Registered Information Security Specialist Examination study guide
Registered Information Security Specialist Examination · Work through your exam, one topic at a time.
情報処理安全確保支援士試験（略号SC、英語名称 Registered Information Security Specialist Examination）は、IPAが実施する情報処理技術者試験の一つで、サイバーセキュリティの専門家を目指す人向けの試験です。対象者像は、サイバーセキュリティに関する専門的な知識・技能を活用して企業や組織の安全な情報システムの企画・設計・開発・運用を支援し、対策の調査・分析・評価に基づき指導・助言を行う者とされています。セキュリティエンジニアや、技術・管理の両面から経営層を支援するセキュリティコンサルタントを目指す方に最適と案内されています。 出題範囲は、情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）、システム調達・開発におけるセキュリティ確保、暗号利用・マルウェア対策・脆弱性対応などの対策適用、インシデント管理、そして脅威分析・要素技術・法的要求事項・証拠収集分析・監査まで及びます。 2026年度はCBT方式により前期・後期に実施されます。科目A-1は50分・30問、科目A-2は40分・25問（いずれも四肢択一）、科目Bは150分で4問出題・2問解答の記述式です。合格者は経済産業大臣から合格証書の交付を受け、所定の登録手続きにより国家資格「情報処理安全確保支援士（登録セキスぺ）」の資格保持者となることができます。準備としては、シラバスと過去問題で出題範囲を確認し、記述式の長文事例に慣れる学習が有効です。なお2027年度から新試験制度に移行する予定です。. Topics on this exam: 情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）, システム調達・システム開発におけるセキュリティ確保, 情報及び情報システムの利用におけるセキュリティ対策の適用（暗号利用、マルウェア対策、脆弱性対応など）, 情報セキュリティインシデント管理（管理体制の構築、インシデント対応）, and 脅威分析、要素技術（ネットワーク、データベース、暗号、認証、フィルタリング、ロギング）、法的要求事項、証拠収集・分析、情報セキュリティ監査. The Registered Information Security Specialist Examination study guide has 8 sections and about 205 words.
01情報セキュリティマネジメント（方針・諸規程の策定、リスクアセスメント及びリスク対応）
情報セキュリティマネジメントは、方針・諸規程の策定からリスクアセスメント、リスク対応までを一つの循環として捉える領域である。JIS Q 27001のISMS要求事項とJIS Q 27005のリスクマネジメント指針が基礎になり、用語の定義と手順の順序を正確に理解しているかが問われる。 情報セキュリティ方針は経営者が承認し、組織の目的と整合させる。方針の下に管理規程、手順書、記録という階層を置き、下位文書が方針と矛盾しないよう整合を保つ。 規程には適用範囲、責任者、例外の承認手続、見直しの周期を定める。例外を現場の判断で常態化させない仕組みが重要である。 教育・訓練と運用状況の監視を組み合わせ、規程が形骸化しないようにする。 情報資産を洗い出し、資産価値、脅威、脆弱性、影響を整理してリスクを特定・分析・評価する。評価基準（受容基準）は事前に方針で定める。 リスク対応は回避、低減、移転、受容の4類型である。低減後の残留リスクは経営者が受容判断を行う。 管理策はリスクアセスメントの結果から選ぶ。2022年改訂のJIS Q 27001では附属書Aが組織的・人的・物理的・技術的の4主題93管理策に再編された。 顧客情報を扱うWebシステムで、資産価値が高く、標的型攻撃の脅威があり、パッチ未適用の脆弱性が判明したとする。リスク値が受容基準を超えるため、WAF導入とパッチ管理の徹底で低減する。低減後も残る残留リスクは経営者が受容する。保険加入は移転、システム廃止は回避にあたる。どの対応を選んだかと理由を対応づけて説明できるようにする。 リスクアセスメントとリスク対応の順序を逆にしない。リスクの特定と評価を混同しない。すべてのリスクを低減する必要はなく、受容も正当な対応である。管理策をチェックリストから先に選ぶと説明問題で点を落とす。方針を現場が独断で改訂する記述も不適切である。. 2022年改訂で附属書Aは4主題93管理策に再編された.
