戦国IT - 情報処理技術者試験の過去問対策サイト
ブログお知らせお問い合わせ料金プラン
戦国ITクイズ機能戦国ITクイズ機能

\ せっかくなら /

情報セキュリティマネジメントを
クイズ形式で学習しませんか？

クイズを始める→

すぐに利用可能！

情報セキュリティマネジメント試験 過去問・解説一覧

年度・セッション別の情報セキュリティマネジメント試験過去問題集

  • 過去問を解く
  • 試験概要
  • 難易度・合格率

情報セキュリティマネジメント試験の過去問演習について

本ページでは情報セキュリティマネジメント試験の過去問を年度・セッション別に計448問収録しています。情報セキュリティマネジメント試験は過去問演習が合格への最短ルートです。年度別・セッション別の問題リストから自由に問題を選び、解答・解説を確認できます。

スマートフォンにも最適化されているため、通勤・通学などのスキマ時間学習にも活用してください。情報セキュリティマネジメント試験の試験概要・出題形式・難易度・合格率の推移は、このページ下部にまとめて掲載しています。

情報セキュリティマネジメント試験とは（試験概要）

情報セキュリティマネジメント試験（SG）は、情報システムの利用部門で情報セキュリティリーダーを担う者を対象としたレベル2の国家試験。組織の情報資産を脅威から守る体制を構築・運用する基礎能力を評価する。科目A・科目B合わせて60問を120分で解答し、CBT方式で通年実施されている。なお、IPAが2026年3月31日に公表した試験制度の見直しにより、2027年度春頃から科目Aの出題範囲体系の変更などを含む新形式へ移行する予定（試験時間・出題数は維持される見込み）。現行制度での試験は2026年度の実施をもって終了予定で、システムリプレースに伴い2026年12月28日以降は試験実施が休止される。
項目内容
区分SG
レベルレベル2
実施方式CBT方式（通年実施。2026年12月28日以降は休止予定）
試験科目科目A / 科目B
公式情報IPA公式ページ
試験要綱Ver.5.6（2026年7月6日掲載）
シラバスシラバスVer.4.1（2025年4月17日掲載。2026年8月時点の最新）

特徴・概要

  • ITを安全に活用するための「守り」の知識を問うレベル2の国家試験。情報システムの開発者ではなく、利用部門で情報セキュリティ対策を推進・運用する実務担当者が主な対象。
  • 脅威・脆弱性・リスクアセスメント、情報セキュリティ管理（ISMS・ポリシー・規程）、関連法規・ガイドライン、技術的対策の基礎まで、管理面を中心に幅広くカバーする。
  • 科目Bでは具体的な業務シナリオ（事例）に基づき、状況に応じた適切な判断・対応を選ぶ実践的な力が問われる。
  • CBT方式で通年実施され、随時申込み・受験が可能。基本情報技術者試験（FE）と同じレベル2に位置づけられており、非IT部門の情報セキュリティ教育の指標としても活用されている。
  • 合格率は年度によって幅があるが、CBT方式へ完全移行した令和3年度以降は上昇傾向にあり、直近3年度（令和5〜7年度）は69〜73%台で推移している。

試験の形式・出題構成・採点方式

情報セキュリティマネジメント試験（SG）は、CBT（Computer Based Testing）方式で通年実施されています（受験者が会場・日時を選んで予約）。科目A・科目Bを合わせて120分で解答します。
2026年12月28日以降の試験休止について
IPAは試験システムのリプレースに伴い、SG・FE・IPの3区分について2026年12月28日以降の試験実施を休止すると公表しています（当初は2026年4月27日以降の予定でしたが、リプレース延期により変更されました）。試験会場によっては2026年12月27日より前に実施が終了する場合があります。
  • 2026年9月1日以降に新規で申し込む場合、選択できるのは2026年12月27日までの試験開催日のみ。
  • 申込後に試験日を変更する場合も、選択できる最後の開催日は2026年12月27日まで。
  • 再開時期は未定で、2027年1月以降の実施については2026年秋頃にIPAから告知される予定。
  • バウチャーチケットの購入申込受付は2026年7月31日で一時停止済み。
現行制度での試験は2026年度の実施をもって終了予定のため、現行形式での受験を考えている場合は早めの申込みが必要です。詳細はIPA公式のお知らせを確認してください。

