情報セキュリティ管理

1. 出典: 平成21年度 秋期 ITパスポート試験 問45

情報システムの安定稼働を妨げる様々な脅威への事前対策に関する説明のうち，適切なものはどれか。

• ア外部からの不正侵入が完全に阻止できれば, 不正アクセスへの事前対策としては問題ない。
• イ自然災害に対しては予測が困難なので, 人的災害に絞って事前対策を講じる。
• ウすべてのデータをバックアップしておけば, ほかの事前対策は不要となる。
• エ予想損失額や対策コストとのトレードオフを考慮して, 必要な事前対策を講じる。

リスク対応 · 情報セキュリティリスク · リスクアセスメント

2. 出典: 平成21年度 秋期 ITパスポート試験 問56

情報セキュリティポリシに関する記述のうち, 適切なものはどれか。

• ア企業のセキュリティポリシは, 会社法の規定に基づき, 株主総会で承認を得なければならない。
• イ企業のセキュリティポリシは, 導入するシステムごとに定義する必要がある。
• ウセキュリティポリシ策定の要因となっている情報システムの脆弱性を対外的に公表しなければならない。
• エ目標とするセキュリティレベルを達成するために, 遵守すべき行為及び判断についての考え方を明確にすることが必要である。

情報セキュリティポリシー · 情報セキュリティ方針

3. 出典: 平成21年度 秋期 ITパスポート試験 問81

システムのアクセスに使用している通信ケーブルを誤って切断した。このとき, 情報セキュリティのマネジメント要素のうち, どれが低下したことになるか。

• ア可用性
• イ完全性
• ウ機密性
• エ保全性

可用性 · 機密性 · 完全性

4. 出典: 平成21年度 春期 ITパスポート試験 問39

ITサービスにおいて, 合意したサービス時間中に実際にサービスをどれくらい利用できるかを表す用語はどれか。

• ア応答性
• イ可用性
• ウ完全性
• エ機密性

可用性 · 完全性 · 機密性

5. 出典: 平成21年度 春期 ITパスポート試験 問54

企業の情報セキュリティポリシの策定及び運用に関する記述のうち，適切なものはどれか。

• ア各セキュリティ対策ソフトウェアに設定すべき内容の定義を明確にしなければならない。
• イ経営トップは情報セキュリティボリシに対する会社の考え方や取組み方について,社員への説明を率先して推進しなければならない。
• ウ情報セキュリティポリシの策定においては最初に, 遵守すべき行為及び判断の基準を策定しなければならない。
• エ目標とするセキュリティレベルを達成するために, 導入する製品を決定しなければならない。

情報セキュリティポリシー · 情報セキュリティ方針

6. 出典: 平成21年度 春期 ITパスポート試験 問84

業務中に受信した電子メールの添付文書をワープロソフトで開いたら，ワープロソフトが異常終了した。受け取った電子メールがウイルスを含んでいた可能性が考えられる場合，適切な処置はどれか。

• アPCをネットワークから切り離した後, OS の再インストールをする。
• イPC をネットワークから切り離した後, 速やかにシステム管理部門の担当者に連絡する。
• ウ現象が再発するかどうか, 必要ならワープロソフトを再インストールして現象を確かめる。 「
• エ社員全員にウイルス発生の警告の電子メールを発信する。

情報セキュリティインシデント · コンピュータウイルス届出制度 · エスカレーション

7. 出典: 平成22年度 秋期 ITパスポート試験 問53

情報セキュリティにおける “完全性” が損なわれる行為はどれか。

• アDoS 攻撃
• イWeb ページの改ざん
• ウサーバの各ポートへの順次アクセス
• エネットワークを流れるデータの盗聴

完全性

8. 出典: 平成22年度 秋期 ITパスポート試験 問58

情報セキュリティマネジメントシステム (ISMS) の PDCA (計画・実行・点検・処置) において, 処置フェーズで実施するものはどれか。

• アISMS の維持及び改善
• イISMS の確立
• ウISMS の監視及びレビュー
• エISMS の導入及び運用

継続的改善 · PDCA

9. 出典: 平成22年度 秋期 ITパスポート試験 問76

情報セキュリティポリシに関する考え方のうち, 適切なものはどれか。

• アいかなる情報資産に対しても, 実施する対策の費用は同一であることが望ましい。
• イ情報セキュリティボリシの構成要素の最上位にある情報セキュリティ基本方針は,経営者を始めとした幹部だけに開示すべきである。
• ウ情報セキュリティポリシの適用対象としては, 社員だけでなく, パートなども含めた全従業者とすべきである。
• エ情報セキュリティボリシを初めて作成する場合は, 同業他社のポリシをサンプルとして, できるだけそのまま利用することが望ましい。

情報セキュリティポリシー · 情報セキュリティ方針

10. 出典: 平成22年度 春期 ITパスポート試験 問61

情報セキュリティの文書を詳細化の順に上から並べた場合，①～③に当てはまる用語の組合せとして，適切なものはどれか。 上から下へ3段に分かれた三角形（ピラミッド）があり，上段が①，中段が②，下段が③である。

• ア①基本方針 ②実施手順 ③対策基準
• イ①基本方針 ②対策基準 ③実施手順
• ウ①対策基準 ②基本方針 ③実施手順
• エ①対策基準 ②実施手順 ③基本方針

情報セキュリティポリシー · 情報セキュリティ方針

11. 出典: 平成23年度 秋期 ITパスポート試験 問13

外部のストレージサービスの利用を検討している。可用性の観点でサービスを評価 する項目として, 適切なものはどれか。

• ア緊急のメンテナンスに伴うサービスの計画外の停止時間
• イサービス利用の際のユーザインタフェースの分かりやすさ
• ウ保管データや利用者に対するアクセス権の設定の自由度
• エ利用するストレージの単位容量当たりの費用

可用性

12. 出典: 平成23年度 秋期 ITパスポート試験 問80

情報セキュリティにおける可用性の説明として, 適切なものはどれか。

• アシステムの動作と出力結果が意図したものであること
• イ情報が正確であり, 改ざんされたり破壊されたりしていないこと
• ウ認められた利用者が, 必要なときに情報にアクセスできること
• エ認められていないプロセスに対して, 情報を非公開にすること

可用性 · 機密性 · 完全性

13. 出典: 平成23年度 秋期 ITパスポート試験 問83

情報セキュリティ基本方針の説明として, 適切なものはどれか。

• ア一度決められた情報セキュリティ基本方針は, ビジネス環境や技術が変化しても変更すべきでない。
• イ情報セキュリティに関する組織の取組み姿勢を示したものであり, 組織のトップによって承認され, 公表される。
• ウセキュリティビジネスを拡大するための重点的な取組みについて, 株主や一般に広く公開されるものである。
• エ組織のセキュリティの考え方に基づいて, 具体的なセキュリティ施策について述べたものである。

情報セキュリティポリシー · 情報セキュリティ方針

14. 出典: 平成23年度 特別試験 ITパスポート試験 問30

プライバシーマークを取得している事業者が, 個人情報保護に関する理念や取組み を内外に宣言する文書はどれか。

• ア個人情報保護ガイドライン
• イ個人情報保護規程
• ウ個人情報保護方針
• エ個人情報保護マニュアル

プライバシーポリシー · 情報セキュリティ方針

15. 出典: 平成23年度 特別試験 ITパスポート試験 問63

情報セキュリティの基本方針に関する記述のうち, 適切なものはどれか。

• ア機密情報の漏えいを防ぐために, 経営上の機密事項とする。
• イ情報セキュリティに対する組織の取組みを示すもので, 経営層が承認する。
• ウ情報セキュリティの対策基準に基づいて策定する。
• エパスワードの管理方法や文書の保存方法を具体的に規定する。

情報セキュリティポリシー · 情報セキュリティ方針

16. 出典: 平成23年度 特別試験 ITパスポート試験 問64

情報セキュリティに関して発生したインシデントのうち, 可用性が損なわれる直接の原因となったものはどれか。

• アPCがウイルスに感染し, 知らないうちにPC 内の情報が流出した。
• イ空調の故障で温度が上がり, サーバが停止した。
• ウサーバに不正侵入されて個人情報が盗まれた。
• エファイルの中の取引データの金額を誤って更新した。

可用性 · 機密性 · 完全性 · 情報セキュリティインシデント

17. 出典: 平成23年度 特別試験 ITパスポート試験 問84

情報セキュリティマネジメントシステム (ISMS) では, “PDCA" のアプローチを採 用している。D の段階で行うものはどれか。

• アISMS の運用に対する監査を定期的に行う。
• イISMS の基本方針を定義する。
• ウ従業者に対して, ISMS 運用に関する教育と訓練を実施する。
• エリスクを評価して, 対策が必要なリスクとその管理策を決める。

継続的改善 · 情報セキュリティ訓練 · 情報セキュリティポリシー · PDCA

18. 出典: 平成24年度 秋期 ITパスポート試験 問83

a〜c は情報セキュリティ事故の説明である。a〜c に直接関連する情報セキュリティの三大要素の組合せとして，適切なものはどれか。 a 営業情報の検索システムが停止し，目的とする情報にアクセスすることができなかった。 b 重要な顧客情報が，競合他社へ漏れた。 c 新製品の設計情報が，改ざんされていた。

• アa-可用性，b-完全性，c-機密性
• イa-可用性，b-機密性，c-完全性
• ウa-完全性，b-可用性，c-機密性
• エa-完全性，b-機密性，c-可用性

