H29 春期 SG 午前

002

問

1

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

JIS Q 27001 : 2014（情報セキュリティマネジメントシステム ― 要求事項）において，

問1
解説

ア
JIS Q 27001 : 2014 は，組織の事業リスク全般に対する考慮のもとで文書化した

ISMS に関するリーダーシップ及びコミットメントをトップマネジメントが実証する上ISMS（Information Security Management System）の確立，導入，運用，監視，レビュー，で行う事項として挙げられているものはどれか。

維持及び改善のための要求事項が規定されている。ISMS では，トップマネジメントがISMS の有効性に寄与するよう人々を指揮し，支援する。

ア

ISMS の有効性に寄与するよう人々を指揮し，支援する。

イ

ISMS を組織の他のプロセスと分けて運営する。

ウ

情報セキュリティ方針に従う。

エ

情報セキュリティリスク対応計画を策定する。

問2

イ：ISMS は，組織の他のプロセスと合わせて運営する。
ウ：トップマネジメントは，情報セキュリティ方針を承認し周知する。
エ：トップマネジメントは，情報セキュリティ対応計画を承認する。

問2
正解

完璧

直前
チェック

経済産業省と IPA が策定した サイバーセキュリティ経営ガイドライン（Ver 1.1） が，

解説ウ
サイバーセキュリティ経営ガイドラインは，大企業及び中小企業（小規模事業者除く）のうち，IT に関するシステムやサービス等を供給する企業及び経営戦略上 IT の利活用が不可欠である企業の経営者を対象に，経営者のリーダーシップの下で，サイバーセキ

自社のセキュリティ対策に加えて，実施状況を確認すべきとしている対策はどれか。

ュリティ対策を推進するためのガイドラインである。

ア

自社が提供する商品及びサービスの個人利用者が行うセキュリティ対策

経営者が情報セキュリティ対策を実施する上での責任者となる担当幹部（CISO：Chief

イ

自社に出資している株主が行うセキュリティ対策

Information Security Officer）等に指示すべき「10 項目」がまとめられている。

ウ

自社のサプライチェーンのビジネスパートナが行うセキュリティ対策

エ

自社の事業所近隣の地域社会が行うセキュリティ対策

サイバー攻撃から企業を守る観点で，経営者が認識する必要のある「3 原則」，及び指示すべき 10 項目に，自社のサプライチェーンのビジネスパートナが行うセキュリテ
ィ対策が記載されている。
指示 1：サイバーセキュリティリスクへの対応について，組織の内外に示すための方針（セキュリティポリシー）の策定。
指示 2：CISO 等からなる適切な管理体制を構築と責任の明確化。
指示 3：守るべき資産の特定と，セキュリティリスク対処に向けた計画の策定。
指示 4：計画が確実に実施され，改善が図られるよう，PDCA を実施すること。
指 示 5： 系 列 企 業 や サ プ ラ イ チ ェ ー ン の ビ ジ ネ ス パ ー ト ナ ー を 含 め PDCA（Plan - Do Check -Act）の運用を含むサイバーセキュリティ対策を行わせること。
指示 6：サイバーセキュリティ対策の予算・人材育成など，資源の確保を検討。
指示 7：IT システムの運用を自組織で対応する部分と他組織に委託する部分の適切な切り分け。また，委託先への攻撃を想定したサイバーセキュリティの確保を確認。
指示 8：情報共有活動に参加し，最新の状況を自社の対策に反映すること。また，可能な限り，同様の被害が社会全体に広がることの未然防止に貢献すること。
指示 9：サイバー攻撃による被害拡大を防ぐため，体制の整備，初動対応マニュアルの策定など緊急時の対応体制を整備。定期的かつ実践的な演習を実施。
指示 10：サイバー攻撃を受けた場合に備え，被害発覚後の通知先や開示が必要な情報項
目の整理と，組織の内外に対し，経営者がスムーズに説明ができるよう準備する。

003

春
秋

H29 春期 SG 午前

004

問

3

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

組織的なインシデント対応体制の構築を支援する目的で JPCERT /CC が作成したもの

問3
解説

ア
JPCERT / CC（JPCERT コーディネーションセンター）は，インターネットを介して発生する侵入やサービス妨害などのコンピュータセキュリティインシデントについて，はどれか。

日本国内に関する報告の受け付け，対応の支援，発生状況の把握，手口の分析，再発防止

ア

CSIRT マテリアル

イ

ISMS ユーザーズガイド

ウ

証拠保全ガイドライン

エ

組織における内部不正防止ガイドラインのための対策の検討や助言などを，技術的な立場から行っている。
CSIRT（Computer Security Incident Response Team：シーサート）：組織内の情報セキュリ
ティ問題を専門に扱う，インシデント対応チーム。
CSIRT マテリアル：組織的なインシデント対応体制である「組織内 CSIRT」の構築を支援する目的で作成されたガイドである。
イ：JPDDEC（一般社団法人 日本情報経済会社推進協会）から発行されている，ISMS

問

4

正解

完璧

直前
チェック

デ ィ ザ ス タ リ カ バ リ を 計 画 す る 際 の 検 討 項 目 の 一 つ で あ る RPO（Recovery Point
Objective）はどれか。
ア

業務の継続性を維持するために必要な人員計画と要求される交代要員のスキルを示
災害発生時からどのくらいの時間以内にシステムを再稼働しなければならないかを示す指標

ウ

災害発生時に業務を代替する遠隔地のシステム環境と，通常稼働しているシステム
環境との設備投資の比率を示す指標

エ

システムが再稼働したときに，災害発生前のどの時点の状態までデータを復旧しなければならないかを示す指標

問5

行為，犯罪といったインシデントに関わる電磁的証拠の保全の手続きに関するガイドラ
インである。

す指標
イ（Information Security Management System）を構築する場合のガイドである。
ウ：特定非営利活動法デジタル・フォレンジック研究会から発行されている。事故や不正

エ：独立行政法人情報処理推進機構（IPA）から発行されている。内部不正対策の整備を行
うためのガイドラインである。

問4
解説

エ
RPO（Recovery Point Objective：目標復旧時点）とは，再開時に事業活動が実施

できるようにするために，事業活動で使用される情報がどの状態まで復旧されなければならないかを示す指標である。
ア，ウ：事業継続計画（BCP：Business Continuity Planning）において検討する内容である。
イ：RTO（Recovery Time Objective：目標復旧時間）の説明である。

正解

完璧

直前
チェック

JIS Q 31000 : 2010（リスクマネジメント ―原則及び指針）において，リスクマネジメン

問5
解説

イ
JIS Q 31000：2010 は，組織のステークホルダとのコミュニケーション及び協議

トを効果的なものにするために，組織が順守することが望ましいこととして挙げられてや，更なるリスク対応が必要とならないことを確実にするためのリスク及びリスクを軽減いる原則はどれか。

