セキュリティ（セキュリティ技術評価・実装技術）の過去問・解説【基本情報技術者試験】

　このページでは，基本情報技術者試験を中心に，セキュリティ（セキュリティ技術評価・実装技術）分野の過去問題・サンプル問題・公開問題を掲載しています。CSIRT，ペネトレーションテスト，ファジング，セキュア設計，SQLインジェクション対策などの各種攻撃対策，IPsec，HTTPS，WPA3，S/MIMEといった通信・メールのセキュリティ技術など，試験で頻出となるテーマを問題形式で確認できます。

　解けなかった問題は，各問題下の【参考】リンクから対応する解説ページを読み，理解した上でもう一度解いてみてください。

情報セキュリティ組織・インシデント対応

平成30年度 基本情報技術者試験 秋期 午前 問40

問　組織的なインシデント対応体制の構築や運用を支援する目的でJPCERT/CCが作成したものはどれか。

ア　CSIRTマテリアル

イ　ISMSユーザーズガイド

ウ　証拠保全ガイドライン

エ　組織における内部不正防止ガイドライン

【参考】	「情報セキュリティ組織・機関，セキュリティ技術評価，その他のまとめ（CSIRT（Computer Security Incident Response Team）とは）」

平成29年度 基本情報技術者試験 秋期 午前 問42

問　CSIRTの説明として，適切なものはどれか。

ア　IPアドレスの割当て方針の決定，DNSルートサーバの運用監視，DNS管理に関する調整などを世界規模で行う組織である。

イ　インターネットに関する技術文書を作成し，標準化のための検討を行う組織である。

ウ　企業内・組織内や政府機関に設置され，情報セキュリティインシデントに関する報告を受け取り，調査し，対応活動を行う組織の総称である。

エ　情報技術を利用し，宗教的又は政治的な目標を達成するという目的をもつ者や組織の総称である。

【参考】	「情報セキュリティ組織・機関，セキュリティ技術評価，その他のまとめ（CSIRT（Computer Security Incident Response Team）とは）」

令和8年度 基本情報技術者試験 公開問題 科目A 問10

問　情報セキュリティに関する専門組織の説明のうち，CSIRTの説明として，最も適切なものはどれか。

ア　自社が顧客に提供する製品又はサービスの脆ぜい弱性に起因するリスクに対応する組織

イ　セキュリティインシデント検知のために，システム監視，ログ分析などのセキュリティ運用を担う組織

ウ　発生したセキュリティインシデントに対し，インシデント対応を行う組織

エ　標的型サイバー攻撃特別相談窓口をもち，相談をもち込んだ組織の被害の低減と攻撃の連鎖の遮断を支援する組織

【参考】	「情報セキュリティ組織・機関，セキュリティ技術評価，その他のまとめ（CSIRT（Computer Security Incident Response Team）とは）」

セキュリティ技術の評価・脆弱性検査

平成29年度 基本情報技術者試験 秋期 午前 問45

平成27年度 基本情報技術者試験 春期 午前 問46

平成24年度 基本情報技術者試験 秋期 午前 問44

問　コンピュータやネットワークのセキュリティ上の脆ぜい弱性を発見するために，システムを実際に攻撃して侵入を試みる手法はどれか。

ア　ウォークスルー	イ　ソフトウェアインスペクション
ウ　ペネトレーションテスト	エ　リグレッションテスト

【参考】	「ソフトウェアのセキュリティの基礎まとめ（ペネトレーションテスト（侵入テスト）とは）」 「レビューの基礎まとめ」 「システムの導入・受入れ支援・保守・廃棄の基礎まとめ（リグレッションテスト（退行テスト，回帰テスト）とは）」