機密性 · 完全性 · 可用性

19. 出典: 平成24年度 秋期 ITパスポート試験 問98

A社では，個人情報保護法に従って，個人情報を取り扱っている。Bさんが所属する営業部では，個人情報を顧客がインターネット上のA社のWebページに会員登録することで，商品購入ができるという事業を開始することになった。そこで，Bさんは会員登録をするWebページの仕組みとして，次の事項を考えた。 〔会員登録をするWebページの仕組み〕 ①　個人情報の利用目的を記述したWebページを表示し，顧客が同意ボタンを押すと，個人情報を入力するWebページに移動する。 ②　会員登録の項目としては，氏名，住所，電話番号，生年月日，性別，メールアドレス，ID及びパスワードがあり，これらは必ず入力してもらう。メールアドレスとパスワードについては，誤入力を防ぐために，同じ情報を2度入力してもらう。 ③　Webページでの個人情報の入力が終了し，送信ボタンを押した後，入力情報を確認するWebページを表示し，顧客に入力の間違いがないかを確認してもらう。このとき，入力されたIDが他の会員によって既に登録されている場合，変更を求める。 ④　顧客が入力情報を確認し，登録ボタンを押した後，登録したメールアドレス宛に，A社の会員として登録された旨を伝える電子メール（以下，メールという）を送信する。 ⑤　②及び③における顧客のPCとA社のWebサーバとのデータのやり取りは，暗号化による通信を行う。 次に示す〔個人情報の適正管理に関する規程〕の各項について，〔会員登録をするWebページの仕組み〕の①〜⑤の中で，各項とそれを遵守するために役立つ仕組みの組合せとして，適切なものはどれか。 〔個人情報の適正管理に関する規程〕 第1項　利用目的の達成に必要な範囲内において，個人情報を正確かつ最新の内容に保つように管理しなければならない。 第2項　取り扱う個人情報の漏えい，滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。 第3項　従業者に個人情報を取り扱わせるに当たっては，当該個人情報の安全管理が図られるよう，当該従業者に対する必要かつ適切な監督を行わなければならない。 第4項　個人情報の取扱いの全部又は一部を委託する場合は，その取扱いを委託された個人情報の安全管理が図られるよう，委託を受けた者に対する必要かつ適切な監督を行わなければならない。

• ア[表] 個人情報の適正管理に関する規程=第1項 / 会員登録をするWebページの仕組み=①
• イ[表] 個人情報の適正管理に関する規程=第2項 / 会員登録をするWebページの仕組み=⑤
• ウ[表] 個人情報の適正管理に関する規程=第3項 / 会員登録をするWebページの仕組み=③
• エ[表] 個人情報の適正管理に関する規程=第4項 / 会員登録をするWebページの仕組み=④

安全管理措置

20. 出典: 平成24年度 春期 ITパスポート試験 問62

情報セキュリティマネジメントシステム (ISMS) の PDCA (計画・実行・点検・処置) において, 点検フェーズで実施するものはどれか。

• アISMSの維持及び改善
• イISMSの確立
• ウISMSの監視及びレビュー
• エISMSの導入及び運用

継続的改善 · 情報セキュリティポリシー

21. 出典: 平成25年度 秋期 ITパスポート試験 問56

リスクマネジメントに含まれる四つのプロセスであるリスク対応, リスク特定, リスク評価, リスク分析を実施する順番として, 適切なものはどれか。

• アリスク特定→リスク評価→リスク分析→リスク対応
• イリスク特定→リスク分析→リスク評価→リスク対応
• ウリスク評価→リスク特定→リスク分析→リスク対応
• エリスク分析→リスク特定→リスク対応→リスク評価

リスクアセスメント · リスク特定 · リスク分析 · リスク評価 · リスク対応

22. 出典: 平成25年度 秋期 ITパスポート試験 問57

ISMS を運用している組織において, 退職者が利用していた ID を月末にまとめて削除していたことについて, 監査で指摘を受けた。これを是正して退職の都度削除するように改めるのは, ISMS の PDCA サイクルのどれに該当するか。

• アP
• イD
• ウC
• エA

継続的改善 · PDCA

23. 出典: 平成25年度 秋期 ITパスポート試験 問75

情報セキュリティの機密性を直接的に高めることになるものはどれか。

• ア一日の業務の終了時に機密情報のファイルの操作ログを取得し，漏えいの痕跡がないことを確認する。
• イ機密情報のファイルにアクセスするときに，前回のアクセス日付が適正かどうかを確認する。
• ウ機密情報のファイルはバックアップを取得し，情報が破壊や改ざんされてもバックアップから復元できるようにする。
• エ機密情報のファイルを暗号化し，漏えいしても解読されないようにする。

機密性 · 暗号化

24. 出典: 平成25年度 秋期 ITパスポート試験 問86

N社が, 見積依頼先の B 社及びC 社と守秘義務契約を締結した理由として, 適切 なものはどれか。

• アN社と契約した業務を，外部調達先が再委託することを禁止するため
• イ外部調達先の従業員に，N社プロジェクトメンバからの指揮命令を確実に守らせるため
• ウソフトウェアに関するN社の著作権を守るため
• エ見積書作成のためにB社，C社に与える情報が，いずれかを通じて外部に漏れるのを防止するため

機密性

25. 出典: 平成25年度 春期 ITパスポート試験 問71

情報セキュリティにおけるリスクマネジメントに関する記述のうち, 最も適切なものはどれか。

• ア最終責任者は, 現場の情報セキュリティ管理担当者の中から選ぶ。
• イ組織の業務から切り離した単独の活動として行う。
• ウ組織の全員が役割を分担して, 組織全体で取り組む。
• エ一つのマネジメントシステムの下で各部署に個別の基本方針を定め, 各部署が独立して実施する。

情報セキュリティポリシー · リスクアセスメント

26. 出典: 平成25年度 春期 ITパスポート試験 問75

情報セキュリティに関して, 可用性が損なわれた事故の例に該当するものはどれか。

• ア停電によってシステムが停止した。
• イファイルの読込み権限の設定を誤ったことによって, 権限のない利用者にも公開された。
• ウ不正アクセスによって, 顧客との取引データが漏えいした。
• エプログラムのバグによって, データが誤って更新された。

可用性 · 機密性 · 完全性

27. 出典: 平成26年度 秋期 ITパスポート試験 問47

情報セキュリティのリスクマネジメントにおいて, リスクの重大さを決定するために, 算定されたリスクを与えられた基準と比較するプロセスはどれか。

• アリスク対応
• イリスクの特定
• ウリスク評価
• エリスク分析

リスク評価 · リスク分析 · リスクアセスメント

28. 出典: 平成26年度 秋期 ITパスポート試験 問61

組織で策定する情報セキュリティポリシに関する記述のうち, 最も適切なものは どれか。

• ア情報セキュリティ基本方針だけでなく, 情報セキュリティに関する規則や手順の策定も経営者が行うべきである。
• イ情報セキュリティ基本方針だけでなく, 情報セキュリティに関する規則や手順も社外に公開することが求められている。
• ウ情報セキュリティに関する規則や手順は組織の状況にあったものにすべきであるが, 最上位の情報セキュリティ基本方針は業界標準の鐘形をそのまま採用することが求められている。
• エ組織内の複数の部門で異なる情報セキュリティ対策を実施する場合でも, 情報セキュリティ基本方針は組織全体で統一させるべきである。

情報セキュリティポリシー · 情報セキュリティ方針

29. 出典: 平成26年度 秋期 ITパスポート試験 問67

情報セキュリティの要素である機密性, 完全性及び可用性のうち, 完全性を高める例として, 最も適切なものはどれか。

• アデータの入力者以外の者が, 入力されたデータの正しさをチェックする。
• イデータを外部媒体に保存するときは, 暗号化する。
• ウデータを処理するシステムに予備電源を増設する。
• エファイルに読出し用パスワードを設定する。

完全性 · 機密性 · 可用性

30. 出典: 平成26年度 秋期 ITパスポート試験 問78

ISMSを構築する組織において, 企業の経営方針に基づいて情報セキュリティ基本方針を策定した。これは, ISMSのPDCAサイクルのどのプロセスで実施されるか。

• アP
• イD
• ウC
• エA

情報セキュリティポリシー · 情報セキュリティ方針 · 継続的改善

31. 出典: 平成26年度 春期 ITパスポート試験 問72

情報セキュリティのリスクアセスメントにおける, 資産価値, 脅威, 脆弱性及び リスクの大きさの関係として, 適切なものはどれか。

• ア脅威の大きさは, 資産価値, 脆弱性及びリスクの大きさによって決まる。
• イ資産価値の大きさは, 田威, 脆弱性及びリスクの大きさによって決まる。
• ウ脆弱性の大きさは, 資産価値, 脅威及びリスクの大きさによって決まる。
• エリスクの大きさは, 資産価値, 脅威及び脆弱性の大きさによって決まる。

リスクアセスメント · リスク分析 · 情報セキュリティリスク

32. 出典: 平成26年度 春期 ITパスポート試験 問75

情報セキュリティポリシに関する文書を, 基本方針, 対策基準及び実施手順の三つに分けたとき, これらに関する説明のうち, 適切なものはどれか。

• ア経営層が立てた基本方針を基に, 対策基準を策定する。
• イ現場で実施している実施手順を基に, 基本方針を策定する。
• ウ現場で実施している実施手順を基に, 対策基準を策定する。
• エ組織で規定している対策基準を基に, 基本方針を策定する。