するための管理策の体系的かつ論理的なプロセスを詳細に記述している。
ア：リスクマネジメントは，動的で繰り返し行われ変化に対応する。

ア

リスクマネジメントは，静的であり，変化が生じたときに終了する。

イ：正しい。

イ

リスクマネジメントは，組織に合わせて作られる。

ウ：リスクマネジメントは，組織の全てのプロセスにおいて不可欠な部分である。

ウ

リスクマネジメントは，組織の主要なプロセスから分離した単独の活動である。

エ

リスクマネジメントは，リスクが顕在化した場合を対象とする。

エ：リスクマネジメントは，リスクが顕在化する前に行う。

005

春
秋

H29 春期 SG 午前

006

問

6

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

JIS Q 31000 : 2010（リスクマネジメント ― 原則及び指針）において，リスクマネジメン

問6
解説

イ
JIS Q 31000：2010 では，リスクについて組織を指揮統制するための調整された

トは， リスクについて組織を指揮統制するための調整された活動 と定義されている。

活動のなかで，リスクアセスメントの順序を示している。リスク特定，リスク分析，リス

そのプロセスを構成する活動の実行順序として，適切なものはどれか。

ク評価，リスク対応の順序となる。

ア

リスク特定 → リスク対応 → リスク分析 → リスク評価

リスク分析：リスクの特質を理解し，リスクレベルを決定するプロセスである。

イ

リスク特定 → リスク分析 → リスク評価 → リスク対応

ウ

リスク評価 → リスク特定 → リスク分析 → リスク対応

エ

リスク評価 → リスク分析 → リスク特定 → リスク対応

問

7

正解

リスク特定：リスクを発見，認識及び記述するプロセスである。
リスク評価：リスク及び大きさが，受容可能かまたは許容可能かを決定するために，リス
ク分析し結果をリスク基準と比較するプロセスである。
リスク対応：リスクを修正するプロセスである。

完璧

直前
チェック

JIS Q 27000 : 2014（情報セキュリティマネジメントシステム― 用語）における リスク

問7
解説

イ
JIS Q 27000：2014 は，組織の事業リスク全般に対する考慮のもとで文書化したISMS（Information Security Management System）の規格である。

レベル の定義はどれか。

リスクレベル：結果と，その起こりやすさの組合せとして表現される，リスクの大きさで

ア脅威によって付け込まれる可能性のある，資産又は管理策の弱点

ア：ぜい弱性の説明である。

イ

結果とその起こりやすさの組合せとして表現される，リスクの大きさ

ウ：リスク評価の結果から，実施判断される内容である。

ウ

対応すべきリスクに付与する優先順位

エ：リスク基準の説明である。

エ

リスクの重大性を評価するために目安とする条件

ある。

問8
問

8

正解

完璧

直前
チェック

A 社は，情報システムの運用を B 社に委託している。当該情報システムで発生した情報セキュリティインシデントについての対応のうち，適切なものはどれか。

解説ウ
情報セキュリティインシデントとは，情報漏洩事故・事件などの情報セキュリテ

ィに関して発生する事象を指す。主に，企業へ不利になる事件や事故が該当する。
ア：委託契約の継続可否や再発防止策の決定は，契約元の A 社が行う。
イ：緊急時の対応は，SLA に記載し，あらかじめ合意すべきである。
ウ：正しい。あらかじめ手順を定め，B 社から関係者に連絡することは問題ない。

ア

情報セキュリティインシデント管理を一元化するために，委託契約継続可否及び再発防止策の決定を B 社に任せた。
イ

情報セキュリティインシデントに迅速に対応するために，サービスレベル合意書（SLA）に緊急時のセキュリティ手続を記載せず，B 社の裁量に任せた。
ウ

情報セキュリティインシデントの発生を A 社及び B 社の関係者に迅速に連絡するた
めに，あらかじめ定めた連絡経路に従って B 社から連絡した。

エ迅速に対応するために，特定の情報セキュリティインシデントの一次対応においては，事前に定めた対応手順よりも，経験豊かな B 社担当者の判断を優先した。

エ：事前に定めた手順通りに実施する必要がある。

007

春
秋

H29 春期 SG 午前

008

問

9

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

問9

イ

解説

暗号の危殆化に該当するものはどれか。

危殆化とは，コンピュータの計算性能の向上により，解読に必要な計算時間が現実的な時間に近づくことで，解読される可能性が生じ，暗号の安全性が低下することでア

暗号化通信を行う前に，データの伝送速度や，暗号の設定情報などを交換することある。

イ

考案された当時は容易に解読できなかった暗号アルゴリズムが，コンピュータの性

ア：暗号化通信の接続手順の説明である。

能の飛躍的な向上などによって，解読されやすい状態になること
ウ

自身が保有する鍵を使って，暗号化されたデータから元のデータを復元すること

エ

元のデータから一定の計算手順に従って疑似乱数を求め，元のデータをその疑似乱

ウ：復号化の説明である。
エ：暗号化の説明である。

問 10数に置き換えること

解説

問 10

正解

完璧

直前
チェック

情報セキュリティにおけるタイムスタンプサービスの説明はどれか。

ウ
タイムスタンプサービスとは，ファイルなどの電子データにおいて，その作成や更新などが行われた日時を証明するサービス。タイムスタンプ機関によるタイムスタンプ
は，電子データに対して正確な日付情報を付与し，その時点での電子データの存在証明と非改ざん証明を行う仕組み，あるいは技術を意味する。タイムスタンプは電子公証，電子署名法において利用され，知的財産やプレスリリースといった新規性の証明や発行日時のア

公式の記録において使われる全世界共通の日時情報を，暗号化通信を用いて安全に
指紋，声紋，静脈パターン，網膜，虹彩などの生体情報を，認証システムに登録しイた日時を用いて認証するサービスウ

証明が必要な電子文書に付与する。
ア：日本の時刻は，日本標準時である。NICT インターネット時刻供給サービスが，提供表示する Web サービス

電子データが，ある日時に確かに存在していたこと，及びその日時以降に改ざんさしている。
イ：生体認証の日時を登録するものではない。
エ：日常情報の改ざん検知は，タイムスタンプサービスとは関連していない。

れていないことを証明するサービス
エネットワーク上の PC やサーバの時計を合わせるための日時情報を途中で改ざんされないように通知するサービス

問 11

ウ

解説
JIS Q 27001：2014：組織の事業リスク全般に対する考慮のもとで文書化した ISMS

問 11

正解

完璧

直前
チェック

JIS Q 27001 : 2014（情報セキュリティマネジメントシステム― 要求事項）において，組（Information Security Management System）の確立，導入，運用，監視，レビュー，維持及び改善のための要求事項が規定されている。規格内では，組織の管理下で働く人々
は，次の事項に関して認識をもたなければならないとされる。

織の管理下で働く人々が認識をもたなければならないとされているのは， ISMS の有効a） 情報セキュリティ方針

性に対する自らの貢献 及び ISMS 要求事項に適合しないことの意味 ともう一つはどb） 情報セキュリティパフォーマンスの向上によって得られる便益を含む，ISMS の有効性に対する自らの貢献

