平成30年度 秋期に実施された情報処理安全確保支援士試験 午前Ⅱ（2026年度からの科目A-2）の全25問に，運営者が独自に書いた解説を付けています。正解の理由に加えて，多くの問題でほかの選択肢がなぜ誤りなのかも説明しています。
この試験について：情報処理安全確保支援士試験について
AES の特徴はどれか。
正解 ア
解説
AES は，ブロック長 128 ビットの共通鍵暗号方式で，鍵長を 128 ビット，192 ビット，256 ビットから選び，鍵長によって繰り返す変換処理の段数（ラウンド数）が 10 段，12 段，14 段と決まる。アが正しい。
イの段数は利用者が選択するものではなく，6段以内でもない。ウのデータの暗号化，復号，暗号化の順に3回繰り返すのはトリプル DES の方式である。エの AES は共通鍵暗号方式で，公開鍵は用いない。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問1（表記を一部改変）
JVN などの脆弱性対策情報ポータルサイトで採用されている CVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。
正解 ウ
解説
CVE（Common Vulnerabilities and Exposures）識別子は，公開された個々の脆弱性に“CVE-西暦年-番号”の形式で一意に付ける識別子である。JVN などの脆弱性対策情報ポータルサイトやベンダの情報で同じ番号を使うことで，製品に含まれる同一の脆弱性であることを識別できる。ウが正しい。
アのセキュリティ設定項目を識別する識別子は CCE（Common Configuration Enumeration）である。イの改ざんされた Web サイトのスクリーンショットを識別する識別子はない。エの製品を識別する識別子は CPE（Common Platform Enumeration）で，セキュリティ製品に限ったものではない。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問2（表記を一部改変）
ブロックチェーンに関する記述のうち，適切なものはどれか。
正解 エ
解説
ブロックチェーンでは，取引データなどをまとめたブロックに，直前のブロックのハッシュ値を含めて鎖のようにつなぐ。過去のブロックの内容を書き換えるとハッシュ値が変わり，後続のブロックとの整合性が崩れるので，参加者は改ざんを検出できる。ハッシュ関数は必須の技術で，エが適切である。
アの RADIUS は利用者認証を一元管理するプロトコル，イの SPF は電子メールの送信元ドメインを認証する仕組みで，いずれもブロックチェーンに必須の技術ではない。ウの楕円曲線暗号は取引の電子署名などに使われることがあるが，P2P ネットワークを暗号化するための必須の技術ではない。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問3（表記を一部改変）
用語解説：ハッシュ関数 IEEE 802.1X・RADIUS（ネットワークの利用者認証） 送信ドメイン認証（SPF・DKIM・DMARC）
マルチベクトル型 DDoS 攻撃に該当するものはどれか。
正解 ア
解説
マルチベクトル型 DDoS 攻撃は，性質の異なる複数の攻撃手法を組み合わせて同時に仕掛ける DDoS 攻撃である。サーバのリソースを枯渇させるアプリケーション層の攻撃と，大量の DNS 通信でネットワーク帯域を消費させる攻撃を同時に行うアが該当する。一つの対策では防ぎきれないので，対応が難しい。
イはボットネットを使ったブルートフォース攻撃でログインパスワードを解読しようとする不正ログインの試みで，サービスの妨害を目的とする DDoS 攻撃ではない。ウはオープンリゾルバを踏み台にした DNS リフレクション攻撃という単一の手法である。エはマルウェアによるデータの改ざんや破壊であり，DDoS 攻撃ではない。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問4（表記を一部改変）
用語解説：DDoS 攻撃（リフレクション攻撃・Smurf 攻撃） DNS のセキュリティ（DNSSEC・キャッシュポイズニング）
FIPS PUB 140-2 の記述内容はどれか。
正解 ア
解説
FIPS 140-2 は，米国 NIST が定めた連邦情報処理規格で，暗号モジュール（暗号機能を実装したハードウェアやソフトウェア）が満たすべきセキュリティ要求事項を，セキュリティレベル1〜4 の4段階で規定している。アが正しい。
2002 年の 140-2 を，2019 年 3 月発行の 140-3 が置き換えた。140-3 の要求事項は ISO/IEC 19790:2012，試験方法は ISO/IEC 24759:2017 に基づいている。イの情報セキュリティマネジメントシステムの要求事項は ISO/IEC 27001（JIS Q 27001），ウの証明書や証明書失効リストの技術仕様は ITU-T X.509，エの無線 LAN セキュリティの技術仕様は IEEE 802.11i などである。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問5（表記を一部改変）
用語解説：PKI（認証局・CRL・OCSP）