情報セキュリティポリシー · 情報セキュリティ方針

33. 出典: 平成26年度 春期 ITパスポート試験 問84

システムで利用するハードディスクを RAID のミラーリング構成にすることによって, 高めることができる情報セキュリティの要素はどれか。

• ア可用性
• イ機密性
• ウ真正性
• エ責任追跡性

可用性 · RAID

34. 出典: 平成26年度 春期 ITパスポート試験 問85

運用管理部門が,販売部門から受領したデータを「データ管理要領」に沿って取り扱うとき,データの取扱いに関する記述として,適切でないものはどれか。

• ア同じ内容のデータを CD-R と USB メモリの 2 種類の媒体で受領した。データ管理澄には 2 種類の媒体を受領したことを記録した。
• イ受領したデータでは想定した使用目的を果たすことができないことが分かったので返却した。データを使用する前だったので受領したことをデータ管理簿に記録しなかった。
• ウ受領したデータを, データ管理簿に記載した使用目的以外の目的に変更して使用することになったので, 一且データを返却し, 再度同じデータを受領してデータ管理簿に記録 した。
• エデータを追加で取得依頼したが, 不要となったので受領前に依頼を取り消し,データ管理簿に記録しなかった。[テクノロジ〕

情報資産 · 安全管理措置

35. 出典: 平成27年度 秋期 ITパスポート試験 問24

個人情報保護法では個人情報取扱事業者に対して安全管理措置を講じることを求めている。経済産業分野のガイドラインでは, 安全管理措置は技術的安全管理措置, 組織的安全管理措置, 人的安全管理措置, 物理的安全管理措置に分類している。このうち, 人的安全管理措置の具体例として, 適切なものはどれか。

• ア安全管理に対する規程と従業員による体制の整備
• イ安全管理に対する従業員の役割及び責任についての周知や教育の実施
• ウ個人データを取り扱う情報システムへの従業員ごとのアクセス制御
• エ従業員の入退出管理や個人データを記録した媒体の施錠管理

安全管理措置

36. 出典: 平成27年度 秋期 ITパスポート試験 問49

リスクマネジメントを推進するために, リスクマネジメントシステムの導入のための実行計画を最初に策定した。その後に行う活動を次の a ～ c に分けて行うとき, PDCAサイクルに従った実施順序として, 適切なものはどれか。 a 実行計画に従ってリスク対策を実施する。 b 実施の効果を測定し, リスクマネジメントシステムの有効性を評価する。 c リスクマネジメントシステムに関する是正・改善措置を実施する。

• アa → b → c
• イa → c → b
• ウc → a → b
• エc → b → a

リスクアセスメント · 継続的改善 · PDCA

37. 出典: 平成27年度 秋期 ITパスポート試験 問58

情報セキュリティの観点から、システムの可用性を高める施策の例として、最も適切なものはどれか。

• ア生体認証を採用する。
• イディジタル署名を行う。
• ウデータを暗号化する。
• エハードウェアを二重化する。

可用性

38. 出典: 平成27年度 秋期 ITパスポート試験 問62

ISMSの情報セキュリティ方針に関する記述として, 適切なものはどれか。

• ア情報セキュリティ方針は, トップマネジメントが確立しなければならない。
• イ情報セキュリティ方針は, 社外に公表してはならない。
• ウ一度制定した情報セキュリティ方針は変更できない。
• エ個人情報や機密情報を扱わない従業者には, 情報セキュリティ方針を周知しなくてもよい。 .

情報セキュリティ方針 · 情報セキュリティポリシー

39. 出典: 平成27年度 秋期 ITパスポート試験 問69

PDCAモデルに基づいてISMSを運用している組織において、始業時の手順に従って業務用PCに適用されていないセキュリティパッチの有無を確認し、必要なパッチを適用している。この活動はPDCAサイクルのうちどれに該当するか。

• アP
• イD
• ウC
• エA

継続的改善 · 情報セキュリティポリシー

40. 出典: 平成27年度 秋期 ITパスポート試験 問80

ISMSに関する記述のうち, 適切なものはどれか。

• アISMS のマネジメントサイクルは, セキュリティ事故が発生した時点で開始し,セキュリティ事故が収束した時点で終了する。
• イISMS の構築, 運用は, 組織全体ではなく, 必ず部門ごとに行う。
• ウISMS を構築する組織は, 保護すべき情報資産を特定し, リスク対策を決める。
• エ情報セキュリティ方針は, 具体的なセキュリティ対策が記述されたものである。

情報セキュリティポリシー · 情報セキュリティ方針 · リスク対応 · 情報資産

41. 出典: 平成27年度 春期 ITパスポート試験 問47

情報セキュリティ基本方針, 又は情報セキュリティ基本方針と情報セキュリティ対策基準で構成されており, 企業や組織の情報セキュリティに関する取組みを包括的に規定した文書として, 最も適切なものはどれか。

• ア情報セキュリティポリシ
• イ情報セキュリティマネジメントシステム
• ウソーシャルエンジニアリング
• エリスクアセスメント

情報セキュリティポリシー · 情報セキュリティ方針

42. 出典: 平成27年度 春期 ITパスポート試験 問53

ISMSにおけるセキュリティリスクへの対応には, リスク移転, リスク回避, リスク受容及びリスク低減がある。リスク回避に該当する事例はどれか。

• アセキュリティ対策を行って, 問題発生の可能性を下げた。
• イ問題発生時の損害に備えて, 保険に入った。
• ウリスクが小さいことを確認し, 問題発生時は損害を負担することにした。
• エリスクの大きいサービスから撤退した。こう

リスク対応 · リスク回避 · リスク移転 · リスク保有

43. 出典: 平成27年度 春期 ITパスポート試験 問56

情報セキュリティに関する用語である可用性, 完全性, 機密性及び脆弱性のうち, ISMSが組織の情報資産に対して維持管理すべき特性としているものだけを全て挙げたものはどれか。

• ア可用性, 完全性
• イ可用性, 完全性, 機密性
• ウ完全性, 機密性
• エ完全性, 機密性, 脆弱性

機密性 · 完全性 · 可用性

44. 出典: 平成27年度 春期 ITパスポート試験 問75

ISMSの運用において, 監査結果をインプットとし, ISMSを継続的に改善するための是正処置及び予防処置を行うプロセスはPDCAサイクルのどれにあたるか。

• アP
• イD
• ウC
• エA

継続的改善 · 情報セキュリティ管理基準 · PDCA

45. 出典: 平成27年度 春期 ITパスポート試験 問81

組織の活動に関する記述a～dのうち，ISMSの特徴として，適切なものだけを全て挙げたものはどれか。 a　一過性の活動より改善と活動を継続する。 b　現場が主導するボトムアップ活動である。 c　導入及び活動は経営層を頂点とした組織的な取組みである。 d　目標と期限を定めて活動し，目標達成によって終了する。

• アa, b
• イa, c
• ウb, d
• エc, d

情報セキュリティポリシー · 継続的改善 · PDCA

46. 出典: 平成28年度 秋期 ITパスポート試験 問62

セキュリティリスクへの対応には、リスク移転、リスク回避、リスク受容及びリスク低減がある。リスク低減に該当する事例はどれか。

• アセキュリティ対策を行って、問題発生の可能性を下げた。
• イ問題発生時の損害に備えて、保険に入った。
• ウリスクが小さいことを確認し、問題発生時は損害を負担することにした。
• エリスクの大きいサービスから撤退した。

リスク対応 · リスク移転 · リスク回避 · リスク保有

47. 出典: 平成28年度 秋期 ITパスポート試験 問71

企業における ISMS の活動において, 自社で取り扱う情報資産の保護に関する基本的な考え方や取組み方を示したものはどれか。

• アBCP
• イISMS 要求事項
• ウPDCA
• エ情報セキュリティ方針

情報セキュリティ方針 · 情報セキュリティポリシー

48. 出典: 平成28年度 秋期 ITパスポート試験 問87

情報セキュリティにおける機密性・完全性・可用性に関する記述のうち, 完全性が保たれなかった例はどれか。

• ア暗号化して送信した電子メールが第三者に盗聴された。
• イオペレータが誤ってデータ入力し, 顧客名簿に矛盾が生じた。
• ウショッピングサイトがシステム障害で一時的に利用できなかった。
• エデータベースで管理していた顧客の個人情報が漏えいした。

完全性 · 機密性 · 可用性

49. 出典: 平成28年度 秋期 ITパスポート試験 問89

A社では、自社の情報資産に関するリスク分析を実施した結果、近くの川が氾濫することで会社の1階にあるサーバルームが浸水するおそれがあることが分かった。サーバルームの移転も検討したが、川は100年前に1度氾濫したきりで、その可能性はほとんどないと判断し、特に対策は講じないことを経営層が決定した。A社が選択した情報セキュリティのリスク対応はどれか。

• アリスクの移転
• イリスクの回避
• ウリスクの受容
• エリスクの低減

リスク対応 · リスク保有 · リスクアセスメント

50. 出典: 平成28年度 秋期 ITパスポート試験 問96

情報セキュリティにおけるリスクマネジメントに関して、次の記述中のa〜cに入れる字句の適切な組合せはどれか。 情報セキュリティにおいて、組織がもつ情報資産の [ a ] を突く [ b ] によって、組織が損害を被る可能性のことを [ c ] という。

• アa:脅威 b:リスク c:脆弱性
• イa:脆弱性 b:脅威 c:リスク
• ウa:リスク b:脅威 c:脆弱性
• エa:リスク b:脆弱性 c:脅威

情報セキュリティリスク · 機密性 · リスクアセスメント

51. 出典: 平成28年度 春期 ITパスポート試験 問73

情報セキュリティマネジメントシステムを構築した企業において, 情報セキュリ ティ方針を改訂したことを周知する範囲として, 適切なものはどれか。

• ア機密情報を扱う部署の従業員
• イ経営者
• ウ全ての従業員及び関連する外部関係者
• エセキュリティ管理者

情報セキュリティ方針 · 情報セキュリティポリシー

52. 出典: 平成28年度 春期 ITパスポート試験 問77

セキュリティリスクへの対応には, リスク移転, リスク回避, リスク受容, リスク低減などがある。リスク移転に該当する事例はどれか。

• アセキュリティ対策を行って, 問題発生の可能性を下げた。
• イ問題発生時の損害に備えて, 保険に入った。
• ウリスクが小さいことを確認し, 問題発生時は損害を負担することにした。
• エリスクの大きいサービスから撤退した。

