ITパスポート 令和7年度公開問題：情報セキュリティの11問

正解：ア（a）　IPA 公表の解答例による

• ア ○ 正しい

  可用性は，使いたいときに使える状態を保つこと。DoS攻撃で決済の処理ができなくなったのは，使えない状態になったので，可用性が損なわれた事象。

• イ × 誤り 情報が正しく使えない状態も，可用性の問題だと考えた

  bは，情報が誤った内容のまま使われていた事象で，正確さを保つ完全性が損なわれたもの。

• ウ × 誤り 情報に問題が起きた事象は，全て可用性の問題だと考えた

  bは完全性，cは許可のない人に知られる機密性が損なわれた事象。どちらも可用性ではない。

• エ × 誤り 情報の漏えいを，可用性の問題だと考えた

  情報が漏えいしたのは，機密性が損なわれた事象。使えなくなったわけではないので，可用性ではない。

正解：ア（可用性）　IPA 公表の解答例による

• ア ○ 正しい

  可用性は，使いたいときにサービスを使える度合い。合意した提供時間のうち，実際に使えた時間の割合（稼働率）で表す。

• イ × 誤り サービスが使えることは，機能が備わっていることだと考えた

  機能性は，必要な機能が備わっているかどうか。使えた時間の割合とは関係がない。

• ウ × 誤り 効率という語から，時間を有効に使えているかの話だと考えた

  効率性は，使う資源の量や処理の速さに関する品質。サービスを使えた時間の割合ではない。

• エ × 誤り 利用できるという言葉から，使いやすさのことだと考えた

  使用性は，利用者にとっての使いやすさ，分かりやすさ。使えた時間の割合は表さない。

正解：ウ（情報資産に損害を与える原因となるもの）　IPA 公表の解答例による

• ア × 誤り 攻撃に関わるものは，どれも脅威だと考えた

  攻撃者に付け込まれる弱点は，脆弱性の説明。脅威は，その弱点を突いて損害を与える側のもの。

• イ × 誤り 被害の大きさに関わる言葉を，脅威だと考えた

  被害に遭う確率と被害規模を組み合わせて表すのは，リスクの考え方。脅威そのものの説明ではない。

• ウ ○ 正しい

  脅威は，情報資産に損害を与える原因となるもの。不正アクセス，マルウェア，災害，人の操作ミスなどが当たる。

• エ × 誤り 脅威と脆弱性とリスクを，まとめて一つの意味だと考えた

  弱点（脆弱性）を利用した攻撃によって，被害を受ける可能性を表すのはリスク。脅威は，被害の可能性ではなく，被害の原因そのもの。

正解：エ（バッファオーバーフロー）　IPA 公表の解答例による

• ア × 誤り 攻撃を防ぐ対策は，どれもソフトウェアの更新で足りると考えた

  総当たり攻撃は，パスワードの組合せを片っ端から試す攻撃。ソフトウェアのバグではなく，パスワードの弱さや試行回数の制限のなさを突くので，パッチでは防げない。長いパスワードや，失敗が続いたときのロックなどが対策になる。

• イ × 誤り 情報を盗む攻撃には，ソフトウェアの対策が効くと考えた

  ソーシャルエンジニアリングは，人をだましたり，のぞき見したりして情報を得る手口。狙われるのは人の行動なので，ソフトウェアの修正では防げない。教育や運用のルールが対策になる。

• ウ × 誤り 不正ログインは，ソフトウェアの欠陥が原因だと考えた

  パスワードリスト攻撃は，ほかのサービスから漏れたIDとパスワードの組を使ってログインを試す攻撃。ソフトウェアに欠陥がなくても成り立つ。パスワードの使い回しをやめることや，多要素認証が対策になる。

• エ ○ 正しい

  バッファオーバーフローは，プログラムの欠陥を突いて，確保した領域をあふれさせる攻撃。欠陥そのものがソフトウェアにあるので，その欠陥を直すセキュリティパッチを適用するのが最も有効な対策になる。

