ISC2 CC
CC（Certified in Cybersecurity）の練習問題（当サイト作成）
ISC2 の Certified in Cybersecurity（CC）の入門向けの練習問題です。当サイトのAIが作成したオリジナル問題で、すべての選択肢に根拠を付けます。公式の過去問ではありません。
ISC2 CC
CC オリジナル問題 1
人が全選択肢を確認済み（AI 作成）
AI が一次情報をもとに作成し、人がすべての選択肢を確認しました（確認）。
根拠（ISC2の公開資料の要約）：許可されていない者が情報にアクセスしたり開示を受けたりすることへの制限を保つこと。（Preserving authorized restrictions on information access and disclosure）根拠の資料を開く
ISC2、CISSP、SSCP、CCSP、CSSLP、CCは、ISC2, Inc.の登録商標です。当サイトはISC2と提携・公認の関係にありません。この問題は当サイトが独自に作成したもので、実際の試験の問題ではありません。
根拠の資料と食い違う点があれば、資料が優先です。解説文は検証の対象外です。品質方針
社内の顧客名簿が、閲覧権限のない人にも見られる状態になっていました。情報セキュリティの三要素（CIA）のうち、主に損なわれたのはどれですか。
答えと選択肢ごとの根拠を見る
正解：イ（機密性（Confidentiality）） 当サイトの解答
ア × 誤り 閲覧できてしまう状態を、システムが使えない状態の問題と取り違えた
可用性は、必要なときに情報へ確実にアクセスできることです。名簿は使えており、問題は見せてはいけない人に見えたことです。
イ ○ 正しい
機密性は、情報へのアクセスや開示を許可された範囲に制限することです。権限のない人に名簿が見られた時点で、機密性が損なわれています。
ウ × 誤り 情報が漏れることと、情報が書き換わることを同じ問題だと考えた
完全性は、情報が不正に変更・破壊されないことです。名簿の中身は変わっておらず、問題は見られたことです。
エ × 誤り 三要素に含まれない性質を、漏えいへの対策と考えた
否認防止は、行為をした事実を後から否定できないようにする性質で、CIA の三要素ではありません。今回の問題は閲覧の制限に関わります。
ISC2 CC
CC オリジナル問題 2
人が全選択肢を確認済み（AI 作成）
AI が一次情報をもとに作成し、人がすべての選択肢を確認しました（確認）。
根拠（ISC2の公開資料の要約）：A property whereby data has not been altered in an unauthorized manner since it was created, transmitted, or stored根拠の資料を開く
ISC2、CISSP、SSCP、CCSP、CSSLP、CCは、ISC2, Inc.の登録商標です。当サイトはISC2と提携・公認の関係にありません。この問題は当サイトが独自に作成したもので、実際の試験の問題ではありません。
根拠の資料と食い違う点があれば、資料が優先です。解説文は検証の対象外です。品質方針
送金の依頼データが、通信の途中で第三者に金額を書き換えられました。情報セキュリティの三要素（CIA）のうち、損なわれたのはどれですか。
答えと選択肢ごとの根拠を見る
正解：ウ（完全性（Integrity）） 当サイトの解答
ア × 誤り データに第三者が触れたことを、すべて機密性の問題と考えた
機密性は、情報を見せないことです。今回の問題は内容が見られたことではなく、書き換えられたことです。
イ × 誤り データが正しくない状態を、使えない状態と同じだと考えた
可用性は、必要なときに使えることです。送金依頼は届いており、問題は中身が変わったことです。
ウ ○ 正しい
完全性は、データが権限なく変更されていないことです。通信の途中で金額が書き換えられたため、完全性が損なわれています。
エ × 誤り 三要素に含まれない用語を選んだ
認可は、利用者に許す操作を決めることで、CIA の三要素の一つではありません。
ISC2 CC
CC オリジナル問題 3
人が全選択肢を確認済み（AI 作成）
AI が一次情報をもとに作成し、人がすべての選択肢を確認しました（確認）。
根拠（ISC2の公開資料の要約）：情報へのタイムリーで確実なアクセスと利用を保証すること。（Ensuring timely and reliable access to and use of information）根拠の資料を開く
ISC2、CISSP、SSCP、CCSP、CSSLP、CCは、ISC2, Inc.の登録商標です。当サイトはISC2と提携・公認の関係にありません。この問題は当サイトが独自に作成したもので、実際の試験の問題ではありません。
根拠の資料と食い違う点があれば、資料が優先です。解説文は検証の対象外です。品質方針