リスク移転 · リスク対応 · リスク回避 · リスク保有

53. 出典: 平成28年度 春期 ITパスポート試験 問83

情報セキュリティにおいて, 可用性が損なわれる事象はどれか。

• ア機密情報のコピーが格納された USB メモリが盗難にあった。
• イ顧客情報管理システムの顧客情報が誤った内容のまま運用されていた。
• ウ社内のサーバに不正侵入されて, 社外秘の情報が漏えいした。
• エ取引先との電子決済システムがDoS 攻撃を受け, 処理ができなくなった。

可用性 · 機密性 · 完全性 · DoS攻撃

54. 出典: 平成28年度 春期 ITパスポート試験 問91

ISMS適合性評価制度に関する次の記述中の a, b に入れる字句の適切な組合せはどれか。 企業などの組織において、[ a ] マネジメントシステムが適切に構築、運用され、ISMS 認証基準の要求事項に適合していることを [ b ] が審査して認証する制度である。

• アa:個人情報保護 b:組織内の監査を行う部署
• イa:個人情報保護 b:特定の第三者機関
• ウa:情報セキュリティ b:組織内の監査を行う部署
• エa:情報セキュリティ b:特定の第三者機関

情報セキュリティポリシー · 情報セキュリティ管理基準 · 情報セキュリティ方針 · ISO/IEC 27000

55. 出典: 平成29年度 秋期 ITパスポート試験 問57

ISMS における情報セキュリティリスクの取扱いに関する“リスク及び機会に対処する活動”には, リスク対応, リスク評価, リスク分析が含まれる。この活動の流れとして, 適切なものはどれか。

• アリスク対応 → リスク評価 → リスク分析
• イリスク評価 → リスク分析 → リスク対応
• ウリスク分析 → リスク対応 → リスク評価
• エリスク分析 → リスク評価 → リスク対応

リスク分析 · リスク評価 · リスク対応 · リスクアセスメント

56. 出典: 平成29年度 秋期 ITパスポート試験 問68

全社を適用範囲として ISMS を導入する場合の情報セキュリティ方針に関する記述のうち, 適切なものはどれか。

• ア同じ業種であれば記述内容は同じである。
• イ全社共通の PC の設定ルールを定めたものである。
• ウトップマネジメントが確立しなければならない。
• エ部門ごとに最適化された情報セキュリティ方針を, 個別に策定する。

情報セキュリティ方針 · 情報セキュリティポリシー

57. 出典: 平成29年度 秋期 ITパスポート試験 問77

PDCA モデルに基づいて ISMS を運用している組織において, サーバ運用管理手順書に従って定期的に, “ウイルス検知用の定義ファイルを最新版に更新する” 作業を実施している。この作業は, PDCA モデルのどのプロセスで実施されるか。

• アP
• イD
• ウC
• エA

継続的改善 · PDCA

58. 出典: 平成29年度 秋期 ITパスポート試験 問80

ISMS適合性評価制度において, 組織がISMS認証を取得していることから判断できることだけを全て挙げたものはどれか。 a 組織が運営するWebサイトを構成しているシステムには脆弱性がないこと b 組織が情報資産を適切に管理し, それを守るための取組みを行っていること c 組織が提供する暗号モジュールには, 暗号化機能, 署名機能が適切に実装されていること

• アa
• イb
• ウb, c
• エc

ISMAP · 情報資産

59. 出典: 平成29年度 秋期 ITパスポート試験 問90

次の情報セキュリティに係る事象において, 機密性, 完全性及び可用性のうち, 損なわれたものだけを全て挙げたものはどれか。 職場のファイルサーバにおいて, サーバ上のファイルを全て暗号化して保存し ていたが, サーバがウイルスに感染し, 一部のファイルが削除されてしまった。 ウイルスの駆除とファイルの復旧に数時間を要し, その間は業務が行えない状態 となり, 利用者に迷惑をかけてしまった。

• ア機密性
• イ機密性, 完全性
• ウ完全性, 可用性
• エ可用性

機密性 · 完全性 · 可用性

60. 出典: 平成29年度 秋期 ITパスポート試験 問94

職場のPCを使用していたところ，ウイルス対策ソフトでウイルスを検出した旨のメッセージが表示された。このPCで直ちに行うべきこととして，適切なものはどれか。

• アPCの再起動
• イ電子メールによる職場内への通知
• ウネットワークからの切断
• エファイルのバックアップ

情報セキュリティインシデント

61. 出典: 平成29年度 春期 ITパスポート試験 問62

ISMS に関するトップマネジメントの考え方や基本原理を示す公式な文書はどれか。

• ア情報セキュリティ監査基準
• イ情報セキュリティ実施手順
• ウ情報セキュリティ対策基準
• エ情報セキュリティ方針

情報セキュリティポリシー · 情報セキュリティ方針

62. 出典: 平成29年度 春期 ITパスポート試験 問63

情報セキュリティのリスクマネジメントをリスク特定, リスク分析, リスク評価, リスク対応に分けたときに, リスク対応に含まれるものはどれか。

• ア組織に存在するリスクを洗い出す。
• イリスクの大きさとリスク受容基準を比較して、対策実施の必要性を判断する。
• ウリスクの発生確率と影響度から、リスクの大きさを算定する。
• エリスクへの対処方法を選択し、具体的な管理策の計画を立てる。

リスク対応 · リスクアセスメント · リスク特定 · リスク分析 · リスク評価

63. 出典: 平成29年度 春期 ITパスポート試験 問67

情報の漏えいなどのセキュリティ事故が発生したときに, 被害の拡大を防止する活動を行う組織はどれか。

• アCSIRT
• イISMS
• ウMVNO
• エディジタルフォレンジックス

CSIRT · 情報セキュリティインシデント

64. 出典: 平成29年度 春期 ITパスポート試験 問75

ISMSの「計画」、「運用」、「パフォーマンス評価」及び「改善」において、「パフォーマンス評価」で実施するものはどれか。

• ア情報セキュリティリスクアセスメント
• イ内部監査
• ウ不適合の是正処置
• エリスクの決定

継続的改善 · リスクアセスメント · 情報セキュリティリスク

65. 出典: 平成29年度 春期 ITパスポート試験 問79

情報セキュリティにおける完全性を維持する対策の例として, 最も適切なものはどれか。

• アデータにディジタル署名を付与する。
• イデータを暗号化する。
• ウハードウェアを二重化する。
• エ負荷分散装置を導入する。ぜい

完全性 · デジタル署名

66. 出典: 平成29年度 春期 ITパスポート試験 問82

企業内において, 不審な相手から届いた電子メールの添付ファイルを誤って開いてしまったところ, 使用していた PC がウイルス感染を強く疑う挙動を示した。この PC の使用者がまず最初に取るべき行動として, 適切なものはどれか。

• アウイルス定義ファイルを最新にし, ウイルスの検査と駆除を行う。
• イその電子メールを削除し, PC を再起動する。
• ウネットワークからPCを切り離してシステム管理者に連絡する。
• エハードディスクを初期化の上, OS を再インストールする。

情報セキュリティインシデント · コンピュータウイルス

67. 出典: 平成29年度 春期 ITパスポート試験 問83

ISMS における情報セキュリティリスクの特定に関する記述において，a，b に入れる字句の適切な組合せはどれか。 ISMSの ［ a ］ における情報の機密性，［ b ］ 及び可用性の喪失に伴うリスクを特定する。

• アa：適用範囲外，b：完全性
• イa：適用範囲外，b：脆弱性
• ウa：適用範囲内，b：完全性
• エa：適用範囲内，b：脆弱性

機密性 · 完全性 · 可用性 · リスク特定

68. 出典: 平成30年度 秋期 ITパスポート試験 問61

PDCA モデルに基づいて ISMS を運用している組織において, 運用しているサーバ のソフトウェアに対する最新の修正プログラムの有無を, 定められた運用手順に従 って毎日調べる業務は, PDCA のどのフェーズか。

• アP (Plan)
• イD (Do)
• ウC (Check)
• エA (Act)

継続的改善

69. 出典: 平成30年度 秋期 ITパスポート試験 問67

情報資産に対するリスクは, 脅威と脆弱性を基に評価する。脅威に該当するもの はどれか。

• ア暗号化しない通信
• イ機密文書の取扱方法の不統一
• ウ施錠できないドア
• エ落雷などによる予期しない停電

リスク特定 · リスク分析 · リスクアセスメント

70. 出典: 平成30年度 秋期 ITパスポート試験 問68

情報セキュリティにおけるリスクアセスメントの説明として, 適切なものはどれか。

• アPC やサーバに侵入したウイルスを, 感染拡大のリスクを抑えながら駆除する。
• イ識別された資産に対するリスクを分析, 評価し, 基準に照らして対応が必要かどうかを判断する。
• ウ事前に登録された情報を使って, システムの利用者が本人であることを確認する。
• エ情報システムの導入に際し, 費用対効果を算出する。

