情報セキュリティマネジメント試験の学習教材

公開済みの教材をログインせずに読めます。改訂中の教材は公開していません。

• 機密性・完全性・可用性の全体像

  予約システムが動いていれば安全でしょうか。画面が開いても、他人の予約が見えたり、予約人数が勝手に変わったりするなら安心して使えません。逆に、情報が漏れず正しく保存されていても、窓口が必要なときに参照できなければ業務は止まります。ここでは架空の施設予約を例に、守りたい状態を三つの視点で整理します。

• 機密性を理解する

  営業部の顧客一覧は、保存先のパスワードを付ければ安全でしょうか。退職者のアカウント、誰でも開ける共有リンク、宛先を間違えたメール、机に残した印刷物からも情報は漏れます。この教材では「誰が、どの情報を、何のために使ってよいか」を軸に、機密性の守り方を追います。

• 完全性を理解する

  在庫システムの画面が開き、アクセス権も適切なのに、残数が実物と違っていたらどうなるでしょう。今回は架空の文具倉庫を使い、数量の誤入力、行の欠落、古いデータの復元を追います。「変更しない」ではなく「正しく変え、正しい状態を確かめる」という完全性の考え方を学びます。

• 可用性を理解する

  朝9時、配送センターで出荷システムが止まりました。昨日のバックアップはあるものの、午前中の注文をどう扱うか、何時までに再開するかが決まっていません。この教材では停止前の備えから復旧後の確認までを時間の流れで考えます。

• 機密性・完全性・可用性の違いと使い分け

  「暗号化は機密性、バックアップは可用性」とだけ覚えると、暗号鍵を失って読めなくなった場合や、古いバックアップで正しい更新を消した場合に迷います。この教材では小さな比較表を頭の中に作り、事実・目的・残るリスクを分けて判断します。

• 機密性・完全性・可用性の試験問題への適用

  定義を覚えた後は、文章から必要な条件を拾う練習です。ここでは架空の受注業務・会員向けサイト・災害時の連絡を使い、解答に至る途中の判断も示します。掲載するのは独自の練習事例で、公式試験問題の転載ではありません。

• 情報資産を理解する

  情報セキュリティ対策の出発点は、守るべきものを明らかにすることです。高価なパソコンだけを数えても、紙の申込書や共有フォルダー内の顧客名簿を見落とせば、必要な対策は決められません。この単元では、情報資産を見つけ、その情報が漏れる・変わる・使えなくなると何が困るのかを考えます。

• 情報資産の試験問題への適用

  受注業務を例に、資産の洗い出しから対策の選択までを練習します。問題文の中の「守る情報」「情報が置かれた場所」「困る出来事」を分けて整理すると、機器名だけに引きずられずに判断できます。

• 脅威と脆弱性を理解する

  情報セキュリティでは、「守るもの」「被害を起こす原因」「被害につながる弱点」を分けます。この三つが混ざると、必要な対策を選べません。顧客名簿を例に、脅威・脆弱性・リスクの関係を具体的に見ていきます。

• 脅威と脆弱性の試験問題への適用

  同じ欠陥でも、公開状態や保存する情報によって優先度は変わります。ここでは保管、公開設定、委託、バックアップの事例を使い、資産・脅威・脆弱性を整理して対策を選びます。

• 認証とMFAを理解する

  認証は、あるアカウントを使おうとしている相手が正当な利用者かを確かめる処理です。パスワードだけに頼らず異なる種類の要素を組み合わせると、一つが漏れただけで侵入される危険を減らせます。

• 認証とMFAの試験問題への適用

  MFAという名前が付いていても、登録・復旧・承認の運用が弱いと入口が残ります。事例のどこで本人を確かめ、どの権限を許しているかを分けて読み、対策の効く範囲を判断します。

• アクセス制御を理解する

  アクセス制御は、誰が、どの情報や機能に、何をしてよいかを決める仕組みです。業務に必要な権限を与える一方、不要な閲覧・更新・削除を防ぎます。本人確認の後にも操作ごとの判断が必要です。

• アクセス制御の試験問題への適用

  「ログインできる」と「その操作をしてよい」は別です。部署、環境、期限、グループ、直接のAPI要求などを含む事例から、実際に許可される範囲を確かめます。

• ハッシュを理解する

  ハッシュはデータから短い値を計算する仕組みです。内容の比較や認証の構成要素として使われますが、暗号化のように元へ戻すためのものではありません。値が一致する意味と、出所を信頼する根拠を分けて考えます。

• ハッシュの試験問題への適用

  ファイルの検証で重要なのは、何と何を比較し、その基準をなぜ信用できるかです。単純な衝突例、SHA-256の長さ、改ざんされた配布ページ、共有鍵による認証を通して保証の限界を確かめます。

• デジタル署名とPKIを理解する

  デジタル署名は、文書と署名者側の鍵との対応や変更の有無を確かめる仕組みです。その公開鍵が誰のものかを結び付ける証明書と、信頼の起点まで順に学びます。暗号化による秘匿とは役割を分けて理解します。

• デジタル署名とPKIの試験問題への適用

  署名検証の成功表示は、何でも信用してよいという意味ではありません。鍵の取り違え、証明書の連鎖、再送、秘密鍵の共有を事例で検討し、どの条件を確認した結果なのか説明できるようにします。

• マルウェアを理解する

  ウイルスという言葉だけで全てをまとめず、広がり方や被害の目的からマルウェアを整理します。侵入を減らす備えから、疑いを見つけたときの報告、復旧と再発防止までを学びます。

• マルウェアの試験問題への適用

  不審なアプリ、暗号化被害、バックアップ、業務再開の事例を読み、利用者と担当者が何を確認するかを判断します。被害の種類と対策の目的を結び付けて考えます。

• フィッシングを理解する

  本物らしい連絡でも、要求どおりに操作する前に立ち止まれるよう、誘導の仕組みを学びます。宅配通知や業務連絡を例に、確認の経路と情報を渡した後の対応を分けて考えます。

• フィッシングの試験問題への適用

  通知・送金・SNSの事例から、信用してよい根拠と確認経路を選びます。入力した情報に応じた初動を考え、技術と業務の両方で再発防止を検討します。

• SQLインジェクションを理解する

  著者名の記号を正しく検索できることと、不正な命令を取り込まないことは、同じ「SQLの構造と値を分ける」設計につながります。具体的な検索例から、根本対策・権限・検証まで学びます。

• SQLインジェクションの試験問題への適用

  検索画面・バッチ・並び替えの事例から、入力がSQLへ渡る経路を追います。基本を確認した後、各事例で残る原因と補助対策を区別して判断します。

• XSSを理解する

  同じ文字列でも、文字として表示するかHTMLとして解釈するかで結果が変わります。投稿・検索・ブラウザ内処理を例に、XSSの発生場所と出力先に合う対策を学びます。

• XSSの試験問題への適用

  掲示板、検索結果、URL由来のDOM更新を例に、何を文字として扱い、どの表示経路を修正するかを判断します。基本の仕組みを確認し、独立した事例問題で対策を選びます。

• バックアップを理解する

  バックアップは、失ったり壊れたりしたデータを戻すための別のコピーです。ここでは保存する方式だけでなく、どの時点へ戻れるか、業務を再開するまで何が必要かを一緒に考えます。

• バックアップの試験問題への適用

  コピーがあるだけでは、必要な時点に、許された時間内で戻せるとは限りません。取得方式、保存期間、権限、復元時間を具体的な障害シナリオに当てはめ、復旧計画の不足を見つけます。