2026年版・3-15

セキュリティ技術評価と情報セキュリティ対策の一問一答

基本情報技術者試験科目A「技術要素」から、セキュリティ技術評価と情報セキュリティ対策に関する4択問題を10問。「答えと解説を見る」を開くと、正解とその理由がその場で読めます。会員登録は不要です。

この分野の演習

全10問／解説つき・基本無料

アプリ形式で解く（全600問）技術要素の要点解説を読む

問題

上から順に解いてみてください。答えは各問の下で確認できます。科目Aの本試験と同じく、4択で出題しています。

問13-15

ソフトウェアの脆弱性の深刻度を、攻撃のしやすさや影響の大きさなどから、ベンダに依存しない共通の基準で数値化して評価する仕組みはどれか。

①CRL
②CVSS
③ISO/IEC 15408
④CVE

答えと解説を見る

正解 ②CVSS

解説
CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）は、ソフトウェアの脆弱性の深刻度を、攻撃のしやすさ、機密性・完全性・可用性への影響などから、ベンダに依存しない共通の基準で0.0〜10.0の数値で評価する仕組みです。数値が高いほど深刻な脆弱性で、対策の優先順位を決めるのに役立ちます。

他の選択肢が不適切な理由
・CVE：公開された脆弱性に、世界共通の識別番号（CVE番号）を付けて管理する仕組みです。深刻度の数値化は行いません。
・ISO/IEC 15408：IT製品やシステムのセキュリティ機能と品質を評価するための国際規格（コモンクライテリア）です。
・CRL：失効したデジタル証明書の一覧です。

覚え方のポイント
「CVE＝脆弱性の番号（識別）」「CVSS＝脆弱性の点数（深刻度）」。末尾のSS（Scoring System）で区別しましょう。

問23-15

ペネトレーションテストの説明として、最も適切なものはどれか。

①攻撃者の視点で、実際にシステムへの侵入を試みて弱点を確かめる
②ソースコードを実行せずに解析し、コーディングの誤りを見つける
③利用者に実際の画面を操作してもらい、使いやすさを評価する
④大量のデータを処理させて、システムの性能の限界を測定する

答えと解説を見る

正解 ①攻撃者の視点で、実際にシステムへの侵入を試みて弱点を確かめる

解説
ペネトレーションテスト（侵入テスト）は、専門家が攻撃者の視点に立ち、実際にネットワークやシステムへの侵入や攻撃を試みることで、セキュリティ上の弱点が実際に悪用できるかを確かめる検査です。机上の確認では見つからない、設定の不備や対策の抜けを発見できます。

他の選択肢が不適切な理由
・ソースコードを実行せずに解析：静的解析の説明です。
・利用者に操作してもらい使いやすさを評価：ユーザビリティテストの説明です。
・大量のデータで性能の限界を測定：負荷テスト（性能テスト）の説明です。

覚え方のポイント
「ペネトレーション＝侵入」。本物の攻撃と同じ方法で、守りの弱い所を探す検査です。実施には、システムの所有者の許可が必要です。

問33-15

IT製品やシステムのセキュリティ機能や品質を、第三者が評価するための国際規格（コモンクライテリア）はどれか。

①ISO 9001
②ISO/IEC 27001
③ISO/IEC 20000
④ISO/IEC 15408

答えと解説を見る

正解 ④ISO/IEC 15408

解説
ISO/IEC 15408（コモンクライテリア、CC）は、IT製品やシステムのセキュリティ機能と、その実装の確かさを評価するための国際規格です。日本では、この規格に基づいて製品のセキュリティを評価・認証する制度（JISEC：ITセキュリティ評価及び認証制度）があります。

他の選択肢が不適切な理由
・ISO/IEC 27001：組織の情報セキュリティマネジメントシステム（ISMS）の要求事項の規格です。製品ではなく、組織の管理の仕組みを対象とします。
・ISO 9001：品質マネジメントシステムの規格です。
・ISO/IEC 20000：ITサービスマネジメントシステムの規格です。

覚え方のポイント
「15408＝製品のセキュリティ評価」「27001＝組織のセキュリティ管理」。評価の対象が製品か組織かで区別しましょう。

問43-15

ファイアウォールのパケットフィルタリング機能の説明として、最も適切なものはどれか。

①Webアプリケーションへの通信の中身を調べ、攻撃の文字列を遮断する
②電子メールの本文を調べて、迷惑メールを自動的に隔離フォルダへ移す
③IPアドレスやポート番号などの条件で、通過させるパケットを制限する
④ファイルを実際に実行して、その振る舞いからマルウェアを検知する