れか。

c） ISMS 要求事項に適合しないことの意味

ア

情報セキュリティ適用宣言書

イ

情報セキュリティ内部監査結果

ウ

情報セキュリティ方針

エ

情報セキュリティリスク対応計画

情報セキュリティ適用宣言書：必要な管理策及びそれらの管理策を含めた理由である。
情報セキュリティ内部監査結果：内部監査の結果である。
情報セキュリティリスク対応計画：組織の情報セキュリティに対するリスクをどのように対応するかの計画書である。

009

春
秋

H29 春期 SG 午前

010

問 12

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

情報セキュリティ管理を行う上での情報の収集源の一つとして JVN が挙げられる。

問 12
解説

ウ
JVN（Japan Vulnerability Notes）は，日本で使用されているソフトウェアなどの脆

弱性関連情報とその対策情報を提供し，情報セキュリティ対策に資することを目的とする

JVN が主として提供する情報はどれか。

脆弱性対策情報ポータルサイトである。JPCERT コーディネーションセンター（JPCERT/

ア

工業製品などに関する技術上の評価や製品事故に関する事故情報及び品質情報

イ

国家や重要インフラに影響を及ぼすような情報セキュリティ事件・事故とその対応
情報CC）と，独立行政法人情報処理推進機構（IPA）が共同運営している。
ア：NITE（National Institute of Technology and Evaluation：独立行政法人 製品評価技術基盤機構）が実施する内容である。
イ：NISC（National center of Incident readiness and Strategy for Cybersecurity：内閣サイウ

ソフトウェアなどの脆弱性関連情報や対策情報エ

日本国内で発生した情報セキュリティインシデントの相談窓口に関する情報

バーセキュリティセンター）が実施する内容である。
エ：IPA（Information-technology Promotion Agency, Japan：独立行政法人 情報処理推進機構）が実施する内容である。

問 13

正解

完璧

直前
チェック

問 13

NIDS（ネットワーク型 IDS）を導入する目的はどれか。

解説

アNIDS（ネットワーク型 IDS：Intrusion Detection System）は，保護する機器へのア

管理下のネットワークへの侵入の試みを検知し，管理者に通知する。

ネットワーク経路上に設置して，ネットワーク上流れる通信内容で不正アクセス等の可能イ

実際にネットワークを介して Web サイトを攻撃し，侵入できるかどうかを検査する。

性があると判断されたものをネットワーク管理者に通知するシステムである。

ウ

ネットワークからの攻撃が防御できないときの損害の大きさを判定する。

イ：ペネトレーションテストの説明である。

エネットワークに接続されたサーバに格納されているファイルが改ざんされたかどう

ウ：リスク分析の説明である。

かを判定する。

問 14

正解

完璧

直前
チェック

内部不正による重要なデータの漏えいの可能性を早期に発見するために有効な対策はどれか。

エ：ホスト型 IDS の説明である。

問 14
解説

ア
内部不正による重要なデータの漏えいの可能性をチェックするためには，アクセ

スログの定期的な確認と解析が有効である。内部不正は，システムにアクセスできる人の犯行であるため，だれがどのような行動をとっているかを確認することが必要である。
イ：ウイルス対策では，ウイルスによる情報漏洩の対策となるが，内部不正は検知できア

アクセスログの定期的な確認と解析

イ

ウイルス対策ソフトの導入

ウ

重要なデータのバックアップエ

ノート PC の HDD 暗号化

ない。
ウ：データのバックアップは，システム障害などで情報の損失を回避できるが，内部不正は検知できない。
エ：ノート PC の HDD 暗号化は，情報漏洩対策であるが，内部不正は検知できない。

011

春
秋

H29 春期 SG 午前

012

問 15

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

問 15
解説

ディジタルフォレンジックスの説明として，適切なものはどれか。

エディジタルフォレンジックスとは，コンピュータやデジタル記憶媒体に残された法的な証拠に関わる科学的調査のことである。コンピュータの状態や記録の証拠性を確保

アあらかじめ設定した運用基準に従って，メールサーバを通過する送受信メールをフ析，ハードディスクの解析・復旧・復元などを行うとき，データの証拠性が失われないよィルタリングすること

うに，改ざん防止や改ざん検出の手段が講じられていることが必要である。このような，

イ

外部からの攻撃や不正なアクセスからサーバを防御することウ

磁気ディスクなどの書換え可能な記憶媒体を廃棄する前に，単に初期化するだけではデータを復元できる可能性があるので，任意のデータ列で上書きすること

エ

し，法的問題を解決するための手法である。例えばシステムのファイルやログの収集・分

不正アクセスなどコンピュータに関する犯罪に対してデータの法的な証拠性を確保できるように，原因究明に必要なデータの保全，収集，分析をすること

問 16

正解

完璧

直前
チェック

サーバへのログイン時に用いるパスワードを不正に取得しようとする攻撃とその対策の組合せのうち，適切なものはどれか。

コンピュータ犯罪の調査・分析をして証拠を検出するための取組みのことである。
ア：メールフィルタリングの説明である。
イ：ファイアーウォールの説明である。
ウ：データの完全消去の手順である。

問 16

ア

解説
辞書攻撃：辞書にある単語を利用してパスワードを不正に取得する方式。辞書に載らないようなランダムなパスワードを付けることで防ぐことが可能。
スニッフィング：パスワードを盗聴することで不正に取得する方式。パスワードを平文で辞書攻撃

スニッフィング

ブルートフォース攻撃ア

推測されにくいパス
ワードを設定する。

パスワードを暗号化して送信する。

ログインの試行回数に制限を設ける。

イ

推測されにくいパス
ワードを設定する。

ログインの試行回数に制限を設ける。

パスワードを暗号化して送信する。

ウ

パスワードを暗号化して送信する。

ログインの試行回数に制限を設ける。

推測されにくいパス
ワードを設定する。

エ

ログインの試行回数に制限を設ける。

推測されにくいパス
ワードを設定する。

パスワードを暗号化して送信する。

送らず，暗号化することで防ぐことが可能。
ブルートフォース攻撃：総当り攻撃とも呼ばれる。パスワードとなり得る文字列を全て試行してパスワードを不正に取得する方式。攻撃の回数が多くなるため，ログイン時の失敗回数でロックをかけるなどの制限で防ぐことが可能。

013

春
秋

H29 春期 SG 午前

014

問 17

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

1 台のファイアウォールによって，外部セグメント，DMZ，内部セグメントの三つのセグメントに分割されたネットワークがある。このネットワークにおいて，Web サー

問 17
解説

ウ
DMZ（DeMilitarized Zone）は，ファイアウォールによってネットワーク上に隔離された区画を作り，外部とのアクセスの中継となるサーバを配置する。

バと，重要なデータをもつデータベースサーバから成るシステムを使って利用者向けの本問の場合，Web サーバは外部からのアクセスが必要となるため外部からの通信が可

サービスをインターネットに公開する場合，インターネットからの不正アクセスから重能となる DMZ に設置する。DB サーバは，外部からの直接アクセスができないよう内部

要なデータを保護するためのサーバの設置方法のうち，最も適切なものはどれか。ここセグメントに設置する。

で，ファイアウォールでは，外部セグメントと DMZ との間及び DMZ と内部セグメン
トとの間の通信は特定のプロトコルだけを許可し，外部セグメントと内部セグメントと