正解：ウ（a ゼロデイ攻撃／b DDoS 攻撃／c ブルートフォース攻撃）　IPA 公表の解答例による

• ア × 誤り 「大量に送り付ける」ことと「修正プログラムの提供前」を取り違えた

  a DDoS 攻撃／b ゼロデイ攻撃／c ブルートフォース攻撃

  aは修正プログラムの提供前を狙っているので，ゼロデイ攻撃。DDoS攻撃は，複数のコンピュータから大量に送り付けるbの内容。aとbが入れ替わっている。

• イ × 誤り 「大量」「総当たり」「修正前」の語から，攻撃名を一つずつずらして当てはめた

  a DDoS 攻撃／b ブルートフォース攻撃／c ゼロデイ攻撃

  三つとも合っていない。aはゼロデイ攻撃，bはDDoS攻撃，cはブルートフォース攻撃。

• ウ ○ 正しい

  a ゼロデイ攻撃／b DDoS 攻撃／c ブルートフォース攻撃

  aは，脆弱性が見つかってから修正プログラムが出るまでの間を突く「ゼロデイ攻撃」。bは，複数のコンピュータから一斉に大量のパケットを送り，サービスを止める「DDoS攻撃」。cは，パスワードの組合せを順に全部試す「ブルートフォース（総当たり）攻撃」。

• エ × 誤り 「大量に試す」という共通点から，bとcを取り違えた

  a ゼロデイ攻撃／b ブルートフォース攻撃／c DDoS 攻撃

  aは合っているが，bとcが入れ替わっている。大量のパケットでサービスを止めるのはDDoS攻撃，パスワードを順に試して侵入するのはブルートフォース攻撃。

正解：イ（a 安全性／b 利便性）　IPA 公表の解答例による

• ア × 誤り 認証の精度と使いやすさの関係を，可用性（使いたいときに使えること）の話だと考えた

  a 安全性／b 可用性

  本人拒否率を下げると高まるのは，使う人にとっての手軽さ。可用性は，システムが使いたいときに使える状態を保つことで，ここで問われている関係とは別の話。

• イ ○ 正しい

  a 安全性／b 利便性

  他人受入率を低くするには，本人かどうかを厳しく判定することになり，安全性が上がる。その分，本人まで拒否されやすくなる。逆に本人拒否率を低くすると，通りやすくなって利便性が上がるが，他人も受け入れやすくなる。安全性と利便性は，一方を上げると他方が下がる関係にある。

• ウ × 誤り 他人受入率と本人拒否率の関係を逆に考えた

  a 利便性／b 安全性

  他人受入率を低く抑えると判定が厳しくなり，通りにくくなるので，上がるのは利便性ではなく安全性。aとbが入れ替わっている。

• エ × 誤り 他人受入率を低くすると使いやすくなると考え，さらに可用性と混同した

  a 利便性／b 可用性

  他人受入率を低く抑えるのは，他人を通さないようにする方向の調整で，利便性は下がる。bの可用性も，本人拒否率との関係としては合わない。

正解：イ（IDS）　IPA 公表の解答例による

• ア × 誤り 外部との境界に置く仕組みなら，通信を監視して報告するものだと考えた

  DMZは，社内ネットワークと外部ネットワークの間に設ける，中間の区画。公開するサーバを置いて，社内ネットワークを守るためのもので，不正な通信を発見して報告する仕組みではない。

• イ ○ 正しい

  IDSは侵入検知システムで，ネットワークやホストを監視して，不正アクセスや不審な通信を見つけると，管理者に知らせる。見つけて報告するのが役割で，通信を止めるところまでは行わない。