31 words, under 1 min02システム調達・システム開発におけるセキュリティ確保
システム調達とシステム開発の両方で、セキュリティ要求を仕様に落とし込み、契約と検証で担保するプロセスが問われる。調達仕様書、契約条項、開発ライフサイクル上の活動、受入時の確認が主な論点である。 情報セキュリティ要求事項を調達仕様書に明記する。機能要件だけでなく、ログ取得、暗号化、脆弱性対応、テストの実施も要求する。 契約には秘密保持、再委託の事前承認、監査権、脆弱性の修正責任、インシデントの報告義務、契約終了時のデータ返却と消去を盛り込む。 委託先の選定ではISMS認証や過去の実績を確認する。クラウドでは責任分界点を文書で明確にする。 要件定義で脅威分析を行い、設計で入力検証、最小権限、多層防御などのセキュア設計を採用する。 実装ではコードレビューと静的解析、テストでは動的診断と受入テストを実施する。見つかった脆弱性は修正後に再テストする。 開発環境と本番環境の分離、テストデータに本番の個人情報を使わないことも要求する。 委託開発の契約で、仕様書に「SQLインジェクション対策としてプレースホルダを使用する」「受入前に第三者による脆弱性診断を実施する」と明記する。契約書には再委託の事前承認と、インシデント発生から24時間以内の報告を定める。検収では診断結果と修正報告を確認する。責任分界を曖昧にしたまま検収すると、運用後の脆弱性対応の責任が争いになる。 セキュリティ要件を非機能要件として後回しにしない。診断をリリース直前の一度だけにしない。契約に監査権や再委託管理がない例は不備である。受入テストで機能だけを確認し、セキュリティ確認を省く記述も誤りである。.
25 words, under 1 min03情報及び情報システムの利用におけるセキュリティ対策の適用（暗号利用、マルウェア対策、脆弱性対応など）
暗号利用、マルウェア対策、脆弱性対応など、日々の運用で適用する対策を問う領域である。技術の用途を正しく対応づけ、多層防御の考え方で説明できるかがポイントになる。 共通鍵暗号（AES）は高速だが鍵配送が課題であり、公開鍵暗号（RSA、楕円曲線）は鍵配送と署名に使う。実際の通信はTLSのように両者を組み合わせたハイブリッド方式が多い。 ハッシュ（SHA-256）は完全性の確認に使い、パスワードはソルト付きのストレッチングで保存する。暗号化とハッシュを混同しない。 デジタル署名は完全性、真正性、否認防止に寄与する。鍵管理と失効の仕組みが運用の要になる。 パターンマッチだけでは未知のマルウェアに弱い。振る舞い検知、EDR、サンドボックス、実行ファイルの許可制を組み合わせる。 ランサムウェアに備え、バックアップをネットワークから隔離し、復元手順を定期的に検証する。 脆弱性はCVEやJVNで情報を収集し、CVSSの深刻度に業務影響と露出状況を加味して適用優先度を決める。適用できない場合はWAFやポート制限で緩和する。 公開WebサーバにCVSS 9.8の脆弱性が公表された。しかし該当機能は未使用で外部公開もされていない。この場合は影響を評価した上で計画的に適用する。逆にCVSS 7.5でも外部公開され認証不要で攻撃可能なら緊急対応とする。CVSSは環境により補正して判断する。 暗号化すれば安全だと考える（鍵管理が抜ける）。パスワードを復号可能な暗号で保存する。マルウェア対策を端末だけに限定する。CVSSの値だけで優先度を決める。診断とペネトレーションテストを混同する。. マルウェア対策はパターン以外に振る舞い検知やEDRを組み合わせる. 脆弱性はCVSSと露出状況・業務影響で優先度を補正する.
