ホームに戻る
2026年版・3-14

情報セキュリティ管理の一問一答

基本情報技術者試験 科目A「技術要素」から、情報セキュリティ管理に関する4択問題を10問。「答えと解説を見る」を開くと、正解とその理由がその場で読めます。会員登録は不要です。

この分野の演習

全10問／解説つき・基本無料

アプリ形式で解く（全600問） 技術要素の要点解説を読む
問題

上から順に解いてみてください。答えは各問の下で確認できます。科目Aの本試験と同じく、4択で出題しています。

問13-14

組織が情報セキュリティを管理するための仕組み（ISMS）に関する要求事項を定めた規格はどれか。

  • ①JIS Q 27001
  • ②JIS Q 9001
  • ③JIS Q 14001
  • ④JIS Q 20000-1
答えと解説を見る
正解 ①JIS Q 27001
解説
JIS Q 27001（ISO/IEC 27001）は、ISMS（情報セキュリティマネジメントシステム）の要求事項を定めた規格です。組織は、情報セキュリティのリスクを評価し、対策を計画・実施・評価・改善するPDCAサイクルを回して、情報セキュリティを継続的に管理します。この規格に基づいて、第三者機関による認証を受けることもできます。

他の選択肢が不適切な理由
・JIS Q 9001：品質マネジメントシステムの要求事項の規格です。
・JIS Q 14001：環境マネジメントシステムの要求事項の規格です。
・JIS Q 20000-1：ITサービスマネジメントシステムの要求事項の規格です。

覚え方のポイント
「27001＝情報セキュリティ」「9001＝品質」「14001＝環境」「20000＝ITサービス」。マネジメントシステムの規格番号はセットで覚えましょう。
問23-14

JIS Q 27001におけるリスクアセスメントを構成するプロセスの組合せとして、最も適切なものはどれか。

  • ①リスク特定、リスク対応、リスク監視
  • ②リスク回避、リスク低減、リスク移転
  • ③リスク分析、リスク受容、リスク報告
  • ④リスク特定、リスク分析、リスク評価
答えと解説を見る
正解 ④リスク特定、リスク分析、リスク評価
解説
リスクアセスメントは、次の3つのプロセスからなります。
・リスク特定：どのような情報資産に、どのようなリスクがあるかを洗い出す
・リスク分析：リスクが起きる可能性と、起きたときの影響の大きさから、リスクの大きさ（リスクレベル）を求める
・リスク評価：分析の結果を、組織が決めた基準と比べて、対応が必要か、どのリスクを優先するかを決める
その後、リスク対応（回避・低減・移転・保有など）を選んで実施します。

他の選択肢が不適切な理由
・回避、低減、移転：リスク対応の選択肢で、リスクアセスメントのプロセスではありません。
・特定、対応、監視：リスク対応や監視は、リスクアセスメントの後に行うものです。
・分析、受容、報告：受容や報告は、リスクアセスメントを構成するプロセスではありません。

覚え方のポイント
「リスクアセスメント＝特定→分析→評価」「その後にリスク対応」。順番まで問われるので、流れで覚えましょう。
問33-14

情報セキュリティのリスク対応のうち、保険に加入したり、業務を外部に委託したりして、リスクによる損失を他者と分担するものはどれか。

  • ①リスク回避
  • ②リスク保有（受容）
  • ③リスク低減
  • ④リスク移転（共有）
答えと解説を見る
正解 ④リスク移転（共有）
解説
リスク対応には、主に次の4つがあります。
・リスク回避：リスクの原因となる業務をやめるなど、リスクそのものをなくす
・リスク低減：対策を行って、リスクが起きる可能性や影響を小さくする
・リスク移転（共有）：保険や外部委託などで、リスクによる損失を他者と分担する
・リスク保有（受容）：リスクが小さい場合などに、特に対策をせずに受け入れる
保険に加入することは、損失の負担を保険会社と分け合うので、リスク移転（共有）にあたります。

他の選択肢が不適切な理由
・リスク回避：リスクのある業務そのものをやめる対応です。
・リスク低減：対策によって、リスクの発生の可能性や影響を減らす対応です。
・リスク保有：対策をせずにリスクを受け入れる対応です。

