使わなくなったパソコンを、売却または廃棄する前の対応として、総務省やIPAが示す考え方に沿うものはどれですか。
正解: ファイルを削除したり、ゴミ箱を空にしたりするだけでなく、データ消去用のツールや専門業者を使って、データを復元されない状態にする
あるサービスから、あなたのメールアドレスが漏えいしたとの通知が届きました（パスワードやカード情報は含まれていません）。今後の対応として、最も適切なものはどれですか。
正解: そのアドレス宛に突然届くメールやSMSは、リンクを開かずに無視する
パソコンやスマートフォンのOS・ソフトウェアを、更新せずに長く放置した場合のリスクとして、IPAや警視庁が示している内容に近いものはどれですか。
正解: 修正されていない脆弱性（セキュリティ上の弱点）が残り、マルウェアへの感染や不正アクセスを受けやすくなる
あるサービスで、身に覚えのないログインがあったことに気づきました。同じパスワードを、他のサービスでも使っています。IPAが示す対処として、最も適切なものはどれですか。
正解: 速やかにそのサービスのパスワードを変更し、同じパスワードを使っている他のサービスも変更する。多要素認証が未設定なら、設定する
多要素認証についての説明として、総務省・IPA・警視庁の説明に沿うものはどれですか。
正解: パスワードに加えて、スマホなど別の種類の要素でも本人確認をするので、IDとパスワードが盗まれても、それだけではログインされにくい
パスキーについての説明として、IPAなどの説明に沿うものはどれですか。
正解: パスワードの代わりに、生体認証（指紋や顔）や端末のロック解除機能でログインする認証方式で、利用にはサービス側の対応が必要
パスワードの決め方として、総務省やIPAが示す考え方に沿うものはどれですか。
正解: 自分や家族の名前、電話番号、誕生日など、他人から推測されやすい情報や、SNSなどで公開している情報は、パスワードに使わない
総務省「国民のためのサイバーセキュリティサイト」が示す、パスワードの扱いとして適切なものはどれですか。
正解: サービス側から流出した事実がなければ定期的な変更は必要なく、サービスごとに使い回しのない固有のパスワードを設定する
ランサムウェアへの備えとして、バックアップの取り方で適切なものはどれですか。
正解: 常にネットワークにつなぎっぱなしにせず、オフラインでも保管するなど、攻撃を受けても失われにくい形で取る
ランサムウェアについての説明として、正しいものはどれですか。
正解: ファイルを暗号化するだけでなく、盗んだファイルを公開すると脅すことがある
勤務先のパソコンの画面に脅迫文が表示され、ファイルが開けなくなりました。ランサムウェア感染が疑われます。LANケーブルを抜くなどして、この端末をネットワークから隔離できる状況です。公的機関の注意喚起に沿った初動として、最も適切なものはどれですか。
正解: 端末をネットワークから隔離し、電源は切らず再起動もせず、至急セキュリティ担当者に報告する
インターネットを見ていると、突然パソコンの画面全体に「ウイルスに感染しました。今すぐ下の番号に電話してください」という警告と電話番号が表示され、警告音が鳴りました。IPAや警察庁が示す対応として、最も適切なものはどれですか。
正解: 電話はせず、画面の指示でアプリなどをインストールもせず、ブラウザを終了する
自宅のWi-Fiルーターについて、警察庁や総務省が示す対策として適切なものはどれですか。
正解: 管理画面のIDやパスワードが初期設定のままなら変更し、ファームウェアを最新にする。メーカーのサポートが終了したルーターは、買い替えを検討する
カフェの無料Wi-Fiを使います。公衆無線LANの使い方として、神奈川県警や総務省の説明に沿うものはどれですか。
正解: 店頭の案内などで提供者を確認し、接続先の名前（SSID）が案内と同じか確かめる。「暗号化なし」の表示なら、通信内容を見られてもかまわない場合に限って使う
ちょうど荷物を注文していたところに、宅配業者を名乗るSMSで「不在のため持ち帰りました。再配達はこちら」というURLが届きました。本物かもしれないと思いました。適切な対応はどれですか。