経済産業省と IPA が策定した“サイバーセキュリティ経営ガイドライン（Ver 2.0）”の説明はどれか。
正解 ア
解説
サイバーセキュリティ経営ガイドラインは，経済産業省と IPA が策定した経営者向けの手引で，サイバー攻撃から企業を守る観点で経営者が認識すべき3原則と，情報セキュリティ対策を実施する上での責任者となる担当幹部（CISO など）に経営者が指示すべき重要10項目をまとめている。アが正しい。
イの情報資産を CIA の観点から維持管理し継続的に見直すプロセスと管理策を規定したものは ISMS（JIS Q 27001）。ウの IT ガバナンスと IT マネジメントに分けてプロセスを定義したものは COBIT。エの企業の経営者を支援する施策を推進するための国の責務は，サイバーセキュリティ基本法などで定められている。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6（表記を一部改変）
UDP の性質を悪用した DDoS 攻撃に該当するものはどれか。
正解 ア
解説
DNS リフレクタ攻撃（DNS リフレクション攻撃）は，送信元 IP アドレスを攻撃対象に偽装した問合せを，オープンリゾルバなどの DNS サーバに大量に送り，増幅された応答を攻撃対象に集中させる DDoS 攻撃である。DNS の問合せに使う UDP はコネクションを確立しないので，送信元 IP アドレスを偽装しやすい性質が悪用される。アが該当する。
イの SQL インジェクション攻撃，ウのディレクトリトラバーサル攻撃は Web アプリケーションの脆弱性を突く攻撃，エのパスワードリスト攻撃は他のサイトから流出した ID とパスワードの組で不正ログインを試みる攻撃で，いずれも UDP の性質を悪用した DDoS 攻撃ではない。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問7（表記を一部改変）
用語解説：DDoS 攻撃（リフレクション攻撃・Smurf 攻撃） DNS のセキュリティ（DNSSEC・キャッシュポイズニング） インジェクション攻撃（SQL・OS コマンド）
EDSA 認証における評価対象と評価項目について，適切な組みはどれか。
正解 ア
解説
EDSA（Embedded Device Security Assurance）認証は，制御システムに使われる組込み機器（PLC などの制御機器）のセキュリティを評価する認証制度である。評価項目には，機器に異常な通信を送って正しく動作し続けるかを確かめる組込み機器ロバストネス試験（通信ロバストネス試験）などがある。評価対象が組込み機器である制御機器で，評価項目が組込み機器ロバストネス試験のアが適切である。
イの施設の入退室管理，ウの複数の制御機器から構成される制御システム全体，エの制御システムを管理する組織のセキュリティポリシは，機器単体を対象とする EDSA 認証の評価対象ではない。制御システムや組織の評価には，IEC 62443 に基づく SSA 認証や CSMS 認証などが用いられる。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問8（表記を一部改変）
インターネットバンキングの利用時に被害をもたらす MITB 攻撃に有効な対策はどれか。
正解 ア
解説
MITB（Man-in-the-Browser）攻撃は，PC に感染したマルウェアが Web ブラウザの通信に割り込み，利用者が入力した送金先や金額などを，利用者に気付かれないように書き換える攻撃である。正規のサイトに正しく接続し，ログイン認証も正規に行われた後で改ざんされるので，利用者が入力した取引内容と金融機関が受信した内容とを照合できるトランザクション署名が有効である。アが正しい。
イの EV SSL サーバ証明書による接続先の確認，ウのワンタイムパスワードによるログイン認証，エの TLS による通信の暗号化は，いずれもブラウザの中で行われる改ざんを防げない。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9（表記を一部改変）
JIS X 9401:2016（情報技術−クラウドコンピューティング−概要及び用語）の定義によるクラウドサービス区分の一つであり，クラウドサービスカスタマの責任者が表中の項番1と2の責務を負い，クラウドサービスプロバイダが項番3〜5の責務を負うものはどれか。
正解 ウ
解説
表では，クラウドサービスカスタマがアプリケーションソフトウェアに関する責務（項番 1・2）だけを負い，クラウドサービスプロバイダが DBMS，OS，ハードウェアに関する責務（項番 3～5）を負っている。これは，プロバイダが提供するプラットフォーム（DBMS や OS などの実行環境）の上で，カスタマが自らのアプリケーションを開発・運用する PaaS に当たる。ウが該当する。
イの IaaS では，プロバイダはハードウェアなどの基盤だけを提供し，OS や DBMS の修正プログラム適用や権限設定もカスタマの責務になる。エの SaaS では，アプリケーションソフトウェアもプロバイダが提供するので，セキュアプログラミングなどの項番 2 もプロバイダの責務になる。アの HaaS はハードウェアを提供するサービスを指す呼び方で，JIS X 9401 のクラウドサービス区分にはない。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問10（表記を一部改変）