大量のアクセスを送りつけられ、Web サイトが正規の利用者に応答しなくなりました。情報セキュリティの三要素（CIA）のうち、主に損なわれたのはどれですか。
答えと選択肢ごとの根拠を見る
正解：ア（可用性（Availability）） 当サイトの解答
ア ○ 正しい
可用性は、必要なときに情報やサービスへ確実にアクセスできることです。正規の利用者が使えなくなったため、可用性が損なわれています。
イ × 誤り サービスが止まることを、情報が漏れることと同じだと考えた
機密性は、情報を許可された範囲に限ることです。今回は情報が見られたわけではなく、使えなくなったことが問題です。
ウ × 誤り サービスの停止を、データの改ざんと同じだと考えた
完全性は、データが不正に変更されないことです。データは変わっておらず、アクセスできないことが問題です。
エ × 誤り 三要素ではない性質を選んだ
真正性は、本物であることを確認できる性質で、停止の問題とは別です。
ISC2 CC
CC オリジナル問題 4
人が全選択肢を確認済み（AI 作成）
AI が一次情報をもとに作成し、人がすべての選択肢を確認しました（確認）。
根拠（ISC2の公開資料の要約）：Prioritizing, evaluating, and implementing the appropriate risk-reducing controls/countermeasures根拠の資料を開く
ISC2、CISSP、SSCP、CCSP、CSSLP、CCは、ISC2, Inc.の登録商標です。当サイトはISC2と提携・公認の関係にありません。この問題は当サイトが独自に作成したもので、実際の試験の問題ではありません。
根拠の資料と食い違う点があれば、資料が優先です。解説文は検証の対象外です。品質方針
リスクへの対応のうち、「リスクの軽減（mitigation）」にあたるものはどれですか。
答えと選択肢ごとの根拠を見る
正解：エ（リスクを下げる管理策を選び、優先順位をつけて実施する。） 当サイトの解答
ア × 誤り 事業をやめる回避と、軽減を同じ意味だと考えた
事業そのものをやめるのは、リスクの回避です。軽減は、リスクを下げる管理策を実施することです。
イ × 誤り 損失の負担を移す転嫁を、軽減と取り違えた
損失を保険などで他者に移すのは、リスクの移転です。リスク自体を小さくする対策ではありません。
ウ × 誤り 何もしないことも対応の一つなので軽減だと考えた
リスクを認めて受け入れるのは、リスクの受容です。軽減は、リスクを下げる対策を実施する点で異なります。
エ ○ 正しい
リスクの軽減は、リスクを下げる管理策に優先順位をつけ、評価し、実施することです。
ISC2 CC
CC オリジナル問題 5
人が全選択肢を確認済み（AI 作成）
経費の支払いで、申請を作る担当者と、承認する担当者を別の人にしました。この考え方を何といいますか。
答えと選択肢ごとの根拠を見る
正解：ウ（職務の分離） 当サイトの解答
ア × 誤り 権限を分ける対策を、権限を小さくする対策と取り違えた
最小権限は、業務に必要な最小限の権限だけを与える原則です。担当を分けて一人に権限を集中させない原則は、職務の分離です。
イ × 誤り 担当を分けることを、防御を重ねることだと考えた
多層防御は、複数の対策を重ねて守る考え方です。一人が単独で不正をできないようにするのとは別の原則です。
ウ ○ 正しい
職務の分離は、一人の利用者に単独でシステムを悪用できる権限を与えない原則です。申請者と承認者を分ける例が、そのまま当てはまります。
エ × 誤り 承認の記録が残ることと、担当を分けることを混同した
否認防止は、行為をした事実を後から否定できないようにする性質です。担当を分けて不正を防ぐ原則ではありません。
ISC2 CC
CC オリジナル問題 6
人が全選択肢を確認済み（AI 作成）
AI が一次情報をもとに作成し、人がすべての選択肢を確認しました（確認）。
根拠（ISC2の公開資料の要約）：each entity is granted the minimum system resources and authorizations that the entity needs to perform its function根拠の資料を開く
ISC2、CISSP、SSCP、CCSP、CSSLP、CCは、ISC2, Inc.の登録商標です。当サイトはISC2と提携・公認の関係にありません。この問題は当サイトが独自に作成したもので、実際の試験の問題ではありません。
根拠の資料と食い違う点があれば、資料が優先です。解説文は検証の対象外です。品質方針
新しく入社した経理担当者に、業務で使う会計システムの権限だけを付けました。この考え方を何といいますか。
答えと選択肢ごとの根拠を見る
正解：イ（最小権限） 当サイトの解答
ア × 誤り 権限を限る対策を、担当を分ける対策と取り違えた
