SGは、情報セキュリティの知識だけでなく、組織の状況からリスク・原因・責任・対策を判断する力を問う試験です。科目Bでは長めのケースを読み、最も適切な行動を選ぶ力が重要です。
運営：資格合格.web 運営／更新日 2026-10-05／読了目安 20分
情報セキュリティマネジメント試験 攻略ガイド
情報セキュリティマネジメント試験（SG）は、セキュリティ用語を大量に覚えるだけでは安定して得点しにくい試験です。
本番では、ある組織で何が起きているのかを読み、守るべき資産・脅威・脆弱性・発生し得る影響・実施すべき対策をつなげて判断する必要があります。
特に科目Bでは、長めの状況文から必要な情報を拾い、組織として何をすべきかを選ぶ力が重要です。
このガイドではSGを、単なる「セキュリティ用語試験」ではなく、リスクと対策を文章から判断する試験として攻略します。
このページのケースは、考え方を説明するために資格合格.webが独自に作成した例です。実際の情報セキュリティマネジメント試験の非公開問題を転載・再現したものではありません。
最初に知っておきたい「SGで失点しやすい4パターン」
1. セキュリティ製品名だけを覚える
MFA、暗号化、バックアップ、ファイアウォール、EDRなどを覚えても、「いつ使う対策か」が分からなければ文章問題で迷います。
対策は、何のリスクを下げるためのものかまでセットで覚えます。
2. 脅威と脆弱性を同じものとして読む
攻撃者やマルウェアは脅威になり得ます。
一方、弱いパスワード、未適用の修正プログラム、過剰な権限設定などは脆弱性です。
ここを混ぜると、問題文の因果関係を追えなくなります。
3. 科目Bを最初から最後まで同じ重さで読む
長文を全文暗記しようとすると時間を使います。
最初に設問を確認し、誰の行動・どの資産・どの出来事について問われているかを把握してから本文へ戻る方が効率的です。
4. 「セキュリティに良さそうな対策」を選ぶ
選択肢がすべて正しそうに見えることがあります。
その場合は、「その対策が一般的に良いか」ではなく、問題文で起きている原因に直接効くかを見ます。
SGは120分・60問を一つの流れとして処理する
現行SGは、科目A・科目Bを合わせて120分、60問を解答します。
科目Aは知識を問う四肢択一、科目Bは技能を問う多肢選択式です。
重要なのは、FEのように科目Aと科目Bで試験時間が完全に分かれているわけではなく、一つの120分の中で知識問題と読解問題を処理する点です。
知識問題で長く迷いすぎると、後半の長文読解に使える時間が減ります。
そのため、学習段階から「知っている問題を早く処理する力」と「長文で必要情報を拾う力」を別々に鍛えます。
長文を読む前に「5つの箱」を作る
SGの状況問題では、本文を読み始める前に頭の中に次の5つの箱を作ります。
- 資産：何を守りたいか
- 脅威：何が害を与えるか
- 脆弱性：なぜ被害が起きやすいか
- 影響：起きると何が困るか
- 対策：どの要因を下げるか
資産→リスク
資産：守りたい情報や業務は何か。脅威：攻撃者・マルウェア・災害など、何が害を与えるか。脆弱性：弱いパスワード・未修正ソフトなど、被害につながる弱点は何か。影響：脅威が弱点を突いたとき、資産や業務に何が起きるか。対策：どの要因へ働きかけ、リスクを下げるか。
- 資産守りたい情報や業務は何か。
- 脅威攻撃者・マルウェア・災害など、何が害を与えるか。
- 脆弱性弱いパスワード・未修正ソフトなど、被害につながる弱点は何か。
- 影響脅威が弱点を突いたとき、資産や業務に何が起きるか。
- 対策どの要因へ働きかけ、リスクを下げるか。
たとえば、「共有アカウントを複数人で使用している」という状況なら、単に「危険」と見るのではなく、資産・脆弱性・脅威・影響・対策へ分けます。
この分解ができると、選択肢のどれが原因に近いか判断しやすくなります。
「脅威」「脆弱性」「リスク」は因果関係で覚える
脅威
情報資産へ悪影響を与える可能性があるものです。攻撃者、マルウェア、災害、内部不正などが候補になります。
脆弱性
脅威が被害につながりやすくなる弱点です。弱いパスワード、不要な権限、未修正ソフトウェア、不十分な教育などが該当します。
リスク
脅威が脆弱性を利用し、資産へ影響を与える可能性として考えます。
「用語の定義」を覚えるより、脅威 → 脆弱性 → 影響の流れを作れることが大切です。
対策は「予防・検知・復旧」のどこに効くかを見る
対策を全部同じ種類として覚えると、選択肢が似て見えます。
対策目的
予防・認証強化：MFAなどで不正なアクセスを起こりにくくする。検知：ログ監視などで異常を早く見つける。復旧：バックアップなどで被害から戻れるようにする。機密性保護：暗号化で、情報を読み取られるリスクを抑える。
- 予防・認証強化MFAなどで不正なアクセスを起こりにくくする。