マルウェア Mirai の動作はどれか。
正解 エ
解説
Mirai は，インターネット上のランダムな IP アドレスに対して telnet のポートでログインを試み，工場出荷時のままの弱い ID とパスワードを使っている IoT 機器（ネットワークカメラやルータなど）に感染を広げ，ボットネットを形成するマルウェアである。感染した機器は C&C サーバからの指令に従って，標的に DDoS 攻撃を行う。エが正しい。
アの Web サーバの脆弱性を悪用して Web ページを改ざんし，決められた日時に DDoS 攻撃を行うのは Code Red などのワームの特徴である。イの Web ページに不正な JavaScript を挿入して利用者を誘導するのは Web サイト改ざんによる攻撃（Gumblar など），ウのファイル共有ソフトで情報を公開してしまうのは Antinny などの暴露ウイルスの動作である。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（表記を一部改変）
HTTP Strict Transport Security（HSTS）の動作はどれか。
正解 エ
解説
HSTS は，Web サーバが HTTPS の応答に Strict-Transport-Security ヘッダを付けて，有効期間（max-age）を指定する仕組みである。これを受け取った Web ブラウザは，指定された期間，そのサイトへのアクセスを HTTP で行おうとしても自動的に HTTPS で接続する。HTTP による最初の接続を狙った盗聴や，HTTPS への切替えを妨げる攻撃への対策になり，エが該当する。
アは EV SSL 証明書を使ったサイトでかつて Web ブラウザが行っていたアドレスバーの表示の説明である。イは HTTPS の通信を圧縮することで，逆に圧縮後の長さから秘密情報を推測される攻撃（BREACH など）の原因にもなる処理であり，HSTS とは無関係である。ウは確立済みのセッション上でハンドシェイクをやり直す TLS の再ネゴシエーションの説明である。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（表記を一部改変）
用語解説：TLS（SSL）
Web アプリケーションの脆弱性を悪用する攻撃手法のうち，Web ページ上で入力した文字列が Perl の system 関数や PHP の exec 関数などに渡されることを利用し，不正にシェルスクリプトを実行させるものは，どれに分類されるか。
正解 イ
解説
OS コマンドインジェクションは，Web アプリケーションが Perl の system 関数や PHP の exec 関数などで外部プログラムを呼び出すときに，入力データに OS のコマンドを紛れ込ませ，不正にシェルスクリプトや実行形式のファイルを実行させる攻撃である。イに分類される。
アの HTTP ヘッダインジェクションは，入力データに改行コードを含めて HTTP レスポンスヘッダに不正なヘッダや本文を挿入する攻撃。ウのクロスサイトリクエストフォージェリは，利用者に意図しないリクエストを Web サイトに送らせる攻撃。エのセッションハイジャックは，セッション ID を盗むなどしてセッションを乗っ取る攻撃である。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13（表記を一部改変）
SMTP-AUTH の特徴はどれか。
正解 ウ
解説
SMTP-AUTH は，メールクライアント（PC）がメールサーバにメールを送信するときに，ユーザアカウントとパスワードによる利用者認証を行い，認証に成功した利用者からだけ送信を受け付ける仕組みである。第三者による不正中継やなりすまし送信を防げる。ウが正しい。
アの動的 IP アドレスから管理外のメールサーバへの SMTP 接続の禁止は OP25B。イの送信元のサーバが送信元ドメインの DNS に登録されていることを確認するのは SPF。エの POP 接続で認証済みの場合だけ送信を許可するのは POP before SMTP である。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14（表記を一部改変）
TLS に関する記述のうち，適切なものはどれか。
正解 ウ
解説
TLS のクライアント認証に使う個人認証用のデジタル証明書（と秘密鍵）は，PC に保存するだけでなく IC カードに格納することもできる。IC カードを読み取れる環境であれば，どの PC からでも利用でき，利用する PC を特定の PC に限定する必要はない。ウが適切である。
アは誤りで，Web サーバのデジタル証明書にはサーバの FQDN（ドメイン名）を記載するのが一般的で，IP アドレスの組込みは必須ではないので，IP アドレスを変更しても取り直す必要はない。イも誤りで，TLS で使う共通鍵暗号の鍵長は暗号スイートによって 128 ビットや 256 ビットなどに決まり，128 ビット未満で任意に指定するものではない。エも誤りで，TLS は不特定の利用者との通信にも使え，Web サーバへの事前の利用者登録は必要ない。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問15（表記を一部改変）
