情報セキュリティの脅威

問題

1. アクセス権の誤設定部門のメンバーが、取引先と共有するためにクラウドストレージへ顧客リストを置き、共有範囲を「リンクを知っている全員」にし…
2. ルートキット部門のPCから外部への不審な通信が続いていると報告があった。調査すると、侵入者が管理者権限を奪ってOSの一部を書き換え…
3. 内部統制の不備情報セキュリティ担当者が部門の脆弱性を洗い出したところ、次の4件が見つかった。このうち、内部統制の不備に当たるものはど…
4. 状況的犯罪予防情報セキュリティ担当者が内部不正の対策を、本人の性格や動機を変えることではなく、「犯行を難しくする」「見つかりやすくす…
5. ラテラルムーブメントマルウェア感染が判明した営業部のPCを調べたところ、攻撃者はそのPCに保存されていた管理者の認証情報を使い、社内のファ…
6. リプレイ攻撃社内の古い業務システムでは、端末がログインのたびにパスワードのハッシュ値を毎回同じ形で送っている。この値を盗聴した者が…
7. クロスサイトリクエストフォージェリ（CSRF）自社の会員サイトで、ログイン中の会員が外部の罠サイトを開いただけで、本人の意図しないパスワード変更が実行された。変更の…
8. DNSキャッシュポイズニング社員がブラウザに取引先の正しいURLを直接入力したのに、偽のサイトが表示された。端末に感染の形跡はなく、社内のキャッシ…
9. DDoS攻撃自社のECサイトが、多数の送信元から一斉に大量の通信を送りつけられ、自社のインターネット回線の帯域そのものが使い切られ…
10. フィッシング文面の巧妙化部門のセキュリティ教育で、怪しいメールの見分け方を教えてきた。攻撃者が生成AIを使い、フィッシングメールの文面が巧妙に…
11. プロンプトインジェクション（間接）社内の生成AIに、受信メールの要約と返信の下書きをさせ、メールの送信権限も与えていた。社外から届いたメールの本文に、見…
12. ソフトウェアサプライチェーン攻撃業務ソフトの入手は開発元の公式サイトに限り、電子署名の確認と更新の速やかな適用も徹底していた。ところが、開発元のビルド…
13. サービス及びソフトウェアの機能の悪用侵入した攻撃者が、マルウェアを持ち込まずに、OSに標準で備わる管理ツールで社内の端末を操作し、会社が契約しているクラウ…
14. マクロウイルス部門のメンバーが、取引先を名乗るメールに添付された表計算ファイルを開き、画面の案内に従って「コンテンツの有効化」を選ん…
15. ボットネット外部の機関から「貴社のIPアドレスから、複数の他組織のWebサーバへ大量の通信が一斉に送られている」と連絡があった。調…
16. キーロガー部門のPCがキーロガーに感染していたことが分かった。このPCでは、感染していた期間に社内システムやWebサービスへのロ…
17. ファイルレスマルウェア不審な外部通信が見つかったPCを、マルウェア対策ソフトの定義ファイルでフルスキャンしたが、何も検出されなかった。通信の…
18. トロイの木馬部門のメンバーが、業務の効率化をうたう無料ツールを入手して導入した。ツールは説明どおりに動いていたが、数日後、そのツー…
19. 割れ窓理論職場の巡回で、離席時の画面ロック忘れや、机に置いたままの社外秘の書類など、小さな規則違反が日常的に見過ごされていること…
20. RaaS脅威情報のレポートに「同じランサムウェアが、互いに関係のない複数の攻撃グループに使われている。開発者は自ら攻撃せず、実…
21. ハクティビズム自社が政府の政策に協力していると報じられた後、ある集団が「抗議」を掲げて攻撃を予告し、自社Webサイトのトップページを…
22. 情報セキュリティ10大脅威部門の情報セキュリティ担当者が、社内教育の資料をIPAの「情報セキュリティ10大脅威 2026」（組織向け）に合わせて…
23. 物理的脅威部門の情報資産のリスクを洗い出す中で、「落雷による停電」「空調の故障によるサーバの停止」「部外者のサーバ室への侵入」の…
24. ビジネスメール詐欺（BEC）経理担当者に、長年の取引先の担当者から、過去のメールに返信する形で「振込先口座が変わった」と連絡が届いた。差出人アドレ…
25. 踏み台部門で起きた次の事案のうち、自組織が「踏み台」にされた事例として最も適切なものはどれか。
26. クラッキング悪意をもって他人のコンピュータやネットワークに侵入し、データの盗み出しや破壊、改ざんを行う行為を表す用語はどれか。

この中分類の出題範囲

シラバスの小分類と項目です。数字は収録している問題数。

脅威と脆弱性

• 脅威の種類と動向6問
• マルウェア・不正プログラム6問
• 脆弱性1問
• 不正の動機・メカニズム4問

攻撃手法

• 攻撃のライフサイクルとフレームワーク1問
• 資格情報・セッション管理の不備を狙った攻撃1問
• アプリケーションの不備を狙った攻撃1問
• 信頼を悪用した攻撃1問
• サービスの妨害を狙った攻撃1問
• AIを悪用した攻撃1問
• AIシステムに対する攻撃1問
• サプライチェーンを狙った攻撃1問
• その他・特殊・高度な攻撃1問