ITパスポート セキュリティ分野「暗号化・認証と認可・ファイアウォール・情報セキュリティの3要素」の練習問題8問です。解けなかった問題は、各問の解説末尾のリンクから対応する解説記事に進んでください。
Q1. 共通鍵暗号方式と公開鍵暗号方式の違いとして、もっとも適切なものはどれですか？
回答
解説
正解は「A」です。
共通鍵暗号方式 は、暗号化と復号に 同じ鍵 を使う方式で、処理が速い反面、鍵を相手に安全に渡す手段が課題になります。公開鍵暗号方式 は、公開鍵と秘密鍵のペア を使い、公開鍵で暗号化したものは対応する秘密鍵でしか復号できない仕組みです。鍵配送の問題を解消できる点が特徴です。
B・C・D はいずれも両方式の基本的な仕組みを取り違えた説明で、本問の答えではありません。
Q2. 情報セキュリティにおける「認証（authentication）」と「認可（authorization）」の違いとして、もっとも適切なものはどれですか？
回答
解説
正解は「C」です。
認証 は、利用者が 本人であるか（誰であるか） を確認する手続きで、ID とパスワードの照合などがこれにあたります。認可 は、認証された利用者に対して どの操作・どのデータへのアクセスを許すか という権限を与える手続きです。建物の入口で本人確認するのが認証、入った後に立ち入れる部屋を決めるのが認可、というイメージが近いです。
A は暗号化・圧縮の説明、B は両者を同一視している点が誤りで、いずれも本問の答えではありません。
Q3. ネットワークの「IDS」の役割として、もっとも適切なものはどれですか？
回答
解説
正解は「B」です。
IDS（侵入検知システム） は、不正な通信や侵入の兆候を 検知して管理者に通知する 仕組みです。検知に加えて通信を 遮断 までするのが IPS（侵入防止システム）、通信を許可・拒否のルールでふるい分けるのが ファイアウォール です。検知役の IDS、防止役の IPS、関所役のファイアウォールと役割を整理すると覚えやすくなります。
A は暗号化、C はキャッシュ、D は勤怠管理の説明で、いずれも IDS の役割ではありません。
Q4. 多要素認証（MFA）の「要素」の組み合わせとして、もっとも適切なものはどれですか？
回答
解説
正解は「A」です。
多要素認証（MFA） は、知識情報（本人だけが知っているパスワード等）・所持情報（本人だけが持つスマートフォンや IC カード等）・生体情報（指紋や顔等）という性質の異なる要素から 2つ以上を組み合わせて 本人確認を行う方式です。性質の違う要素を重ねることで、1つが漏れても突破されにくくなります。
B はパスワードの二重入力、C はパスワードの使い回しで、いずれも多要素認証ではなく、むしろ避けたい運用です。
Q5. 無線LANのセキュリティ規格「WPA2」と「WPA3」に関する説明として、もっとも適切なものはどれですか？
回答
解説
正解は「C」です。
WPA2 と WPA3 は、いずれも無線LAN（Wi-Fi）の通信を保護するためのセキュリティ規格です。WPA3 は WPA2 の後継 として策定され、より強固な暗号化方式や、パスワードの推測攻撃に強い認証の仕組みが取り入れられています。古い WEP は安全性が低いため、現在は WPA2 以降の利用が推奨されます。
A は暗号化の有無を取り違えており、B は無線LANの規格を有線LAN専用と誤って説明しているため、どちらも本問の答えではありません。
Q6. 情報セキュリティの3要素（CIA）の組み合わせとして、もっとも適切なものはどれですか？
回答
解説
正解は「D」です。
情報セキュリティの3要素は、機密性（Confidentiality）・完全性（Integrity）・可用性（Availability） で、頭文字をとって CIA と呼ばれます。機密性は「許可された人だけが情報にアクセスできること」、完全性は「情報が改ざんされず正確に保たれること」、可用性は「必要なときに情報やシステムを使えること」を指します。
A はシステム性能、B はセキュリティ技術の手段、C は PDCA 的な管理工程で、いずれも CIA の3要素ではありません。
Q7. 情報セキュリティマネジメントシステム（ISMS）の基本的な考え方として、もっとも適切なものはどれですか？
回答
解説
正解は「B」です。
ISMS は、組織として情報セキュリティの 方針を定め、リスクを評価し、対策を実施し、結果を見直して改善する という一連の活動を 継続的に回す 仕組みです。PDCA のように繰り返し改善していく点が特徴で、特定の製品や一度きりの対策ではなく、組織的・継続的な取り組みである点がポイントです。
A は一度の導入で完結するという誤解、C は管理範囲を個人のパスワードだけに狭めた説明で、いずれも ISMS の考え方ではありません。
Q8. 個人情報を扱う企業に求められるセキュリティ対策の考え方として、もっとも適切なものはどれですか？
回答
解説
正解は「C」です。
個人情報保護法では、個人情報を取り扱う事業者に対して、取り扱う個人データの漏えい・滅失・毀損を防ぐための 安全管理措置 を講じることが求められているとされています。技術的な対策（暗号化・アクセス制御）と、組織的・人的な対策（教育・運用ルール）を組み合わせて守る考え方が基本です。
A・B は保護義務がないかのような誤った説明、D は暗号化だけで十分とする偏った説明で、いずれも本問の答えではありません。最新の運用やガイドラインは、個人情報保護委員会の公式資料を確認してください。
試験全体の流れを俯瞰したい時は、ITパスポート 試験全体概要 に戻れます。