科目A（四肢択一式）

  • 出題数：48問。情報セキュリティの基礎知識・用語を中心に、数行程度の小問形式で問われる。

科目B（多肢選択式）

  • 出題数：12問。具体的な業務シナリオ（事例）が提示され、状況に応じた適切な対応を選ぶ実践的な出題。
  • 試験時間： 科目A・科目B合わせて120分（合計60問）。このうち採点対象は54問で、残り6問は今後の出題を評価するための問題（採点対象外）。
採点・合格基準： 科目A・科目Bの総合点をIRT（項目反応理論）に基づき算出し、1000点満点中600点以上で合格。
2027年度からの制度変更予定： IPAが2026年3月31日に公表した試験制度の見直しの検討状況により、情報セキュリティマネジメント試験は2027年度以降も継続（CBT・通年実施を維持予定）しますが、2027年度春頃から科目Aの出題範囲体系の変更・科目Bの出題範囲の一部変更を含む新形式へ移行する予定です。ただしIPAは、この変更を「技術動向や環境変化等を踏まえて表記の変更等を行うもので、試験で問う知識・技能の範囲そのものに変更はありません」と明記しており、学習範囲が大きく入れ替わるものではありません。新制度での試験の位置づけは「データ及びデジタル技術の安全な利活用を推進する情報セキュリティマネジメント」と示されています。試験時間（科目A・科目B合計120分）・出題数（科目A48問＋科目B12問）は変更されない見込みです。新制度のシラバス案・サンプル問題は本ページ更新時点（2026年8月）でも準備中で、2026年度夏頃を目途に公表される予定です。最新情報はIPA公式（新試験制度のシラバス案）で確認してください。

分野別の出題数・出題傾向（学習テーマ別）

情報セキュリティマネジメント試験の午前問題の出題範囲を、情報処理推進機構（IPA）が公表する公式シラバス（Ver.4.1、2025年4月17日掲載）を読み解いたうえで、戦国IT独自の切り口で学習テーマ別に整理し、テーマごとの出題数を集計しました。そのため、IPA公式の分野区分とは、分類のまとめ方や名称が一部異なります（公式の正式な分野構成はIPAのシラバスでご確認ください）。どのテーマが多く問われているかの目安としてご活用ください。
午前問題 全400問を、戦国IT独自の学習テーマ別に分類した出題数の分布です。
学習テーマ出題数割合
情報セキュリティ64問16.0%
脅威・攻撃手法5問1.2%
暗号・認証・アクセス管理27問6.8%
情報セキュリティ対策44問11.0%
情報セキュリティ管理144問36.0%
リスクアセスメント13問3.2%
インシデント管理43問10.8%
クラウドサービス・外部委託7問1.8%
法務・ガイドライン23問5.8%
コンピュータ・データベース・ネットワーク9問2.2%
マネジメント・企業活動21問5.2%
情報セキュリティマネジメント試験の学習テーマ別出題数の割合（円グラフ）

出題範囲とサンプル問題（学習テーマ別）

ここからは、上の分布で示した学習テーマごとに、何が問われるかの要点と、実際に出題された午前の過去問を1問ずつ紹介します。
本セクションで扱う学習テーマは全11テーマです。
  1. 情報セキュリティ
  2. 脅威・攻撃手法
  3. 暗号・認証・アクセス管理
  4. 情報セキュリティ対策
  5. 情報セキュリティ管理
  6. リスクアセスメント
  7. インシデント管理
  8. クラウドサービス・外部委託
  9. 法務・ガイドライン
  10. コンピュータ・データベース・ネットワーク
  11. マネジメント・企業活動

情報セキュリティ

このテーマで問われること
情報セキュリティ分野では、情報資産を守る目的と基本原則を体系的に問う。CIA（機密性・完全性・可用性）を中心に、真正性・責任追跡性・否認防止・信頼性などの品質特性、情報資産（データ、媒体、システム、サービス）の捉え方、脅威・脆弱性・リスクの関係を理解する。組織や業務のどこに守るべき情報があり、何が起きると価値が損なわれるのかを、用語と概念で説明できることが重要となる。
出題の焦点
  • CIAと追加特性（真正性・否認防止など）の整理
  • 情報資産・脅威・脆弱性・リスクの関係
  • セキュリティ要求の基本（何をどこまで守るか）
  • セキュリティと利便性・コストのトレードオフ
  • 用語の定義を文章で説明する問題
問題 ― 平成28年秋期午前 問22
クロスサイトスクリプティングの手口はどれか。
  • ア：Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
  • イ：インターネットなどのネットワークを通じてサーバに不正にアクセスしたり、データの改ざんや破壊を行ったりする。
  • ウ：大量のデータをWebアプリケーションに送ることによって、用意されたバッファ領域をあふれさせる。
  • エ：パス名を推定することによって、本来は認証された後にしかアクセスが許可されないページに直接ジャンプする。
正解と解説
正解：ア
ウェブページに悪意あるスクリプトを注入する攻撃が「クロスサイトスクリプティング（Cross-Site Scripting：略してXSS）」です。XSSは利用者のブラウザ上で動くスクリプト（多くはJavaScript）を埋め込んで、クッキーの窃取や画面改ざん、偽フォーム表示などを行います。設問の選択肢のうち、入力フォームに悪意のあるJavaScriptを含むデータを入れる行為を説明しているのが ア であり、これがXSSを正確に示しています。