- 検知ログ監視などで異常を早く見つける。
- 復旧バックアップなどで被害から戻れるようにする。
- 機密性保護暗号化で、情報を読み取られるリスクを抑える。
まず大きく、
- 被害を起こりにくくする
- 起きたことを早く見つける
- 被害から戻れるようにする
に分けます。
MFAは認証強化、ログ監視は検知、バックアップは復旧、暗号化は機密性保護というように、今聞かれている目的に最も近い対策を選びます。
科目Bは「設問→登場人物→出来事→根拠」の順で読む
長いケース問題で、最初の一文から全部覚えようとすると負荷が高くなります。
資格合格.webでは、次の順番で読む方法をおすすめします。
ケース読解
設問を先に確認：何を判断する問題かをつかむ。登場人物を確認：誰の行動・責任について問われているかを見る。出来事を探す：どの資産に、どのような問題が起きたかを拾う。原因・条件を拾う：出来事の前後から判断根拠を探す。選択肢と照合：必要なら本文へ戻り、原因に直接効く対応を選ぶ。
- 設問を先に確認何を判断する問題かをつかむ。
- 登場人物を確認誰の行動・責任について問われているかを見る。
- 出来事を探すどの資産に、どのような問題が起きたかを拾う。
- 原因・条件を拾う出来事の前後から判断根拠を探す。
- 選択肢と照合必要なら本文へ戻り、原因に直接効く対応を選ぶ。
- 設問を先に確認する
- 誰について問われているかを見る
- 問題が起きた出来事を探す
- その前後にある原因・条件を拾う
- 選択肢を見て、必要なら本文へ戻る
ミニケース：退職者のアカウントが残っていた
「退職済みの従業員のアカウントが削除されず、後日そのアカウントでアクセスされた」とします。
ここで最初に考えるのは、「どの製品を導入するか」ではありません。
問題の中心は、アカウントライフサイクル管理、退職時の権限削除、利用者管理プロセスです。
ログ監視や暗号化も重要ですが、根本原因に最も直接対応する対策を選びます。
インシデント対応は「正しいこと」より「正しい順番」
セキュリティ事故が起きたとき、やるべきことは複数あります。
しかしSGでは、何をするかだけでなく、いつするかが重要になります。
対応時系列
検知・報告：異常を見つけ、決められた窓口へ報告する。状況確認：何が起き、どこに影響しているかを把握する。影響拡大の抑制：被害の広がりを抑える。原因調査・証拠保全：原因を調べ、必要な記録・証拠を保全する。復旧：安全を確認しながら業務を戻す。再発防止：原因と対応を振り返り、対策を見直す。
- 検知・報告異常を見つけ、決められた窓口へ報告する。
- 状況確認何が起き、どこに影響しているかを把握する。
- 影響拡大の抑制被害の広がりを抑える。
- 原因調査・証拠保全原因を調べ、必要な記録・証拠を保全する。
- 復旧安全を確認しながら業務を戻す。
- 再発防止原因と対応を振り返り、対策を見直す。
大きな流れとして、
- 検知・報告
- 状況確認
- 影響拡大の抑制
- 原因調査・必要な証拠保全
- 復旧
- 再発防止
のように整理します。
実際の組織ではインシデント対応手順や報告要件に従う必要があります。
「誰の責任か」は委託先を含めて分ける
クラウドや外部委託を使っても、委託元の管理責任がゼロになるわけではありません。
責任分担
実施する人・組織：作業を行うのは委託元・委託先・利用者の誰か。承認する人・組織：権限付与や作業を誰が承認するか。監督する人・組織：契約条件や実施状況を誰が確認・評価するか。報告を受ける人・組織：事故や変更を誰へ、どの連絡体制で報告するか。
- 実施する人・組織作業を行うのは委託元・委託先・利用者の誰か。
- 承認する人・組織権限付与や作業を誰が承認するか。
- 監督する人・組織契約条件や実施状況を誰が確認・評価するか。
- 報告を受ける人・組織事故や変更を誰へ、どの連絡体制で報告するか。
問題文に複数組織が登場したら、
- 誰が実施するのか
- 誰が承認するのか
- 誰が監督するのか
- 誰へ報告するのか
を分けて読みます。
契約条件、アクセス権、監督・評価、インシデント時の連絡体制、再委託の管理などが判断材料になります。
アクセス制御は「本人確認」と「許可」を分ける
認証
「あなたは誰か」を確認します。
認可
認証された利用者が「何をしてよいか」を決めます。
MFAを導入して本人確認を強化しても、全利用者へ管理者権限を与えていれば権限管理の問題は残ります。
問題文では、本人確認の問題なのか、権限の与え方の問題なのかを切り分けます。
CIAは「3文字暗記」ではなく被害から逆算する
| 観点 | 問題の例 |
|---|---|
| 機密性 | 権限のない人に情報を見られた |
| 完全性 | データを不正に変更された |
| 可用性 | 必要なときにシステムを使えない |
一つの事故が複数へ影響することもあります。