答えと解説を見る

正解 ③IPアドレスやポート番号などの条件で、通過させるパケットを制限する

解説
パケットフィルタリングは、ファイアウォールの基本的な機能で、通過するパケットの送信元・宛先のIPアドレス、ポート番号、プロトコルなどを、あらかじめ決めた規則（ルール）と照らし合わせ、許可されたパケットだけを通過させ、それ以外を遮断します。例えば、外部からの通信は、公開しているWebサーバへのHTTPSだけを許可する、といった設定をします。

他の選択肢が不適切な理由
・通信の中身を調べて攻撃の文字列を遮断：WAF（Webアプリケーションファイアウォール）の説明です。
・迷惑メールを隔離：迷惑メール対策（スパムフィルタ）の機能です。
・ファイルを実行して振る舞いから検知：サンドボックスなどの説明です。

覚え方のポイント
「パケットフィルタリング＝宛名（IPアドレス・ポート番号）を見て通すか決める」「WAF＝手紙の中身を読んで攻撃を止める」。

問53-15

インターネットと社内ネットワークの間に設ける、外部に公開するWebサーバやメールサーバを置くためのネットワーク領域はどれか。

①VPN
②VLAN
③DMZ
④イントラネット

答えと解説を見る

正解 ③DMZ

解説
DMZ（DeMilitarized Zone：非武装地帯）は、ファイアウォールによって、インターネットとも社内ネットワークとも区切られたネットワーク領域です。外部に公開する必要があるWebサーバやメールサーバなどをDMZに置くことで、万一それらのサーバが攻撃を受けて乗っ取られても、社内ネットワークへの被害の拡大を防ぎやすくなります。

他の選択肢が不適切な理由
・VLAN：スイッチの設定で、ネットワークを論理的に分割する技術です。
・VPN：インターネット上に、暗号化した仮想の専用線を作る技術です。
・イントラネット：インターネットの技術を使った、組織内部のネットワークです。公開サーバを置くための領域ではありません。

覚え方のポイント
「DMZ＝外と内の間の緩衝地帯（公開サーバの置き場所）」。社内のデータベースサーバなど、公開不要なものはDMZに置かず、内部に置きます。

問63-15

Webアプリケーションへの通信の内容を検査し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃を検知して遮断する仕組みはどれか。

①NAT
②WAF
③DLP
④IDS

答えと解説を見る

正解 ②WAF

解説
WAF（Web Application Firewall）は、Webアプリケーションへの通信（HTTPの要求など）の中身を検査し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃のパターンを検知して遮断する仕組みです。Webアプリケーション自体の脆弱性をすぐに直せない場合の対策としても有効です。

他の選択肢が不適切な理由
・IDS：侵入検知システムで、ネットワークなどの不正な通信を検知して管理者に通知します。原則として遮断は行いません。
・DLP：Data Loss Preventionの略で、機密情報が外部に持ち出されることを監視・防止する仕組みです。
・NAT：プライベートIPアドレスとグローバルIPアドレスを変換する技術です。

覚え方のポイント
「WAF＝Webアプリケーション専用の防御（中身を見る）」。一般的なファイアウォールでは防げない、アプリケーションの層の攻撃に対応します。

問73-15

IDS（侵入検知システム）とIPS（侵入防止システム）の違いの説明として、最も適切なものはどれか。

①IDSは不正な通信を検知して通知し、IPSは検知した通信を遮断する
②IDSは不正な通信を遮断し、IPSは通信を検知して通知だけを行う
③IDSは社内の通信だけを、IPSは外部の通信だけを監視の対象とする
④IDSとIPSは同じ製品の呼び方の違いで、機能に差はない

答えと解説を見る

正解 ①IDSは不正な通信を検知して通知し、IPSは検知した通信を遮断する

解説
IDS（Intrusion Detection System）は、ネットワークやサーバを監視して、不正アクセスや攻撃の兆候を検知し、管理者に通知するシステムです。IPS（Intrusion Prevention System）は、検知に加えて、その不正な通信を自動的に遮断するなどして、侵入を防ぐところまで行います。

他の選択肢が不適切な理由
・IDSが遮断し、IPSが通知：役割が逆です。
・社内だけ・外部だけを監視：監視の対象の範囲で区別されるものではありません。
・機能に差はない：遮断まで行うかどうかという違いがあります。