脅威・攻撃手法

このテーマで問われること
脅威・攻撃手法分野では、攻撃者の目的や侵入経路、攻撃の流れ（偵察→侵入→権限昇格→情報窃取・妨害など）を踏まえて、何が起こり得るかを把握する力を問う。マルウェア、フィッシング、脆弱性悪用、内部不正、サプライチェーン起因の事故などを事例ベースで理解し、最新動向・事例情報を収集して自組織への影響を評価できることが重要である。攻撃の兆候と被害の形を結び付け、対策選定につながる判断が求められる。
出題の焦点
  • 代表的攻撃（フィッシング・マルウェア等）の特徴
  • 脆弱性悪用と被害シナリオの理解
  • 内部不正・ヒューマンエラーの脅威
  • サプライチェーン/委託先起因の脅威
  • 脅威動向・事例の収集と評価（脅威インテリジェンス）
  • 兆候・ログ・事象から想定される攻撃の推定
問題 ― 平成30年春期午前 問21
ドライブバイダウンロード攻撃に該当するものはどれか。
  • ア：PC内のマルウェアを遠隔操作して、PCのハードディスクドライブを丸ごと暗号化する。
  • イ：外部ネットワークからファイアウォールの設定の誤りを突いて侵入し、内部ネットワークにあるサーバのシステムドライブにルートキットを仕掛ける。
  • ウ：公開Webサイトにおいて、スクリプトをWebページ中の入力フィールドに入力し、Webサーバがアクセスするデータベース内のデータを不正にダウンロードする。
  • エ：利用者が公開Webサイトを閲覧したときに、その利用者の意図にかかわらず、PCにマルウェアをダウンロードさせて感染させる。
正解と解説
正解：エ
ドライブバイダウンロード（drive-by download：利用者がウェブページを閲覧しただけで、意図せずマルウェアがダウンロード・感染する攻撃）とは、訪問しただけで自動的に不正プログラムが配布される状況を指します。問題の選択肢のうち、エは「利用者が公開Webサイトを閲覧したときに、その利用者の意図にかかわらず、PCにマルウェアをダウンロードさせて感染させる」という記述で、ドライブバイダウンロードの定義に合致します。
他の選択肢は「遠隔操作や侵入・データの不正取得」など別の攻撃手法を説明しており、ドライブバイダウンロードとは異なります。
（用語補足）マルウェア（悪意のあるソフト）、ブラウザ（Webを表示するソフト）、脆弱性（欠陥や弱点）などは初出時に説明しました。

