情報処理安全確保支援士 合格対策③|午後試験戦略+頻出ケーススタディ3選+関連法規・ガイドライン

情報処理安全確保支援士試験、午後(150分・4問中2問選択)の戦略的アプローチ、頻出テーマのケーススタディ、そして関連法規・ガイドラインをまとめます。

1. 午後試験の戦略的アプローチ

(1) 4問から「合格しやすい2問」を選ぶ基準

大問の分類出題テーマメリットリスク
Webアプリ・開発系SQLi, XSS, CSRF, OAuth, API連携, クラウド設定対策パターンがそのまま出やすいコード読解に慣れていないと時間が溶ける
ネットワーク・インフラ系FW/WAF/プロキシ, VPN, DNS, メール, SASE通信フローを追えれば答えが文章中に埋まっていることが多いルーティングやパケット構造の深い知識が必要
組織管理・インシデント対応系標的型攻撃, ランサムウェア, CSIRT初動, サプライチェーン問題文の文脈から類推して部分点を稼ぎやすい記述の文字数が多くなりがちで時間切れになりやすい

おすすめ戦略:Web/NWに苦手意識がなければ「Web系1問+ネットワーク系1問」が最も高得点を狙いやすい。技術的に迷ったら「インシデント対応・管理系」を保険として選び、問題文からの抜き出しで手堅く部分点を拾う。

(2) 150分のタイムマネジメント

0~5分:問題選定 / 5~70分:第1問(65分) / 70~135分:第2問(65分) / 135~150分:見直し(制約条件の再確認)

(3) 長文読解の鉄則「設問ファースト」

  1. 本文を読む前に設問を熟読し、何が問われているか(理由・対策・機器名・影響)を頭にインプットする
  2. 図表の注釈(※)は答えの宝庫。「プロキシは認証を要求する」等の欄外注記は解答根拠そのものであることが多い
  3. 「セキュリティ上の問題点」を問われたら「攻撃者の視点」になる:攻撃者がどの情報を知り、どの権限を奪取できるかに主眼を置く

2. 頻出テーマ別ケーススタディ

ケース1:標的型メール攻撃とActive Directory横展開

マクロ付きOffice文書の開封でマルウェア感染、攻撃者がドメインコントローラーの管理者権限奪取を試みたケース。

  • 初動対応:「LANケーブルを抜線し、ネットワークから隔離する」(電源を切るのは揮発性メモリの証拠が消えるため誤り)
  • メモリ上の資格情報を悪用する横展開手法:Pass-the-Hash(パス・ザ・ハッシュ)
  • 端末ごとのローカル管理者パスワードを自動ランダム管理するMS無償機能:LAPS(Local Administrator Password Solution)

ケース2:OAuth 2.0/OpenID Connect とWeb API連携

ソーシャルログイン機能とスマホアプリからのWeb API安全呼び出しを検討するケース。

  • 認可コード横取り攻撃を防止するOAuth 2.0拡張仕様:PKCE(ピクシー)
  • トークンベース認証でアクセストークンを付加するヘッダ:Authorization: Bearer <トークン>
  • 外部URL画像取得機能を悪用し内部サーバーへ不正アクセスさせる脆弱性:SSRF
図解:OAuth 2.0の認可コードフロー
OAuth 2.0(認可コードフロー)利用者クライアント(アプリ)認可サーバーリソースサーバー(API)① 利用開始② ログイン・同意③ 認可コード④ コード→トークン⑤ アクセストークンで APIパスワードを アプリに渡さず、権限(スコープ)だけを 委譲する

ケース3:テレワーク環境とゼロトラストネットワーク

SSL-VPN装置の未公開脆弱性を突かれ社内侵入され、ゼロトラストへ移行するケース。

  • ZTNAの優位性(35字以内):「ネットワーク全体への接続を許さず、特定アプリへのみ接続を限定する点」
  • シャドーITを検知・可視化するサービス:CASB
  • 端末の健全性を接続時に検証する仕組み:ポスチャチェック(検疫/デバイス健全性チェック)

3. 情報セキュリティ関連法規・基準

(1) 法律・法規

法律名最重要ポイント
不正アクセス禁止法①他人のID/PWの無断入力 ②セキュリティホールを突いた不正侵入 ③識別符号の不正取得・保管・入力要求(フィッシング)が禁止行為。自社の侵入テストでも同意のない第三者経由は抵触する
個人情報保護法要配慮個人情報(病歴・信条・犯罪歴等)の取得には原則本人の事前同意が必須(オプトアウト不可)。漏えい時は個人情報保護委員会への報告と本人通知が義務化
サイバーセキュリティ基本法国の基本理念。NISC(内閣サイバーセキュリティセンター)の設置根拠
刑法(不正指令電磁的記録に関する罪)いわゆるコンピュータウイルス作成罪