職務の分離は、一人に権限を集中させないために担当を分ける原則です。今回は、一人の権限を業務に必要な範囲に絞っています。
イ ○ 正しい
最小権限は、役割を果たすのに必要な最小限の資源と権限だけを与える原則です。業務で使うシステムの権限だけを付けた例にあたります。
ウ × 誤り 権限を絞ることを、防御を重ねることだと考えた
多層防御は、複数の対策を重ねる考え方です。一人に付ける権限の範囲を絞る原則とは別です。
エ × 誤り 権限を付けることを、使えるようにする対策と考えた
可用性は、必要なときに使えることです。権限を必要な範囲に絞る原則を指す言葉ではありません。
ISC2 CC
CC オリジナル問題 7
多要素認証（MFA）にあたるものはどれですか。
答えと選択肢ごとの根拠を見る
正解：エ（パスワードを入力し、さらに本人のスマートフォンに表示された確認コードを入力する。） 当サイトの解答
ア × 誤り どちらも「知っているもの」であることに気づかなかった
パスワードも秘密の質問の答えも「知っているもの」で、同じ種類の要素です。多要素認証には、異なる種類の要素が必要です。
イ × 誤り 強い単一のパスワードを、要素が増えたものと考えた
パスワードを長くしても、使う要素は「知っているもの」の一つだけです。
ウ × 誤り 入力する回数が増えれば多要素だと考えた
二つとも「知っているもの」で、要素の種類は一つです。数えるのは回数ではなく、要素の種類です。
エ ○ 正しい
パスワードは「知っているもの」、スマートフォンのコードは「持っているもの」で、異なる2種類の要素を使っています。
ISC2 CC
CC オリジナル問題 8
人が全選択肢を確認済み（AI 作成）
AI が一次情報をもとに作成し、人がすべての選択肢を確認しました（確認）。
根拠（ISC2の公開資料の要約）：controls the flow of network traffic between networks or hosts that employ differing security postures根拠の資料を開く
ISC2、CISSP、SSCP、CCSP、CSSLP、CCは、ISC2, Inc.の登録商標です。当サイトはISC2と提携・公認の関係にありません。この問題は当サイトが独自に作成したもので、実際の試験の問題ではありません。
根拠の資料と食い違う点があれば、資料が優先です。解説文は検証の対象外です。品質方針
ファイアウォールの基本的な役割はどれですか。
答えと選択肢ごとの根拠を見る
正解：ア（異なるセキュリティ状態のネットワーク間で、通信の流れを制御する。） 当サイトの解答
ア ○ 正しい
ファイアウォールは、異なるセキュリティ状態にあるネットワークやホストの間の通信の流れを制御する装置またはプログラムです。
イ × 誤り ファイアウォールをマルウェア対策ソフトと同じものと考えた
マルウェアの検出と駆除は、主にマルウェア対策ソフトの役割です。ファイアウォールは通信を制御します。
ウ × 誤り 通信の制御と、データの暗号化を取り違えた
データの暗号化は別の対策です。ファイアウォールは、ネットワーク間の通信の流れを制御するものです。
エ × 誤り アクセスを守る対策なら何でもファイアウォールだと考えた
パスワードの管理は、認証に関わる運用です。ファイアウォールは通信を制御するもので、利用者の認証情報は管理しません。
ISC2 CC
CC オリジナル問題 9
人が全選択肢を確認済み（AI 作成）
クラウドの IaaS で、利用者が自分で管理するものとして最も適切なものはどれですか。
答えと選択肢ごとの根拠を見る
正解：ウ（仮想マシン上の OS と、その上で動かすアプリケーション） 当サイトの解答
ア × 誤り 物理設備もすべて利用者の責任だと考えた
物理サーバーなどのクラウド基盤は、IaaS では利用者が管理・制御するものではありません。
イ × 誤り 基盤の仮想化層まで利用者が管理すると考えた
クラウド基盤は提供者の管理で、利用者が制御するのは OS・記憶域・展開したアプリケーションなどです。
ウ ○ 正しい
IaaS では、利用者は OS・記憶域・展開したアプリケーションを制御します。クラウド基盤は提供者の管理です。
エ × 誤り 完成済みのアプリケーションを使うのは SaaS だと気づかなかった
提供者のアプリケーションを利用する形は SaaS です。IaaS は、基本的な計算資源を借りて自分でソフトウェアを動かす形です。
ISC2 CC
CC オリジナル問題 10
RFC 1918 が、組織内部で使うプライベート IPv4 アドレスとして定めている範囲はどれですか。
答えと選択肢ごとの根拠を見る
正解：イ（192.168.0.0 から 192.168.255.255） 当サイトの解答
ア × 誤り 公開されているサービスのアドレスを、内部用だと考えた
