問題
- SQLインジェクション対策会員向けWebサイトの改修を外部に委託している。納品前の確認で、検索機能が入力値を文字列連結してSQL文を組み立ててい…
- 共通脆弱性評価システム（CVSS）社内で使っている業務ソフトウェアについて、ベンダーからCVE番号付きの脆弱性情報が届いた。情報セキュリティ担当者が、自…
- 脆弱性診断公開前の新しいWebシステムについて、外部の専門事業者に検査を依頼する。目的は、作り込まれた脆弱性をできるだけ漏れなく…
- RAG用のデータ及びデータストアへのアクセス制御全部署の社内文書を検索用のデータストアに取り込み、生成AIが根拠を引いて回答する社内チャット（RAG）を全社員に公開す…
- JC-STAR事業所に設置するネットワークカメラを新たに調達する。総務部の担当者から、候補製品のJC-STARのラベルをどう読めばよ…
- AI for SecurityAIとセキュリティが関わる次の事例のうち、AIを使ったセキュリティ技術（AI for Security）にあたるものは…
取り違えやすい用語
根本的解決 と 保険的対策
| 用語 | 脆弱性の原因をなくすか、被害や手がかりを減らすか |
|---|---|
| プレースホルダの使用 | 入力値を後から「値」として割り当て、SQL文の構造が変わらないようにする。IPAは根本的解決に位置づけている |
| DBアカウントの最小権限 | 攻撃が成立したときの被害の範囲を絞る保険的対策 |
| エラーメッセージを表示しない | 攻撃者が手がかりを得にくくする保険的対策 |
保険的対策にも意味はありますが、根本的解決の代わりにはなりません。
この違いを問う問題：SQLインジェクション対策
CVE・CWE・CVSS・JVN
| 用語 | 脆弱性情報の何を示すか |
|---|---|
| CVE | 個々の脆弱性に付ける識別番号。番号の大小は深刻度と関係しない |
| CWE | 脆弱性の原因となる弱点の種類の一覧 |
| CVSS | 脆弱性の深刻度を数値で評価する仕組み。基本評価に利用環境の条件を加えて見る |
| JVN | JPCERT/CCとIPAが共同で運営する、脆弱性情報と対策情報のポータル |
この違いを問う問題：共通脆弱性評価システム（CVSS）
脆弱性診断 と ペネトレーションテスト
| 用語 | 依頼の目的 |
|---|---|
| 脆弱性診断 | 検査対象を広く調べ、見つかった脆弱性を深刻度つきの一覧にする |
| ペネトレーションテスト | 疑似攻撃のシナリオで、実際に侵入や重要情報への到達ができるかを確かめる |
どちらも、検査の範囲と実施の許可を委託先と先にはっきりさせてから依頼します。
この違いを問う問題：脆弱性診断
RAGの情報漏えいを止める段階
| 用語 | 守りたいのが誰に見せるか（機密性）か、データが正しいか（完全性）か |
|---|---|
| 検索時に質問者の権限で絞る | 権限のない文書を回答の材料にしない。取り出す段階で止める |
| 取り込み前の内容検査 | 悪意あるデータの混入を防ぐ。完全性の対策で、閲覧権限の代わりにはならない |
| 指示文で回答を禁じる | 生成AIが従う保証がなく、指示の上書きで破られうる |
生成AIを使うシステムで、情報の漏れを完全に防げる単独の対策はありません。
この違いを問う問題：RAG用のデータ及びデータストアへのアクセス制御
JC-STARの★1・★2 と ★3・★4
| 用語 | 適合を確認するのは誰か |
|---|---|
| ★1・★2 | 事業者の自己適合宣言に基づく。★2は★1に製品類型ごとの基本要件を足したもの |
| ★3・★4 | 独立した第三者評価機関の評価に基づく。重要なシステムでの利用を想定した要件を足したもの |
ラベルは最低限の要件への適合を示すもので、使う側の設定変更や更新の管理は残ります。
この違いを問う問題：JC-STAR
新試験での位置づけ
IPAが公表した情報セキュリティマネジメント試験のシラバス案（Ver.0.1）では、大分類6「セキュリティ」の中分類26「セキュリティ実装技術・評価」にあたります。【内容】には、業務の外部委託に際して、情報セキュリティ対策の要求事項を契約で明確化し、その実施状況を確認するために必要な知識を問う、と書かれています。ITパスポートのシラバス案には、この中分類に対応するものがありません。
小分類は「セキュア開発・実装」と「セキュリティ評価」の2つです。シラバス案はまだ案の段階で、確定版で分類が変わる可能性があります。
最終確認日：（問題の作り方と品質管理）
この中分類の出題範囲
シラバスの小分類と項目です。数字は収録している問題数。
- セキュア開発・実装
- セキュリティに配慮したシステムアーキテクチャ及びシステム構築1問
- AIシステムを守るための対策（Security for AI）1問
- アプリケーション開発のセキュリティ1問
- IoT・制御システムのセキュリティ1問
- セキュリティ評価
- 脆弱性評価2問
セキュリティ・倫理のほかの中分類
出典：情報処理推進機構（IPA）「情報セキュリティマネジメント試験 シラバス案 Ver.0.1」（2026年9月30日掲載）を基に作成。 最新の内容はIPAの掲載ページでご確認ください。