(2) ガイドライン・国際標準

  • サイバーセキュリティ経営ガイドライン:「サイバーセキュリティは経営上の投資」。経営者が認識すべき3原則と責任者への「10の重要項目」
  • NIST SP 800-61:インシデント対応ライフサイクル(①事前準備→②検知・分析→③封じ込め・根絶・復旧→④事後活動)
  • NIST CSF 2.0:Govern(統制)・Identify(特定)・Protect(防御)・Detect(検知)・Respond(対応)・Recover(復旧)の6つのコア機能
  • ISO/IEC 27001(ISMS)/27002:CIA(機密性・完全性・可用性)+真正性・責任追跡性・否認防止・信頼性

4. 本番前日・当日の心得

持ち物チェックリスト

  • 受験票、身分証明書
  • HBまたはBの黒鉛筆・シャープペンシル(複数本)、プラスチック製消しゴム
  • 時計(アナログ推奨。通信機能付きは厳禁)
  • 定規・蛍光ペン(下線部のマークに有効)

本番中のメンタル・心得

  1. 午後試験最初の5分は深呼吸。4問全体を俯瞰し「これなら書ける」と確信を持てる2問を確定させる
  2. 白紙回答は絶対に避ける。支援士試験は部分点の積み上げで合格点(60点)に到達する
  3. 主語・述語・目的語を意識し、文末を設問の問いかけ(「なぜか」「目的は何か」)に完全一致させる

学習のポイント

  • 午後の選択戦略は「答えが一意に決まりやすいテーマ」を優先し、時間切れを避ける
  • ケーススタディは「状況設定→設問の意図→定型解答」の型を繰り返し練習して身につける
  • 法規は「禁止行為」「義務」「報告義務の発生条件」を数字とセットで覚える

※本記事は資格学習の要点整理を目的とした個人メモです。最新の制度内容は必ず公式情報でご確認ください。

コメント

このブログの人気の投稿

設備設計一級建築士 分野別対策テキスト【頻出計算式インデックス+ひっかけパターン総まとめ】

【保存版】大学受験 頻出英単語帳②(難関大対応)|テーマ別学術語彙+論理接続表現+重要多義語

[Easy Japanese - Beginner's Guide #1] Essential "Site Safety and Communication" for Foreign Workers in Japan

設備設計一級建築士【法適合確認】対策テキスト全14章|排煙・換気・給排水・非常照明・避雷・昇降機の頻出数値とひっかけ(H24〜29過去問対応)

1級建築施工管理技士 合格バイブル【完全版】|なぜ・比較・ひっかけ・経験記述添削まで徹底解説(出典付き)

設備設計一級建築士 法適合確認【平成27年度】過去問学習ノート(要約・言い換え版)

一級建築士【構造】なぜ・比較・ひっかけ徹底解剖|静定不静定/断面性能/耐震制振免震・全肢解説8問

マンション管理士 合格攻略③|消防・電気の法規+コンクリート劣化+長期修繕計画+適正化法(重要事項説明)

宅建試験対策 過去最強バイブル

このブログの人気の投稿

設備設計一級建築士 分野別対策テキスト【頻出計算式インデックス+ひっかけパターン総まとめ】

【保存版】大学受験 頻出英単語帳②(難関大対応)|テーマ別学術語彙+論理接続表現+重要多義語

[Easy Japanese - Beginner's Guide #1] Essential "Site Safety and Communication" for Foreign Workers in Japan

設備設計一級建築士【法適合確認】対策テキスト全14章|排煙・換気・給排水・非常照明・避雷・昇降機の頻出数値とひっかけ(H24〜29過去問対応)

1級建築施工管理技士 合格バイブル【完全版】|なぜ・比較・ひっかけ・経験記述添削まで徹底解説(出典付き)

設備設計一級建築士 法適合確認【平成27年度】過去問学習ノート(要約・言い換え版)

一級建築士【構造】なぜ・比較・ひっかけ徹底解剖|静定不静定/断面性能/耐震制振免震・全肢解説8問

マンション管理士 合格攻略③|消防・電気の法規+コンクリート劣化+長期修繕計画+適正化法(重要事項説明)

宅建試験対策 過去最強バイブル