リスクアセスメント · リスク分析 · リスク評価 · リスク対応

71. 出典: 平成30年度 秋期 ITパスポート試験 問70

ISMS における情報セキュリティ方針の説明として, 適切なものはどれか。

• ア個人情報を取り扱う事業者が守るべき義務を規定するものである。
• イ情報管理者が情報セキュリティを確保するために実施する具体的な手順を示す
• ウ情報セキュリティに対する組織の意図を示し, 方向付けをするものである。
• エ保護すべき情報を管理しているサーバのセキュリティの設定値を規定するものである。

情報セキュリティ方針 · 情報セキュリティポリシー

72. 出典: 平成30年度 秋期 ITパスポート試験 問78

情報セキュリティ対策において, 情報を保護レベルによって分類して管理するとき, 管理方法として, 適切なものだけを全て挙げたものはどれか。 a 情報に付与した保護レベルは, 廃棄するまで変更しない。 b 情報の取扱い手順は, 保護レベルごとに定める。 c 情報の保護レベルは, 組織が作成した基準によって決める。 d 保護レベルで管理する対象は, 電子データとそれを保存した保存媒体に限定する。

• アa，c
• イa，d
• ウb，c
• エb，d

情報資産 · 安全管理措置

73. 出典: 平成30年度 秋期 ITパスポート試験 問82

情報セキュリティにおける機密性, 完全性及び可用性のうち, 特に完全性の向上 を目的とした取組として, 最も適切なものはどれか。

• アサーバをデュプレックスシステムで構成して運用する。
• イシステムの稼働率の向上策を検討する。
• ウシステムの利用開始時にユーザ認証を求める。
• エ情報の改ざんを防止する対策を施す。

完全性 · 機密性 · 可用性

74. 出典: 平成30年度 秋期 ITパスポート試験 問98

コンピュータやネットワークに関するセキュリティ事故の対応を行うことを目的とした組織を何と呼ぶか。

• アCSIRT
• イISMS
• ウISP
• エMVNO

CSIRT

75. 出典: 平成30年度 秋期 ITパスポート試験 問99

ISMSにおける情報セキュリティリスクアセスメントでは，リスクの特定，分析及び評価を行う。リスクの評価で行うものだけを全て挙げたものはどれか。 a　あらかじめ定めた基準によって，分析したリスクの優先順位付けを行う。 b　保護すべき情報資産の取扱いにおいて存在するリスクを洗い出す。 c　リスクが顕在化したときに，対応を実施するかどうかを判断するための基準を定める。

• アa
• イa，b
• ウb
• エc

リスクアセスメント · リスク特定 · リスク分析 · リスク評価

76. 出典: 平成30年度 春期 ITパスポート試験 問61

情報セキュリティリスクへの対応には, リスク移転, リスク回避, リスク受容及びリスク低減がある。リスク受容に該当する記述はどれか。

• アセキュリティ対策を行って, 問題発生の可能性を下げること
• イ特段の対応は行わずに, 損害発生時の負担を想定しておくこと
• ウ保険などによってリスクを他者などに移すこと
• エ問題の発生要因を排除してリスクが発生する可能性を取り去ること

リスク保有 · リスク対応 · リスク移転 · リスク回避

77. 出典: 平成30年度 春期 ITパスポート試験 問70

ISMS におけるリスク分析に関する記述として, 適切なものはどれか。

• ア異なる情報資産について, 轟威と脆弱性のレベルが同じであれば, その資産価値が小さいほどリスク値は大きくなる。
• イシステムの規模や重要度にかかわらず, 全てのリスクを詳細に分析しなければならない。
• ウ電子データは分析の対象とするが, 紙媒体のデータは対象としない。
• エリスクの内容は業界や業種によって異なることから, 対象とする組織に適した分析手法を用いる。

リスク分析 · 情報資産 · リスクアセスメント

78. 出典: 平成30年度 春期 ITパスポート試験 問82

JPCERT コーディネーションセンターと情報処理推進機構 (IPA) が共同運営する JVN (Japan Vulnerability Notes) で, “JVN#12345678” などの形式の識別子を付けて管理している情報はどれか。

• アOSS のライセンスに関する情報
• イウイルス対策ソフトの定義ファイルの最新バージョン情報
• ウ工業製品や測定方法などの規格
• エソフトウェアなどの脆弱性関連情報とその対策

脆弱性関連情報届出制度

79. 出典: 平成30年度 春期 ITパスポート試験 問90

情報セキュリティマネジメントが PDCA サイクルに基づくとき, C に相当するもの はどれか。

• ア情報セキュリティの目的，プロセス，手順の確立を行う。
• イ評価に基づいた是正及び予防措置によって改善を行う。
• ウプロセスの導入，運用を行う。
• エプロセスの効果を測定し，結果の評価を行う。

継続的改善 · 情報セキュリティポリシー

80. 出典: 平成30年度 春期 ITパスポート試験 問93

ISMS における情報セキュリティ方針に関する記述として, 適切なものはどれか。

• ア企業の現状とは切り離して, 目標とする理想形を記述するのがよい。
• イ周知は情報セキュリティ担当者だけに限定するのがよい。
• ウトップマネジメントが確立しなければならない。
• エ適用範囲が企業全体であっても, 部門単位で制定するのがよい。

情報セキュリティ方針 · 情報セキュリティポリシー

81. 出典: 平成31年度 春期 ITパスポート試験 問1

問1 リスクアセスメントを三つのプロセスに分けるとすると, リスクの特定, リスクの評価ともう一つはどれか。

• アリスクの移転
• イリスクの回避
• ウリスクの低減
• エリスクの分析

リスクアセスメント · リスク特定 · リスク分析 · リスク評価

82. 出典: 平成31年度 春期 ITパスポート試験 問38

SNS の事例における IT サービスマネジメントの要件に関する記述のうち, 機密性に該当するものはどれか。

• ア24時間 365 日利用可能である。
• イ許可されていないユーザはデータやサービスにアクセスできない。
• ウサーバ設置場所に地震などの災害が起こっても, 1 時間以内に利用が再開できる。
• エ投稿した写真の加工や他のユーザのフォローができる。

機密性 · 可用性

83. 出典: 平成31年度 春期 ITパスポート試験 問63

PDCA モデルに基づいて ISMS を運用している組織において, A (Act) で実施することの例として, 適切なものはどれか。

• ア業務内容の監査結果に基づいた是正処置として, サーバの監視方法を変更する。
• イサーバ管理者の業務内容を第三者が客観的に評価する。
• ウサーバ室内の情報資産を洗い出す。
• エサーバの動作を定められた運用手順に従って監視する。

継続的改善 · 情報セキュリティポリシー · PDCA

84. 出典: 平成31年度 春期 ITパスポート試験 問68

資産A～Dの資産価値，脅威及び脆弱性の評価が表のとおりであるとき，最優先でリスク対応するべきと評価される資産はどれか。ここで，リスク値は，表の各項目を重み付けずに掛け合わせることによって算出した値とする。 | 資産名 | 資産価値 | 脅威 | 脆弱性 | |---|---|---|---| | 資産A | 5 | 2 | 3 | | 資産B | 6 | 1 | 2 | | 資産C | 2 | 2 | 5 | | 資産D | 1 | 5 | 3 |

• ア資産A
• イ資産B
• ウ資産C
• エ資産D

リスクアセスメント · リスク分析 · リスク評価 · 情報セキュリティリスク

85. 出典: 平成31年度 春期 ITパスポート試験 問72

ISMS の導入効果に関する次の記述中の a, b に入れる字句の適切な組合せはどれか。 [ a ] マネジメントプロセスを適用することによって, 情報の機密性, [ b ] 及び可用性をバランス良く維持, 改善し, [ a ] を適切に管理しているという信頼を利害関係者に与える。

• アa：品質　b：完全性
• イa：品質　b：妥当性
• ウa：リスク　b：完全性
• エa：リスク　b：妥当性

機密性 · 完全性 · 可用性 · 情報セキュリティリスク

86. 出典: 平成31年度 春期 ITパスポート試験 問85

情報セキュリティポリシを, 基本方針, 対策基準及び実施手順の三つの文書で構成したとき, これらに関する説明のうち, 適切なものはどれか。

• ア基本方針は, 経営者が作成した対策基準や実施手順に従って, 従業員が策定したものである。
• イ基本方針は, 情報セキュリティ事故が発生した場合に, 経営者が取るべき行動を記述したマニュアルのようなものである。
• ウ実施手順は, 対策基準として決められたことを担当者が実施できるように, 具体的な進め方などを記述したものである。
• エ対策基準は, 基本方針や実施手順に何を記述すべきかを定めて, 関係者に周知しておくものである。

情報セキュリティポリシー · 情報セキュリティ方針

87. 出典: 令和元年度 秋期 ITパスポート試験 問25

経営戦略上，IT の利活用が不可欠な企業の経営者を対象として，サイバー攻撃から企業を守る観点で経営者が認識すべき原則や取り組むべき項目を記載したものはどれか。

• アIT 基本法
• イITサービス維続ガイドライン
• ウサイバーセキュリティ基本法
• エサイバーセキュリティ経営ガイドライン

サイバーセキュリティ経営ガイドライン

88. 出典: 令和元年度 秋期 ITパスポート試験 問56

次の作業a〜dのうち, リスクマネジメントにおける, リスクアセスメントに含まれるものだけを全て挙げたものはどれか。 a リスク特定 b リスク分析 c リスク評価 d リスク対応