正解: SMSのURLは開かず、宅配業者の公式アプリや公式サイトを自分で開いて、配送状況を確認する
SMSやメールで届くワンタイムパスワードを使った多要素認証について、フィッシング対策協議会のガイドライン（2026年度版）などの説明として、適切なものはどれですか。
正解: 偽サイトで入力されたIDやパスワード、ワンタイムパスワードを、攻撃者がリアルタイムに正規サイトへ入力して突破する手口があり、ワンタイムパスワードだけではフィッシング耐性があるとはいえない
組織のシステムで、利用者のパスワードの方針を決めます。NIST SP 800-63B-4や総務省が示す考え方に沿うものはどれですか。
正解: 一定期間ごとの変更は求めず、流出したパスワードなどの一覧（ブロックリスト）と照合して、弱いものを拒否する
組織が、フィッシングに強い多要素認証（フィッシング耐性のある多要素認証）を選ぶとき、CISAが「広く利用できる唯一の方式」として挙げているものはどれですか。
正解: FIDO/WebAuthn による認証（パスキーなど）
勤務先のパソコンで、ネットを見ている最中に「ウイルスに感染しました。この番号に電話してください」という警告が表示されました。IPAが示す対応として、最も適切なものはどれですか。
正解: 自分一人で判断せず、会社・組織の対応ルールに従い、落ち着いてシステム管理者（または上司）に連絡する。表示された番号には電話しない
ランサムウェアの侵入口になりやすいVPN機器などの管理として、警察庁やIPAが示す考え方に沿うものはどれですか。
正解: ベンダーの脆弱性対策済みパッチを速やかに適用し、管理画面をインターネットに公開せず、不要なアカウントや管理漏れの機器をなくす
取引先を名乗る担当者から、急に「振込先の口座が変わったので、次回からこちらに振り込んでください」というメールが届きました。IPAや警察庁が示す対応として、最も適切なものはどれですか。
正解: メール以外の方法で、名刺や過去の取引記録など、メールに書かれていない連絡先を使って、取引先に確認する
取引先の担当者名と、見慣れたメールアドレスが表示されたメールに、「添付の見積書を開いてください」と書かれていました。表示された差出人について、IPAの説明に沿うものはどれですか。
正解: メールの仕様上、見かけ上の送信元の表示名とメールアドレスは、設定で任意に登録して送れるので、表示だけでは本物と判断できない
取引先を装った不審なメールが届き、添付ファイルを開いてしまいました。総務省やIPAが示す対応として、最も適切なものはどれですか。
正解: パソコンをネットワークから切断し、すぐにシステム管理者やセキュリティ担当者に連絡する
ある製品の脆弱性に、CVSSの基本スコア9.8（最高に近い値）が付いたと公表されました。このスコアの読み方として、最も適切なものはどれですか。
正解: 脆弱性そのものの深刻度を示す値で、自組織での危険度は、攻撃の実態や、自社の使い方（外部に公開しているかなど）も踏まえて判断する
多数の脆弱性が公表されました。対応の優先順位をつけるとき、CISAやFIRSTの説明に沿う考え方はどれですか。
正解: すでに悪用が確認されている脆弱性（CISAのKEVカタログに載っているもの）を、まず優先して確認し、対処する
勤務先で、不正アクセスにより、顧客の個人データが漏えいしたおそれがあると分かりました。外部機関への連絡について、IPAの手引きや個人情報保護委員会の説明に沿うものはどれですか。
正解: 個人情報保護委員会への報告（まず速報）は、被害の全容が分かる前でも、速やかに行う。犯罪性があれば警察に、不正アクセスならIPAにも届け出る
取引先や委託先を経由する「サプライチェーンを狙った攻撃」について、IPAや経済産業省の資料に沿う対策はどれですか。
正解: 委託先のセキュリティ対策の状況や、情報資産の管理の実態を、定期的に確認できる契約にし、責任の範囲を明確にする