用語解説：共通鍵暗号と公開鍵暗号 TLS（SSL）
電子メール又はその通信を暗号化する三つのプロトコルについて，公開鍵を用意する単位の組合せのうち，適切なものはどれか。
正解 ア
解説
PGP と S/MIME は，電子メールそのものを暗号化したり，ディジタル署名を付けたりする方式で，送信者や受信者ごと，つまりメールアドレスごとに公開鍵（S/MIME ではディジタル証明書）を用意する。SMTP over TLS は，メールサーバ間などの SMTP の通信路を TLS で暗号化する方式で，サーバ証明書をメールサーバごとに用意する。
したがって，PGP がメールアドレスごと，S/MIME がメールアドレスごと，SMTP over TLS がメールサーバごとのアが適切である。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問16（表記を一部改変）
利用者認証情報を管理するサーバ1台と複数のアクセスポイントで構成された無線 LAN 環境を実現したい。PC が無線 LAN 環境に接続するときの利用者認証とアクセス制御に，IEEE 802.1X と RADIUS を利用する場合の標準的な方法はどれか。
正解 イ
解説
IEEE 802.1X では，認証を受ける端末をサプリカント，接続を中継して認証が済むまで通信を制御する装置をオーセンティケータ，認証を行うサーバを認証サーバという。無線 LAN では PC がサプリカント，アクセスポイントがオーセンティケータになる。アクセスポイントは PC から受け取った認証情報を RADIUS で認証サーバ（RADIUS サーバ）へ中継するので，RADIUS クライアントの機能をもつ。イが標準的な方法である。
アの PC はサプリカントだが RADIUS クライアントにはならない。ウのアクセスポイントはサプリカントでも RADIUS サーバでもない。エの利用者認証情報を管理するサーバは RADIUS サーバ（認証サーバ）であり，オーセンティケータではない。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問17（表記を一部改変）
用語解説：IEEE 802.1X・RADIUS（ネットワークの利用者認証） 無線 LAN（WPA2・WPA3・CSMA/CA）
TCP のコネクション確立方式である3ウェイハンドシェイクを表す図はどれか。
正解
正解 ア
解説
TCP の3ウェイハンドシェイクでは，コネクションの要求元が SYN を送り，要求先が SYN と ACK を一つのセグメントで返し，要求元が ACK を返すという3回のやり取りでコネクションを確立する。これを表すのはアである。
イ，エは SYN と ACK を別々に送っていてやり取りの回数が3回より多い。ウは SYN を3回送っていて，要求先から要求元への SYN がないので，双方向のコネクションが確立しない。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問18（表記を一部改変）
クラス D の IP アドレス（224.0.0.0〜239.255.255.255）に関する記述として，適切なものはどれか。
正解 ウ
解説
クラス D の IP アドレス（224.0.0.0〜239.255.255.255）は，マルチキャストアドレスとして使われる。複数の受信者のグループ宛てに同じデータを一斉に配信する通信で，コネクションを確立しない UDP などが用いられる。ウが適切である。
アの DHCP サーバが見つからないときの自動設定アドレスは，リンクローカルアドレス 169.254.0.0/16 である。イの実験用に予約されているのはクラス E（240.0.0.0〜255.255.255.255）である。エの小規模なネットワークで使うプライベートアドレスは，クラス C の 192.168.0.0/16 などである。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問19（表記を一部改変）
日本国内において，無線 LAN の規格 IEEE 802.11n 及び IEEE 802.11ac で使用される周波数帯域の組合せとして，適切なものはどれか。
正解 ウ
解説
IEEE 802.11n は 2.4 GHz 帯と 5 GHz 帯の両方を使えるが，IEEE 802.11ac は 5 GHz 帯だけを使う。ウが正しい。802.11ac が 5 GHz 帯に限られるのは，帯域幅を 80 MHz・160 MHz まで広げるだけの連続した周波数が 2.4 GHz 帯には無いためである。
ア，エの IEEE 802.11ac は 2.4 GHz 帯を使わない。イの IEEE 802.11ac は 5 GHz 帯を使う。ア，エの IEEE 802.11n が片方の帯域だけを使うという組合せも誤りである。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問20（表記を一部改変）
