Registered Information Security Specialist Examination case studies
Registered Information Security Specialist Examination · Put your knowledge to work in context.
情報処理安全確保支援士試験（略号SC、英語名称 Registered Information Security Specialist Examination）は、IPAが実施する情報処理技術者試験の一つで、サイバーセキュリティの専門家を目指す人向けの試験です。対象者像は、サイバーセキュリティに関する専門的な知識・技能を活用して企業や組織の安全な情報システムの企画・設計・開発・運用を支援し、対策の調査・分析・評価に基づき指導・助言を行う者とされています。セキュリティエンジニアや、技術・管理の両面から経営層を支援するセキュリティコンサルタントを目指す方に最適と案内されています。 出題範囲は、情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）、システム調達・開発におけるセキュリティ確保、暗号利用・マルウェア対策・脆弱性対応などの対策適用、インシデント管理、そして脅威分析・要素技術・法的要求事項・証拠収集分析・監査まで及びます。 2026年度はCBT方式により前期・後期に実施されます。科目A-1は50分・30問、科目A-2は40分・25問（いずれも四肢択一）、科目Bは150分で4問出題・2問解答の記述式です。合格者は経済産業大臣から合格証書の交付を受け、所定の登録手続きにより国家資格「情報処理安全確保支援士（登録セキスぺ）」の資格保持者となることができます。準備としては、シラバスと過去問題で出題範囲を確認し、記述式の長文事例に慣れる学習が有効です。なお2027年度から新試験制度に移行する予定です。. Topics on this exam: 情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）, システム調達・システム開発におけるセキュリティ確保, 情報及び情報システムの利用におけるセキュリティ対策の適用（暗号利用、マルウェア対策、脆弱性対応など）, 情報セキュリティインシデント管理（管理体制の構築、インシデント対応）, and 脅威分析、要素技術（ネットワーク、データベース、暗号、認証、フィルタリング、ロギング）、法的要求事項、証拠収集・分析、情報セキュリティ監査. The Registered Information Security Specialist Examination case studies are 5 cases and about 335 words.
1グループ全体のリスクアセスメント手法の見直しと残留リスクの受容判断
中堅の食品卸売業A社（連結売上高480億円、従業員1,150名、グループ会社3社）では、情報セキュリティ委員会が年1回のリスクアセスメントを実施している。これまでは情報システム部の5名が表計算ソフト上で資産台帳（約620資産）のCIA評価を3段階で付け、リスク値の上位30件だけを対策予算の対象としてきた。しかし前年度、取引先とのEDI基盤をクラウドのSaaSへ移行した際、資産台帳にSaaSが「情報システム部所管外」として登載されておらず、アクセス権限の棚卸しも未実施だったことが外部監査で指摘された。また、グループ会社B社では独自に「リスクは低い」と判断して基幹システムのOSサポート終了を2年間放置していたが、本社はこれを把握していなかった。さらに、インシデント対応の手順書はあるものの、リスク対応の判断記録（なぜその対策を選び、何を受容したか）は残されていない。新しく着任したCISOは、①リスク基準（影響度・発生可能性の尺度とリスク対応の方針）を全社で統一する、②グループ会社とクラウドサービスを含む資産の洗い出しを行う、③対策予算の配分根拠を経営会議で説明できるようにする、ことを求めている。本年は対策予算が前年比15%減となり、全指摘への対応は難しい。. 限られた予算と工数で、グループ会社を含む全社のリスクを把握するには、どのようなアプローチでリスクアセスメントを実施すべきか。JIS X 27005等で示される複数のアプローチの種類に触れながら論じよ。. グループ会社B社が基幹システムのOSサポート終了を2年間放置した事象を、リスク対応の4分類に照らして整理せよ。また、残留リスクは誰が受容すべきか。. SaaSが資産台帳から漏れていた原因を分析し、再発防止策を資産管理とサプライチェーン管理の観点から示せ。. 現状は事実上「詳細リスクアセスメントのみ」を5名で回しており、620資産×グループ3社を毎年評価する工数が確保できない。評価の粗さが「上位30件だけ見る」という運用を生み、SaaSのように台帳に載らない対象を落としている。 2. したがって、①全社はベースラインで点検、②重要業務（受注・出荷・EDI）、③クラウド／外部委託、④サポート終了など「変化のあった領域」には詳細リスクアセスメントを適用する二層構造とする。 実務上の要点 資産ベースではなく 業務・サービスベース で洗い出す。SaaSは「機器・ソフトの台帳」に入らないため、業務単位で棚卸ししないと同じ漏れが再発する。 尺度（影響度3段階・発生可能性3段階など）としきい値を先に全社合意する。B社の独断は尺度が共有されていなかったことに起因する。 各リスクに対し回避／低減／移転／受容のいずれを選んだか、誰が承認したかを記録する。予算配分の根拠はこの記録が担う。.
