Registered Information Security Specialist Examination common mistakes
Registered Information Security Specialist Examination · Understand the traps and how to avoid them.
リスク対応の4分類（回避・低減・移転・受容）を、リスクの「発生可能性」と「影響度」の高低だけで機械的に選び、対策コストや残留リスクの扱いを無視してしまう。
テキストで4分類の定義を暗記しても、シナリオ中の『保険を付保する』『システムを廃止する』といった具体的な行為がどの分類に当たるかを判断する練習をしていないため、用語の字面だけで解答してしまう。
What to do instead
演習では必ず『その対応でリスクは誰に移るか』『対応後も残るリスクは何か』を一言メモしてから選択肢を選ぶ。移転は保険・委託など第三者への負担移動、回避は業務自体の停止・変更であることを事例ベースで整理し、リスクアセスメント表（資産・脅威・脆弱性・影響度・対応方針）を自分で1枚書いてみる。
情報セキュリティ方針・規程類の階層構造（方針→規程→基準→手順）を逆に覚えたり、個別規程に書くべき内容を方針に書いてしまう。
階層の名称は似ており、上位文書ほど抽象的・下位文書ほど具体的という原則を意識せず用語だけ暗記するため、『どの文書に何を書くか』を問う設問で迷う。
What to do instead
各階層について『誰が承認するか』『対象範囲』『記載する具体度』を表にまとめ、方針は経営層のコミットメント、規程は遵守すべきルール、基準は定量的な閾値、手順は作業の順序という役割分担で覚える。過去問では文書名ではなく記述内容の抽象度から階層を推定する練習をする。
システム調達・開発の設問で、委託先との責任分界や検収条件、脆弱性検査の実施主体を『ベンダに任せればよい』と判断してしまう。
調達側の管理責任（委託者責任）が問われていることに気づかず、技術的な実装はすべて受託者が負うという先入観で解答するため、責任分界点や再委託の承認、SLCP（ソフトウェアライフサイクルプロセス）の調達側関与を問う選択肢を誤る。
What to do instead
調達シナリオでは『誰が何を保証するか』を契約書・SLA・検収基準の3点に分けて確認する。特に、セキュリティ要件の定義は発注者、実装と試験は受託者、受入検収は発注者という役割を整理し、再委託時の事前承認や監査権限の条項が選択肢にあるかを必ずチェックする。
暗号利用の設問で、共通鍵暗号と公開鍵暗号の用途（機密性確保か鍵配送か電子署名か）を混同し、ハッシュ関数を暗号化と同一視してしまう。
アルゴリズム名（AES、RSA、SHA-256など）の暗記に偏り、『何を実現するための技術か』という目的ベースの理解が不足しているため、署名と暗号化の鍵の向きや、ハッシュが復号できない一方向性である点を誤答する。
What to do instead
『機密性＝暗号化（共通鍵は高速、公開鍵は鍵配送）』『完全性＝ハッシュ』『真正性・否認防止＝電子署名（送信者の秘密鍵）』という目的と鍵の対応表を作り、設問の目的語から逆算する。ハイブリッド暗号の流れ（セッション鍵を公開鍵で包む）も図で説明できるようにする。
マルウェア対策や脆弱性対応で、『最新の定義ファイル』『パッチ適用』だけを正解とし、多層防御や検知後の初動（隔離・証拠保全）を問う選択肢を落とす。
対策＝予防という固定観念が強く、脆弱性管理のプロセス（資産台帳、CVSSなどの深刻度評価、適用優先度、例外管理）や、感染前提の対策（EDR、ネットワーク分離、バックアップの世代管理）を体系的に捉えていないため。
What to do instead