設問が何を問うているかを見て、最も直接的な観点を選びます。
法令・規程は「名称」ではなく適用場面で覚える
個人情報、営業秘密、著作権、委託契約、社内規程などを、全部同じ暗記方法で覚える必要はありません。
問題文を読んだら、
- 何の情報か
- 誰が取り扱うか
- 社外へ提供するのか
- 委託なのか
- 社内ルール違反なのか
を確認します。
どの場面でそのルールが関係するかを判断できるようにします。
60問の時間配分は「知識問題で貯金する」
120分で60問なので、単純平均では1問2分です。
ただし科目Aの短い知識問題と、科目Bの長文問題へ同じ2分を使う必要はありません。
知識問題で答えが分かるものは早めに処理し、長文読解へ時間を残します。
- 即答：知識で判断できる
- 要確認：二択まで絞れる
- 長文・重い：条件整理が必要
一問で止まり続けるより、一度進んで後から戻る判断も重要です。
正解した問題も「根拠の位置」が分からなければ復習する
SGでは、文章の雰囲気だけで正解できることがあります。
しかし本番で安定させるには、本文のどの一文が判断根拠だったかを説明できる方が強くなります。
復習時は、用語不足、リスク構造の混同、対策目的の混同、責任分担の読み違い、時系列の読み違い、長文の条件読み落としなどへ原因を分けます。
3週間で仕上げるなら「知識→短文→長文」の順で比重を変える
1週目：土台を作る
情報資産、脅威、脆弱性、リスク、CIA、認証・認可、暗号、ネットワーク、マルウェア、法務などの基礎を確認します。
2週目：対策とケース判断を増やす
アクセス制御、委託先管理、インシデント対応、リスク対応などをケースへ当てはめます。
3週目：科目B型の長文を中心にする
設問を先に読み、登場人物・資産・出来事・根拠を拾う練習へ寄せます。
学習サイクル
情報セキュリティマネジメント試験の学習サイクル。1週目に基礎知識、2週目に短いケース判断、3週目に長文の根拠読解を練習する。用語不足は基礎知識、対策の混同は短いケース、条件の読み落としは長文読解へ戻り、復習して解き直す。
- 1週目：基礎知識を確認する資産・脅威・脆弱性・リスクやCIA、認証・暗号・法務の用語と関係を整理する。
- 2週目：短いケースで判断するアクセス制御やインシデント対応をケースに当てはめ、対策を選ぶ理由を説明する。
- 3週目：長文から根拠を拾う設問を先に読み、登場人物・資産・出来事を整理する。判断根拠の一文を指し示す。
- 原因別に復習して解き直す用語不足なら基礎知識、対策の混同なら短いケース、条件の読み落としなら長文読解へ戻り、再演習する。
資格合格.webでは「原因まで言語化してから戻る」
問題演習で間違えたら、すぐ教材を最初から読み直す必要はありません。
まず原因を一つ選びます。
- 用語不足
- リスク構造の混同
- 対策目的の混同
- 責任分担の読み違い
- 時系列の読み違い
- 法令・規程の適用場面の混同
- 長文の条件読み落とし
- 時間不足
間違えた分野ではなく、間違えた理由に合わせて復習方法を変えるのがSGでは特に重要です。
試験直前は「新しい対策名」より「判断ミス」を減らす
優先したいのは次の項目です。
- 資産・脅威・脆弱性・リスクの関係
- 認証と認可
- 暗号化・ハッシュ・デジタル署名
- インシデント対応の順番
- 委託先管理
- アクセス権と最小権限
- 個人情報・法令・社内規程
- 二択で迷った対策
- 長文で根拠を見失った問題
- 模試で時間を使いすぎた問題
受験前には最新の実施情報を確認する
SGはCBT方式で実施されています。
2026年10月5日の確認時点で、IPAはシステムリプレースに伴い、2026年12月28日以降に試験を一時休止する予定と案内しています。年内の受験可能日は最長で12月27日までで、会場により異なります。再開日や申込受付の最新情報は公式案内で確認してください。
現行SGは、科目A・Bをまとめて120分、60問で実施し、総合評価点600点以上が合格基準です。
試験実施日や申込可能期間は今後変更される可能性があります。申込前にはIPA公式情報を確認してください。
このガイドを読み終えたら
基礎用語が曖昧なら、まず教材でリスク・認証・暗号・ネットワーク・法務の土台を作ります。
用語は分かるのにケース問題で迷うなら、問題演習へ進み、「何を守るか」「何が原因か」「どの対策が直接効くか」を毎回言葉にします。
科目B型の長文で時間がかかるなら、全文を覚えるのではなく、設問から根拠箇所へ戻る読み方を練習します。
仕上げでは模擬試験を使い、60問を120分で処理しながら、長文へ十分な時間を残せるか確認します。
SGで目指すのは、セキュリティ用語を大量に言える状態ではありません。
組織で起きた出来事を読み、資産・脅威・脆弱性・影響・対策をつなげ、最も適切な行動を根拠付きで選べる状態です。