暗号・認証・アクセス管理

このテーマで問われること
暗号・認証・アクセス管理分野では、データと利用者を正しく守るための基盤技術を扱う。共通鍵・公開鍵暗号、ハッシュ、電子署名、証明書とPKIなどの役割を理解し、暗号化が守る対象（通信路・保管データ）と限界を説明できることが重要である。加えて、利用者認証（多要素認証など）や権限管理（RBAC、最小権限）、アクセス制御の設計・運用、認証情報の管理といった実装・運用上の要点が問われる。
出題の焦点
  • 共通鍵/公開鍵・ハッシュ・電子署名の使い分け
  • 証明書・PKIの役割（なりすまし防止）
  • 認証方式（パスワード/MFA等）と強度
  • アクセス制御（最小権限、RBAC等）の考え方
  • 鍵・認証情報の保護とライフサイクル管理
  • 暗号化で防げること/防げないことの整理
問題 ― 令和1年春期午前 問3
CRYPTRECの役割として、適切なものはどれか。
  • ア：外国為替及び外国貿易法で規制されている暗号装置の輸出許可申請を審査、承認する。
  • イ：政府調達においてIT関連製品のセキュリティ機能の適切性を評価、認証する。
  • ウ：電子政府での利用を推奨する暗号技術の安全性を評価、監視する。
  • エ：民間企業のサーバに対するセキュリティ攻撃を監視、検知する。
正解と解説
正解：ウ
CRYPTREC（Cryptography Research and Evaluation Committees：暗号技術の評価・監視を行うプロジェクト）は、主に電子政府（政府系のIT利用）などで使う暗号技術の安全性を評価し、推奨する役割を持ちます。したがって、選択肢のうち、電子政府での利用を推奨する暗号技術の安全性を評価・監視する内容が該当します。問題文の正解は ウ です。
ポイントを簡単に整理します。
  • CRYPTRECは「どの暗号方式が安全か」を評価して推奨リストを作る組織・活動です。
  • 暗号の輸出許可（選択肢ア）は政府の輸出管理（経済産業省＝METIが担当）による別業務です。
  • 製品のセキュリティ機能の形式的な認証（選択肢イ）はCommon Criteria（CC：国際的なIT製品評価基準）など別の評価枠組みが関係します。
  • サーバ攻撃の監視（選択肢エ）はCSIRT（Computer Security Incident Response Team：インシデント対応チーム）やJPCERT/CCの仕事です。

情報セキュリティ対策

このテーマで問われること
情報セキュリティ対策分野では、予防・検知・対応・復旧までの具体策を、組織の利用形態に合わせて選択・適用する力を問う。端末・サーバ・ネットワーク・アプリ・データに対する技術対策（設定管理、脆弱性対策、バックアップ、マルウェア対策等）と、運用対策（手順、点検、権限付与、持出し管理等）を組み合わせ、部門での情報システム利用時に起きやすい事故を抑止する観点が重要となる。対策の目的と期待効果、限界を説明できることが得点につながる。
出題の焦点
  • 予防・検知・復旧の対策整理（多層防御）
  • 脆弱性対策（パッチ、設定、棚卸し）
  • マルウェア/メール対策の基本
  • バックアップと復旧手順（RPO/RTOの考え方）
  • 端末・媒体・印刷物などの情報持出し対策
  • 部門運用でのルール化と実効性確保
問題 ― 平成30年春期午前 問9
ネットワーク障害の発生時に、その原因を調べるために、ミラーポート及びLANアナライザを用意して、LANアナライザを使用できるようにしておくときに、留意することはどれか。
  • ア：LANアナライザがパケットを破棄してしまうので、測定中は測定対象外のコンピュータの利用を制限しておく必要がある。
  • イ：LANアナライザはネットワークを通過するパケットを表示できるので、盗聴などに悪用されないように注意する必要がある。
  • ウ：障害発生に備えて、ネットワーク利用者に対してLANアナライザの保管場所と使用方法を周知しておく必要がある。
  • エ：測定に当たって、LANケーブルを一時的に抜く必要があるので、ネットワーク利用者に対して測定日を事前に知らせておく必要がある。
正解と解説
正解：イ
ミラーポート（スイッチの特定ポートの通信内容をコピーする機能）で流れるパケットをLANアナライザ（パケットを捕まえて中身を解析するツール）に送ると、ネットワーク上の通信内容をそのまま観察できます。したがって、通信の中に含まれる個人情報や機密情報を第三者が見られないよう、盗聴に悪用されない対策が必要です。選択肢の中ではこの点を指摘している イ が正解です。
ポイントは「ミラーリング＋アナライザ＝通信の可視化→情報漏えいリスクがある」という因果関係です。運用時はアクセス制御や暗号化、ログ管理などの対策が重要になります。

