情報セキュリティはITパスポートのテクノロジ系（令和8年度46問・IPA公式）の中でも出題比重が高く、攻撃手法・対策技術・法規の3分野を横断して覚える必要があります。暗記と仕組みの理解を並行させることで得点源にできます。本記事では頻出用語を表で整理し、効率よく学ぶ方法を解説します。
情報セキュリティはテクノロジ系の中核分野
ITパスポートのシラバスVer.6.5（IPA公式）では、情報セキュリティは「テクノロジ系」の大分類のひとつとして独立して設定されています。テクノロジ系は令和8年度で46問出題されます。シラバスVer.6.5（IPA公式）では情報セキュリティが単独の大分類として設定されており、テクノロジ系の中でも出題比重が高い領域です。
合格基準は総合評価点600点以上かつ分野別各300点以上（1,000点満点・IPA公式）です。テクノロジ系の分野別300点をクリアするには、情報セキュリティを手薄にすることはできません。
テクノロジ系全体の攻略法ではコンピュータ構成・ネットワーク・ソフトウェアなどを含む46問の全体像を解説しています。本記事はその中から情報セキュリティだけを深掘りした内容です。
情報セキュリティの3分野の構成
シラバスVer.6.5（IPA・シラバスVer.6.5）に基づくと、情報セキュリティは以下の3分野で構成されます。
| 分野 | 主な内容 | 学習の方向性 |
|---|---|---|
| 情報セキュリティ管理 | 情報資産・リスクマネジメント・セキュリティポリシー・ISMS | 概念と手順を理解する |
| 情報セキュリティ対策 | 暗号・認証・マルウェア対策・ファイアウォール・VPN | 用語の意味と仕組みを覚える |
| 情報セキュリティ関連法規 | 不正アクセス禁止法・個人情報保護法・サイバーセキュリティ基本法 | 法律の対象と罰則を整理する |
3分野の中でも「情報セキュリティ対策」が最も出題数が多く、攻撃手法と防御技術の両方が問われます。まずここから固めると効率的です。
攻撃手法の頻出用語を表で整理する
試験に登場する攻撃手法は、種類と特徴をセットで覚えることがポイントです。「何をする攻撃か」を一言で言えるようにしておくと選択肢の絞り込みが速くなります。
| 用語 | 概要 | 試験での出題パターン |
|---|---|---|
| マルウェア | 悪意あるソフトウェアの総称。ウイルス・ワーム・トロイの木馬を含む | 種類の説明文を選ぶ問題 |
| ウイルス | 他のプログラムに寄生して自己増殖する | ワーム・トロイの木馬との違い |
| ワーム | 宿主なしでネットワーク経由で自己増殖する | ウイルスとの比較 |
| トロイの木馬 | 正規のソフトに見せかけてバックドアを作る | 自己増殖しない点が頻出 |
| フィッシング | 偽サイトや偽メールでパスワード・クレジット情報を詐取する | スミッシング（SMS版）との比較 |
| スパイウェア | ユーザーの行動・入力情報を盗んで外部送信する | マルウェアの一種として分類 |
| ランサムウェア | ファイルを暗号化して身代金を要求する | 対策はバックアップが答えになりやすい |
| SQLインジェクション | Webフォームに不正なSQL文を入力してDBを操作する | 攻撃の種類を問う問題 |
| XSS（クロスサイトスクリプティング） | Webページに悪意あるスクリプトを埋め込む | SQLインジェクションとの混同に注意 |
| DoS/DDoS攻撃 | 大量のリクエストを送りサービスを停止させる | DDoSは複数拠点から行う点を確認 |
| ソーシャルエンジニアリング | 電話・なりすましなど人的な方法で情報を引き出す | 技術的でない攻撃手法の代表 |
| 標的型攻撃 | 特定の組織や個人に絞って行う計画的な攻撃 | 不特定多数と区別する問題 |
マルウェアの種類は比較表で覚える
ウイルス・ワーム・トロイの木馬の3種は、試験で繰り返し出題されます。以下の2点を押さえると選択肢の判断が速くなります。
- 自己増殖するかどうか：ウイルスとワームはする。トロイの木馬はしない
- 宿主（他のプログラム）が必要かどうか：ウイルスは必要。ワームとトロイの木馬は不要
対策技術の頻出用語を表で整理する