• アa, b
• イa, b, c
• ウb, c, d
• エc, d

リスクアセスメント · リスク特定 · リスク分析 · リスク評価 · リスク対応

89. 出典: 令和元年度 秋期 ITパスポート試験 問68

1年前に作成した情報セキュリティポリシについて, 適切に運用されていることを 確認するための監査を行った。この活動は PDCA サイクルのどれに該当するか。

• アP
• イD
• ウC
• エA

情報セキュリティポリシー · 継続的改善

90. 出典: 令和元年度 秋期 ITパスポート試験 問84

内外に宣言する最上位の情報セキュリティポリシに記載することとして, 最も適 切なものはどれか。

• ア経営陣が情報セキュリティに取り組む姿勢
• イ情報資産を守るための具体的で詳細な手順
• ウセキュリティ対策に掛ける費用
• エ守る対象とする具体的な個々の情報資産

情報セキュリティポリシー · 情報セキュリティ方針

91. 出典: 令和元年度 秋期 ITパスポート試験 問86

情報セキュリティのリスクマネジメントにおけるリスク対応を, リスクの移転, 回避, 受容及び低減の四つに分類するとき, リスクの低減の例として, 適切なものはどれか。

• アインターネット上で, 特定利用者に対して, 機密に属する情報の提供サービスを行っていたが, 情報漏えいのリスクを考慮して, そのサービスから撤退する。
• イ個人情報が漏えいした場合に備えて, 保険に加入する。
• ウサーバ室には限られた管理者しか入室できず, 機器盗難のリスクは低いので,追加の対策は行わない。
• エノート PC の紛失, 盗難による情報漏えいに備えて, ノート PC の HDD に保存する情報を暗号化する。

リスク対応 · リスク移転 · リスク回避 · リスク保有 · 暗号化

92. 出典: 令和元年度 秋期 ITパスポート試験 問97

情報セキュリティの三大要素である機密性, 完全性及び可用性に関する記述のうち, 最も適切なものはどれか。

• ア可用性を確保することは, 利用者が不用意に情報漏えいをしてしまうリスクを下げることになる。
• イ完全性を確保する方法の例として, システムや設備を二重化して利用者がいつでも利用できるような環境を維持することがある。
• ウ機密性と可用性は互いに反する側面をもっているので, 実際の運用では両者をバランスよく確保することが求められる。
• エ機密性を確保する方法の例として, データの減失を防ぐためのバックアップや誤入力を防ぐための入力チェックがある。

機密性 · 完全性 · 可用性

93. 出典: 令和2年度 ITパスポート試験 問68

リスク対応を, 移転, 回避, 低減及び保有に分類するとき, 次の対応はどれに分類されるか。 【対応】 職場における机上の書類からの情報漏えい対策として, 退社時のクリアデスクを導入した。

• ア移転
• イ回避
• ウ低減
• エ保有

リスク対応 · リスク移転 · リスク回避 · クリアデスク · リスク保有

94. 出典: 令和2年度 ITパスポート試験 問69

ISMS の確立, 実施, 維持及び継続的改善における次の実施項目のうち, 最初に行うものはどれか。

• ア情報セキュリティリスクアセスメント
• イ情報セキュリティリスク対応
• ウ内部監査
• エ利害関係者のニーズと期待の理解

リスクアセスメント · リスク対応 · 継続的改善 · 情報セキュリティポリシー

95. 出典: 令和2年度 ITパスポート試験 問84

ISMS の情報セキュリティリスク対応における, 人的資源に関するセキュリティ管 理策の記述として, 適切でないものはどれか。

• ア雇用する候補者全員に対する経歴などの確認は, 関連する法令, 規制及び倫理に従って行う。
• イ情報セキュリティ違反を犯した従業員に対する正式な懲戒手続を定めて, 周知する。
• ウ組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが, 業務を委託している他社には要求しないようにする。
• エ退職する従業員に対し, 退職後も有効な情報セキュリティに関する責任事項及び義務を定めてその従業員に伝え, 退職後もそれを守らせる。

情報セキュリティ管理基準 · 安全管理措置 · 情報セキュリティポリシー

96. 出典: 令和2年度 ITパスポート試験 問87

ISMS における情報セキュリティに関する次の記述中の a，b に入れる字句の適切な組合せはどれか。 情報セキュリティとは，情報の機密性，[ a ]及び可用性を維持することである。さらに，[ b ]，責任追跡性，否認防止，信頼性などの特性を維持することを含める場合もある。

• ア[表] a: 完全性 / b: 真正性
• イ[表] a: 完全性 / b: 保守性
• ウ[表] a: 保全性 / b: 真正性
• エ[表] a: 保全性 / b: 保守性

機密性 · 完全性 · 可用性 · 真正性 · 責任追跡性 · 否認防止 · 信頼性

97. 出典: 令和2年度 ITパスポート試験 問89

PDCA モデルに基づいて ISMS を運用している組織の活動において, PDCA モデルの A (Act) に相当するプロセスで実施するものとして, 適切なものはどれか。

• ア運用状況の監視や運用結果の測定及び評価で明らかになった不備などについて.,見直しと改善策を決定する。
• イ運用状況の監視や運用結果の測定及び評価を行う。
• ウセキュリティポリシの策定や組織内の体制の確立, セキュリティポリシで定めた目標を達成するための手順を策定する。
• エセキュリティポリシの周知徹底やセキュリティ装置の導入などを行い, 具体的に運用する。

継続的改善 · 情報セキュリティポリシー

98. 出典: 令和2年度 ITパスポート試験 問94

IoT デバイス群とそれらを管理する IoT サーバで構成される IoT システムがある。このシステムの情報セキュリティにおける①~③のインシデントと, それによって損なわれる, 機密性, 完全性及び可用性との組合せとして, 適切なものはどれか。 [インシデント] ① IoT デバイスが, 電池切れによって動作しなくなった。 ② IoT デバイスと IoT サーバ間の通信を暗号化していなかったので, 情報が漏えいした。 ③ システムの不具合によって, 誤ったデータが記録された。

• ア[表] | | ① | ② | ③ | |---|---|---|---| | ア | 可用性 | 完全性 | 完全性 |
• イ[表] | | ① | ② | ③ | |---|---|---|---| | イ | 可用性 | 機密性 | 完全性 |
• ウ[表] | | ① | ② | ③ | |---|---|---|---| | ウ | 完全性 | 可用性 | 完全性 |
• エ[表] | | ① | ② | ③ | |---|---|---|---| | エ | 機密性 | 可用性 | 完全性 |

機密性 · 完全性 · 可用性

99. 出典: 令和3年度 ITパスポート試験 問61

クレジットカードの会員データを安全に取り扱うことを目的として策定された, クレジットカード情報の保護に関するセキュリティ基準はどれか。

• アNFC
• イPCI DSS
• ウPCI Express
• エRFID

PCI DSS

100. 出典: 令和3年度 ITパスポート試験 問67

ISMS における情報セキュリティに関する次の記述中の a, b に入れる字句の適切な組合せはどれか。 情報セキュリティとは, 情報の機密性, 完全性及び [ a ] を維持することである。さらに, 真正性, 責任追跡性, 否認防止, [ b ] などの特性を維持することを含める場合もある。

• ア[表] a: 可用性 / b: 信頼性
• イ[表] a: 可用性 / b: 保守性
• ウ[表] a: 保全性 / b: 信頼性
• エ[表] a: 保全性 / b: 保守性

機密性 · 完全性 · 可用性 · 真正性 · 信頼性 · 責任追跡性 · 否認防止

101. 出典: 令和3年度 ITパスポート試験 問77

PDCA モデルに基づいて ISMS を運用している組織の活動において, リスクマネジメントの活動状況の監視の結果などを受けて, 是正や改善措置を決定している。この作業は, PDCA モデルのどのプロセスで実施されるか。

• アP
• イD
• ウC
• エA

継続的改善 · PDCA

102. 出典: 令和3年度 ITパスポート試験 問79

中小企業の情報セキュリティ対策普及の加速化に向けて, IPA が創設した制度である “SECURITY ACTION” に関する記述のうち, 適切なものはどれか。

• アISMS 認証取得に必要な費用の一部を国が補助する制度
• イ営利を目的としている組織だけを対象とした制度
• ウ情報セキュリティ対策に取り組むことを自己宣言する制度
• エ情報セキュリティ対策に取り組んでいることを第三者が認定する制度

SECURITY ACTION · 中小企業の情報セキュリティ対策ガイドライン

103. 出典: 令和3年度 ITパスポート試験 問81

J-CRAT に関する記述として, 適切なものはどれか。

• ア企業などに対して, 24時間体制でネットワークやデバイスを監視するサービスを提供する。
• イコンピュータセキュリティに関わるインシデントが発生した組織に赴いて, 自らが主体となって対応の方針や手順の策定を行う。
• ウ重工, 重電など, 重要インフラで利用される機器の製造業者を中心に, サイバー攻撃に関する情報共有と早期対応の場を提供する。
• エ相談を受けた組織に対して, 標的型サイバー攻撃の被害低減と攻撃の連鎖の遮断を支援する活動を行う。

J-CRAT · サイバーレスキュー隊 · 標的型攻撃

104. 出典: 令和3年度 ITパスポート試験 問88

ISMS のリスクアセスメントにおいて, 最初に行うものはどれか。

• アリスク対応
• イリスク特定
• ウリスク評価
• エリスク分析

リスクアセスメント · リスク特定 · リスク分析 · リスク評価

105. 出典: 令和3年度 ITパスポート試験 問91

次の作業a〜dのうち, リスクマネジメントにおける, リスクアセスメントに含まれるものだけを全て挙げたものはどれか。 a 脅威や脆弱性などを使ってリスクレベルを決定する。 b リスクとなる要因を特定する。 c リスクに対してどのように対応するかを決定する。 d リスクについて対応する優先順位を決定する。

