情報セキュリティマネジメント

問題

1. 情報セキュリティの三要素受注管理システムのサーバが故障し、営業部門は半日にわたって受注データを参照できなかった。調査の結果、データの流出や書換…
2. 情報セキュリティマネジメントある会社では、ウイルス対策ソフトとファイアウォールを導入済みだが、書類の持出しや私物USBメモリの利用は社員それぞれの…
3. 情報資産台帳情報セキュリティ対策の出発点として、情報資産台帳を作成することにした。情報資産台帳の説明として、最も適切なものはどれか。
4. リスクアセスメント情報セキュリティのリスクアセスメントは、リスク特定、リスク分析、リスク評価の順に進める。このうちリスク分析で行うことと…
5. リスク回避オンラインショップを運営する企業が、リスクアセスメントの結果をもとに、預かっている個人情報についてのリスク対応を検討し…
6. 情報セキュリティ方針ある企業が、情報セキュリティポリシーを「情報セキュリティ方針」「情報セキュリティ対策基準」「実施手順」の三つの階層で整…
7. SOCある企業が、外部との通信やサーバのログを24時間体制で見張り、攻撃の兆候をいち早く検知することを専門に担う組織を社内に…
8. SECURITY ACTION情報セキュリティに関する制度や基準のうち、SECURITY ACTION の説明として最も適切なものはどれか。
9. ISMAPクラウドサービスを提供する事業者が、政府機関に自社サービスを採用してもらうため、ISMAPへの登録を検討している。IS…
10. PCI DSSECサイトを運営する企業が、クレジットカードの会員データを自社で取り扱うことにした。このとき準拠が求められるPCI D…
11. サイバーセキュリティ経営ガイドラインサイバーセキュリティ経営ガイドラインは、経済産業省とIPAが公表している文書である。そこに示されている内容として最も適…
12. 完全性ソフトウェアの配布元は、公式サイトでプログラムファイルとともに、そのファイルから計算したハッシュ値を公開している。利用…
13. ゼロトラストA社では、社内ネットワークに接続していれば業務システムを使えるようにしてきた。テレワークとクラウドサービスの利用が広が…
14. セキュリティバイデザインB社では、公開したシステムに後から脆弱性が見つかり、そのつど大きな改修が必要になっていた。そこで次のシステムでは、企画…
15. マルウェア感染時の対応社内LANにつないだ業務用PCで作業中、ウイルス対策ソフトがマルウェアを検知した旨の警告を表示した。社内規程に定めるマ…
16. ソーシャルメディアガイドラインA社は、従業員のSNSへの投稿が原因で社内の情報が外部に伝わる事例が起きたため、ソーシャルメディアガイドラインを定める…
17. 情報セキュリティ委員会B社では、セキュリティ対策の判断が部門ごとにばらつき、費用のかかる対策が先送りされていた。そこで情報セキュリティ委員会…
18. サイバーレスキュー隊（J-CRAT）取引先を装ったメールの添付ファイルを開いた社員がおり、標的型サイバー攻撃を受けた疑いがある。外部の支援を得るため、IP…
19. 情報セキュリティインシデント社員が宛先を取り違えてメールを送り、ある取引先の見積書が別の取引先に届いた。攻撃を受けたわけではない。この出来事の扱い…
20. リスクマネジメント情報セキュリティマネジメントにおけるリスクマネジメントの考え方として、最も適切なものはどれか。
21. 情報セキュリティポリシーに基づく情報の管理ある会社が情報セキュリティポリシーを定め、それに基づいて情報を管理することにした。このポリシーを適用する人の範囲として…
22. 情報資産の分類ある会社では、社内の情報資産を「極秘」「社外秘」「公開」などに分類している。このように情報資産を分類する目的として、最…
23. 情報資産情報資産の洗い出しで、自社Webサイトに掲載済みの製品カタログの情報を情報資産に含めるかが議論になった。この情報の扱い…
24. リスク基準情報セキュリティのリスクアセスメントに先立って定めておく「リスク基準」の説明として、最も適切なものはどれか。
25. リスク評価ある企業は、リスクの大きさを「発生可能性×影響度」（それぞれ1〜3の3段階）で見積もり、その値が6以上のものを対応が必…
26. リスク分散本社の1か所にすべてのサーバを置いていた企業が、地震で全業務が止まる事態に備えて、サーバとデータを東日本と西日本の2拠…
27. リスク移転ある企業が、会員情報を管理するシステムの運用を外部の事業者に委託し、あわせて情報漏えいに備えるサイバー保険にも加入した…
28. CSIRTある企業が社内にCSIRTを設置した。インシデントが起きていない平常時に、CSIRTが行う活動として最も適切なものはど…
29. コンピュータウイルス届出制度ある会社で、社員が受信したメールの添付ファイルにウイルスが含まれていたが、ウイルス対策ソフトが開封前に検知して削除した…
30. コンピュータ不正アクセス届出制度ある会社の製品紹介サイトで、推測された管理者パスワードによって第三者にログインされ、ページを書き換えられた。サイトは個…
31. コンピュータウイルス対策基準コンピュータウイルス対策基準は、第三者のプログラムやデータに意図的に被害を及ぼすように作られたプログラムのうち、ある条…
32. コンピュータ不正アクセス対策基準経済産業省（当時の通商産業省）が告示として定めたコンピュータ不正アクセス対策基準の説明として、最も適切なものはどれか。
33. 中小企業の情報セキュリティ対策ガイドライン従業員15名の会社の社長が、情報セキュリティ対策を何から始めればよいか分からず、経営者として押さえる考え方から、自社診…
34. プライバシーバイデザインC社は健康管理アプリを企画する際、利用者から集める項目を目的に必要な最小限に絞り、位置情報の共有は初期設定でオフにする…
35. 機密性D社は顧客情報の漏えいを防ぐため、閲覧できる担当者を限定し、閲覧のつど上長の承認を必要とした。その結果、窓口の担当者が…
36. サイバー攻撃企業で起きた情報セキュリティ上の事象のうち、サイバー攻撃にあたるものとして最も適切なものはどれか。
37. 情報セキュリティ対策基準E社は情報セキュリティポリシーを方針・対策基準・実施手順の3階層で整備している。生成AIの業務利用が広がったため、入力…
38. プライバシーポリシーF社はWebサイトで会員登録の受付を始めるにあたり、プライバシーポリシー（個人情報保護方針）を掲載することにした。プラ…

この中分類の出題範囲

シラバスの小分類と項目です。数字は収録している問題数。

情報セキュリティ

• 情報セキュリティの考え方7問

情報セキュリティマネジメント

• 情報セキュリティマネジメントの考え方4問

リスクマネジメント

• 情報資産とリスク3問
• 情報セキュリティリスクアセスメント3問
• 情報セキュリティリスク対応3問

情報セキュリティ諸規程

• 情報セキュリティポリシーを含む組織内規程5問

情報セキュリティの制度

• 情報セキュリティに関する組織・機関4問
• 情報セキュリティに関する基準9問