8.8.0.0 から始まる範囲は、RFC 1918 のプライベートアドレスには含まれません。
イ ○ 正しい
192.168.0.0 から 192.168.255.255（192.168/16）は、RFC 1918 が定めるプライベートアドレスの一つです。
ウ × 誤り 内部で使われそうなアドレスを、RFC 1918 の範囲と考えた
RFC 1918 が定める範囲は 10/8、172.16/12、192.168/16 の三つで、169.254.0.0 から始まる範囲は含まれません。
エ × 誤り 内部で使われそうなアドレスを、RFC 1918 の範囲と考えた
RFC 1918 が定める範囲は 10/8、172.16/12、192.168/16 の三つで、127.0.0.0 から始まる範囲は含まれません。
ISC2 CC
CC オリジナル問題 11
人が全選択肢を確認済み（AI 作成）
AI が一次情報をもとに作成し、人がすべての選択肢を確認しました（確認）。
根拠（ISC2の公開資料の要約）：An occurrence that actually or potentially jeopardizes the confidentiality, integrity, or availability根拠の資料を開く
ISC2、CISSP、SSCP、CCSP、CSSLP、CCは、ISC2, Inc.の登録商標です。当サイトはISC2と提携・公認の関係にありません。この問題は当サイトが独自に作成したもので、実際の試験の問題ではありません。
根拠の資料と食い違う点があれば、資料が優先です。解説文は検証の対象外です。品質方針
セキュリティの「インシデント」にあたるものはどれですか。
答えと選択肢ごとの根拠を見る
正解：エ（不正アクセスにより、顧客情報が外部に持ち出された。） 当サイトの解答
ア × 誤り 正常な出来事もすべてインシデントだと考えた
正常なログインは、観測できる出来事ではありますが、機密性・完全性・可用性を損なうものではなく、インシデントではありません。
イ × 誤り セキュリティに関する作業をすべてインシデントだと考えた
予定した検査の実施は通常の運用です。機密性・完全性・可用性を損なう出来事ではありません。
ウ × 誤り 方針の変更を、インシデントと取り違えた
方針の周知は管理上の活動です。情報や情報システムの機密性・完全性・可用性を損なうものではありません。
エ ○ 正しい
顧客情報が不正に持ち出されると、機密性が実際に損なわれます。これは、インシデントの定義にあたる出来事です。
ISC2 CC
CC オリジナル問題 12
人が全選択肢を確認済み（AI 作成）
AI が一次情報をもとに作成し、人がすべての選択肢を確認しました（確認）。
根拠（ISC2の公開資料の要約）：Weakness in an information system, system security procedures, internal controls, or implementation根拠の資料を開く
ISC2、CISSP、SSCP、CCSP、CSSLP、CCは、ISC2, Inc.の登録商標です。当サイトはISC2と提携・公認の関係にありません。この問題は当サイトが独自に作成したもので、実際の試験の問題ではありません。
根拠の資料と食い違う点があれば、資料が優先です。解説文は検証の対象外です。品質方針
セキュリティにおける「脆弱性」の説明として最も適切なものはどれですか。
答えと選択肢ごとの根拠を見る
正解：ア（システムや手順、実装にある、悪用されうる弱点） 当サイトの解答
ア ○ 正しい
脆弱性は、情報システム・手順・内部統制・実装にある、悪用されうる弱点です。
イ × 誤り 脆弱性と、脅威となる攻撃者を取り違えた
攻撃者は、脅威の側にあたります。脆弱性は、攻撃される側にある弱点のことです。
ウ × 誤り 脆弱性と、影響（被害）を同じものと考えた
被害の大きさは、影響にあたります。脆弱性は、被害の前にある弱点のことです。
エ × 誤り 脆弱性の発見に使う材料を、脆弱性そのものと考えた
ログは出来事の記録で、弱点そのものではありません。弱点は、システムや手順、実装の側にあります。
解説
この試験の資格情報
受験料・日程・更新の決まりは CCの解説にまとめています。
問題について
このページの問題は ISC2 の Certified in Cybersecurity（CC）を対象に、当サイトのAIが作った入門向けのオリジナル問題です。公式の過去問・サンプル問題ではなく、それらを見て作ったものでもありません。問題は NIST の用語集や SP、RFC など公的に公開されている標準を根拠に作り、すべての選択肢に根拠を付けます。
出典と帰属
各問題の根拠は問題ごとに示す NIST・IETF の公開資料です。ISC2、CCは、ISC2, Inc.の登録商標です。当サイトは、ISC2と提携・公認の関係にありません。