次の SQL 文の実行結果の説明に関する記述のうち，適切なものはどれか。
CREATE VIEW 東京取引先 AS
SELECT * FROM 取引先
WHERE 取引先.所在地 = '東京'
GRANT SELECT
ON 東京取引先 TO "8823"
正解 エ
解説
CREATE VIEW で，取引先表から所在地が‘東京’の行だけを選ぶビュー“東京取引先”を作り，GRANT SELECT で利用者“8823”にそのビューを参照する権限を与えている。利用者“8823”は，ビューを通じて，実表“取引先”のうち所在地が‘東京’の行を参照できるようになる。エが適切である。
アの“8823”は権限を与える利用者の識別子で，ビューに記録できる行数ではない。イのビューの作成者は，自分が作ったビューに対する権限をもつ。ウの実表が削除されるとビューは使えなくなり，ビューに対する権限も意味をなさなくなる。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問21（表記を一部改変）
図のような階層構造で設計及び実装した組込みシステムがある。このシステムの開発プロジェクトにおいて，デバイスドライバ層の単体テスト工程が未終了で，アプリケーション層及びミドルウェア層の単体テストが先に終了した。この段階で行うソフトウェア結合テストの方式として，適切なものはどれか。
正解 イ
解説
トップダウンテストは，上位のモジュールから順に結合していくテストの方式で，未完成の下位モジュールはその代わりに呼び出される仮のモジュール（スタブ）で置き換えて実施する。アプリケーション層とミドルウェア層の単体テストが終わり，最下位のデバイスドライバ層だけが未終了なので，デバイスドライバ層をスタブで代用するトップダウンテストが行える。イが適切である。
エのボトムアップテストは下位のデバイスドライバ層から結合していくので，その単体テストが終わっていなければ始められない。アのサンドイッチテストはトップダウンとボトムアップを上下から同時に進める方式で，下位層も必要になる。ウのビッグバンテストは全モジュールの単体テストが終わってから一斉に結合する方式である。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問22（表記を一部改変）
SOA でシステムを設計する際の注意点のうち，適切なものはどれか。
正解 ウ
解説
SOA では，業務の機能を独立したサービスとして部品化し，それらを組み合わせてシステムを構築する。サービス間の関係を疎結合にしておけば，業務が変化したときに，サービスを入れ替えたり組み合わせを変えたりして柔軟に対応できる。ウが適切である。
アは誤りで，サービスは状態を持たないステートレスなインタフェースにするのが基本であり，そのほうが特定のサーバに依存せず可用性や拡張性を確保しやすい。イは誤りで，サービスは業務の単位で定義し，名称も業務の内容が分かる具体的なものにする。エは誤りで，サービスを再利用して開発の効率を上げるのが SOA の狙いである。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問23（表記を一部改変）
用語解説：SOA（サービス指向アーキテクチャ）
IT サービスマネジメントの情報セキュリティ管理プロセスに対して，JIS Q 20000-1:2012（サービスマネジメントシステム要求事項）が要求している事項はどれか。
正解 ウ
解説
JIS Q 20000-1:2012 の情報セキュリティ管理では，情報セキュリティ変更及びインシデントについて，変更要求が情報セキュリティ基本方針及び情報セキュリティ管理策に与える潜在的な影響を評価することを求めている。変更によってセキュリティの弱点が生じないように，変更管理と連携して評価する。ウが該当する。
アの CI の原本をセキュリティが保たれた格納庫で管理することは構成管理，イの潜在的な問題を低減させる予防処置は問題管理や継続的改善，エの変更要求の受入れの意思決定でリスク，事業利益，技術的実現可能性を考慮することは変更管理の要求事項である。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問24（表記を一部改変）
ある企業が，自社が提供する Web システムのセキュリティについて，外部監査人による保証を受ける場合において，次の表の A〜D のうち，IT に係る保証業務の“三当事者”のそれぞれに該当する者の適切な組合せはどれか。
正解 ウ
解説
IT に係る保証業務の三当事者は，保証業務を実施する業務実施者，保証の対象（ここでは Web システムのセキュリティ）に責任を負う主題責任者，保証報告書を利用する想定利用者である。外部監査人が保証業務を実施し，Web システムのセキュリティには当該企業の経営者が責任を負い，保証報告書はシステムの安全性を知りたい Web システム利用者が利用する。
したがって，実施者が外部監査人，責任を負う者が当該企業の経営者，想定利用者が Web システム利用者である C の組合せで，ウが正しい。A と D は監査人ではない者を実施者としており，B は利用者がセキュリティの責任を負うとしている点が誤りである。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（表記を一部改変）