覚え方のポイント
「やめる＝回避」「減らす＝低減」「分ける（保険・委託）＝移転」「受け入れる＝保有」。具体例と結びつけて覚えましょう。
問43-14

情報セキュリティポリシーを構成する文書のうち、組織としての情報セキュリティに対する考え方や取組みの姿勢を示すものはどれか。

  • ①情報セキュリティ実施手順
  • ②情報セキュリティ対策基準
  • ③情報セキュリティ基本方針
  • ④情報セキュリティ監査報告書
答えと解説を見る
正解 ③情報セキュリティ基本方針
解説
情報セキュリティポリシーは、一般に次の3つの階層で構成されます。
・基本方針：組織として情報セキュリティにどう取り組むかという考え方や姿勢を、経営者が示したもの
・対策基準：基本方針を実現するために、守るべき具体的なルールを定めたもの
・実施手順：対策基準を実行するための、具体的な手順や作業の方法を定めたもの
一般に、基本方針と対策基準を合わせて「情報セキュリティポリシー」と呼びます。

他の選択肢が不適切な理由
・情報セキュリティ対策基準：守るべき具体的なルールを定めた文書です。
・情報セキュリティ実施手順：具体的な作業の手順を定めた文書です。
・情報セキュリティ監査報告書：監査の結果を報告する文書で、ポリシーの構成要素ではありません。

覚え方のポイント
「基本方針（なぜ・どんな姿勢で）→対策基準（何を守る）→実施手順（どうやる）」。上ほど抽象的で、下ほど具体的です。
問53-14

組織の中で、情報セキュリティのインシデント（事件・事故）が発生したときに、報告を受け付け、原因の調査や対応、関係者への連絡などを行うチームはどれか。

  • ①SOC
  • ②CSIRT
  • ③CISO
  • ④CRYPTREC
答えと解説を見る
正解 ②CSIRT
解説
CSIRT（Computer Security Incident Response Team）は、情報セキュリティのインシデントが発生したときに、報告の受付、被害の拡大の防止、原因の調査、復旧の支援、社内外との連絡などを行う組織（チーム）です。企業の中に置かれる組織内CSIRTのほか、国の窓口となるものもあります。

他の選択肢が不適切な理由
・SOC：Security Operation Centerの略で、ネットワークや機器を24時間体制で監視し、攻撃の兆候を検知・分析する組織です。
・CISO：最高情報セキュリティ責任者で、組織の情報セキュリティの責任者（人）です。チームではありません。
・CRYPTREC：電子政府などで使う暗号技術を評価・監視する、国のプロジェクトです。

覚え方のポイント
「CSIRT＝インシデントが起きたら対応する（消防隊）」「SOC＝常に監視して兆候を見つける（見張り役）」。役割の違いがよく問われます。
問63-14

情報セキュリティ管理策のうち、物理的管理策に該当するものはどれか。

  • ①サーバ室への入退室をICカードで管理し、記録を残す
  • ②従業員に対して、情報セキュリティの教育を定期的に行う
  • ③重要なファイルを暗号化し、アクセス権を設定する
  • ④情報セキュリティに関する社内規程を定めて周知する
答えと解説を見る
正解 ①サーバ室への入退室をICカードで管理し、記録を残す
解説
情報セキュリティの管理策は、組織的・人的・物理的・技術的の4つに分類できます。
・組織的管理策：規程の整備、責任者や体制の決定など
・人的管理策：教育・訓練、守秘義務の契約など
・物理的管理策：入退室の管理、施錠、機器の盗難防止など
・技術的管理策：アクセス制御、暗号化、マルウェア対策など
サーバ室の入退室の管理は、物理的な場所へのアクセスを制限する物理的管理策です。

他の選択肢が不適切な理由
・情報セキュリティの教育：人的管理策です。
・ファイルの暗号化とアクセス権の設定：技術的管理策です。
・社内規程を定めて周知：組織的管理策です。

覚え方のポイント
「物理的＝場所とモノ（部屋・鍵・機器）」「技術的＝システムの機能」「人的＝人への働きかけ」「組織的＝ルールと体制」。
問73-14

情報セキュリティのリスク対応を行った後にも、なお残っているリスクを何というか。

  • ①残留リスク
  • ②固有リスク
  • ③潜在リスク
  • ④投機的リスク
答えと解説を見る
正解 ①残留リスク
解説
残留リスクは、リスク対応（低減や移転など）を行った後にも、なお残っているリスクです。リスクを完全にゼロにすることは難しいため、組織は残留リスクの大きさを把握し、それが受け入れられる水準（リスク受容基準）以下であることを、経営者などが確認して承認します。

他の選択肢が不適切な理由
・固有リスク：対策を講じる前の、もともと存在しているリスクのことです。
・潜在リスク：まだ表面化していない、隠れたリスクを指す一般的な言葉です。
・投機的リスク：損失だけでなく、利益が生じる可能性もあるリスク（新規事業への投資など）のことです。