令和6年度 基本情報技術者試験 公開問題 科目A 問9

問　ペネトレーションテストに該当するものはどれか。

ア　検査対象の実行プログラムの設計書，ソースコードに着目し，開発プロセスの各工程にセキュリティ上の問題がないかどうかをツールや目視で確認する。

イ　公開Webサーバの各コンテンツファイルのハッシュ値を管理し，定期的に各ファイルから生成したハッシュ値と一致するかどうかを確認する。

ウ　公開Webサーバや組織のネットワークの脆ぜい弱性を探索し，サーバに実際に侵入できるかどうかを確認する。

エ　内部ネットワークのサーバやネットワーク機器のIPFIX情報から，各PCの通信に異常な振る舞いがないかどうかを確認する。

【参考】	「ソフトウェアのセキュリティの基礎まとめ（ペネトレーションテスト（侵入テスト）とは）」

（令和4年度） 基本情報技術者試験 サンプル問題 科目A 問34

問　ファジングに該当するものはどれか。

ア　サーバにFINパケットを送信し，サーバからの応答を観測して，稼働しているサービスを見つけ出す。

イ　サーバのOSやアプリケーションソフトウェアが生成したログやコマンド履歴などを解析して，ファイルサーバに保存されているファイルの改ざんを検知する。

ウ　ソフトウェアに，問題を引き起こしそうな多様なデータを入力し，挙動を監視して，脆ぜい弱性を見つけ出す。

エ　ネットワーク上を流れるパケットを収集し，そのプロトコルヘッダやペイロードを解析して，あらかじめ登録された攻撃パターンと一致するものを検出する。

【参考】	「ソフトウェアのセキュリティの基礎まとめ（ファジングとは）」

平成31年度 基本情報技術者試験 春期 午前 問45

問　ファジングで得られるセキュリティ上の効果はどれか。

ア　ソフトウェアの脆ぜい弱性を自動的に修正できる。

イ　ソフトウェアの脆弱性を検出できる。

ウ　複数のログデータを相関分析し，不正アクセスを検知できる。

エ　利用者IDを統合的に管理し，統一したパスワードポリシを適用できる。

【参考】	「ソフトウェアのセキュリティの基礎まとめ（ファジングとは）」

セキュア設計

令和元年度 基本情報技術者試験 秋期 午前 問64

問　システム開発の上流工程において，システム稼働後に発生する可能性がある個人情報の漏えいや目的外利用などのリスクに対する予防的な機能を検討し，その機能をシステムに組み込むものはどれか。

ア　情報セキュリティ方針	イ　セキュリティレベル
ウ　プライバシーバイデザイン	エ　プライバシーマーク

【参考】

平成30年度 基本情報技術者試験 春期 午前 問42

問　セキュリティバイデザインの説明はどれか。

ア　開発済みのシステムに対して，第三者の情報セキュリティ専門家が，脆ぜい弱性診断を行い，システムの品質及びセキュリティを高めることである。

イ　開発済みのシステムに対して，リスクアセスメントを行い，リスクアセスメント結果に基づいてシステムを改修することである。

ウ　システムの運用において，第三者による監査結果を基にシステムを改修することである。

エ　システムの企画・設計段階からセキュリティを確保する方策のことである。

【参考】

データベースのセキュリティ

平成29年度 基本情報技術者試験 秋期 午前 問44

問　図のように，クライアント上のアプリケーションがデータベース接続プログラム経由でサーバ上のデータベースのデータにアクセスする。アプリケーションとデータベースとの間で送受信されるコマンドや実行結果の漏えいを防止する対策はどれか。

ア　サーバ側のデータベース接続プロムラムにアクセスできるクライアントのIPアドレスを必要なものだけに制限する。

イ　サーバ側のデータベース接続プログラムを起動・停止するときに必要なパスワードを設定する。

ウ　データベース接続プログラムが通信に使用するポート番号をデータベース管理システムでの初期値から変更する。

エ　データベース接続プログラム間の通信を暗号化する。

【参考】	「暗号化の基礎まとめ」

平成30年度 基本情報技術者試験 春期 午前 問43

平成25年度 基本情報技術者試験 秋期 午前 問44

平成21年度 基本情報技術者試験 秋期 午前 問43

問　利用者情報を格納しているデータベースから利用者情報を検索して表示する機能だけをもつアプリケーションがある。このアプリケーションがデータベースにアクセスするときに用いるアカウントに与えるデータベースへのアクセス権限として，情報セキュリティ管理上，適切なものはどれか。ここで，権限の名称と権限の範囲は次のとおりとする。