57 words, under 1 min2基幹システム刷新におけるリリース前脆弱性診断の省略提案と再委託先の管理
C社（従業員2,300名、全国12拠点の物流会社）は、稼働から18年となる基幹の輸配送管理システムを刷新する。調達形態はパッケージ製品のカスタマイズで、受注生産部分が全体の約35%を占める。一次請けのX社が設計・開発を、Y社が運用保守を担当する。X社は開発工数の約4割を海外の再委託先Z社に割り当てる予定で、契約書には再委託の事前承諾とセキュリティ要件の一部が記載されているが、Z社の名称・所在国は明示されていない。リリース予定は3か月後である。X社からの見積にはWebアプリケーション診断とプラットフォーム診断が含まれていたが、コスト削減のため「診断はリリース後に1回だけ実施する」とする変更提案が出ている。また、C社のセキュリティ担当が確認したところ、設計書にはOSSの利用一覧がなく、X社は「脆弱性情報は都度確認している」と口頭で説明している。検収条件には「機能要件を満たすこと」としか記載されておらず、セキュリティに関する合格基準は未定義である。C社の情報セキュリティ部は3名体制で、開発プロジェクトに専任で張り付ける余力はない。. 再委託先Z社に関して、C社が契約上・管理上講ずべき措置を具体的に述べよ。. 検収基準に組み込むべきセキュリティ要件と、OSSの脆弱性管理の進め方を示せ。. プラットフォーム診断はOS・ミドルウェアの設定不備を見るもので、認可制御の欠陥やSQLインジェクションといった実装上のロジック脆弱性は検出できない。リリース後1回では検出範囲が不足する。 3. 受注生産部分が35%あり、パッケージ標準機能の範囲外＝独自実装に脆弱性が集中しやすい。 現実的な代替案（リスクベース） 全機能一律ではなく、認証・権限管理・外部連携API・個人情報を扱う画面に絞って リリース前に 診断を実施する。 残りの機能はリリース後30日以内に診断し、修正完了までの間はWAFと監視で緩和する。 受け入れる場合の必須条件 ①経営層による残留リスクの正式な受容と記録、②WAF・ログ監視など暫定緩和策の実施、③リリース後診断の期限と、発見時の修正完了条件を契約に明記（未完了なら検収しない）、④診断費用は削減対象から除外する。. 再委託の特定と事前承諾 ：Z社の名称、所在国、担当工程、取扱データの範囲を書面で特定し、変更時は再承諾を要する条項とする。 2.
62 words, under 1 min3レガシー組込み機器の遠隔保守における暗号方式と到達経路のリスク判断
D社（電子部品メーカー、工場3拠点、従業員1,050名）は、生産設備28台の遠隔保守を外部ベンダV社に委託している。各設備には組込みWebサーバが搭載されており、V社の技術者はインターネット経由で管理画面に接続してパラメータ変更やログ取得を行う。接続に使われるサーバ証明書はSHA-1署名で、対応プロトコルはTLS 1.0のみ、有効期限は2027年である。技術者側の認証は共通ID1つと8文字のパスワードだけで、退職者のアカウントも残っている。設備のファームウェア更新は年1回の定期停止（2日間）でしか実施できず、稼働率99.5%の目標から計画外停止は事実上不可能である。V社は「TLS 1.2以上への対応は次期機種（2028年）まで不可」と回答している。直近の外部ネットワーク診断で、管理画面のURLが推測可能な形でインターネット上から到達できること、認証試行の制限がないことが判明した。情報システム部は「通信経路をVPNに切り替える」案と「リバースプロキシで接続元IPをV社の固定IPに制限する」案を検討しているが、V社の技術者は在宅勤務が多く、固定IPの運用は現実的でないとの意見もある。工場側は「止めないこと」を最優先にしている。. 暗号方式の観点 TLS 1.0はRFC 8996で非推奨（廃止）とされており、CBCモードの既知攻撃、RC4等の弱い暗号スイートの許容、ダウングレード攻撃への耐性不足といった問題を抱える。 SHA-1署名は衝突攻撃が実証されており、証明書の署名偽造によるなりすましの余地がある。ただし影響度は、その証明書を誰が検証しているか（端末が検証を省略していないか）に依存する。 認証の観点 共通ID1つ・8文字パスワード・退職者アカウントの残存は、突破された場合に 28台すべてに同一資格情報で到達できる ことを意味する。影響が拠点横断で連鎖する点が最も重い。 認証試行制限がないため、オンラインでの総当たりが可能。 到達経路の観点 URLが推測可能な形でインターネットから到達可能＝認証前の攻撃面が露出している。ここが最大のリスク要因。 判断 理論上の暗号強度よりも、 「露出した経路＋共有された弱い認証」の組み合わせ を重く見るべきである。暗号解読より先に、認証情報の窃取・使い回しで侵入されるシナリオの方が現実的で、しかも侵入後の影響（製造品質・可用性）が大きい。暗号方式の更新は次期機種まで待てるが、経路と認証は今すぐ変えられる。. 露出の除去（最優先） インターネットから管理画面への直接到達をやめ、VPNまたは踏み台（ジャンプサーバ）経由に限定する。 