情報セキュリティ
このノートの問いがそのまま復習カードになり、忘れかけたころに出題されます。
シラバス Ver.6.5 の小分類 61「情報セキュリティ」（大分類 9：技術要素／中分類 23：セキュリティ）。
2026-08-05 にシラバス本文と突合済み。
0. 何を押さえるか
この試験でもっとも出題が厚い論点です（用語 61 個は全 63 論点で最多）。
構成は脅威と脆弱性 → 攻撃手法の 2 段です。
脅威は 3 種類に分かれ、この分類がそのまま出ます。
| 脅威 | 何が原因か | 例 |
|---|---|---|
| 人的脅威 | 人（悪意・過失） | なりすまし、内部不正、誤操作、ソーシャルエンジニアリング |
| 技術的脅威 | 技術を使った攻撃 | マルウェア、不正アクセス |
| 物理的脅威 | 物理的な事象 | 災害、破壊、妨害行為 |
脆弱性は「脅威」ではなく「弱点」です。脅威が脆弱性を突いて被害になります。
攻撃手法は数が多いので、何を狙うかで束ねてください。
| 狙い | 攻撃 |
|---|---|
| パスワードを破る | 辞書攻撃・総当たり・パスワードリスト攻撃 |
| Web サイトを悪用する | クロスサイトスクリプティング・SQL インジェクションほか |
| 通信に割り込む | 中間者攻撃・セッションハイジャック |
| 動かなくする | DoS・DDoS |
| だます | フィッシング・スミッシング・ワンクリック詐欺 |
1. 情報セキュリティとは
根拠: シラバス 9-23-61
サイバー空間とサイバー攻撃とは？
サイバー空間 ＝ ネットワーク上に広がる情報のやり取りの場
そこで行われる不正な行為がサイバー攻撃。
物理的な境界がないので、
遠隔地から、匿名で、同時に多数を狙えるのが特徴。
情報資産に対する被害の形を挙げよ。
| 被害 | 何が起きるか |
|---|---|
| 漏えい | 外部に知られる |
| 紛失 | 失われる |
| 破損 | 壊れて使えなくなる |
守るべき情報資産には、顧客情報・営業情報・
知的財産関連情報・人事情報などがある。
2. 人的脅威
根拠: シラバス 9-23-61
人的脅威にはどんなものがあるか？
| 何か | |
|---|---|
| 盗み見 | 画面や書類をのぞき見る |
| 盗聴 | 通信や会話を盗み聞く |
| なりすまし | 他人になりかわる |
| クラッキング | 悪意を持って侵入・破壊する |
| 内部不正 | 内部の人間による持ち出しや改ざん |
| 誤操作 | 過失による誤送信・誤削除 |
誤操作も人的脅威——悪意がなくても被害は生じる。
ソーシャルエンジニアリングとは？
技術ではなく、人間の心理や行動の隙をついて情報を得る手口
- 上司や取引先を装って電話で聞き出す
- 肩越しに画面をのぞく
- ごみ箱から書類を持ち出す
技術的な対策では防げないのが要点で、
教育と手順（本人確認の徹底、書類の裁断）で守る。
ビジネスメール詐欺（BEC）とは？
取引先や経営者になりすまし、偽の請求や送金指示を送る詐欺
実在の取引を装うため、
不特定多数へのばらまきと違って見抜きにくい。
対策は、送金手続を複数人で確認すること。
メールだけで完結させないことが要点。
シャドー IT とは？ なぜ危険か？
組織が把握・許可していない機器やサービスを、業務に使うこと
私物のクラウドストレージ、無許可のチャットアプリなど。
危険なのは、管理下にないため対策も監視もできないこと。
利用者に悪意がなくても、情報がどこへ出たか追えなくなる。
不正のトライアングルとは？
不正は次の 3 つがそろったときに起きるという考え方。
| 要素 | 内容 |
|---|---|
| 機会 | 不正ができてしまう状況（1 人で完結できる） |
| 動機 | やりたい理由（金銭的な困窮、不満） |
| 正当化 | 自分を納得させる理屈（「これくらい許される」） |
組織が最も手を打ちやすいのは「機会」——
職務分掌やアクセス権の制限で機会を減らす。
3. 技術的脅威（マルウェア）
根拠: シラバス 9-23-61
マルウェアとは？ 代表的な種類は？
悪意のあるソフトウェアの総称
| 種類 | 何をするか |
|---|---|
| コンピュータウイルス | 他のプログラムに寄生して増える |
| ボット | 感染した端末を外部から操れるようにする |
| スパイウェア | 情報を密かに収集して送る |
| ランサムウェア | データを暗号化し、復旧と引き換えに金銭を要求する |
