提示するほか、被害

図1 インシデント対応の基本ステップ
STEP1

STEP2

検知・初動対応

報告・公表

●

●

検知と連絡受付● 対応体制の立ち上げ●

初動対応

内容によってIPAを含む公的機関への第一報● 第二報以降・最終報

STEP3
復旧・再発防止

調査・対応
● 復旧
●

証拠保全
● 再発防止策●

報告も忘れずに。公表文書の雛型を事前につくっておくことも一手です。
IPAでは「中小企業のためのセキュリティインシデント対応の手引き」を

図2 インシデント対応時に整理しておくべき事項の一部
インシデントの分類

情報漏えい、ウイルス感染、システム停止など責任者・担当者

本件に関する責任者および担当者の所属、氏名発覚日時

インシデントを認知した日時

発生事象

表面化している事柄、被害、影響など

対応経過

発生から現時点までの時系列での経過想定される原因

現時点で想定される直接的な原因

被害を受けたシステムの状況

被害を受けたシステムの概要・詳細

図はいずれも「中小企業のためのセキュリティインシデント対応の手引き」より引用、一部省略

公開しています。参考にしてください。

対策のポイント1 インシデント対応体制と対応手順を整備して、被害を極小化で状況分析。
2 5W1H
情報整理は時系列を心がける

3 自社で対応が難しければ外部の専門組織を活用● インシデントに関する IPA の支援体制と各種相談・届出窓口はこちら ... https://www.ipa.go.jp/about/ipanews/ipanews202402.html#security_weblimited●「中小企業のためのセキュリティインシデント対応の手引き」......... https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/security-incident.pdf●「サイバーセキュリティお助け隊サービス」..................................... https://www.ipa.go.jp/security/otasuketai-pr/

5

IPA の最新情報をまとめてお届け！

Hot & New Topics
2024年度「未踏事業」の公募を開始「未踏事業」は、IT開発プロジェクトを通じてIT人

情報処理技術者試験等の出題範囲・シラバスを改訂● 未踏事業の公募概要

材を発掘・育成する事業です。現在、IPAでは25歳未全確保支援士試験」は、ITに関する一定水準の知識・満の若手IT人材を発掘・育成する「未踏IT人材発掘・スキルを証明する国家試験です。

育成事業」、ITでビジネスの創出や社会課題の解決を分野のIT人材を育成する「未踏ターゲット事業」の3

試験区分

情報セキュリティマネジメント試 「科目 B 試験、午後の試験」の出題範囲
験、基本情報技術者試験、情報処
理安全確保支援士試験

したもので、特にDX推進を担う人材に必要な素養や専門的なスキルを評価できるよう「ITパスポート試
験」を除く12の試験区分の出題範囲と、全試験区分のつの事業を推進しています。
各事業において昨年から2024年度の公募を開始
し、自身が取り組むプロジェクトの提案を募集してい

主に、ビジネス変革やデザイン、データ・AIの利活

電子申請締切：2024 年4月8日（月）12：00 ※年齢不問ます。採択者にはプロジェクトマネージャーによる技● 主な改訂内容

シラバスを見直しました。

エントリー（事前申請）締切：
2024 年4月5日（金）12：00❶ DX推進に必要となる知識（ビジネス変革、デザイン、データ利活用、AI（生成 AI を含む）利活用など）を評価するための対応用といったDX推進に重要とされる分野の項目・用語術的な指導・助言のほか実績に応じたプロジェクト推などを反映しており、これによりDX人材の育成・確進費用の援助等を行い、採択者の成長を支援します。

保に向けた有効な試験の活用が期待されます。改訂内❷「数理・データサイエンス・AI（応用基礎レベル）モデルカリキュラム※」のキーワード等の取り込み❸ システムアーキテクト試験およびエンベデッドシステムスペシャリ
スト試験の午前Ⅱ試験においてユーザーインタフェース技術、UX/UI デザインに関する分野を出題対象に追加 など