問 18の間の直接の通信は許可しないものとする。

解説ウ
2 要素認証は，IC カードと生体認証といった異なる二つの情報を組合せ認証することで認証の安全性を高める考え方である。一般的に認証に用いられる情報は，本人のみ

ア

Web サーバとデータベースサーバを DMZ に設置する。

イ

Web サーバとデータベースサーバを内部セグメントに設置する。

ウ

Web サーバを DMZ に，データベースサーバを内部セグメントに設置する。

エ

Web サーバを外部セグメントに，データベースサーバを DMZ に設置する。

が知っている情報（例えばバスワード）や，ワンタイムパスワードのトークン，生体情報となる。
ア：クライアント証明書と，ハードウェアトークンは同様の仕組みであるため１要素となる。
イ：静脈認証と声紋認証は，本人の生体認証であるため 1 要素となる。

問 18
2 要素認証に該当する組みはどれか。
ア

クライアント証明書，ハードウェアトークン

イ

静脈認証，指紋認証

ウ

パスワード認証，静脈認証

エパスワード認証，秘密の質問の答え

正解

完璧

直前
チェック

ウ：パスワード認証と，静脈認証は，2 要素となる。
エ：パスワード認証と，パスワードリマインダは，本人のみが知っている情報であるため
1 要素である。

015

春
秋H29 春期 SG 午前

016

問 19

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

二者間で商取引のメッセージを送受信するときに，送信者のディジタル証明書を使用

問 19
解説

ウ
ディジタル証明書は，二者間でメッセージ送信する場合に，送信者が受信者にメッセージを改ざんされていないことを保証するための仕組みに利用される。

して行えることはどれか。

ア，イ：公開鍵暗号方式の説明である。

ア

受信者が，受信した暗号文を送信者の公開鍵で復号することによって，送信者の購入しようとした商品名が間違いなく明記されていることを確認する。

イ

エ：ディジタル証明書は，改ざん検知であるが，盗聴の防止はできない。盗聴の防止は，
公開鍵暗号方式によって行う。

受信者が，受信した暗号文を送信者の公開鍵で復号することによって，メッセージ

問 20の盗聴を検知する。
ウ

受信者が，受信したディジタル署名を検証することによって，メッセージがその送信者からのものであることを確認する。

エ

送信者が，メッセージに送信者のディジタル証明書を添付することによって，メッ
セージの盗聴を防止する。

解説ウ
ハッシュ関数は，メッセージから一定長のメッセージダイジェスト（MD）を生成されるために用いられる。ハッシュ関数に求められる性質は，異なるメッセージから同じ
MD が容易に生成できないことや，MD から元のメッセージが復元できないことである。
ア：二つの異なるメッセージは，容易に求められない必要がある。
イ：メッセージが異なっていると，メッセージダイジェストも異なる。

問 20

正解

完璧

直前
チェック

ディジタル署名などに用いるハッシュ関数の特徴はどれか。

エ：メッセージダイジェストは一定長である。

問 21

ア

同じメッセージダイジェストを出力する二つの異なるメッセージは容易に求められる。

イ

メッセージが異なっていても，メッセージダイジェストは全て同じである。

ウ

メッセージダイジェストからメッセージを復元することは困難である。

エメッセージダイジェストの長さはメッセージの長さによって異なる。

解説
ソーシャルエンジニアリング：コンピュータやネットワークの管理者や利用者に対して，話術や盗み見（聴き）など「社会的」な手段によって，パスワードなどの重要情報を入手することである。攻撃者は人間の心理的な隙や行動のミスにつけ込み不正に情報を得る。
イ：キーロガーによる情報搾取の説明である。
ウ：辞書攻撃の説明である。

問 21

正解

完璧

直前
チェック

ソーシャルエンジニアリングに該当するものはどれか。
ア

オフィスから廃棄された紙ごみを，清掃員を装って収集して，企業や組織に関する重要情報を盗み出す。

イ

キー入力を記録するソフトウェアを，不特定多数が利用する PC で動作させて，利用者 ID やパスワードを窃取する。
ウ

日本人の名前や日本語の単語が登録された辞書を用意して，プログラムによってパスワードを解読する。

エ

利用者 ID とパスワードの対応リストを用いて，プログラムによって Web サイトへのログインを自動的かつ連続的に試みる。

ア

エ：パスワードリスト攻撃の説明である。

017

春
秋

H29 春期 SG 午前

018

問 22

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

問 22
解説

ディジタル署名に用いる鍵の組みのうち，適切なものはどれか。

エディジタル署名とは，電子文書の送信者の正当性と電子文書の非改ざん性を保証するために付加された，暗号化された署名情報である。送信者は，自身の秘密鍵（署名鍵）
ディジタル署名の作成に用いる鍵

ディジタル署名の検証に用いる鍵

ア

共通鍵

秘密鍵

イ

公開鍵

秘密鍵

ウ

秘密鍵

共通鍵

エ

秘密鍵

公開鍵

で暗号化した署名を電子文書に付加して送る。受信者は，送信者の公開鍵を用いて署名を復号して，正しい内容かどうかを確認する。また，第三者によって電子文書が改ざんされていないか，偽造されたものでないかを確認することもできる。

問 23
解説

イ
ディレクトリトラバーサル攻撃とは，Web サーバなどで相対パス記法を利用して，管理者や利用者の想定とは別のディレクトリのファイルを指定するソフトウェアの攻

問 23

正解

完璧

直前
チェック

ディレクトリトラバーサル攻撃に該当するものはどれか。

撃方法である。相対パス記法を悪用したディレクトリトラバーサル攻撃を受けた場合，許可されたディレクトリ・ファイル以外の意図しないファイルが読み出され，情報が漏えいすることや，既存のファイルが破壊されるなどの危険がある。
ア：SQL インジェクションの説明である。

ア

攻撃者が，Web アプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，管理者の意図していない SQL 文を実行させる。
イ

攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。

ウ

攻撃者が，利用者を Web サイトに誘導した上で，Web アプリケーションによるHTML 出力のエスケープ処理の欠陥を悪用し，利用者の Web ブラウザで悪意のある
スクリプトを実行させる。
エセッション ID によってセッションが管理されるとき，攻撃者がログイン中の利用者のセッション ID を不正に取得し，その利用者になりすましてサーバにアクセスする。

ウ：クロスサイトスクリプティングの説明である。
エ：セッションハイジャックの説明である。

019

春
秋

H29 春期 SG 午前020

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

問 24

正解

完璧

直前
チェック

JIS Q 27000 : 2014（情報セキュリティマネジメントシステム―用語）における真正性及

問 24
解説

イ
JIS Q 27000：2014 は，組織の事業リスク全般に対する考慮のもとで文書化したISMS（Information Security Management System）の規格である。