情報セキュリティ管理

このテーマで問われること
情報セキュリティ管理分野では、方針・規程・体制を整え、情報資産管理から要求事項の提示、教育、運用、継続的改善までを回す仕組みを問う。情報資産の特定・分類、管理台帳、取扱い基準の策定、要求事項の明確化と関係者への提示を通じて、対策を“実行できる形”に落とし込むことが重要である。さらに、意識向上（教育・訓練・周知）、運用の点検、PDCAによる改善、状況変化を踏まえた見直しまで含め、組織として継続的にセキュリティを確保する観点が問われる。
出題の焦点
  • 情報資産の分類・管理台帳・取扱いルール
  • セキュリティ要求事項の定義と提示（合意形成）
  • 役割分担（責任者・管理者・利用者）の明確化
  • 教育・訓練・周知による意識向上
  • PDCAと継続的改善（是正・予防）
  • 運用記録・証跡の整備と点検
問題 ― 平成30年秋期午前 問41
ITサービスマネジメントにおいて、SMS（サービスマネジメントシステム）の効果的な計画立案、運用及び管理を確実にするために、SLAやサービスカタログを文書化し、維持しなければならないのは誰か。
  • ア：経営者
  • イ：顧客
  • ウ：サービス提供者
  • エ：利用者
正解と解説
正解：ウ
SMS（サービスマネジメントシステム：Service Management System）は、ITサービスを計画・提供・改善するための仕組みです。SLA（Service Level Agreement：サービスレベル合意書）は「提供するサービスの内容と品質の約束」を文書化したもの、サービスカタログは「提供可能なサービスの一覧と説明」です。これらを文書化して維持する責任は、実際にサービスを設計・提供し、品質を管理する側であるサービス提供者にあります。したがって選択肢ウ（サービス提供者）が正解です。
理由を簡潔にまとめると：
  • SLAやサービスカタログは「何を」「どのように」「どのレベルで」提供するかを定めるもので、サービスの仕様や達成度を決める権限と管理能力を持つのは提供者側であるため。
  • 顧客や利用者は要求や合意の当事者になり得ますが、文書を作成・更新し、管理責任を持つのは提供者です。

リスクアセスメント

このテーマで問われること
リスクアセスメント分野では、守る対象と脅威を洗い出し、発生可能性と影響度からリスクを評価し、対応方針を決める一連の手順を問う。情報セキュリティのリスクアセスメント（資産・脅威・脆弱性の特定、リスク分析・評価）に加え、プロジェクトや業務のリスク管理として、リスク登録簿、対応策（回避・低減・移転・受容）、残留リスクの扱い、定期的な見直しなどを理解することが重要である。定量/定性の違いや優先順位付けが頻出となる。
出題の焦点
  • 資産・脅威・脆弱性の特定手順
  • 影響度×発生可能性による評価と優先順位付け
  • リスク対応（回避・低減・移転・受容）の選択
  • 残留リスクとリスク受容の判断
  • リスク登録簿・レビューなど継続的管理
  • 定性評価/定量評価の使い分け
問題 ― 平成29年春期午前 問7
JIS Q 27000:2014（情報セキュリティマネジメントシステムー用語）における“リスクレベル”の定義はどれか。
  • ア：脅威によって付け込まれる可能性のある、資産又は管理策の弱点
  • イ：結果とその起こりやすさの組合せとして表現される、リスクの大きさ
  • ウ：対応すべきリスクに付与する優先順位
  • エ：リスクの重大性を評価するために目安とする条件
正解と解説
正解：イ
JIS Q 27000:2014の用語として、イが示す「結果（被害の大きさ）とその起こりやすさ（発生確率）の組合せで表現されるリスクの大きさ」が、リスクレベルの定義に合致します。ここでの「リスク（risk）」は、資産に対する望ましくない結果（インパクト）と、その結果が発生する可能性（発生確率）を組み合わせて判断する概念です。したがって、リスクの大きさを表すものが「リスクレベル」です。
※用語の説明（初出）
  • JIS Q 27000:2014：情報セキュリティマネジメントシステム（ISMS：Information Security Management System）の用語を定めた規格。
  • リスクアセスメント：リスク（危険）を評価する一連の作業。例えば、影響の大きさ（結果、インパクト）と起こりやすさ（確率）を調べます。
  • 管理策（コントロール）：リスクを低減するための対策。

