応用情報技術者試験 午前｜セキュリティの要点と過去問

セキュリティは、応用情報技術者試験の午前で最も出題数の多い分野で、1回あたり平均で約9問が出ます。攻撃手法と対策、暗号とディジタル署名、認証、ネットワークの防御、情報セキュリティマネジメントなど、範囲が広いのが特徴です。

出題傾向

応用情報技術者試験午前の過去33回分（平成21年度〜令和7年度）を集計した結果です。

直近10回の平均は10.0問、それ以前の23回の平均は8.5問です。近年は出題数がやや増える傾向にあります。

直近10回分を表示しています。

押さえておきたいテーマ

情報セキュリティの3要素

機密性（許可された人だけが情報にアクセスできる）、完全性（情報が正確で改ざんされていない）、可用性（必要なときに利用できる）が基本です。個々の対策が、どの要素を守るためのものかを判断する問題が出ます。

代表的な攻撃手法と対策

SQLインジェクションはSQL文を不正に組み立てさせる攻撃で、プレースホルダ（バインド機構）の利用が有効な対策です。クロスサイトスクリプティング（XSS）は悪意あるスクリプトを他人のブラウザで実行させる攻撃で、出力時のエスケープ処理が対策になります。クロスサイトリクエストフォージェリ（CSRF）は利用者に意図しない操作をさせる攻撃で、トークンの検証で防ぎます。

マルウェアと標的型攻撃

ウイルス・ワーム・トロイの木馬・ランサムウェア（データを暗号化して身代金を要求する）などの特徴の違いを押さえます。特定の組織を狙う標的型攻撃では、不審なメールの添付ファイルやリンクをきっかけに感染させる手口が代表的で、入口対策に加えて、侵入後の検知と被害の拡大防止も重視されます。

暗号方式

共通鍵暗号（AESなど）は暗号化と復号に同じ鍵を使い高速ですが、n人が相互に通信するには n(n−1)/2 個の鍵が必要です。公開鍵暗号（RSAなど）は公開鍵で暗号化し秘密鍵で復号するため、鍵の配送が容易ですが処理が遅いのが弱点です。実際の通信では、両者を組み合わせるハイブリッド方式がよく使われます。

ハッシュ関数とディジタル署名

ハッシュ関数は、任意の長さのデータから固定長の値を作り、改ざんの検知に使います。ディジタル署名は、送信者が自分の秘密鍵で署名し、受信者が送信者の公開鍵で検証することで、なりすまし・改ざんの検出と否認の防止を実現します。

PKIとTLS

ディジタル証明書は、公開鍵が本人のものであることを認証局（CA）が保証するもので、失効した証明書はCRLなどで確認します。TLSは、サーバ認証と通信の暗号化を行うプロトコルで、HTTPSの土台です。ハンドシェイクでの鍵交換の流れが問われます。

認証

パスワードなどの知識、ICカードなどの所有物、指紋などの生体情報のうち、2つ以上を組み合わせるのが多要素認証です。ワンタイムパスワードや、複数のサービスを1回のログインで使えるシングルサインオンも頻出です。パスワード保管ではソルトを付けたハッシュで格納します。

ネットワークの防御

ファイアウォール、WAF（Webアプリケーションを保護）、IDS（侵入検知）・IPS（侵入防御）、DMZ（外部公開サーバを置く緩衝地帯）、VPNなどの役割の違いを押さえます。メール認証のSPF・DKIM・DMARCは、なりすましメール対策の技術です。

セキュリティマネジメント

リスクアセスメントでリスクを特定・分析・評価し、リスクへの対応（低減・回避・移転・保有）を選びます。ISMS（ISO/IEC 27001）は情報セキュリティを継続的に管理する仕組みで、PDCAサイクルで運用します。脆弱性の共通識別子であるCVEや、深刻度を評価するCVSSなども出題されます。

学習のコツ

• 出題数が最も多い分野なので、ここを得意分野にできれば午前全体の得点が安定します。まずセキュリティの3要素と攻撃手法・対策の対応表を作るのがおすすめです。
• 暗号関連は、公開鍵暗号で「誰の何の鍵で暗号化・署名するか」の向きを間違えやすい部分です。暗号化なら受信者の公開鍵、署名なら送信者の秘密鍵、と目的別に整理しておきます。
• 情報処理安全確保支援士試験の午前Ⅱとも範囲が重なり、上位試験に進む場合も土台になります。一度体系的に学んでおく価値の高い分野です。

セキュリティの過去問一覧（全295問）

実施回ごとに、この分野の問題を新しい回から並べています。各問に解説と選択肢ごとの解説がついています。

ほかの分野を見る

• アルゴリズム
• ビジネスインダストリ
• 経営戦略
• コンピュータ構成要素
• 企業活動
• データベース
• 開発技術
• 基礎理論
• ハードウェア
• ヒューマンインタフェース
• 法務
• マルチメディア
• ネットワーク
• プロジェクトマネジメント
• サービスマネジメント
• ソフトウェア
• システム監査
• システム構成要素
• システム企画
• システム戦略