び信頼性に対する定義 a 〜 d の組みのうち，適切なものはどれか。

a：信頼性の説明である。
b：真正性の説明である。

〔定義〕

c：可用性の説明である。

a

意図する行動と結果とが一貫しているという特性b

エンティティは，それが主張するとおりのものであるという特性

d：機密性の説明である。

認可されたエンティティが要求したときに，アクセス及び使用が可能であるという

c

問 25

特性
認可されていない個人，エンティティ又はプロセスに対して，情報を使用させず，d

また，開示しないという特性

エ

解説
CA（Certification Authority：認証局）：取引当事者の公開鍵証明のためのディジタル証明書を発行することや，有効期限切れ証明書のリスト発行などを行う。

真正性

信賴性

ア

a

c

イ

b

a

ウ

b

d

エ

d

a

CP（Certificate Policy：証明書ポリシー）：電子証明書の利用目的や，適用範囲などの方針を示した文書である。
CPS（Certification Practice Statement：証明局運用規定）：CP を運営するための実施手順などを示したものである。
CRL（Certificate Revocation List：証明書失効リスト）：有効期間中に失効した公開鍵証明書を記載したリストで，認証局から発行される。公開鍵証明書の検証時の公開鍵証明書
失効確認に使用するため，常に参照される。

問 25

正解

完璧

直前
チェック

何らかの理由で有効期間中に失効したディジタル証明書の一覧を示すデータはどれか。
ア

CA

イ

CP

ウ

CPS

エ

CRL

021

春
秋

H29 春期 SG 午前

022

問 26

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

クレジットカードなどのカード会員データのセキュリティ強化を目的として制定され，技術面及び運用面の要件を定めたものはどれか。

イ

春ISMS 適合評価制度：国際的に整合性のとれた情報セキュリティマネジメントに対する第

秋

問 26
解説

三者適合性評価制度で，情報セキュリティ全体の向上に貢献するとともに，諸外国からも信頼を得られる情報セキュリティレベルを達成することを目的としたものである。

ア

ISMS 適合性評価制度

イ

PCI DSSウ

特定個人情報保護評価エ

プライバシーマーク制度

PCI DSS（Payment Card Industry Data Security Standard）：クレジットカードのカード会
員のデータセキュリティを強化し，均一なデータセキュリティ評価基準を推進するために策定されたものである。

問 27

正解

完璧

直前
チェック

不正が発生する際には 不正のトライアングル の 3 要素全てが存在すると考えられている。 不正のトライアングル の構成要素の説明として，適切なものはどれか。
ア

機会 とは，情報システムなどの技術や物理的な環境，組織のルールなど，内部者による不正行為の実行を可能又は容易にする環境の存在である。

イ

情報と伝達 とは，必要な情報が識別，把握及び処理され，組織内外及び関係者
相互に正しく伝えられるようにすることである。

ウ

正当化 とは，ノルマによるプレッシャなどのことである。

エ動機 とは，良心のかしゃくを乗り越える都合の良い解釈や他人への責任転嫁など，内部者が不正行為を自ら納得させるための自分勝手な理由付けである。

023

特定個人情報保護評価：特定個人情報ファイルを保有しようとする，または保有する国の行政機関や地方公共団体等が，個人のプライバシー等の権利利益に与える影響を予測した上で特定個人情報の漏えいその他の事態を発生させるリスクを分析し，そのようなリスクを軽減するための適切な措置を講ずることを宣言するものである。
プライバシーマーク制度：個人情報保護に関して一定の要件を満たした事業者に対し，財団法人日本情報処理開発協会（JIPDEC）から使用を認められる登録商標（サービスマーク）のことである。プライバシーマーク取得にあたっては JIS Q 15001（個人情報保護マ
ネジメントシステム−要求事項）に適合した個人情報保護体制を構築・運用していることが必要である。

問 27
解説

ア
不正のトライアングルとは，米国の犯罪学者 D.R. クレッシーが提唱した，人が不正行為を実現化するときの理論である。不正行為は，① 機会，② 動機，③ 正当化が揃ったときに実行され，逆に，この三つが揃わないと不正は発生しない。
ア：機会の説明である。
イ：情報と伝達は，不正のトライアングルの構成要素ではない。
ウ：動機の説明である。
エ：正当化の説明である。

H29 春期 SG 午前

024

問 28

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

OSI 基本参照モデルのネットワーク層で動作し， 認証ヘッダ（AH） と 暗号ペイロード（ESP） の二つのプロトコルを含むものはどれか。

ア春

IPsec（IP Security Protocol）：データの完全性検証に用いる AH（Authentication Header）と，

秋

問 28
解説

データの暗号化に用いる ESP（Encapsulating Security Payload）の二つのセキュリティプ

ア

IPsec

イ

S/MIME

ウ

問 29

エ

SSH

ロトコルから構成されている。

XML 暗号

S/MIME（Secure / Multipurpose Internet Mail Extensions）：MIME（電子メールの機能を拡張する規格）に暗号化とディジタル署名の機能を追加した規格のことである。メール

正解

完璧

直前
チェック

WAF（Web Appication Firewall）におけるブラックリスト又はホワイトリストの説明のうち，適切なものはどれか。
ブラックリストは，脆弱性がある web サイトの IP アドレスを登録するものであり，

ア該当する通信を遮断する。
イ

ブラックリストは，問題がある通信データパターンを定義したものであり，該当す

る通信を遮断又は無害化する。
ウ

ホワイトリストは，暗号化された受信データをどのように復号するかを定義したものであり，復号鍵が登録されていないデータを遮断する。
エホワイトリストは，脆弱性がない Web サイトの FQDN を登録したものであり，登録がない Web サイトへの通信を遮断する。

025

アドレスごとに公開鍵を用意する。
SSH（Secure Shell）：リモートからホストのシェルを操作する際に，通信路を暗号化技術を用いて保護する仕組みである。
XML 暗号

XML（Extensible Markup Language）：文書を構造的に記述するためのマーク

アップ言語の暗号化を規定する内容である。

問 29

イ

解説
WAF：Web アプリケーションのやり取りを把握・管理することによって不正侵入を防御するファイアウォール。プログラムに渡される入力内容などを直接に検査することによって，不正と見なされたアクセス要求を遮断する仕組みが採用されている。クライアン
トの操作する Web ブラウザと Web サーバ間に介在し，ブラウザとの直接的なやり取り
を WAF が受け持つ。SQL インジェクションやクロスサイトクリプティング，強制ブラ
ウジングといった要求は WAF が遮断する。
ブラックリスト：問題のある通信データパターンが定義される。ブラックリストに登録された通信は遮断もしくは無効化される。
ホワイトリスト：問題のない正規の通信データパターンが定義されている。ホワイトリス
トに登録された通信は通過できるが，それ以外の通信は遮断もしくは無効化される。
ア：脆弱性があるWebサイトを登録するものではない。通過させたなくない場合に登録する。
ウ：暗号化，復号化の定義ではない。
エ：脆弱性がない Web サイトを登録するものではない。通過させる場合に登録する。

H29 春期 SG 午前

026

問 30

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

問 30
解説

Web サーバの検査におけるポートスキャナの利用目的はどれか。

ア
ポートスキャナ（Port Scanner）とは，PC やサーバなどネットワークに接続されている機器のアクセス可能な通信ポートを確認するツールである。不要なサービスの起動