ランサムウェアでは、
支払わなければ盗んだデータを公開すると脅す手口が加わっており、
これを二重脅迫（ダブルエクストーション）という。
ワームとトロイの木馬の違いは？
| 特徴 | |
|---|---|
| ワーム | 単独で自己増殖し、ネットワークを通じて広がる（寄生先が要らない） |
| トロイの木馬 | 無害なソフトに見せかけて侵入し、内部で不正を働く。自己増殖しない |
増えるのがワーム、化けるのがトロイの木馬。
RAT・キーロガー・バックドアの違いは？
| 何をするか | |
|---|---|
| RAT | 感染した端末を遠隔から自由に操作できるようにする |
| キーロガー | キー入力を記録して盗む（パスワードの窃取） |
| バックドア | 正規の認証を経ずに侵入できる裏口を仕掛ける |
いったんバックドアを作られると、
脆弱性を塞いでも侵入され続ける。
ファイルレスマルウェアとマクロウイルスの違いは？
| 何か | |
|---|---|
| ファイルレスマルウェア | ファイルを残さず、メモリ上や正規のツールを使って動く。検知が難しい |
| マクロウイルス | 文書ファイルのマクロ機能を悪用する |
マクロウイルスは、
文書を開いただけで感染しうるのが厄介な点。
ダークウェブ・ファイル交換ソフトウェア・迷惑メールは、それぞれどう脅威になるか？
| 何が問題か | |
|---|---|
| ダークウェブ | 特殊な手段でしか到達できない領域。盗まれた情報の売買の場になる |
| ファイル交換ソフトウェア | 意図せず自分のファイルを公開してしまう事故が起きる |
| 迷惑メール（スパム） | マルウェアやフィッシングの運び手になる |
4. 物理的脅威と脆弱性
根拠: シラバス 9-23-61
物理的脅威にはどんなものがあるか？
| 何か | |
|---|---|
| 災害 | 地震・水害・停電 |
| 破壊 | 機器の物理的な損壊 |
| 妨害行為 | 通信の遮断、設備への妨害 |
サイバー攻撃ばかりが脅威ではない——
バックアップの遠隔保管や BCP が対策になる。
脆弱性とは？ 脅威との違いは？
脆弱性 ＝ 攻撃を受けやすくする弱点そのもの
| 何か | |
|---|---|
| バグ | プログラムの誤り |
| セキュリティホール | セキュリティ上の欠陥となる不具合 |
| 人的脆弱性 | 教育不足、規則の未整備、意識の低さ |
脅威が「攻める側」、脆弱性が「守りの穴」。
被害は、脅威が脆弱性を突いたときに生じる。
5. 攻撃手法
根拠: シラバス 9-23-61
辞書攻撃・総当たり攻撃・パスワードリスト攻撃の違いは？
| どう破るか | |
|---|---|
| 辞書攻撃 | よく使われる語の一覧を順に試す |
| 総当たり（ブルートフォース）攻撃 | 考えうる組合せをすべて試す |
| パスワードリスト攻撃（クレデンシャルスタッフィング） | 他所から漏れた ID とパスワードの組を使い回して試す |
パスワードリスト攻撃は、使い回しをしていなければ通用しない——
サイトごとに違うパスワードにすべき理由がここにある。
クロスサイトスクリプティングとクロスサイトリクエストフォージェリの違いは？
| 何をするか | |
|---|---|
| クロスサイトスクリプティング | 脆弱なサイトに悪意のあるスクリプトを埋め込み、閲覧者の環境で実行させる |
| クロスサイトリクエストフォージェリ | ログイン中の利用者に、意図しない操作の要求を送らせる |
スクリプトを実行させるか、正規の操作を勝手にさせるか。
SQL インジェクションとディレクトリトラバーサルの違いは？
| 何を狙うか | |
|---|---|
| SQLインジェクション | 入力欄にデータベースへの命令を紛れ込ませ、情報を抜く・改ざんする |
| ディレクトリトラバーサル | パスの指定を細工し、公開範囲外のファイルにアクセスする |
どちらも入力値をそのまま処理してしまうことが原因。
クリックジャッキングとドライブバイダウンロードの違いは？
| 何をするか | |
|---|---|
| クリックジャッキング | 透明な要素を重ね、利用者の意図と違うものをクリックさせる |
| ドライブバイダウンロード | サイトを閲覧しただけでマルウェアを送り込む |
どちらも利用者が何もしていないつもりでいる点が共通する。
バッファオーバーフロー攻撃とは？
想定を超える長さのデータを送り込み、
本来使われない領域を書き換えて不正な処理をさせる攻撃
