【過去問からの傾向】情報セキュリティマネジメント午後試験 時間が足りない⁉

先日、国家試験である「ITパスポート試験」に最年長８６歳の合格者が出たとIPAから発表がありました。これまでは２０１７年に合格した８３歳が最年長、そして２０２０年に合格した８歳の小学３年生が最年少ということでしたので、ITリテラシーは「いくつでも・いくつになっても」という感じですね。

参考：プレス発表　ITパスポート試験に86歳が合格、最年長合格者記録を更新：IPA 独立行政法人 情報処理推進機構

はじめに

さてこのコラムには、同じく国家試験である「情報セキュリティマネジメント試験」の午後問題の対策方法を調べて見に来ていただいている方が多いようです。中でも「午後試験は時間が足りない」という噂を聞きつけて何とか攻略のコツを掴もうとされてるのではないでしょうか？

こういうのはまず、出題の傾向を知ることが大事ですからね。
まずは実際に出題された過去問のテーマを見て傾向を把握し、対策を考えていきましょう。

(注意)本コラムは「ここが確実に出る」というような情報はお伝えしておりません。あくまで、過去の出題傾向や最近のサイバー攻撃の動向など過去の情報や発表されている情報に基づいた内容となっております。

過去7回の出題テーマはこちら

平成28年春期 午後問題
問1 標的型攻撃メールの脅威と対策
問2 業務委託におけるアクセス制御
問3 情報セキュリティ自己点検

平成28年秋期 午後問題
問1 オンラインストレージサービスの利用における情報セキュリティ対策
問2 情報機器の紛失
問3 業務用PCでのWebサイト閲覧

平成29年春期 午後問題
問1 マルウェア感染への対応
問2 クラウドサービスを利用した情報システムの導入と運用
問3 オフィスの物理的セキュリティ対策

平成29年秋期 午後問題
問1 情報セキュリティリスクアセスメント
問2 WebサービスでのWebアプリケーションソフトウェア開発委託
問3 スマートデバイスの業務利用

平成30年秋期 午後問題
問1 インターネットを利用した振込業務の情報セキュリティリスク
問2 リスク対応策の検討
問3 標的型メール攻撃への対応訓練

平成31年春期 午後問題
問1 サイバー攻撃を想定した演習
問2 企業における情報セキュリティ管理
問3 情報セキュリティの自己点検

令和元年秋期 午後問題
問1 ECサイトの情報セキュリティ対策
問2 アカウント乗っ取りによる情報セキュリティインシデント
問3 業務委託先への情報セキュリティ要求事項

テーマは大きく３分類

過去問のテーマを古いものから順に見ていくと、何となく傾向が分かるかと思います。上記からいくつかのキーワードを抜粋してみましょう。

「標的型メール」「業務委託」「自己点検」「オンラインストレージ」「情報機器の紛失」「業務用PC」「マルウェア感染」「クラウドサービス」「オフィス」「リスクアセスメント」「開発委託」「スマートデバイス」「インターネットを利用した振込業務」「リスク対応策」「標的型メール攻撃」「サイバー攻撃を想定」「企業における情報セキュリティ管理」「自己点検」「ECサイト」「アカウント乗っ取り」「業務委託先」・・・

多くなってしまいましたが、なんとなく、毎年こんな雰囲気のテーマではないでしょうか？

また、それぞれのキーワードを３つのテーマに当てはめてみると以下のようになりました。「ふむふむ、確かに」という感じでしょうか。

そもそも情報セキュリティマネジメント試験とは、IPAによると「情報セキュリティマネジメントの計画・運用・評価・改善を通して組織の情報セキュリティ確保に貢献し、脅威から継続的に組織を守るための基本的なスキルを認定する試験」です。

(引用 https://www.jitec.ipa.go.jp/sg/about.html)

ここから「組織の情報セキュリティ確保」という素晴らしい情報が見えてきました。そして、この試験の目的として以下の3つの目標が挙げられています。

つまり、「内部不正を防ぐための権限設定はどうしたらよいか」「この事象はマルウェア感染の可能性がある→どう対応したらよいか」「不正アクセスがあった→原因と再発防止はどうしたらよいか」といった、業務を推進する上でのインシデント対応や未然防止の知識がついているか、という観点で出題されていることが分かります。

出題者の意図がここまで分かると、対策も立てやすいのではないでしょうか。

出題の傾向まとめ

ここで申し上げておきたいこととして、各サイバー攻撃の特徴を把握することはもちろんのこと、インシデントの発生原因の特定方法や対処方法、再発防止策までの一連を理解できていることがとても大事になってきます。

また、午前試験の過去問を繰り返し行っていくと、各サイバー攻撃の特徴はなんとなくイメージできてくるかと思います。ですがご存じの通り、サイバー攻撃は日々脅威を増し手法も巧妙化しております。ですので、やはり過去問に頼るだけでなく最近の動向を知っておくことも重要です。

ということで、情報セキュリティマネジメント　午後試験の出題の傾向としては、まず

　①自社他社含めた「組織」にまつわる情報漏洩対策

　②トラブル発生時の「事後対応」

　③そしてトラブルを未然に防ぐため「情報セキュリティを確保」する方法

を問われていることを認識していただければと思います。

最後に

そしてなんと言っても出題者、つまり主催者IPA(独立行政法人情報処理推進機構)が出す情報にはヒントが沢山散りばめられているといっても過言ではないでしょう。是非、こうした公式機関の情報(例：情報セキュリティ10大脅威 2021：IPA 独立行政法人 情報処理推進機構など)をこまめにチェックして試験勉強や実務に役立てていただければと思います。