ア

Web サーバで稼働しているサービスを列挙して，不要なサービスが稼働していな

イ：ポートスキャナで利用者 ID の管理状況を確認することはできない。

いことを確認する。
イ

について確認することなどに利用する。

Web サーバの利用者 ID の管理状況を運用者に確認して，情報セキュリティポリシからの逸脱がないことを調べる。
ウ

Web サーバへのアクセス履歴を解析して，不正利用を検出する。

エ

正規の利用者 ID でログインし，Web サーバのコンテンツを直接確認して，コンテンツの脆弱性を検出する。

ウ：ポートスキャナではアクセス履歴の解析はできない。
エ：ポートスキャナではログインする形での確認は行わない。

問 31
解説

イ
電子署名法は，「電子署名に関し，電磁的記録の真正な成立の推定，特定認証業

務に関する認定の制度その他必要な事項を定めることにより，電子署名の円滑な利用の確

問 31

正解

完璧

直前
チェック

電子署名法に関する記述のうち，適切なものはどれか。

保による情報の電磁的方式による流通及び情報処理の促進を図る」法律である。電子署名には，民事訴訟法における押印と同様の効力が認められている。
ア：電子署名には，電磁的記録以外は含まれない。
ウ：民間の認証業者では，認証業務のうち一定の基準を満たすものは総務大臣，経済産業

ア

電子署名には，電磁的記録以外で，コンピュータ処理の対象とならないものも含ま

大臣及び法務大臣の認定を受けることで実施することができる。
エ：電子署名の暗号方式は指定されていない。

れる。
イ

電子署名には，民事訴訟法における押印と同様の効力が認められる。

ウ

電子署名の認証業務を行うことができるのは，政府が運営する認証局に限られる。

エ

電子署名は共通鍵暗号技術によるものに限られる。

問 32
解説

ウ
売買契約は，インターネットショッピングの売主が財産権を移転する義務を負い，買主がその代金を支払う義務を負うことについて契約で定めたものとなる。消費者が購入

問 32

正解

完璧

直前
チェック

インターネットショッピングで商品を購入するとき，売買契約が成立するのはどの時点か。
ア

消費者からの購入申込みが事業者に到達した時点

イ

事業者が消費者宛てに承諾の通知を発信した時点

ウ

事業者からの承諾の通知が消費者に到達した時点

エ

商品が消費者の手元に到達した時点を申し込み，事業者からの承諾の通知が消費者に到達した時点で売買契約は成立する。

027

春
秋

H29 春期 SG 午前

028

問 33

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

問 33
解説

不正競争防止法で保護されるものはどれか。

エ
不正競争防止法とは，市場における競争が公正に行われるよう，営業秘密の保護，信用の保護などを定めている。また，公正な競争を阻害する不当な行為や不法行為を禁止

ア

特許権を取得した発明している。不正競争防止法で保護されるトレードシークレットは，秘密性，有用性，非公イ

頒布されている自社独自のシステム開発手順書

知性の三つの要件をみたすことが求められる。

ウ

秘密として管理していない，自社システムを開発するための重要な設計書

エ

秘密として管理している，事業活動用の非公開の顧客名簿

ア：特許権は特許法で保護される。
イ：頒布されていることから，非公知性がみたされない。
ウ：秘密として管理されている有用な顧客名簿であり，公知されていないことから，トレードシークレットとして不正競争防止法で保護される。

問 34

正解

完璧

直前
チェック

著作権法による保護の対象となるものはどれか。

エ：顧客名簿は，個人情報保護法の対象である。

問 34

ア

ア

ソースプログラムそのもの

解説

イ

データ通信のプロトコル

物の創作者である著作者に著作権（著作財産権）や著作者人格権という権利を付与し，利ウプログラムに組み込まれたアイディア

益を保護する。操作マニュアルなど作成されたものは著作権によって保護される。アルゴエプログラムのアルゴリズム

リズム，プログラム言語，プロトコルは著作権法によって保護されない。

問 35

正解

完璧

直前
チェック

時間外労働に関する記述のうち，労働基準法に照らして適切なものはどれか。
ア

裁量労働制を導入している場合，法定労働時間外の労働は従業員の自己管理としてよい。

イ

事業場外労働が適用されている営業担当者には時間外手当の支払はない。

ウ

年俸制が適用される従業員には時間外手当の支払はない。

エ法定労働時間外の労働を労使協定（36 協定）なしで行わせるのは違法である。

問 35
解説

著作権法とは，知的財産権の一つである著作権について定めた法律である。著作エ
労働基準法とは，労働に関する規制等を定める法律。賃金，就業時間，休息その他の勤労条件に関する基準が定められている。時間外および休日の労働を認めるためには労使の協定を必要とする。「会社」と「従業員の過半数で組織された労働組合」，労働組合がない場合は労働者の過半数を代表する者が協定書面を締結し，行政官庁（労働基準監督署）に届け出ることが労働基準法第 36 条（36 協定）に定められている。
ア：裁量労働制であっても，法定労働時間外の管理は会社にて管理しなければならない。
イ：事業場外であっても，時間外労働手当の支給は必要である。
ウ：年俸制であっても，時間外労働手当の支給は必要である。
エ：36 協定なしで時間外労働を行わせるのは違法である。

029

春
秋

H29 春期 SG 午前

030

問 36

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

特権 ID（システムの設定，データの操作，それらの権限の設定が可能な ID）の不正使

問 36
解説

ア
特権 ID とは，システムの設定，データの操作，それらの権限の設定が可能な ID

で，システムに対して各種作業が可能となる。そのため，不正に利用することで重要なデ用を発見するコントロールとして，最も有効なものはどれか。

ータの持ち出しなどが可能となるため，厳密に管理する ID である。

ア

特権 ID の貸出し及び返却の管理簿と，特権 ID の利用ログを照合する。

イ

特権 ID の使用を許可された者も，通常の操作では一般利用者 ID を使用する。

ウ

特権 ID の使用を必要とする者は，使用の都度，特権 ID の貸出しを受ける。

エ

特権 ID の設定内容や使用範囲を，用途に応じて細分化する。

問 37

正解

完璧

ア：利用ログの照合は不正使用の発見に有効な手段である。
イ：不正使用の発見とは関連していない。通常の利用方法の説明である。
ウ：特権 ID の貸し付けを受けるだけでは，不正使用される可能性を確認できない。
エ：特権 ID の使用範囲の細分化は，不正使用の範囲を狭めることはできるが，不正使用の発見にはならない。