攻撃に対応するセキュリティ対策の用語も頻出です。「何を守るための技術か」を意識しながら覚えると定着しやすくなります。
| 用語 | 概要 | 試験での出題パターン |
|---|---|---|
| ファイアウォール | 外部との通信を制御しネットワークへの不正アクセスを防ぐ | パケットフィルタリングとの関係 |
| DMZ（非武装地帯） | 外部と内部ネットワークの間に置く中間ゾーン | Webサーバーを置く場所として出題 |
| VPN | インターネット上に暗号化された仮想専用回線を作る | テレワーク・リモートアクセスの文脈 |
| 暗号化（共通鍵） | 送信者と受信者が同じ鍵を使う。処理が速い | 公開鍵暗号との違い |
| 暗号化（公開鍵） | 公開鍵で暗号化し秘密鍵で復号する。鍵配送問題を解決 | PKI・デジタル証明書の文脈 |
| デジタル署名 | 秘密鍵で署名し公開鍵で検証。なりすましと改ざんを防ぐ | 認証局（CA）と組み合わせた問題 |
| 多要素認証 | 知識・所持・生体など2種類以上の認証要素を組み合わせる | スマートフォン認証アプリの場面 |
| IDS/IPS | IDSは不正アクセスを検知、IPSは検知後に遮断まで行う | 2つの違いを問う問題 |
| SIEM | 複数システムのログを集約しリアルタイムで分析・監視する | SOCとセットで登場することも |
| WAF | Webアプリケーションへの攻撃（SQLi・XSS等）を検知・遮断する | ファイアウォールとの役割の違い |
| ペネトレーションテスト | 実際に攻撃を試みて脆弱性を発見する検査手法 | 脆弱性診断との違い |
| 脆弱性管理 | ソフトウェアの欠陥（脆弱性）を把握・修正・運用管理する | パッチ管理との関係 |
共通鍵と公開鍵の違いを押さえる
暗号化方式は試験で必ず問われます。2点を区別して覚えると対応できます。
- 共通鍵暗号：同じ鍵を送受信者が共有。処理速度が速い。鍵を安全に渡す方法（鍵配送問題）が課題
- 公開鍵暗号：公開鍵で暗号化・秘密鍵で復号。鍵配送問題を解決。処理速度は共通鍵より遅い
実際の通信では両方を組み合わせる「ハイブリッド暗号」が使われますが、試験では各方式の特徴を問う問題が中心です。
認証方式の3要素と多要素認証
認証に使う要素は3種類に分類されます（IPA・シラバスVer.6.5）。
| 認証要素 | 内容 | 具体例 |
|---|---|---|
| 知識要素 | 本人が知っている情報 | パスワード・秘密の質問・PINコード |
| 所持要素 | 本人が持っているもの | ICカード・スマートフォン・ハードウェアトークン |
| 生体要素 | 本人の身体的特徴 | 指紋・顔・虹彩・静脈パターン |
多要素認証（MFA）とは、この3要素のうち2つ以上を組み合わせる認証方式です。「パスワード＋スマートフォンへのSMS認証コード」は知識要素と所持要素の組み合わせで、多要素認証に該当します。
試験では「二段階認証は多要素認証か」という問い方も出ます。パスワードを2回入力する方式は「知識要素のみ」なので多要素認証ではありません。段階数ではなく要素の種類が異なることが条件です。
情報セキュリティ管理の重要概念
リスクマネジメントの4つの対応
リスクへの対応策は4種類に分類されます（IPA・シラバスVer.6.5）。
| 対応策 | 内容 | 例 |
|---|---|---|
| リスク回避 | リスクを生む活動自体をやめる | クラウドサービスの利用をとりやめる |
| リスク低減（軽減） | 対策を講じてリスクの発生確率や影響を減らす | ウイルス対策ソフトの導入 |
| リスク移転（転嫁） | リスクを第三者に移す | サイバー保険に加入する |
| リスク保有（受容） | 費用対効果を考えてリスクをそのまま受け入れる | コストが高すぎる対策を見送る |
ISMSとPDCAサイクル
ISMS（情報セキュリティマネジメントシステム）は、組織が情報セキュリティを継続的に管理・改善するための仕組みです。ISO/IEC 27001がISMSの国際標準規格です。運用はPDCAサイクル（Plan・Do・Check・Act）に沿って回します。
試験では「ISMSの目的」や「PDCAの各フェーズで何をするか」を問う問題が出ます。