固定IPが運用できないなら、V社技術者の端末にクライアント証明書を配布し、証明書を持つ端末のみ通す（mTLS）。IP制限は補助手段と位置づける。ZTNA型のアクセス基盤も選択肢。 2. 認証の強化 共通IDを廃止し、技術者ごとの個別アカウントに分割。退職者アカウントの即時無効化を運用に組み込む。 踏み台側で多要素認証を必須化。パスワードは12文字以上・使い回し禁止。認証試行制限とロックアウト。 3. 計画的対応 次期機種（2028年）でTLS 1.2以上・SHA-256証明書を必須の調達要件とし、証明書更新計画を保守契約に組み込む。 効果の考え方 ：1と2で「誰が入れるか」を統制できれば、TLS 1.0の弱点は緩和される。逆に暗号だけ強化しても、共通パスワードが漏れれば意味がない。. 対策の効果と残余 ：経路遮断と認証強化で「侵入の入口」は塞げるが、TLS 1.0とSHA-1証明書は2027年まで残る。ただしその間も通信はVPNトンネル内に閉じるため、盗聴・改ざんのリスクは低減される。 4.
81 words, under 1 min4フィッシング起点のランサムウェア被害における初動・法的報告・ログ設計
E社（従業員780名の通販会社）では、金曜18時、EDRが「不審なプロセスによる大量のファイル書き換え」を検知した。調査の結果、2日前に経理部の社員がフィッシングメールの偽ログイン画面に社内IDとパスワードを入力し、翌日に外部からVPN経由でログインされていたことが判明した。ファイルサーバ1台の共有フォルダ（顧客問い合わせ履歴を含む約12万件）でファイルが暗号化され、拡張子が変更されている。VPNのログは3か月保管、ファイルサーバの操作ログは既定で1週間で上書きされる設定だった。前日取得のバックアップ（テープ、世代管理7日分）が存在し、リストアには約2日を要する見込みである。翌日から3連休であり、経営層からは「連休明けの業務再開を優先したい」との指示が出ている。暗号化されたフォルダには要配慮個人情報は含まれないが、氏名・住所・購入履歴が含まれる可能性がある。攻撃者はまだVPNの有効なアカウントを保有している可能性がある。. 封じ込め（即時・最優先） 該当VPNアカウントの停止、全VPNセッションの切断、VPNの全社パスワードリセットと多要素認証の暫定必須化。 感染端末のEDR隔離、同一セグメントのネットワーク分離。横展開の有無を確認するため他サーバの不審プロセス・スケジュールタスクを点検。 2. 証拠保全（封じ込めと並行） 操作ログが1週間で上書きされる設定のため、 最優先でログを別媒体へ退避 する。VPNログ、EDRアラート、認証ログ、プロキシログを対象とし、取得日時・ハッシュ値を記録。 感染端末のメモリとディスクのイメージを取得（可能ならフォレンジック業者に依頼）。 暗号化されたファイルは削除しない。復号の手掛かり（ランサムノート、通信先、実行ファイル）を保全する。 3. 個人情報保護委員会への報告 氏名・住所・購入履歴を含む約12万件は個人データの漏えいに該当し、1,000人超のため 速報 対象。不正アクセスによる漏えい等も速報対象で、事態を知った日から3〜5日以内に報告する。 確報 は30日以内（不正アクセス等の場合は60日以内）。 「漏えいしたと確定していない」段階でも、漏えい等のおそれがある時点で報告対象になる。因果関係の確定を待たない。 本人への通知 速やかな通知が求められる。件数が多いため、まず影響範囲の確定と通知文面の準備を並行させる。 警察・その他 不正アクセス禁止法上の被害として、所轄警察への相談・被害届の提出を検討。早期相談は攻撃者の特定に資する。 取引先・決済代行等への連絡は契約に従う。監督官庁への報告要否は業法を確認。 3連休の扱い 期限は休日でも動かない。休日中に対応できる当番体制、外部専門家（フォレンジック・法務）の手配、記者発表やFAQの準備を金曜のうちに段取りする。 「連休明けに業務再開」を優先するあまり報告が遅れると、法的不作為として評価が下がる。報告と復旧は並行して進められる。. 問題の本質 1週間の保管では、侵入から検知までの時間（一般に数十日規模になり得る）をカバーできず、侵入経路の特定が不可能になる。本件でも「2日前のフィッシング→翌日VPNログイン→金曜に暗号化」という時系列を、VPNログ（3か月）だけで追うことになった。 設計の考え方 要求の三方向から決める ：①法令・契約上の要求（業法、取引先契約、個人情報保護法対応での説明責任）、②インシデント対応に必要な期間（検知→封じ込め→原因特定→再発防止）、③容量・コスト。 目安 ：認証ログ・特権操作ログは6か月〜1年、重要システムは1年以上。ファイアウォール・プロキシ・WAFは1〜3か月をオンライン保持し、長期保存用にアーカイブする。 改ざん防止と完全性 ：運用担当者とログ管理者を分離し、別ホスト／WORMストレージへ転送、ハッシュ値の記録、時刻同期の徹底。 クラウド分も対象 ：IaaS／SaaSの監査ログ（API操作履歴）を有効化し、同一の保管ポリシーに組み込む。 運用 ：保管期間・ローテーション設定を構成管理の対象とし、年1回の監査で実効性を確認する。設定値が「既定のまま」になっていないかを点検項目に入れる。.