インシデント管理

このテーマで問われること
インシデント管理分野では、事故発生時の被害最小化と再発防止に向けた対応プロセスを問う。検知・通報、初動（状況把握、証拠保全、関係者連絡）、封じ込め、根絶、復旧、原因分析、再発防止策の策定と展開までを一貫して理解することが重要である。エスカレーション基準や報告体制、対応手順書、訓練、ログや証跡の扱い、情報公開・対外説明の留意点など、実務的な判断を伴う設問が出題されやすい。
出題の焦点
  • 検知・通報から初動までの優先順位
  • 封じ込め/根絶/復旧の切り分け
  • 証拠保全（ログ、媒体、手順）の基本
  • エスカレーションと報告・連絡体制
  • 原因分析と再発防止（是正処置）
  • CSIRT等の役割と対応手順の整備
問題 ― 平成30年秋期午前 問15
マルウェアWanna Cryptor (WannaCry)に関する記述として、適切なものはどれか。
  • ア：SMBv1の脆弱性を悪用するなどして感染し、PC内のデータを暗号化してデータの復号のための金銭を要求したり、他のPCに感染を拡大したりする。
  • イ：ファイル共有など複数の感染経路を使って大量のPCに感染を拡大し、さらにPC内の電子メールアドレスを収集しながらインターネット経由で感染を拡大する。
  • ウ：ランダムにIPアドレスを選んでデータベースの脆弱性を悪用した攻撃を行うことによって多数のPCに感染を拡大し、ネットワークトラフィックを増大させる。
  • エ：利用者が電子メールに添付されたVBScriptファイルを実行すると感染し、PC内のパスワードを攻撃者のWebサイトへ送信したり、マルウェア付きの電子メールを他者へばらまいたりする。
正解と解説
正解：ア
選択肢アが正しいです。Wanna Cry（別名WannaCryptor、以下「WannaCry」）はランサムウェア（身代金を要求する不正プログラム）で、SMB（Server Message Block：ファイル共有などで使う通信プロトコル）v1の脆弱性を悪用して自己増殖（ワーム：自分で広がるマルウェア）しました。感染するとPC内のファイルを暗号化して復号のための身代金をBitcoinで要求し、ネットワーク経由で他のPCにも感染を広げた点が特徴です。これらの挙動は選択肢アの記述と一致します。
（補足：WannaCryは「EternalBlue」と呼ばれる攻撃コードでMS17-010というWindowsの脆弱性を突き、さらに自己拡散の機能を持っていました。）

クラウドサービス・外部委託

このテーマで問われること
クラウドサービス・外部委託分野では、外部事業者の利用に伴うリスクと統制を中心に問う。委託・クラウドの形態に応じて責任分界を明確にし、契約・SLA・セキュリティ要求の盛込み、委託先の選定・評価、運用中の監督（報告、監査、脆弱性/変更管理、再委託管理）を行う観点が重要である。調達計画から実施までのプロセス、委託終了時のデータ返却・消去、障害時の連携など、ライフサイクル全体で管理できるかが問われる。
出題の焦点
  • 責任分界（利用者/事業者）の明確化
  • 契約・SLAへのセキュリティ要求の反映
  • 委託先選定（評価基準、適格性）
  • 運用監督（報告、監査、KPI、変更管理）
  • 再委託・サプライチェーン管理
  • 終了時のデータ返却/消去と移行計画
問題 ― 平成30年秋期午前 問38
外部委託管理の監査に関する記述のうち、最も適切なものはどれか。
  • ア：請負契約においては、委託側の事務所で作業を行っている受託側要員のシステムへのアクセスについて、アクセス管理が妥当かどうかを、委託側が監査できるように定める。
  • イ：請負契約においては、受託側要員に対する委託側責任者の指揮命令が行われていることを、委託側で監査する。
  • ウ：外部委託で開発した業務システムの品質管理状況は、委託側で監査せず、受託側で監査する。
  • エ：機密性が高い業務システムの開発を外部に委託している場合は、自社開発に切り替えるよう、監査結果の報告において改善勧告する。
正解と解説
正解：ア
まず用語を簡単に説明します。請負契約は、受託者が成果物の提供責任を負う契約形態です（会社が「人を指揮する」契約ではなく、仕事の完成を委ねる契約）。アクセス管理は、システムやデータに「誰が・いつ・どの範囲で」入れるかを制御・記録する仕組みです。監査は、規程や契約に沿って適切に運用されているかを確認する行為です。
委託側は、外部で作業している受託側要員が委託側システムにアクセスする場合、そのアクセスが適切かどうかを確認する権利を契約で定める必要があります。これは、機密情報や業務システムの安全を守るための最低限の措置です。したがって、アの「委託側が監査できるように定める」が妥当です。契約で「監査権（right to audit）」を明確にしておけば、委託側は必要なときにログ確認や現地チェックを行えます。