〔権限の名称と権限の範囲〕

参照権限：　レコードの参照が可能

更新権限：　レコードの登録，変更，削除が可能

管理者権限：テーブルの参照，登録，変更，削除が可能

ア　管理者権限	イ　更新権限
ウ　更新権限と参照権限	エ　参照権限

【参考】

（令和4年度） 基本情報技術者試験 サンプル問題 科目A 問36

平成30年度 基本情報技術者試験 春期 午前 問41

平成27年度 基本情報技術者試験 秋期 午前 問42

平成25年度 基本情報技術者試験 春期 午前 問40

問　SQLインジェクション攻撃による被害を防ぐ方法はどれか。

ア　入力された文字が，データベースへの問合せや操作において，特別な意味をもつ文字として解釈されないようにする。

イ　入力にHTMLタグが含まれていたら，HTMLタグとして解釈されない他の文字列に置き換える。

ウ　入力に上位ディレクトリを指定する文字列（../）が含まれているときは受け付けない。

エ　入力の全体の長さが制限を超えているときは受け付けない。

【参考】	「SQLインジェクション攻撃対策の基礎まとめ」

令和6年度 基本情報技術者試験 公開問題 科目A 問10

問　SQLインジェクションの対策として，有効なものはどれか。

ア　URLをWebページに出力するときは，“http://” や “https://” で始まるURLだけを許可する。

イ　外部からのパラメータでWebサーバ内のファイル名を直接指定しない。

ウ　スタイルシートを任意のWebサイトから取り込めるようにしない。

エ　プレースホルダを使って命令文を組み立てる。

【参考】	「SQLインジェクション攻撃対策の基礎まとめ」

ネットワークのセキュリティ

平成24年度 基本情報技術者試験 春期 午前 問44

問　通信を要求したPCに対し，ARPの仕組みを利用して実現できる通信可否の判定方法のうち，最も適切なものはどれか。

ア　PCにインストールされているソフトウェアを確認し，登録されているソフトウェアだけがインストールされている場合に通信を許可する。

イ　PCのMACアドレスを確認し，事前に登録されているMACアドレスである場合だけ通信を許可する。

ウ　PCのOSのパッチ適用状況を確認し，最新のパッチが適用されている場合だけ通信を許可する。

エ　PCのマルウェア対策ソフトの定義ファイルを確認し，最新になっている場合だけ通信を許可する。

【参考】	「ネットワークのセキュリティの基礎まとめ（MACアドレスフィルタリングとは）」

平成21年度 基本情報技術者試験 秋期 午前 問40

問　無線LANやVPN接続などで利用され，利用者を認証するためのシステムはどれか。

ア　DES

イ　DNS

ウ　IDS

エ　RADIUS

【参考】	「RADIUS・IEEE802.1x/EAPの基礎まとめ」 「暗号化の基礎まとめ（代表的な暗号方式一覧）」 「DNSの基礎まとめ」 「侵入検知システム（IDS）と侵入防止システム（IPS）の基礎まとめ」