覚え方のポイント
「IDS＝Detection（検知して知らせる：警報器）」「IPS＝Prevention（防ぐ：自動で止める）」。頭文字の意味で区別しましょう。

問83-15

社外から持ち込まれたパソコンなどを社内ネットワークに接続する前に、いったん隔離された領域につないで、セキュリティの状態を検査する仕組みはどれか。

①サンドボックス
②ハニーポット
③シンクライアント
④検疫ネットワーク

答えと解説を見る

正解 ④検疫ネットワーク

解説
検疫ネットワークは、社外に持ち出していたパソコンなどを社内ネットワークに接続する前に、まず隔離されたネットワークにつなぎ、ウイルス対策ソフトの定義ファイルやOSの修正プログラムが最新になっているかなどを検査する仕組みです。問題がなければ社内ネットワークへの接続を許可し、問題があれば修正してから接続させます。

他の選択肢が不適切な理由
・ハニーポット：攻撃者を引き寄せるためにわざと用意したおとりのシステムで、攻撃の手口の観察などに使います。
・サンドボックス：プログラムを隔離された環境で動かし、不審な振る舞いがないかを確かめる仕組みです。
・シンクライアント：端末には最小限の機能だけを持たせ、処理やデータをサーバ側で管理するシステムです。

覚え方のポイント
「検疫＝空港で入国前に検査するように、社内に入れる前に検査する」。持ち込み端末からの感染の拡大を防ぐ仕組みです。

問93-15

不正アクセスなどのインシデントが発生した後に、コンピュータに残されたログやデータを収集・保全・分析し、法的な証拠として使えるようにする手法はどれか。

①ペネトレーションテスト
②ファジング
③リスクアセスメント
④デジタルフォレンジックス

答えと解説を見る

正解 ④デジタルフォレンジックス

解説
デジタルフォレンジックスは、インシデントや犯罪が起きた後に、コンピュータや記憶媒体に残されたログやデータを、改変しないように収集・保全し、分析して、原因の究明や法的な証拠として使えるようにする手法です。証拠のデータが改ざんされていないことを示すため、ハッシュ値の記録などを行います。

他の選択肢が不適切な理由
・ペネトレーションテスト：実際に侵入を試みて、システムの脆弱性を確かめる検査です。インシデントの前に行う予防的な検査です。
・リスクアセスメント：リスクを特定・分析・評価するプロセスです。
・ファジング：大量の予測しにくいデータをソフトウェアに入力し、異常な動作を引き起こす脆弱性を見つける検査の手法です。

覚え方のポイント
「フォレンジック＝法廷の、科学捜査の」。事件の後に証拠を集めて調べる、デジタルの鑑識です。

問103-15

様々な機器やソフトウェアのログを一元的に集めて相関分析し、セキュリティの脅威となる事象をリアルタイムに検知する仕組みはどれか。

①UTM
②DLP
③SIEM
④SSO

答えと解説を見る

正解 ③SIEM

解説
SIEM（Security Information and Event Management）は、ファイアウォール、サーバ、IDSなど様々な機器やソフトウェアのログを一か所に集め、それらを関連づけて（相関分析して）、個々のログだけでは気づきにくい攻撃の兆候をリアルタイムに検知・通知する仕組みです。SOCなどでの監視業務に使われます。

他の選択肢が不適切な理由
・DLP：機密情報の外部への持出しを監視・防止する仕組みです。
・UTM：ファイアウォール、IPS、ウイルス対策など複数のセキュリティ機能を1台にまとめた統合脅威管理の装置です。
・SSO：1回の認証で複数のシステムを利用できるようにするシングルサインオンの仕組みです。

覚え方のポイント
「SIEM＝ログを集めて突き合わせて異常を見つける」「UTM＝防御機能を1台に詰め込んだ装置」。

基本情報技術者（科目A）の対策問題（全600問）に戻る

非公式の資格試験対策サイトです。独立行政法人情報処理推進機構（IPA）とは一切関係ありません。

※本ページでは、アクセス解析（Googleアナリティクス）と、広告の配信・成果の計測（A8.net）のためにCookie等を利用し、閲覧に関する情報をGoogle LLC・株式会社ファンコミュニケーションズへ送信しています。詳しくはプライバシーポリシーをご覧ください。

※本ページの問題・解説は、生成AI（人工知能）を活用して作成しています。