セキュリティ関連法規の整理
セキュリティ関連の法律は、法律ごとに「何が対象か」「違反するとどうなるか」を整理します。ストラテジ系の法規との重複も多く、ストラテジ系の分野別対策も合わせて確認すると体系的に理解できます。
| 法律・制度 | 対象・概要 | 試験の出題ポイント |
|---|---|---|
| 不正アクセス禁止法 | 他人のIDを使った不正ログイン・アクセス制御の突破を禁止 | 「なりすまし」ログインが該当するか |
| ウイルス作成罪（不正指令電磁的記録罪） | 正当な理由なくウイルスを作成・提供・取得・保管を禁止 | 刑法第168条の2・第3として出題 |
| 個人情報保護法 | 個人情報の収集・利用・管理・提供に関するルール | 要配慮個人情報・匿名加工情報の扱い |
| サイバーセキュリティ基本法 | 国のサイバーセキュリティ戦略・NISC設置根拠法 | 国の責務と基本戦略の位置づけ |
| プロバイダ責任制限法 | ネット上の権利侵害情報に対するプロバイダの免責と発信者情報開示 | プロバイダの義務と責任範囲 |
不正アクセス禁止法で注意する点
不正アクセス禁止法は「正当な権限を持たない者が他人の識別符号（ID・パスワード）を使ってアクセスする行為」を禁じています。自分のアカウントへのアクセスは該当しません。また、フィッシングなどで他人の識別符号（IDやパスワード）を不正に取得する行為は、不正アクセス禁止法第4条（不正取得行為の禁止）により直接禁止されています。
学習の進め方と覚え方のポイント
学習の優先順位
情報セキュリティの3分野を効率よく学ぶ順番の目安です。
| 順番 | 分野 | 理由 |
|---|---|---|
| 1 | 情報セキュリティ対策（攻撃手法・防御技術） | 出題数が最も多く確認しやすい |
| 2 | 情報セキュリティ関連法規 | 暗記中心で短期間で得点しやすい |
| 3 | 情報セキュリティ管理（ISMS・リスク管理） | 概念の理解が必要で時間がかかる |
効率的な覚え方
- 攻撃手法は「何が特徴か」を一言で言えるようにする（ランサムウェア＝暗号化して金銭要求、DoS＝大量リクエストでサービス停止）
- 対策技術は「何を守るか」とセットで覚える（DMZ＝外部公開サーバーを置く場所、ファイアウォール＝通信の入口を制御）
- 法律は「対象になる行為」と「対象にならない行為」の境界線を確認する
- 過去問を解きながら「なぜ他の選択肢が違うか」を確認すると定着が速い
学習時間の目安
情報セキュリティ分野は全体の学習時間のうち15〜20%を充てることが一般的に言われています。IT経験がない方は用語の意味から入る必要があるため、やや多めの時間配分が安心です。試験全体の学習計画についてはITパスポート試験全体のガイドを参照してください。
よくある疑問
文系で情報セキュリティは難しいか
用語の量は多いですが、仕組みを深く理解するよりも「用語の意味と特徴」を覚えることが中心です。数式や計算が少なく、文系でも取り組みやすい分野です。
法規は暗記するしかないか
法律の名前と対象をセットで覚えることが基本です。ただし、試験では法律の条文番号を問うことはほぼなく、「この行為はどの法律の対象か」「この法律が禁じているのは何か」という形式が中心です。具体的な場面と結びつけると記憶が定着しやすくなります。
セキュリティの問題は毎年変わるか
IPAは毎月試験を実施しており、問題は都度更新されます（IPA公式・CBT方式の説明）。ただし、頻出用語はシラバスに基づいており、大きく変わることはありません。シラバスに掲載されている用語を中心に準備するのが基本方針です。
まとめ
情報セキュリティはITパスポートのテクノロジ系46問の中でも出題比重が高い分野です。攻撃手法・対策技術・関連法規の3分野を体系的に整理し、用語の意味と特徴を覚えることが得点につながります。
- 攻撃手法：マルウェアの種類・フィッシング・SQLインジェクション・DoS/DDoSが頻出
- 対策技術：暗号化方式（共通鍵・公開鍵）・多要素認証・ファイアウォール・DMZ・VPNが中心
- 関連法規：不正アクセス禁止法・ウイルス作成罪・個人情報保護法の対象と罰則を確認
過去問を解きながら「なぜその選択肢が正解か」を確認する学習が最も効率的です。
コメント