直前
チェック

システムテストの監査におけるチェックポイントのうち，最も適切なものはどれか。

問 37
解説

エ
システムテストの監査を行う際に，システム管理基準を利用することで監査の指針が明確となる。システム監査基準では，組織体が情報システムにまつわるリスクに対し

ア

テスト計画は事前に利用者側の責任者だけで承認されていることイ

テストは実際に業務が行われている環境で実施されていること

述がある。

ウ

テストは独立性を考慮して，利用者側の担当者だけで行われていること・システムテスト計画は，開発およびテストの責任者が承認することエ

例外ケースや異常ケースを想定したテストが行われていること・システムテストは，開発当事者以外の者が参画することてコントロールを適切に整備・運用することを目的にしている。テストに関しては次の記・システムテストは，本番環境と隔離された環境で行うこと・システム要求事項を網羅してテストケースを設定して行うこと
これらによりアとウは誤りである。システムテストは基本的には開発当事者が行うものであるが，システム管理基準では，開発当事者以外の者の参画を求めている。したがって，
イも誤りである。システム管理基準では，例外ケースや異常ケースを想定したテストを直接は求めていないが，システム要求事項を網羅したテストケースを要求している。システ
ム要求事項には例外ケースや異常ケースの場合の対応も含まれると考えられるので，エが適切となる。

031

春
秋

H29 春期 SG 午前

032

問 38

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

システム監査人が，監査報告書の原案について被監査部門と意見交換を行う目的とし

問 38
解説

ウ
監査報告書の原案について被監査部門と意見交換では，監査報告書に記載する指摘事項及び改善勧告について，事実誤認がないことを確認するために行われる。原案の確て，最も適切なものはどれか。

認は，是正勧告や，事実関係を，報告書として経営者に報告される前にご認識がないこと

ア

監査依頼者に監査報告書を提出する前に，被監査部門に監査報告を行うため

イ

監査報告書に記載する改善勧告について，被監査部門の責任者の承認を受けるため

ウ

監査報告書に記載する指摘事項及び改善勧告について，事実誤認がないことを確認するため

エ

監査報告書の記載内容に関して調査が不足している事項を被監査部門に口頭で確認することによって，不足事項の追加調査に代えるため

問 39

正解

を再確認する。誤った監査結果が報告されると，その後の対応などが非効率になるなど問題が出る可能性があるためである。
ア：監査報告を行うためではない。
イ：責任者の承認を得るためではない。
エ：調査不足の確認ではない。

問 39
完璧

直前
チェック

システム障害管理の監査で判明した状況のうち，監査人が監査報告書で報告すべき指解説

ウ
システム障害管理の監査では，システム障害の種類や発生箇所，影響度に合わせて報告ルートを定めることが一般的である。重大な障害は経営者への報告や，日常の軽微な障害は，管理担当者への報告など影響度に合わせた対応方法の設定が必要である。

摘事項はどれか。

ア，イ，エ：システム障害管理の対応として，正しい内容である。

アシステム障害対応マニュアルが作成され，オペレータへの周知が図られている。

イ

システム障害によってデータベースが被害を受けた場合を想定して，規程に従って，

問 40

データのバックアップをとっている。
ウ

システム障害の種類や発生箇所，影響度合いに関係なく，共通の連絡・報告ルートが定められている。

エ

全てのシステム障害について，障害記録を残し，責任者の承認を得ることが定めら
れている。

問 40

解説

イ
システム利用部門の利用者と，情報システム部門の運用者の合同での運用テスト

では，利用者は，システムが決められた業務手順通りに稼働することを確認する。二つの部門が合同で実施するということであるため，利用者は利用者側の手順を確認することが必要である。
ア，ウ：運用部門が確認する内容である。
エ：開発部門が主に確認する内容である。

正解

完璧

直前
チェック

システムの利用部門の利用者と情報システム部門の運用者が合同で，システムの運用テストを実施する。利用者が優先して確認すべき事項はどれか。
アオンライン処理，バッチ処理などが運用手順どおりに稼働することイ

システムが決められた業務手順どおりに稼働することウ

システムが目標とする性能要件を満たしていることエ

全てのアプリケーションプログラムが仕様どおりに機能すること

033

春
秋

H29 春期 SG 午前

034

問 41

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

IT サービスマネジメントにおける運用レベル合意書（OLA）の説明はどれか。

問 41
解説

ウ
運用レベル合意書（OLA）とは，SLA を実現するために，サービス提供者が同じ組織内の内部グループとの間で取り交わす合意書。サービスデスクなどの内部グループとア

サービス提供者と供給者との間で取り交わした合意文書であり，サービス及びサー

ア：基盤となる契約（UC）に関する説明である。

ビス目標を定義した文書である。
イ

サービス提供者と顧客との間で取り交わした合意文書であり，サービス及びサービ
ス目標を定義した文書である。

ウ

サービス提供者との間の合意事項をとりまとめた文書である。
イ：SLA の説明である。
エ：サービス仕様書もしくはサービス定義書の説明である。

サービス提供者と内部グループとの間で取り交わした合意文書であり，サービス及問 42

びサービス目標を定義した文書である。
エサービス内容を顧客に提示するための文書であり，提供する全てのサービスの種類や構成を定義した文書である。

イ

解説
IT サービスマネジメント：顧客が必要としている IT サービスを提供するマネジメント活動全般のことである。

問 42

正解

完璧

直前
チェック

IT サービスマネジメントにおける問題管理プロセスの目的はどれか。

問題管理：インシデントの未知の根本原因の追究とその対策，再発防止策の策定を行うプ
ロセスである。
ア：インシデント管理における SLA の内容となる。
ウ：IT サービス継続性管理の内容となる。

ア

インシデントの解決を，合意したサービス目標及び時間枠内に達成することを確実にする。

イ

インシデントの未知の根本原因を特定し，恒久的な解決策を提案したり，インシデントの発生を事前予防的に防止したりする。

ウ

合意した目標の中で，合意したサービス継続及び可用性のコミットメントを果たす
ことを確実にする。

エ全ての変更を制御された方法でアセスメントし，承認し，実施し，レビューすることを確実にする。

エ：変更管理の内容となる。

035

春
秋

H29 春期 SG 午前

036

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

問 43

正解

完璧

直前
チェック

図のアローダイアグラムで表されるプロジェクトは，完了までに最短で何日を要するか。

問 43
解説

ウ
最短での日数を指定された日数から計算する。作業順序は，ABEH，ABGH，

ACGH，ADGH である。ただし，ABE は，ダミー作業がある ACG よりも短いため，ABEH
は計算しなくてもよい。
B
5
C
30

A
30

ABGH：30 + 5 + 30 + 30 = 95 日

E
40

F
25
G
30

D
20

ACGH：30 + 30 + 30 + 30 = 120 日

H
30

ADGH：30 + 20 + 30 + 30 = 110 日
したがって，120 日が正解となる。

凡例
作業名
所要日数

問 44

：ダミー作業

解説イ
ホットスタンバイとは，予備機をいつでも動作可能な状態で待機させておき，障害発生時にただちに切り替える方式である。

ア

105

イ

115

ウ

120

エ

125

ア：コールドスタンバイ方式の説明である。
ウ：デュアルシステムの説明である。

問 44

正解

完璧

直前
チェック

ホットスタンバイ方式を採用したシステム構成の特徴はどれか。
ア

問 45

現用系が故障すると，現用系に対応した待機系に手動で切り替える。正常時には，待機系をバッチジョブに利用できるので，高いシステム稼働率が実現できる。

イ

現用系が故障すると，動作状態にある待機系に自動で迅速に切り替える。故障が発生したことを利用者に感じさせないような切替えが実現できる。

ウ

システムを 3 重に冗長化して並列運転し，それらの処理結果の多数決をとって出力する。高い信頼性が実現できる。
エエ：フォールトトレランスの，3 重系多数決システムの説明である。