• ウ × 誤り 不正な行為を見つける仕組みは，どれもネットワーク監視だと考えた

  アンチパスバックは，入室の記録がないまま退室する，同じカードで続けて入室するといった，入退室の不正を防ぐ仕組み。ネットワークの通信とは関係がない。

• エ × 誤り 「ネットワークを見張るもの」という語感から選んだ

  ボットは，感染したコンピュータを，外部から遠隔操作して悪用するためのマルウェア。監視する側ではなく，攻撃に使われる側のもの。

正解：エ（WPA2 は，WEP よりも高い信頼性をもつ，無線通信の暗号化技術である。）　IPA 公表の解答例による

• ア × 誤り 略語の字面から，アクセスポイントに関する用語だと考えた

  APIは，ソフトウェアどうしが機能をやり取りするための接続の仕組みで，無線LANのIDではない。無線LANのネットワークを識別する名前はSSIDという。

• イ × 誤り セキュリティに関わる略語は，どれも無線LANの対策だと考えた

  SSHは，ネットワーク経由で別のコンピュータを安全に操作するための通信方式。アクセスポイントを見えなくする機能はステルス機能といい，SSHとは別。

• ウ × 誤り 接続を制限する仕組みは，VPNだと考えた

  VPNは，インターネット上に仮想の専用回線を作り，通信を保護する仕組み。登録したMACアドレスの機器だけを許可するのは，MACアドレスフィルタリング。

• エ ○ 正しい

  WPA2は，無線LANの通信を暗号化する規格。古いWEPには解読されやすい弱点があり，それを改善したWPA，さらに強化したWPA2が使われてきた。

正解：ア（PC が接続するファイルサーバの HDD のバックアップデータを定期的に取得し，ネットワークから切り離して保管する。）　IPA 公表の解答例による

• ア ○ 正しい

  ランサムウェアは，PCやつながったサーバのファイルを暗号化する。ネットワークから切り離したバックアップがあれば，感染しても暗号化されていないデータから元に戻せ，損害を小さくできる。

• イ × 誤り 認証を強くすれば，感染後の被害も減ると考えた

  多要素認証は，不正なログインを防ぐ対策。感染後にデータを元に戻したり被害を小さくしたりするものではなく，「損害を軽減する」対策にならない。

• ウ × 誤り 暗号化しておけば，ランサムウェアにも耐えられると考えた

  HDDの暗号化は，PCの紛失や盗難のときに中身を読まれないようにする対策。PCを使っている間は利用者が使える状態なので，ランサムウェアにファイルを暗号化されることは防げない。

• エ × 誤り ログインの制限が，感染後の被害を食い止めると考えた

  総当たり攻撃などの不正ログインを防ぐ対策。ランサムウェアはログインの失敗とは関係なく動くので，感染後の損害を減らす効果はない。

正解：エ（リスク対応の選択肢であり，ノート PC の紛失や盗難に備えて社外への持出しをより厳重に管理することは，リスク低減に該当する。）　IPA 公表の解答例による

• ア × 誤り 回避，移転，低減，保有の並びが，優先度の高い順の手順だと考えた

  四つは手順ではなく，リスクごとに選ぶ対応の種類。順番に進めるものではない。

• イ × 誤り 保有から始めて強い対応へ段階的に進めるのが正しい手順だと考えた

  四つはリスクごとに選ぶ対応の種類で，保有，低減，移転，回避の順に進める手順ではない。

• ウ × 誤り 保険を掛けることを，リスクを避ける対応だと考えた

  保険を掛けるのは，損害のお金の負担を保険会社に移すので，リスク移転。リスク回避は，リスクの原因となる行為そのものをやめること。

• エ ○ 正しい

  持出しの管理を厳しくすると，紛失や盗難の起こりやすさを下げられる。起こりやすさや被害を小さくする対応なので，リスク低減に当たる。

正解：ウ（有効期間内に失効している。）　IPA 公表の解答例による

• ア × 誤り 有効期間が過ぎた証明書は，全てCRLに載ると考えた

  有効期間が満了した証明書は，期限で使えなくなる。CRLに載るのは，有効期間の途中で使えなくした（失効させた）証明書。

• イ × 誤り 期限の有無が，CRLに載る条件だと考えた

  有効期間が無期限かどうかは関係なく，CRLには失効させた証明書が載る。無期限の証明書でも，失効すれば載り，失効しなければ載らない。

• ウ ○ 正しい

  CRLは証明書失効リスト。秘密鍵の漏えいなどで，有効期間内に失効させた証明書を載せて公開する。利用者は，CRLを見て証明書がまだ使えるかを確かめる。

• エ × 誤り 証明書の更新や延長の情報もCRLで管理すると考えた

  有効期間の延長は，失効とは別の話。延長した証明書が載るリストではない。