容は2024年10月実施の試験から適用する予定です。

ターゲット分野：・量子コンピューティング技術分野※ 数理・データサイエンス・AI 教育強化拠点コンソーシアムが策定した、数理・データサイエンス・AI の応用基礎力の習得を目的とした大学・高専生向けの教・リザバーコンピューティング技術分野
電子申請締切：2024 年3月13日（水）12：00 ※年齢不問

https://www.ipa.go.jp/jinzai/mitou/koubo/

項目

IT パスポート試験を除くすべての 「科目 A 試験、午前の試験」の出題範囲
試験区分

今回の改訂は近年の技術動向や環境の変化に対応

エントリー（事前申請）締切：
2024 年3月13日（水）12：00
電子申請締切：2024 年3月14日（木）23：59

目指す人材を育成する「未踏アドバンスト事業」、先進●「試験要綱」
で定める「出題範囲」の改訂対象

IPAが運営する「情報処理技術者試験」「情報処理安育プログラム。
（2021年3月31日公開）

詳細は左記ウェブページを参照

https://www.ipa.go.jp/shiken/syllabus/henkou/2023/20231225.html

Just Information

国内初のサイバー事故調査事業が始動

情報セキュリティ研修会の実施ノウハウが学べる

重要インフラや社会基盤を狙うサイバー攻撃への対策の一環として、2023年12月から高圧ガス、ガ（インシデント発生時）ス、電力事業者などでプラント等の事故が発生した

発防止の検討や業界内のガイドラインの見直しなどが可能になり、これによる業界の防衛力の向上が期待されます。

IPA⑨報告内容の調査
（必要に応じて再調査）

⑩調査報告
⑤調査要請

②情報連絡

もサイバー攻撃に起因すると判断された場合は、再①異常検知・
インシデント対応④詳報ます。従来は原因が特定できなかった保安上の事故

IPA の無料コンテンツを使った研修会の組み立て方や解説のポイントなどを学習することができます。

⑪行政指導に精通した専門機関として本調査業務の中核を担い⑧調査報告

たのは国内初で、IPAは制御システムの防衛手法など⑦原因究明・
再発防止の検討⑥調査報告要請

このようなサイバー事故調査の枠組みが確立され「講習能力養成セミナー」は、情報セキュリティ研修会の企画や進行の仕方を学べるプログラム。
事業者

場合は、必要に応じてサイバーセキュリティの観点から原因究明調査を行うことが義務づけられました※。

講習能力養成セミナー オンデマンド配信開始！

● サイバー事故原因究明調査の実施フロー

経済産業省④を受けてIPAの
調査要否を判断③②の共有

講習能力養成セミナー プログラム

Chapter 1：教育計画の立て方
Chapter 2：準備の進め方
Chapter 3：「映像で知る情報セキュリティ」を使った研修会
Chapter 4：e ラーニングを使った研修会
Chapter 5：プレゼンテーション資料を使った研修会

講習能力養成セミナーのメリット●●

実務経験や情報セキュリティの専門的な知識がない方でも研修会の企画・開催の実施ノウハウを学ぶことができます。

3つの IPA 無料コンテンツ（動画コンテンツ、e ラーニング、プレゼンテーション資料）を教材にしたそれぞれの研修の進め方や解説のポイントを学習することができます。

こんな方におすすめ●●

中小企業の教育担当者

IT コーディネータ、中小企業診断士、経営指導員など中小企業の情報セキュリティ対策を支援する立場の方※高圧ガス保安法等の改正（2023年12月21日施行）による。
⑩は経済産業省が必要とする内容の報告とする⑪の要否はIPAからの調査報告の内容によって経済産業省が判断する

https://www.meti.go.jp/press/2023/12/20231221003/20231221003.html

6

ご視聴はこちら

講習能力養成セミナー IPAhttps://www.youtube.com/playlist?list=PLi57U_f9scIJ9m-xVjKkC07ko0TRbc3zH7