27 words, under 1 min04情報セキュリティインシデント管理（管理体制の構築、インシデント対応）
インシデント管理は、CSIRTなどの体制づくりと、検知から復旧・再発防止までの対応手順を問う領域である。初動の順序、報告義務、証拠保全が得点差になりやすい。 責任者、CSIRT、通報窓口、連絡先一覧、エスカレーション基準を定める。外部機関（JPCERT/CC、IPA、ベンダ、警察）との連携先も整備する。 訓練と演習を定期的に行い、連絡先と手順が機能するか確認する。インシデント対応計画は見直す。 検知・初動では通報を受け付け、トリアージで重大度を判定し、影響範囲を特定する。証拠保全を並行して行う。 封じ込めではネットワーク遮断やアカウント停止を行う。根絶でマルウェア除去や脆弱性修正を行い、復旧ではバックアップからの復元と監視強化を行う。 事後対応では原因を分析し、再発防止策を講じ、記録を残す。NTPによる時刻同期がログの時系列分析に不可欠である。 社員PCでランサムウェアの兆候を検知した。まずPCをネットワークから隔離し、次にメモリとディスクのイメージを取得する。他の端末への横展開を調べるためログを確認し、感染端末は再構築、共有フォルダはバックアップから復元する。原因がメール添付であればフィルタを強化する。再起動を先に行うとメモリ上の証拠が失われる。 通報を遅らせて隠蔽する。封じ込めの前に電源を切る。個人情報の漏えい報告の期限を誤る（速報は概ね3〜5日以内、確報は30日以内、不正の目的によるものは60日以内）。外部機関への連絡を省略する。. CSIRT、通報窓口、エスカレーション基準、外部連携先を整備する. 初動で証拠保全を行い、NTPで時刻を同期する.
23 words, under 1 min05脅威分析、要素技術（ネットワーク、データベース、暗号、認証、フィルタリング、ロギング）
脅威の種類と、それを防ぐ要素技術を対応づけて理解する領域である。ネットワーク、データベース、暗号、認証、フィルタリング、ロギングの各技術が、どの攻撃に効くかを説明できるかが問われる。 標的型攻撃、ランサムウェア、フィッシング、SQLインジェクション、クロスサイトスクリプティング、CSRF、OSコマンドインジェクション、DoS/DDoS、ブルートフォース、パスワードリスト攻撃、内部不正、サプライチェーン攻撃がある。 ネットワークではFWのパケットフィルタ、DMZ、IDS（検知）とIPS（遮断）、WAF、VPN、VLANを使う。 データベースでは最小権限のアクセス制御、プレースホルダ、暗号化、監査ログを組み合わせる。 認証は知識・所持・生体の3要素で考え、多要素認証、SSO、OAuth 2.0（認可）、OpenID Connect（認証）、SAMLを使い分ける。 フィルタリングはパケット、URL、コンテンツ、メール（SPF、DKIM、DMARC）の各層で行う。 ロギングでは取得対象、時刻同期、改ざん防止、保管期間、監視体制を定める。 ログイン画面へのパスワードリスト攻撃を想定する。対策は一定回数失敗でのアカウントロック、CAPTCHA、多要素認証、漏えいパスワードとの照合、レート制限である。WAFのシグネチャだけでは不十分で、認証ログに失敗回数と送信元を記録し、NTPで時刻を同期して相関分析する。 IDSとIPSを混同する。WAFがあればSQLインジェクションの根本対策は不要と考える。OAuth 2.0とOpenID Connectを混同する。ログを取得するだけで監視しない。. 脅威と対策技術を対応づける（SQLインジェクションはプレースホルダとWAF）. IDSは検知、IPSは遮断、WAFはWebアプリ層を守る. 認証は3要素で考え、OAuth 2.0は認可、OpenID Connectは認証. メールフィルタはSPF、DKIM、DMARCを組み合わせる.