法務・ガイドライン

このテーマで問われること
法務・ガイドライン分野では、情報セキュリティと企業活動に関わる法令・規範を理解し、適切に運用できるかを問う。知的財産権（著作権、特許等）、個人情報保護を含むセキュリティ関連法規、労働・取引関係の法規、ガイドラインや社内規程、技術者倫理が対象となる。加えて、標準化や規格（国際規格・業界標準）の意義、準拠の考え方、コンプライアンス運用（遵守状況の確認、証跡管理、是正）まで、実務に落とし込む観点が重要である。
出題の焦点
  • 知的財産権（著作権・特許等）の基本
  • 個人情報・セキュリティ関連法規の要点
  • 労働/取引に関する法的留意点
  • ガイドライン・倫理と行動規範
  • 標準化・規格準拠の意義
  • コンプライアンス運用（確認・証跡・是正）
問題 ― 平成30年春期午前 問36
労働者派遣法に照らして、派遣先の対応として、適切なものはどれか。ここで、派遣労働者は期間制限の例外に当たらないものとする。
  • ア：業務に密接に関連した教育訓練を、同じ業務を行う派遣先の正社員と派遣労働者がいる職場で、正社員だけに実施した。
  • イ：工場で3年間働いていた派遣労働者を、今年から派遣を受け入れ始めた本社で正社員として受け入れた。
  • ウ：事業環境に特に変化がなかったので、特段の対応をせず、同一工場内において派遣労働者を4年間継続して受け入れた。
  • エ：ソフトウェア開発業務なので、派遣契約では特に期間制限を設けないルールとした。
正解と解説
正解：イ
まず用語をやさしく説明します。派遣労働者は「派遣元（派遣元事業主：派遣社員を雇う会社）」から、派遣先（派遣先事業主：業務を依頼する受け入れ先の会社）に派遣されて働く人を指します。問題では「期間制限の例外に当たらない」とありますので、原則として同一の職場での受け入れは3年を超えられないと理解します（これが「期間制限」）。
選択肢のうち、派遣先として適切なのは イ です。理由は単純です。派遣先が派遣労働者を自社の正社員として採用することは、派遣法上で許容される対応です。むしろ、同一職場での受け入れ期間3年問題を解消する有効な手段の一つです。派遣労働者の直接雇用（正社員採用）には法的な禁止はなく、派遣先が自らの判断で雇用することができます。

コンピュータ・データベース・ネットワーク

このテーマで問われること
コンピュータ・データベース・ネットワーク分野では、情報システムの基盤となる構成要素と、その性能・信頼性評価、データ管理、通信の仕組みを幅広く問う。システム構成（冗長化、バックアップ、負荷分散等）や評価指標（性能、可用性など）を理解し、データベースでは方式・設計・SQL操作・トランザクション処理を押さえる。ネットワークでは方式、通信制御、TCP/IPなどプロトコル、運用管理、応用（Web/メール等）までを扱い、セキュリティ問題の前提となる基礎理解が得点源となる。
出題の焦点
  • 冗長化・バックアップ等のシステム構成
  • 性能/信頼性/可用性など評価指標
  • DB設計（正規化、キー、ER）とSQL
  • トランザクション（排他制御、回復）
  • TCP/IPと主要プロトコルの役割
  • ネットワーク監視・障害対応など運用管理
問題 ― 平成28年春期午前 問44
企業の様々な活動を介して得られた大量のデータを整理・統合して蓄積しておき、意思決定支援などに利用するものはどれか。
  • ア：データアドミニストレーション
  • イ：データウェアハウス
  • ウ：データディクショナリ
  • エ：データマッピング
正解と解説
正解：イ
この問題の答えは イ（データウェアハウス）です。
データウェアハウス（英: Data Warehouse）は、企業の様々な業務システムから得られた大量のデータを整理・統合し、長期間蓄積して経営判断や分析に使うための専用の仕組みです。特徴として「テーマ別（部署や目的ごと）にまとまっている」「履歴（時系列）を保持する」「更新はバッチ処理で比較的遅い」「分析専用に最適化されている」点があり、設問の「整理・統合して蓄積」「意思決定支援」という要件に合致します。
（補足）ETLはExtract, Transform, Load（抽出・変換・格納）の略で、データウェアハウスにデータを取り込む主要な処理です。これも上記の目的を満たすためによく使われます。