覚え方のポイント
「対策前＝固有リスク」「対策後に残る＝残留リスク」。リスクはゼロにできないので、残る分を承知して受け入れる、という考え方が大切です。
問83-14

クレジットカードの会員データを安全に取り扱うために、カード会社の国際ブランドが共同で策定したセキュリティの基準はどれか。

  • ①ISMAP
  • ②Pマーク
  • ③JIS Q 15001
  • ④PCI DSS
答えと解説を見る
正解 ④PCI DSS
解説
PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカードの会員データを安全に取り扱うことを目的に、国際的なカードブランドが共同で策定したセキュリティの基準です。カード情報を保存・処理・伝送する事業者が守るべき要件（ネットワークの保護、データの暗号化、アクセス制御、定期的な監視と検査など）が定められています。

他の選択肢が不適切な理由
・ISMAP：政府が利用するクラウドサービスのセキュリティを評価・登録する制度です。
・JIS Q 15001：個人情報保護マネジメントシステムの要求事項の規格です。
・Pマーク：プライバシーマークのことで、JIS Q 15001に基づいて個人情報を適切に取り扱う事業者に与えられるマークです。

覚え方のポイント
「PCI DSS＝クレジットカード情報を守る基準」。名前のPayment Card（支払カード）から連想しましょう。
問93-14

情報資産の管理として、最も適切なものはどれか。

  • ①情報資産はすべて同じ重要度として扱い、一律の対策を講じる
  • ②紙の書類は情報資産に含めず、電子データだけを管理の対象とする
  • ③情報資産を洗い出して一覧にし、重要度で分類して管理者を決める
  • ④情報資産の一覧は、年に一度の監査の直前にだけまとめて作成する
答えと解説を見る
正解 ③情報資産を洗い出して一覧にし、重要度で分類して管理者を決める
解説
情報セキュリティの管理の第一歩は、組織が持つ情報資産を洗い出して目録（台帳）を作り、機密性・完全性・可用性の観点から重要度に応じて分類し、それぞれの管理責任者を決めることです。重要度に応じて対策の強さを変えることで、限られた費用で効果的に守れます。

他の選択肢が不適切な理由
・すべて同じ重要度として一律の対策：重要な資産の対策が不足したり、重要でない資産に過剰な費用をかけたりすることになります。
・紙の書類は含めない：紙の書類や人の知識なども、守るべき情報資産に含まれます。
・監査の直前にだけまとめて作成：資産は日々増えたり変わったりするため、一覧は常に最新の状態に保つ必要があります。

覚え方のポイント
「洗い出す→分類する→責任者を決める」。どこに何があるか分からないものは守れない、というのが情報資産の管理の出発点です。
問103-14

組織のネットワークやシステムを常時監視し、ログなどを分析してサイバー攻撃の兆候を検知・通知する役割を担う組織はどれか。

  • ①CSIRT
  • ②SOC
  • ③ISMS
  • ④CISO
答えと解説を見る
正解 ②SOC
解説
SOC（Security Operation Center）は、組織のネットワークや機器のログ・通信を24時間365日体制で監視し、分析して、サイバー攻撃の兆候や異常をいち早く検知・通知する組織です。検知したインシデントへの本格的な対応は、CSIRTと連携して行います。専門の外部事業者のサービスとして利用されることもあります。

他の選択肢が不適切な理由
・CSIRT：インシデントが発生したときに、対応や調査、関係者との連絡を行う組織です。
・ISMS：情報セキュリティマネジメントシステムのことで、組織ではなく管理の仕組みです。
・CISO：最高情報セキュリティ責任者で、組織ではなく役職です。

覚え方のポイント
「SOC＝監視と検知」「CSIRT＝対応と調整」。SOCが見つけ、CSIRTが対処する、という連携で覚えましょう。

基本情報技術者（科目A）の対策問題（全600問）に戻る

非公式の資格試験対策サイトです。独立行政法人情報処理推進機構（IPA）とは一切関係ありません。

※本ページでは、アクセス解析（Googleアナリティクス）と、広告の配信・成果の計測（A8.net）のためにCookie等を利用し、閲覧に関する情報をGoogle LLC・株式会社ファンコミュニケーションズへ送信しています。詳しくはプライバシーポリシーをご覧ください。

※本ページの問題・解説は、生成AI（人工知能）を活用して作成しています。

【PR】