77 words, under 1 min5ログ管理と特権IDをテーマとした情報セキュリティ監査の所見判定
F社（従業員1,600名、情報システム部40名）の内部監査室は、年次の情報セキュリティ監査で「不正アクセス検知及びログ管理」をテーマに選定した。監査計画では、統制目的を「インシデントを検知し、原因を特定できること」と定め、所見の重大性は影響度と是正の緊急性で3段階に区分する基準を事前に合意している。予備調査で以下が判明した。サーバ室のLinuxサーバ12台とネットワーク機器の時刻は社内NTPサーバ1台に同期しているが、そのNTPサーバ自体が外部と同期しておらず、実時刻から最大47分ずれている。特権アカウント（root、管理者）は運用担当4名で共有され、誰が作業したかは紙の作業申請書でしか分からない。サーバの認証ログは3か月、ファイアウォールログは1か月でローテーションされ上書きされている。保存先は同一のSyslogサーバで、その管理者は運用担当者と同一人物である。基幹システムはIaaS上にあり、クラウド事業者が提供する監査ログ（API操作履歴）は取得していない。過去1年でインシデントは2件あり、いずれも原因特定に1週間以上を要し、ログ不足が理由として挙げられている。経営層は監査の指摘を予算要求の根拠にしたいと考えている。. NTPの時刻ずれとログ保管期間は、インシデント対応と証拠能力にどのような影響を与えるか。. NTPの47分ずれ ：複数機器のログを時系列で突合できず、原因特定という統制目的そのものを達成できない。是正も容易（外部NTPへの同期）。重大。 2. 特権IDの共有 ：誰が何をしたかを追跡できず、不正の抑止も効かない。説明責任の観点からも重大。 3. ログの保管期間と管理の分離不足 ：認証ログ3か月・FWログ1か月では侵入から検知までの期間をカバーできず、保存先が単一かつ管理者が運用担当と同一では改ざん・消去の可能性を排除できない。過去2件の原因特定に1週間以上を要した事実が、影響の実現を示す証拠になっている。重大。 改善要望にとどめるもの クラウド監査ログ未取得：統制目的への影響は大きいが、まずは取得設計と保管コストの検討が必要。ただし基幹システムのAPI操作が追えない点は次期計画で優先的に対応すべきと付言する。 留意 ：「重大」の最終判定は監査報告書で根拠とともに示し、被監査部門の意見を聴取して事実誤認を排除する。. インシデント対応への影響 時刻が最大47分ずれていると、VPNログ、認証ログ、FWログ、アプリログを突合した際に前後関係が反転し、「侵入→横展開→持ち出し」の順序を再構成できない。 相関分析に基づくスコープ特定（どの端末・どのアカウントが影響を受けたか）が遅れ、封じ込めの判断を誤る。実際に過去2件で原因特定に1週間以上を要している。 保管期間が短いと、そもそも侵入時点の記録が残っておらず、検知後の調査しかできない。 証拠能力への影響 デジタルフォレンジックでは、証拠の同一性・完全性・時系列の信頼性が前提となる。時刻同期が不正確なログは、民事・刑事の場面で証明力を弱める。 ログの管理者と運用担当が同一で、単一サーバに集約されている場合、改ざん・削除の可能性を否定できず、内部不正事案では特に証拠として使いにくい。 改善の方向 外部の時刻源（NTS等の認証されたNTP）へ同期し、ずれを監視・警報する統制を設ける。 ログは別ホスト／WORM領域へ転送し、ハッシュ値の記録とアクセス制御の分離を行う。 保管期間は法令・契約要求とインシデント対応期間から逆算して定め、構成管理の対象とする。.
58 words, under 1 minMore study resources for Registered Information Security Specialist Examination
- Exam-day guideBring the original government-issued photo ID whose name matches your application exactly.