対策を『予防・検知・対応・復旧』の4フェーズに分類し、各フェーズで使う技術（FW、IDS/IPS、EDR、ログ監視、バックアップ）を対応づける。脆弱性は『発見→評価→優先順位付け→適用→確認』の流れで覚え、適用できない場合のリスク受容と compensating control までセットで考える。
インシデント対応で、第一報の連絡先や初動順序を誤り、証拠保全より復旧を優先する選択肢を選んでしまう。
インシデント対応手順（検知→報告→封じ込め→根絶→復旧→教訓）の順序を暗記していても、実際のシナリオで『まず何をするか』を問われると、業務停止を避けたいという実務感覚が優先してしまうため。
What to do instead
初動は『被害拡大防止のための封じ込め（ネットワーク遮断・アカウント停止）』と『証拠保全（メモリ・ディスクのイメージ取得、ログの保全）』を同時に意識する。対応体制（CSIRT）への報告経路、経営層・法務・広報へのエスカレーション基準を時系列で書き出し、演習問題では『時刻順に並べ替える』形式で練習する。
ネットワーク要素技術の設問で、NATとプロキシ、IDSとIPS、FWのステートフルとパケットフィルタリングの違いを曖昧なまま用語の印象で選ぶ。
機器名と機能の対応が整理されておらず、『通過させる／遮断する』『検知する／防御する』という動作の違いを意識していないため、似た選択肢で迷う。
What to do instead
各技術について『どこで何を見るか（L3/L4/L7）』『通過か遮断か』『検知か防御か』の3軸で比較表を作る。特にIDSは受動的検知でIPSは能動的遮断、プロキシは内部からの通信を代理しNATはアドレス変換という役割の違いを、具体的な通信経路の図で説明できるようにする。
法的要求事項の設問で、個人情報保護法と不正アクセス禁止法、サイバーセキュリティ基本法などの目的・規制対象を取り違え、『罰則があるか』だけで判断してしまう。
法律名は聞き慣れているが、規制の方向性（個人の権利保護か、アクセス行為の禁止か、国の体制整備か）を整理していないため、場面に応じた適用法を誤る。また、雇用・契約・業界ガイドラインなど非法律の要求事項を軽視しがち。
What to do instead
主要法規ごとに『目的』『規制対象』『主な義務・罰則』『該当する具体例』を4列表で整理する。特に個人情報保護法は安全管理措置・第三者提供・漏えい報告の観点、不正アクセス禁止法は識別符号の不正取得・提供とアクセス行為の禁止という観点で覚え、設問の行為がどの義務に触れるかを主語ベースで判断する。
証拠収集・分析で、揮発性の高い情報（メモリ、ネットワーク接続、プロセス）より先にディスク全体のコピーを取る、あるいは原本を直接操作してしまう。
フォレンジックの『揮発性の順序（Order of Volatility）』や『原本を変更しない』という原則を知らず、一般的なバックアップの感覚で対応してしまうため、証拠の完全性や証拠能力を損なう選択肢を正解と誤認する。
What to do instead
証拠保全は『メモリ→ネットワーク状態→ディスク』の揮発性順で取得し、取得時にはハッシュ値の記録とタイムスタンプ、立会い、チェーン・オブ・カストディ（保管連鎖）の記録を行うことを徹底して覚える。演習では『原本を変更しない』『ハッシュで同一性を証明』というキーワードが含まれる選択肢を優先する。
情報セキュリティ監査で、監査人の独立性・客観性や、保証業務と助言業務の違いを意識せず、『改善提案を出すこと』を監査の主目的と答えてしまう。
監査＝コンサルティングというイメージが強く、監査の目的が『保証（アシュアランス）の提供』であることや、被監査部門から独立した立場の重要性を理解していないため、助言と保証を混同する。
What to do instead
監査の3要素（独立性、客観性、正当な注意）と、保証業務（監査人の意見表明）と助言業務（コンサルティング）の違いを明確に整理する。監査手続は『予備調査→監査計画→実施（証拠収集・検証）→報告→フォローアップ』の流れで覚え、改善提案は助言として区別される点を設問の主語から判断する練習をする。