ネットワークが異なる複数台の現用系マシンのいずれかが故障すると，1 台の予備機を立ち上げて，ネットワークや制御を自動的に切り替える。費用を抑えながら高い可用性が実現できる。

解説
データウェアハウス：情報の倉庫と呼ばれ，データベースとして大量のデータを整理・分類して蓄積し，経営に役立つ情報としてビジネスで活用するための手段を提供するシス
テムである。企業の様々な活動を介して得られた大量のデータを目的別に整理・統合して蓄積し，意思決定支援などに利用する。
データディクショナリ：データの名称，意味などを定義し管理するものである。
データマイニング：大量に蓄積されるデータ（ビッグデータ）を解析し，そのなかに潜む
項目間の相関関係やパターンなどを探し出す技術である。
メタデータ：記述する情報資源の属性を定義したものである。日付や名前の記述形式，属性値の型などがある。

問 45

正解

完璧

直前
チェック

ビッグデータの活用例として，大量のデータから統計学的手法などを用いて新たな知識（傾向やパターン）を見つけ出すプロセスはどれか。
ア

データウェアハウスイ

データディクショナリ

ウ

データマイニング

エ

メタデータ

ウ

037

春
秋

H29 春期 SG 午前

038

問 46

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

正解

完璧

直前
チェック

PC から Web サーバに HTTP でアクセスしようとしたところ，HTTP レスポンスのス

問 46
解説

ア
HTTP のレスポンスエラーの際に発生する 404 Not Found は，URL で指定されテータスコードが 404，説明文字列が Not Found のエラーとなった。このエラーの説

た Web ページが見つからなかった場合に発生するメッセージである。URL の記載間違い

明として，適切なものはどれか。

や，ページが消えているなどで発生する。
イ，ウ：DNS 検索，HTTP リスクエストのタイムアウトは，一般的に「サーバが見つかりませんでした」といった内容のエラーとなる。

アWeb サーバ内に，URL で指定したページが見つからなかった。

イ

Web サーバのホスト名を DNS で検索したが，見つからなかった。

ウ

Web サーバへの IP パケットの経路が見つからず，HTTP リクエストがタイムアウト

エ： 403 Forbidden が該当するエラーである。

問 47

になった。
エ

Web サーバへのログイン時に指定した利用者 ID が見つからず，ログインが拒否さ
れた。

解説

エ
情報戦略の立案は，経営活動を支援する情報システムのあるべき姿を明確にし，実装する機能を経営戦略に合わせて構築していくことを念頭に行う必要がある。中長期の経営計画と情報戦略の立案は，整合を取って実行していく必要がある。

問 47

正解

完璧

直前
チェック

情報戦略の立案時に，必ず整合性を取るべきものはどれか。

ア：最新技術の確認は必要であるが，情報戦略の立案と必ず整合を取る必要はない。
イ：既存のシステムの改修であるため，情報戦略の立案時に必ず整合を取る必要はない。
ウ：情報システムの年度計画は，予算作成時に整合を取る必要があるが，情報戦略の立案時に必ず整合を取る必要はない。

ア

新しく登場した情報技術

イ

基幹システムの改修計画

ウ

情報システム部門の年度計画

エ

中長期の経営計画

問 48
解説

問 48

正解

完璧

直前
チェック

システム企画段階において業務プロセスを抜本的に再設計する際の留意点はどれか。
ア

新たな視点から高い目標を設定し，将来的に必要となる最上位の業務機能と業務組織のモデルを検討する。

イ

業務改善を積み重ねるために，ビジネスモデルの将来像にはこだわらず，現場レベルのニーズや課題への対応を重視して業務プロセスを再設計する。

ウ

経営者や管理者による意思決定などの非定型業務ではなく，一般社員による購買，製造，販売，出荷，サービスといった定型業務を対象とする。

エ現行業務に関する組織，技術などについての情報を収集し，現行の組織や業務手続に基づいて業務プロセスを再設計する。

ア
業務プロセスを抜本的に再設計することは，BPR（Business Process Re-engineering）という。新たな視点から高い目標を設定し，将来的に必要となる最上位の業務機能と業務組織のモデルを検討する必要がある。
イ：現場のニーズや課題よりも，ビジネスモデルの将来像にこだわる必要がある。
ウ：経営者や管理者による意思決定プロセスも対象となる。
エ：現行の手続きに基づかず，新たに業務プロセスを再設計する。

039

春
秋

H29 春期 SG 午前

040

問 49

平成 29 年度 春期 情報セキュリティマネジメント試験 午前

直前
チェック

問 49

受注管理システムにおける要件のうち，非機能要件に該当するものはどれか。

解説

正解

完璧

イ
各種システムの要件には，大きく機能要件，非機能要件がある。

機能要件：業務システムを開発する上で，業務システムで必要とされる機能を示すもの。

ア

顧客から注文を受け付けるとき，与信残金額を計算し，結果がマイナスになった場

直接業務とは関連しないが，要件としては定義する必要があるもの。

合は，入力画面に警告メッセージを表示できることイ

受注管理システムの稼働率を決められた水準に維持するために，障害発生時は半日以内に回復できること

ウ

非機能要件：機能要件以外の全てを指す。例えば，セキュリティ対応や，可用性といった
ア，ウ，エ：機能要件である。
イ：非機能要件である。

受注を処理するとき，在庫切れの商品であることが分かるように担当者に警告メッ

問 50

セージを出力できること
エ

商品の出荷は，顧客から受けた注文情報を受注担当者がシステムに入力し，営業管理者が受注承認入力を行ったものに限ること

解説ウ
BCP（Business Continuity Plan）とは，事業継続計画のこと。災害や事故など，

不測の事態により企業活動が困難な状況下でも最低限の事業活動を継続し，目標復旧時間以内に再開するために事前に策定される行動計画である。情報システム，事業拠点，工場

問 50

正解

完璧

直前
チェック

企業活動における BCP を説明したものはどれか。

などの生産設備，物流など，緊急時に維持すべきサービスレベルや継続・復旧の優先順位などを決めておく。
ア：アカウンタビリティの説明である。
イ：ナレッジマネジメントの説明である。

ア

企業が事業活動を営む上で，社会に与える影響に責任をもち，あらゆるステークホ
ルダからの要求に対し，適切な説明責任を果たすための取組のこと

イ

形式知だけでなく，暗黙知を含めた幅広い知識を共有して活用することによって，新たな知識を創造しながら経営を実践する経営手法のこと

ウ

災害やシステム障害など予期せぬ事態が発生した場合でも，重要な業務の継続を可能とするために事前に策定する行動計画のこと

エ

組織体の活動に伴い発生するあらゆるリスクを，統合的，包括的，戦略的に把握，評価，最適化し，価値の最大化を図る手法のこと

エ：リスクマネジメントの説明である。

041

春
秋