平成31年度 基本情報技術者試験 春期 午前 問43

問　OSI基本参照モデルのネットワーク層で動作し，“認証ヘッダ（AH）” と “暗号ペイロード（ESP）” の二つのプロトコルを含むものはどれか。

ア　IPsec

イ　S/MIME

ウ　SSH

エ　XML暗号

【参考】	「IPsecの基礎まとめ」 「電子メールの基礎まとめ（電子メールのセキュリティとは）」 「SSHの基礎まとめ」

令和元年度 基本情報技術者試験 秋期 午前 問37

問　WPA3はどれか。

ア　HTTP通信の暗号化規格

イ　TCP/IP通信の暗号化規格

ウ　Webサーバで使用するディジタル証明書の規格

エ　無線LANのセキュリティ規格

【参考】	「WEP・WPA・WPA2・WPA3の基礎まとめ」

平成30年度 基本情報技術者試験 春期 午前 問40

問　SPF（Sender Policy Framework）の仕組みはどれか。

ア　電子メールを受信するサーバが，電子メールに付与されているディジタル署名を使って，送信元ドメインの詐称がないことを確認する。

イ　電子メールを受信するサーバが，電子メールの送信元のドメイン情報と，電子メールを送信したサーバのIPアドレスから，ドメインの詐称がないことを確認する。

ウ　電子メールを送信するサーバが，送信する電子メールの送信者の上司からの承諾が得られるまで，一時的に電子メールの送信を保留する。

エ　電子メールを送信するサーバが，電子メールの宛先のドメインや送信者のメールアドレスを問わず，全ての電子メールをアーカイブする。

【参考】	「DNSの基礎まとめ」

平成31年度 基本情報技術者試験 春期 午前 問44

問　侵入者やマルウェアの挙動を調査するために，意図的に脆ぜい弱性をもたせたシステム又はネットワークはどれか。

ア　DMZ	イ　SIEM
ウ　ハニーポット	エ　ボットネット

【参考】	「ネットワークのセキュリティの基礎まとめ（ハニーポットとは）」 「ファイアウォールの基礎まとめ（DMZ（DeMilitarized Zone；非武装地帯）とは）」 「ファイアウォールの基礎まとめ（SIEM（Security Information and Event Management）とは）」 「情報セキュリティの基礎まとめ（ボットハーダーとは）」

平成26年度 基本情報技術者試験 秋期 午前 問43

問　HTTPS（HTTP over SSL/TLS）の機能を用いて実現できるものはどれか。

ア　SQLインジェクションによるWebサーバへの攻撃を防ぐ。

イ　TCPポート80番と443番以外の通信を遮断する。

ウ　Webサーバとブラウザの間の通信を暗号化する。

エ　Webサーバへの不正なアクセスをネットワーク層でのパケットフィルタリングによって制限する。

【参考】	「WWWの基礎まとめ（HTTPS（HTTP over SSL/TLS）とは）」

平成25年度 基本情報技術者試験 春期 午前 問44

問　HTTPSを用いて実現できるものはどれか。

ア　Webサーバ上のファイルの改ざん検知

イ　クライアント上のウイルス検査

ウ　クライアントに対する侵入検知

エ　電子証明書によるサーバ認証

【参考】	「WWWの基礎まとめ（HTTPS（HTTP over SSL/TLS）とは）」

令和7年度 基本情報技術者試験 公開問題 科目A 問8

問　HTTPとHTTPSを比較した場合において，HTTPSだけがもつ特徴を示したものはどれか。

ア　cookieに保存されている情報を用いたセッション管理が可能である。

イ　IDとパスワードによって利用者の認証を行うことが可能である。

ウ　Webブラウザでキャッシュさせることによって通信量を減らすことが可能である。

エ　通信相手先サーバをサーバ証明書によって確認することが可能である。

【参考】	「WWWの基礎まとめ（HTTPS（HTTP over SSL/TLS）とは）」

平成25年度 基本情報技術者試験 春期 午前 問43

問　電子メールを暗号化するために使用される方式はどれか。

ア　BASE64

イ　GZIP

ウ　PNG

エ　S/MIME

【参考】	「電子メールの基礎まとめ（電子メールのセキュリティとは）」

（令和4年度） 基本情報技術者試験 サンプル問題 科目A 問37

令和元年度 基本情報技術者試験 秋期 午前 問44

平成29年度 基本情報技術者試験 春期 午前 問44

問　電子メールをドメインAの送信者がドメインBの宛先に送信するとき，送信者をドメインAのメールサーバで認証するためのものはどれか。

ア　APOP

イ　POP3S

ウ　S/MIME

エ　SMTP-AUTH

【参考】	「電子メールの基礎まとめ（電子メールのセキュリティとは）」

まとめ

　今回は，基本情報技術者試験の過去問題・サンプル問題・公開問題のうち，セキュリティ（セキュリティ技術評価・実装技術）分野に関するものを集め，シンプルにまとめてみました。みなさんは，どのくらい解けましたか？はじめは難しく感じるかもしれませんが，繰り返し問題を解くことで，少しずつ理解できるようになると思います。8割以上（できれば9割以上）解けるようになることを目標に，ぜひ取り組んでみてください。また，一度解けるようになっても，時間が経つと忘れてしまうことがあります。1週間後や1か月後など，期間をあけてもう一度解き直すことで，理解の定着につながると思います。

基本情報技術者試験の学習におすすめの問題集・参考書

過去問演習や苦手分野の復習に役立つ，おすすめの問題集・参考書です。