• アa, b
• イa, b, d
• ウa, c, d
• エc, d

リスクアセスメント · リスク特定 · リスク分析 · リスク評価 · リスク対応

106. 出典: 令和3年度 ITパスポート試験 問96

情報セキュリティ方針に関する記述として, 適切なものはどれか。

• ア一度定めた内容は, 運用が定着するまで変更してはいけない。
• イ企業が目指す情報セキュリティの理想像を記載し, その理想像に近づくための活動を促す。
• ウ企業の情報資産を保護するための重要な事項を記載しているので, 社外に非公開として厳重に管理する。
• エ自社の事業内容, 組織の特性及び所有する情報資産の特徴を考慮して策定する。

情報セキュリティ方針 · 情報セキュリティポリシー

107. 出典: 令和3年度 ITパスポート試験 問99

情報セキュリティのリスクマネジメントにおいて, リスク移転, リスク回避, リスク低減, リスク保有などが分類に用いられることがある。これらに関する記述として, 適切なものはどれか。

• アリスク対応において、リスクの対応策を分類したものであり、リスクの顕在化に備えて保険を掛けることは、リスク移転に分類される。
• イリスク特定において、保有資産の使用目的を分類したものであり、マルウェア対策ソフトのような情報セキュリティ対策で使用される資産は、リスク低減に分類される。
• ウリスク分析において、リスクの評価方法を分類したものであり、管理対象の資産がもつリスクについて、それを回避することが可能かどうかで評価することは、リスク回避に分類される。
• エリスク分析において、リスクの分析手法を分類したものであり、管理対象の資産がもつ脆弱性を客観的な数値で示す手法は、リスク保有に分類される。

リスク対応 · リスク移転 · リスク回避 · リスク特定 · リスク分析

108. 出典: 令和4年度 ITパスポート試験 問55

情報セキュリティにおけるPCI DSS の説明として, 適切なものはどれか。

• アクレジットカード情報を取り扱う事業者に求められるセキュリティ基準
• イコンピュータなどに内蔵されるセキュリティ関連の処理を行う半導体チップ
• ウコンピュータやネットワークのセキュリティ事故に対応する組織
• エサーバやネットワークの通信を監視し, 不正なアクセスを検知して攻撃を防ぐシステム

PCI DSS

109. 出典: 令和4年度 ITパスポート試験 問58

ISMS の計画, 運用, パフォーマンス評価及び改善において, パフォーマンス評価で実施するものはどれか。

• ア運用の計画及び管理
• イ内部監査
• ウ不適合の是正処置
• エリスクの決定

継続的改善 · 情報セキュリティポリシー

110. 出典: 令和4年度 ITパスポート試験 問72

情報セキュリティにおける機密性，完全性及び可用性と，①〜③のインシデントによって損なわれたものとの組合せとして，適切なものはどれか。 ① DDoS攻撃によって，Webサイトがダウンした。 ② キーボードの打ち間違いによって，不正確なデータが入力された。 ③ PCがマルウェアに感染したことによって，個人情報が漏えいした。

• ア[表] ①可用性 ②完全性 ③機密性
• イ[表] ①可用性 ②機密性 ③完全性
• ウ[表] ①完全性 ②可用性 ③機密性
• エ[表] ①完全性 ②機密性 ③可用性

機密性 · 完全性 · 可用性

111. 出典: 令和4年度 ITパスポート試験 問76

情報セキュリティのリスクマネジメントにおけるリスク対応を, リスク回避, リスク共有, リスク低減及びリスク保有の四つに分類するとき, 情報漏えい発生時の損害に備えてサイバー保険に入ることはどれに分類されるか。

• アリスク回避
• イリスク共有
• ウリスク低減
• エリスク保有

リスク対応 · リスク共有 · リスク回避 · サイバー保険 · リスク保有

112. 出典: 令和4年度 ITパスポート試験 問85

情報セキュリティポリシを, 基本方針, 対策基準, 実施手順の三つの文書で構成したとき, これらに関する説明のうち, 適切なものはどれか。

• ア基本方針は, 対策基準や実施手順を定めるためのトップマネジメントの意思を示したものである。
• イ実施手順は, 基本方針と対策基準を定めるために実施した作業の手順を記録したものである。
• ウ対策基準は, ISMS に準拠した情報セキュリティポリシを策定するための文書の基準を示したものである。
• エ対策基準は, 情報セキュリティ事故が発生した後の対策を実施手順よりも詳しく記述したものである。

情報セキュリティポリシー · 情報セキュリティ方針

113. 出典: 令和4年度 ITパスポート試験 問86

情報セキュリティにおけるリスクアセスメントを, リスク特定, リスク分析, リスク評価の三つのプロセスに分けたとき, リスク分析に関する記述として, 最も適切なものはどれか。

• ア受容基準と比較できるように, 各リスクのレベルを決定する必要がある。
• イ全ての情報資産を分析の対象にする必要がある。
• ウ特定した全てのリスクについて, 同じ分析技法を用いる必要がある。
• エリスクが受容可能かどうかを決定する必要がある。

リスクアセスメント · リスク特定 · リスク分析 · リスク評価

114. 出典: 令和5年度 ITパスポート試験 問56

ISMS クラウドセキュリティ認証に関する記述として, 適切なものはどれか。

• アPaaS，SaaS が対象であり，IaaS は対象ではない。
• イクラウドサービス固有の管理策が適切に実施されていることを認証するものである。
• ウクラウドサービスを提供している組織が対象であり，クラウドサービスを利用する組織は対象ではない。
• エクラウドサービスで保管されている個人情報について，適切な保護措置を講じる体制を整備し，運用していることを評価して，プライバシーマークの使用を認める制度である。

ISMAP · ISO/IEC 27000 · 情報セキュリティ管理基準

115. 出典: 令和5年度 ITパスポート試験 問72

情報セキュリティのリスクマネジメントにおけるリスク対応を, リスク回避, リスク共有, リスク低減及びリスク保有の四つに分類したとき, リスク共有の説明として, 適切なものはどれか。

• ア個人情報を取り扱わなかいなど, リスクを伴う活動自体を停止したり, リスク要因を根本的に排除したりすること
• イ災害に備えてデータセンターを地理的に離れた複数の場所に分散するなど, リスクの発生確率や損害を減らす対策を講じること
• ウ保険への加入など, リスクを一定の合意の下に別の組織へ移転又は分散することによって, リスクが顕在化したときの損害を低減すること
• エリスクの発生確率やリスクが発生したときの損害が小さいと考えられる場合に,リスクを認識した上で特に対策を講じず, そのリスクを受け入れること

リスク対応 · リスク回避 · リスク共有 · リスク移転 · リスク分散 · リスク保有

116. 出典: 令和5年度 ITパスポート試験 問79

PDCA モデルに基づいて ISMS を運用している組織の活動において, 次のような調査報告があった。この調査は PDCA モデルのどのプロセスで実施されるか。 社外からの電子メールの受信に対しては, 情報セキュリティポリシーに従ってマルウェア検知システムを導入し, 維持運用されており, 日々数十件のマルウェア付き電子メールの受信を検知し, 破棄するという効果を上げている。しかし, 社外への電子メールの送信に関するセキュリティ対策のための規定や明確な運用手順がなく, 社外秘の資料を添付した電子メールの社外への誤送信などが発生するリスクがある。

• アP
• イD
• ウC
• エA

継続的改善 · 情報セキュリティポリシー

117. 出典: 令和5年度 ITパスポート試験 問94

ISMS における情報セキュリティ方針に関する記述として, 適切なものはどれか。

• ア企業が導入するセキュリティ製品を対象として作成され, セキュリティの設定値を定めたもの
• イ個人情報を取り扱う部門を対象として, 個人情報取扱い手順を規定したもの
• ウ自社と取引先企業との間で授受する情報資産の範囲と具体的な保護方法について,両社問で合意したもの
• エ情報セキュリティに対する組織の意図を示し, 方向付けしたもの

情報セキュリティ方針 · 情報セキュリティポリシー

118. 出典: 令和5年度 ITパスポート試験 問95

情報セキュリティにおける機密性, 完全性及び可用性に関する記述のうち, 完全性 が確保されなかった例だけを全て挙げたものはどれか。 a オペレーターが誤ったデータを入力し, 顧客名簿に矛盾が生じた。 b ショッピングサイトがシステム障害で一時的に利用できなかった。 c データベースで管理していた顧客の個人情報が漏えいした。

• アa
• イa, b
• ウb
• エc

完全性 · 機密性 · 可用性

119. 出典: 令和6年度 ITパスポート試験 問64

情報セキュリティのリスクマネジメントにおけるリスクへの対応を, リスク共有, リスク回避, リスク保有及びリスク低減の四つに分類するとき, リスク共有の例として, 適切なものはどれか。

• ア災害によるシステムの停止時間を短くするために, 遠隔地にバックアップセンターを設置する。
• イ情報漏えいによって発生する損害賠償や事故処理の損失補填のために, サイバー保険に加入する。
• ウ電子メールによる機密ファイルの流出を防ぐために, ファイルを添付した電子メールの送信には上司の許可を必要とする仕組みにする。
• エノート PCの紛失や盗難による情報漏えいを防ぐために, HDD を暗号化する。

リスク共有 · リスク回避 · リスク保有 · リスク対応 · サイバー保険 · リスク移転

120. 出典: 令和6年度 ITパスポート試験 問75

情報セキュリティの3要素である機密性, 完全性及び可用性と, それらを確保するための対策の例a〜cの適切な組合せはどれか。 a アクセス制御 b デジタル署名 c ディスクの二重化