マネジメント・企業活動

このテーマで問われること
マネジメント・企業活動分野では、プロジェクト・サービス運用・監査・経営戦略といった組織運営の基礎を問う。プロジェクトでは統合、スコープ、資源、時間、コスト、品質、調達、コミュニケーション、ステークホルダ管理などを通じて、計画と統制の考え方を理解する。サービスマネジメントではSLA、運用プロセス、評価と改善、ファシリティ管理を扱う。さらに、システム監査・内部統制、情報システム戦略、業務プロセス、会計・財務など、ITを企業活動に結び付けて説明できることが重要である。
出題の焦点
  • WBSや進捗/変更管理など計画と統制
  • 品質・調達・コミュニケーションの管理
  • SLAとサービス運用プロセス（改善含む）
  • 監査の目的・手続・報告と内部統制
  • 情報システム戦略と投資対効果
  • 会計・財務の基礎指標（収益性等）
問題 ― 令和1年秋期午前 問49
情報システムを取得するための提案依頼書（RFP）の作成と提案依頼に当たって、取得者であるユーザ企業側の対応のうち、適切なものはどれか。
  • ア：RFP作成の手間を省くために、要求事項の記述は最小限にとどめる。曖昧な点や不完全な点があれば、供給者であるベンダ企業から取得者に都度確認させる。
  • イ：取得者であるユーザ企業側では、事前に実現性の確認を行わずに、要求事項が実現可能かどうかの調査や検討は供給者であるベンダ企業側に任せる。
  • ウ：複数の要求事項がある場合、重要な要求とそうでない要求の区別がつくようにRFP作成時点で重要度を設定しておく。
  • エ：要求事項は機能を記述するのではなく、極力、具体的な製品名や実現手段を細かく指定する。
正解と解説
正解：ウ
RFP（Request for Proposal：提案依頼書）作成時に、要求事項ごとに重要度を明示することは、調達プロセスの基本です。重要度を設定すると、ベンダ企業の提案を比較評価しやすくなり、限られた予算や技術的制約の中で妥当なトレードオフができます。したがって、選択肢の中で最も適切なのは ウ の「重要度を設定する」対応です。
理由を簡潔に言うと次の点です。
  • 評価基準が明確になり、公平な比較ができる。
  • 「必須」要件を守る提案をまず選べるため、受入れテスト（受け入れ条件）も作りやすい。
  • 重要度に基づくスコアリングでコスト対効果を判断できる。

対象者像・求められる能力

対象者像

IPAの試験要綱では、対象者像を次のように定めています。
  • 情報システムの利用部門にあって、情報セキュリティリーダーとして、部門の業務遂行に必要な情報セキュリティ対策や組織が定めた情報セキュリティ諸規程（情報セキュリティポリシーを含む組織内諸規程）の目的・内容を適切に理解し、情報及び情報システムを安全に活用するために、情報セキュリティが確保された状況を実現し、維持・改善する者

求められる主な能力・役割

  • 部門の情報資産を特定し、リスクアセスメントを行い、リスク対応策をまとめる
  • 情報資産に関する情報セキュリティ対策・情報セキュリティ継続の要求事項を明確にする
  • 情報システムの調達や業務の外部委託に際して、必要なセキュリティ要求事項を提示・契約で明確化し、実施状況を確認する
  • 部門メンバーの情報セキュリティ意識・コンプライアンスを向上させ、内部不正などのインシデントを未然に防止する
  • インシデント発生時に、諸規程・法令・ガイドライン・規格に基づいて適切に対処する

関連リンク

情報セキュリティマネジメント試験の難易度・合格率の推移

以下は年度ごとの受験者数・合格者数・合格率・合格者平均年齢の推移データです。合格率の傾向を把握し、学習計画の目安にしてください。

年度別 統計データ（表形式）

各年度ごとの合格率・平均年齢・合格者数などの推移です。
※ 表は横にスクロールできます

年度受験申込者数(人)受験者数(人)合格者数(人)合格率(%)合格者平均年齢(才)
201643877365892890579.0–
201742069340841991458.4–
201838992303281514649.9–
201936669281161390249.4–
202096949121607166.6–
202131672288271532553.2–
202231322285511605156.2–
202339824363622639872.636.2
202445481416572873169.035.9
202550226459243214170.035.7

年度別 統計推移グラフ

各年度ごとの合格者数・受験者数・合格率・平均年齢の推移

合格者数

情報セキュリティマネジメント試験 合格者数の年度推移グラフ

受験者数

情報セキュリティマネジメント試験 受験者数の年度推移グラフ

合格率（%）

情報セキュリティマネジメント試験 合格率（%）の年度推移グラフ

合格者平均年齢

情報セキュリティマネジメント試験 合格者平均年齢の年度推移グラフ

©︎2026 情報処理技術者試験対策アプリ

このサイトについてブログプライバシーポリシー利用規約特商法表記開発者について