入力の長さを確認していないプログラムが標的になる。
中間者攻撃と MITB 攻撃の違いは？
| どこに割り込むか | |
|---|---|
| 中間者（Man-in-the-middle）攻撃 | 通信経路の途中に入り、盗聴・改ざんする |
| MITB（Man-in-the-browser）攻撃 | 利用者のブラウザの中に入り込み、送信内容を書き換える |
MITB は端末の中で書き換わるため、
通信が暗号化されていても防げない（暗号化される前に改ざんされる）。
セッションハイジャックと第三者中継の違いは？
| 何をするか | |
|---|---|
| セッションハイジャック | ログイン中のセッション情報を奪い、成りすます |
| 第三者中継（オープンリレー） | 設定の甘いメールサーバを踏み台にして迷惑メールを送る |
第三者中継では、自分のサーバが加害者側になる。
IP スプーフィングと DNS キャッシュポイズニングの違いは？
| 何を偽るか | |
|---|---|
| IPスプーフィング | 送信元の IP アドレスを偽る |
| DNSキャッシュポイズニング | DNS に偽の対応表を覚え込ませ、偽サイトへ誘導する |
DNS キャッシュポイズニングは、
正しい URL を入力しても偽サイトに繋がるため、利用者が気づけない。
DoS 攻撃と DDoS 攻撃の違いは？
| 何が違うか | |
|---|---|
| DoS（Denial of Service：サービス妨害）攻撃 | 大量の要求を送り、サービスを利用できなくする |
| DDoS攻撃 | 多数の機器から分散して同じことを行う |
DDoS ではボットに感染した多数の端末が使われるため、
送信元を遮断しても止まらない。
クリプトジャッキングとは？
他人の機器を無断で使い、暗号資産のマイニングをさせる攻撃
データを盗んだり壊したりしないので気づかれにくい。
症状は「動作が重い」「電池の減りが速い」といった形で現れる。
標的型攻撃とは？ どんな型があるか？
特定の組織や個人を狙い、時間をかけて侵入する攻撃
| 何をするか | |
|---|---|
| APT（Advanced Persistent Threat） | 高度な手法で執拗に侵入を試み続ける |
| 水飲み場型攻撃 | 標的がよく訪れるサイトを改ざんして待ち構える |
| やり取り型攻撃 | 無害なメールでやり取りを重ねて信用させてから仕掛ける |
不特定多数へのばらまきと違い、
その組織向けに作り込まれるので見抜きにくい。
フィッシング・スミッシング・ワンクリック詐欺の違いは？
| 何か | |
|---|---|
| フィッシング | 偽サイトへ誘導し、ID やパスワードを入力させて盗む |
| スミッシング | SMS を使ったフィッシング |
| ワンクリック詐欺 | クリックしただけで契約が成立したと偽り、金銭を請求する |
スミッシングは SMS 版（SMS + フィッシング）。
ゼロデイ攻撃とは？ なぜ防ぎにくいか？
脆弱性が公表され、修正プログラムが提供される前に行われる攻撃
修正手段がまだ存在しないので、
更新を怠っていなくても被害を受ける。
対策は、単一の対策に頼らず多層で守ること。
サービス及びソフトウェアの機能の悪用とは？
脆弱性ではなく、本来の機能を悪用する攻撃
- マクロ機能を使ってマルウェアを動かす
- 正規の遠隔操作ツールを侵入後に利用する
- クラウドの共有機能で情報を持ち出す
不具合ではないので修正できないのが厄介な点。
使い方の制御で防ぐしかない。
攻撃の準備段階では何が行われるか？
| 何をするか | |
|---|---|
| フットプリンティング | 公開情報から、組織や機器の情報を集める |
| ポートスキャン | どのポートが開いているかを調べ、侵入口を探す |
攻撃の前には必ず偵察がある。
不要なポートを閉じ、公開情報を絞ることが対策になる。
6. AI を狙う攻撃
根拠: シラバス 9-23-61
プロンプトインジェクション攻撃と敵対的サンプルの違いは？
| 何を狙うか | |
|---|---|
| プロンプトインジェクション攻撃 | 生成 AI への指示を細工し、制限を回避させたり内部情報を吐かせたりする |
| 敵対的サンプル（Adversarial Examples） | 人には分からないわずかな加工を施し、AI に誤認識させる |
指示を乗っ取るか、入力を細工するか。
どちらも AI の普及に伴って新しく現れた攻撃。