• アa:可用性 b:完全性 c:機密性
• イa:可用性 b:機密性 c:完全性
• ウa:完全性 b:機密性 c:可用性
• エa:機密性 b:完全性 c:可用性

機密性 · 完全性 · 可用性

121. 出典: 令和6年度 ITパスポート試験 問82

ISMS クラウドセキュリティ認証に関する記述として, 適切なものはどれか。

• ア一度認証するだけで, 複数のクラウドサービスやシステムなどを利用できるようにする認証の仕組み
• イクラウドサービスについて, クラウドサービス固有の管理策が実施されていることを認証する制度
• ウ個人情報について適切な保護措置を講ずる体制を整備しているクラウド事業者などを評価して, 事業活動に関してプライバシーマークの使用を認める制度
• エ利用者がクラウドサービスヘへログインするときの環境, IP アドレスなどに基づいて状況を分析し, リスクが高いと判断された場合に追加の認証を行う仕組み

ISMAP · クラウドサービス

122. 出典: 令和6年度 ITパスポート試験 問86

PDCA モデルに基づいて ISMS を運用している組織において, C (Check) で実施する ことの例として, 適切なものはどれか。

• ア業務内容の監査結果に基づいた是正処置として, サーバの監視方法を変更する。
• イ具体的な対策と目標を決めるために, サーバ室内の情報資産を洗い出す。
• ウサーバ管理者の業務内容を第三者が客観的に評価する。
• エ定められた運用手順に従ってサーバの動作を監視する。

継続的改善 · 情報セキュリティポリシー

123. 出典: 令和6年度 ITパスポート試験 問94

企業において情報セキュリティポリシー策定で行う作業のうち, 次の作業の実施順序として, 適切なものはどれか。 a 策定する責任者や担当者を決定する。 b 情報セキュリティ対策の基本方針を策定する。 c 保有する情報資産を洗い出し, 分類する。 d リスクを分析する。

• アa → b → c → d
• イa → b → d → c
• ウb → a → c → d
• エb → a → d → c

情報セキュリティポリシー · リスク分析 · リスクアセスメント

124. 出典: 令和7年度 ITパスポート試験 問59

ISMS における内部監査に関する記述のうち, 適切なものはどれか。

• アJIS Q 27001の要求事項及び組織自体が規定した要求事項によって定める監査基準への適合性だけでなく, ISMS 活動の組織に対する有効性も判定する。
• イJIS Q 27991の要求事項ではなく, 組織自体が規定した要求事項を監査基準とする。
• ウ内部監査の実施のためのプログラムを確立するときには, 前回の内部監査の結果は考慮しない。
• エ不定期かつ抜き打ちでの実施を原則とする。

情報セキュリティ管理基準 · ISO/IEC 27000

125. 出典: 令和7年度 ITパスポート試験 問68

CSIRT として行う活動の例として, 最も適切なものはどれか。

• アOS やアプリケーションソフトウェアのセキュリティパッチを定期的に適用する。
• イ地震や洪水などの自然災害を想定し, 情報資産を守るために全社的な事業継続計画を策定する。
• ウセキュリティ事故の発生時に影響範囲を調査して, 被害拡大を防止するための対策実施を支援する。
• エ保守業者がサーバ室で作業した日に, 作業員の入退出が適切に記録されていたことを監査する。

CSIRT · 情報セキュリティインシデント

126. 出典: 令和7年度 ITパスポート試験 問83

ISMS の運用に PDCA モデルを採用している組織において, サーバ監視に関する次の作業を実施する。各作業と PDCA モデルの各フェーズの組合せとして, 適切なものはどれか。 〔作業〕 (1) サーバ監視の具体的な目的及び手順を定める。 (2) サーバ監視の作業内容を第三者が客観的に評価する。 (3) 定められている手順に従ってサーバを監視する。 (4) 発見された問題点の是正処置として, サーバの監視方法を変更する。

• アP：(1)，D：(2)，C：(3)，A：(4)
• イP：(1)，D：(2)，C：(4)，A：(3)
• ウP：(1)，D：(3)，C：(2)，A：(4)
• エP：(1)，D：(3)，C：(4)，A：(2)

継続的改善 · 情報セキュリティポリシー

127. 出典: 令和7年度 ITパスポート試験 問84

ISMS における情報セキュリティ方針に関する記述として, 適切なものはどれか。

• ア機密事項が記載されているので, 伝達する範囲を社内に限定する必要がある。
• イ情報セキュリティ対策は一度実施したら終わりではないので, ISMS を継続的に改善するコミットメントを含める必要がある。
• ウ部門の特性に応じて最適化するので, ISMS を適用する組織全体ではなく, 部門ごとに定める必要がある。
• エボトムアップを前提としているので, 各職場の管理者によって承認される必要がある。

情報セキュリティ方針 · 情報セキュリティポリシー · 継続的改善

128. 出典: 令和7年度 ITパスポート試験 問91

情報セキュリティのリスクマネジメントにおけるリスク対応を, リスク移転, リスク回避, リスク低減及びリスク保有の四つに分けて実施することにしたとき, これらに関する記述として, 適切なものはどれか。

• アリスク対応の実施手順であり, リスク回避, リスク移転, リスク低減, リスク保有の順番で進める。 「
• イリスク対応の実施手順であり, リスク保有, リスク低減, リスク移転, リスク回避の順番で進める。
• ウリスク対応の選択肢であり, 管理対象としたリスクの顕在化に備えて保険を掛けておくことは, リスク回避に該当する。
• エリスク対応の選択肢であり, ノート PC の紛失や盗難に備えて社外への持出しをより厳重に管理することは, リスク低減に該当する。に

リスク対応 · リスク移転 · リスク回避 · リスク保有

129. 出典: 令和7年度 ITパスポート試験 問97

情報セキュリティにおいて, 可用性が損なわれた事象だけを全て挙げたものはどれか。 a 関連取引先との電子決済システムが DoS 攻撃を受け, 処理ができなくなった。 b 顧客情報管理システムの顧客情報が誤った内容のまま運用されていた。 c 社内のサーバに不正侵入されて, 社外秘の情報が漏えいした。

• アa
• イa，b
• ウb，c
• エc

可用性 · 完全性 · 機密性

130. 出典: 令和8年度 ITパスポート試験 問70

ISMS における情報セキュリティインシデントの管理に関する記述のうち, 適切なものはどれか。

• ア情報セキュリティインシデントには臨機応変な対応が求められるので, あらかじめ対応手順を文書化しておくのではなく, 実際の対応内容を記録する。
• イ情報セキュリティインシデントから得られた知識は, 模僚を防ぐために情報セキュリティの管理策の強化には用いない。
• ウ情報セキュリティ事象は, その評価を待つことなく, 報告された時点で情報セキュリティインシデントに分類される。
• エ情報セキュリティ事象は, 適切な管理者へ速やかに報告するために, あらかじめその連絡経路と仕組みを用意しておく。

情報セキュリティインシデント · 情報セキュリティ管理基準 · 継続的改善

131. 出典: 令和8年度 ITパスポート試験 問77

ある企業では, サーバ室への入室管理を暗証番号で行っていたが, 虹彩認証装置による本人確認を加えることによって, 無許可の者の入室をより確実に防止する対策とした。これは, サーバ室における情報セキュリティ要素のうち, どれを高める対策に該当するか。

• ア可用性
• イ完全性
• ウ機密性
• エ否認防止

機密性 · 虹彩認証 · 入退室管理

132. 出典: 令和8年度 ITパスポート試験 問79

企業のリスクマネジメントの一環として行われるサイバーセキュリティリスク対策の推進において，経営者に求められる役割として，最も適切なものはどれか。

• アIT 部門のセキュリティ担当者に，部門ごとのサイバーセキュリティリスク対応方針の策定と実行を全て任せる。
• イサイバーセキュリティ対策を実施する上での責任者となるCISO を任命し，実行や判断を全て任せる。
• ウ実施方針の検討，予算や人材の割当て，実施状況の確認や問題の把握と対応を通じて自らリーダーシップを発揮する。
• エ専門家である外部の経営コンサルタントに，自社の組織や事業におけるリスクの分析と対策の推進に関する権限と責任を委譲する。

サイバーセキュリティ経営ガイドライン · リーダーシップ

133. 出典: 令和8年度 ITパスポート試験 問89

情報セキュリティに関する次の記述中の a, b に入れる字句の適切な組合せはどれか。 守るべき情報資産に対して望ましくない影響を及ぼす可能性のある原因のことを a といい, 情報資産自身の価値を損なう可能性をもつ弱点のことを b という。

• アa:インシデント b:リスク
• イa:脅威 b:脆弱性
• ウa:脆弱性 b:インシデント
• エa:リスク b:脅威

情報資産 · 情報セキュリティリスク

134. 出典: 令和8年度 ITパスポート試験 問93

次の ISMS における実施項目のうち, 最初に行うものはどれか。

• アISMS の適用範囲の決定
• イ情報セキュリティリスクアセスメント
• ウ情報セキュリティリスク対応
• エ内部監査

リスクアセスメント · リスク対応 · 情報セキュリティポリシー

135. 出典: 令和8年度 ITパスポート試験 問100

ISMS の活動に関する記述として，最も適切なものはどれか。

• ア企業のコスト削減や製品の品質，サービスの改善などのために，業務プロセスを改善する。
• イ顧客の満足度を高めるために，IT サービスの品質を継続的に改善する。
• ウ情報資産を洗い出し，リスクの特定と分析及び評価を行い，情報資産を管理する。
• エ製品とサービスの開発プロセスの成熟度を評価し，改善する。

情報資産 · リスク特定 · リスク分析 · リスク評価