30 words, under 1 min06法的要求事項
情報セキュリティに関わる法令と、違反した場合の責任を問う領域である。個人情報保護法、不正アクセス禁止法、著作権法、サイバーセキュリティ基本法、電子署名法が中心になる。 個人情報保護法では、個人情報、個人データ、要配慮個人情報の区分を理解する。安全管理措置、委託先の監督、第三者提供の制限、漏えい等の報告、個人の権利が定められている。 不正アクセス禁止法は、他人のIDとパスワードによる侵入、アクセス制御機能の破解、それを助長する行為を禁止する。IDを他人に貸す行為も対象になる。 著作権法ではソフトウェアの複製や改変の扱い、職務著作の要件が問われる。 サイバーセキュリティ基本法は国の施策と基本理念を定める。電子署名法は電子署名の法的効力を定める。 特定電子メール法のオプトイン規制、不正競争防止法の営業秘密、刑法の電子計算機損壊等業務妨害も押さえる。 退職者が顧客名簿を持ち出し競合企業に渡した。不正競争防止法の営業秘密侵害、個人情報保護法の第三者提供の制限違反、状況により刑法の罪に問われる可能性がある。予防策は退職時のアクセス権削除、秘密保持契約、持ち出し制限である。 個人情報と個人データを混同する。要配慮個人情報の取得に原則として同意が必要であることを忘れる。不正アクセス禁止法がアカウントの貸与も対象であることを見落とす。著作権と特許権を混同する。.
22 words, under 1 min07証拠収集・分析
インシデントや不正の調査で、法的に説明できる証拠を収集・保全・分析する手法を問う領域である。フォレンジックの基本手順と、証拠の完全性を保つ方法が中心になる。 原本を変更しない。ディスクはライトブロッカーを介してイメージを作成し、ハッシュ値（SHA-256など）で同一性を証明する。 取得日時、取得者、手順、保管場所を記録し、受渡しの履歴を残す（チェーン・オブ・カストディ）。 揮発性の高い情報から順に集める。メモリ、ネットワーク接続、プロセス、ログ、ディスクの順である。電源を切るとメモリ上の情報は失われる。 ライブフォレンジックで稼働中の状態を記録し、その後にイメージを取得する。分析は複製を使って行う。 ログはNTPで時刻を同期し、タイムゾーンを確認してタイムラインを作成する。FW、Proxy、認証、EDRのログを突合する。 タイムスタンプの変更、ログの消去、暗号化などのアンチフォレンジックの痕跡も証拠として扱う。 不正アクセスの疑いがあるサーバでは、まず通信ログを取得してからネットワークから隔離する。次にメモリイメージを取得し、ディスクをライトブロッカー経由でイメージ化してハッシュを記録する。ログを時刻で突合して侵入経路を特定し、報告書にまとめる。原本は封印して保管する。 調査のために再起動する。ハッシュを取らずにイメージを変更する。時刻同期を無視して時系列を誤る。チェーン・オブ・カストディの記録を省略する。. ログはNTP同期とタイムゾーンを確認して突合する.
25 words, under 1 min08情報セキュリティ監査
情報セキュリティ監査は、組織の対策が基準に適合し有効に運用されているかを、独立性を保って検証する領域である。監査の種類、手続、証拠の評価、報告とフォローアップが問われる。 目的は保証と助言である。内部監査と外部監査があり、監査人は被監査部門から独立する。内部監査は経営者に直接報告する。 適合性監査は基準への適合を、運用監査は有効性を確認する。JIS Q 27007はISMS監査の指針になる。 手続は監査計画、予備調査、本調査、証拠の評価、監査報告、フォローアップの順に進む。本調査では文書レビュー、ヒアリング、観察、再実施を組み合わせる。 監査証拠は十分性と適切性を備える必要があり、サンプリングの偏りに注意する。 退職者のアカウント削除が運用されているかを確認する。規程とアカウント台帳を入手し、退職者リストと突合する。さらに10件を抽出して削除日を確認したところ2件が残存していた。これは不適合であり、原因は人事部門との連携不足である。是正処置として連携フローと月次突合を提案し、次回監査で有効性を確認する。 監査人が自ら改善策を実行して独立性を損なう。ヒアリングだけで結論を出す。少数のサンプル結果を全体に一般化する。指摘の根拠となる証拠を記録しない。監査とコンサルティングを混同する。.
22 words, under 1 minMore study resources for Registered Information Security Specialist Examination
- Exam-day guideBring the original government-issued photo ID whose name matches your application exactly.