ある大手企業が、サイバー攻撃を受けた第1報で「現時点で個人情報や顧客データなどの外部への流出は確認されていませんが」と公表しました。この一文の読み方として、最も適切なものはどれですか。
正解: 公表した時点の調査では確認されていない、という意味で、流出がないことの保証ではない。調査が進むと、状況が変わることがある
IPA「情報セキュリティ10大脅威」の組織向けの順位の読み方として、IPAの解説に沿うものはどれですか。
正解: 選考会の審議・投票で決まる、社会的な影響が大きかった脅威の順位で、対策の優先順位ではない。自組織の立場や環境を考えて、対策を検討する
警察庁の令和7年上半期の公表には、「VPNやリモートデスクトップ用の機器からの侵入が、全体の感染経路の8割以上を占める状況である」とあります。この記述の読み方として、最も適切なものはどれですか。
正解: ランサムウェアの被害に遭った企業・団体へのアンケートに基づく割合で、国内の全攻撃の侵入経路の比率を示すものではない
JWT（JSON Web Token）を受け取るAPIで、署名の検証について、RFC 8725とOWASPが示す考え方として、適切なものはどれですか。
正解: 署名の検証に使うアルゴリズムは、サーバー側で許可したものだけに限り、「alg: none」（署名なし）のトークンは受け付けない
次のようなログイン試行が観測されました。1つのパスワード（例: Secure@123）を、多数のアカウントに対して1回ずつ試しています。この攻撃の名称と、アカウントごとの失敗回数によるロックアウトが効きにくい理由として、適切なものはどれですか。
正解: パスワードスプレー。1アカウントあたりの試行回数が少なく、ロックアウトの閾値に達しにくい
脆弱性の優先度付けに使われるEPSSのスコアについて、FIRSTの説明に沿うものはどれですか。
正解: 脆弱性が実際に悪用される確率の推定値（0から1）で、深刻度や、被害の大きさを示すものではない
CSRF（クロスサイト・リクエスト・フォージェリ）の対策として、IPAとOWASPが挙げる、リクエストが利用者の意図したものかを確認する方法はどれですか。
正解: 処理を実行するリクエストに、サーバーが生成した推測できない秘密の値（CSRFトークン）を含め、サーバー側で一致を確認する
ログイン後の画面で、URLの注文番号を書き換えると、他人の注文情報が表示されました。対策として、IPAとOWASPが示す考え方に沿うものはどれですか。
正解: 認証に加えて、リクエストのたびに、サーバー側で、その利用者に対象データへのアクセス権があるかを確認する（認可制御）
OSコマンド・インジェクションへの対策として、IPAとOWASPが最初に挙げているものはどれですか。
正解: シェルを起動できる機能や、OSコマンドの直接の呼び出しを避け、言語やライブラリが用意する機能で代替する
外部から指定されたファイル名で、サーバー上のファイルを開く機能があります。ディレクトリ・トラバーサルを防ぐ根本的な対策として、IPA「安全なウェブサイトの作り方」が挙げているものはどれですか。
正解: 外部のパラメータでファイル名を直接指定する実装を避ける。避けられないときは、固定のディレクトリを指定し、ファイル名からディレクトリ名を取り除く
セッション固定化（セッション・フィクセーション）攻撃への主要な対策として、IPAとOWASPが示しているものはどれですか。
正解: ログインが成功した時点で、新しいセッションIDを発行し、ログイン前のセッションIDを無効にする
SQLインジェクション対策として、IPA「安全なウェブサイトの作り方」とOWASPのSQL Injection Prevention Cheat Sheetが、最初に挙げている対策はどれですか。
正解: SQL文の組み立てをプレースホルダ（パラメータ化クエリ）で行い、値は別に割り当てる
利用者が指定したURLに、サーバーがアクセスする機能を作ります。SSRF（サーバーサイド・リクエスト・フォージェリ）への対策として、OWASPが優先して挙げるものはどれですか。
正解: 接続先を許可リスト（allowlist）で限定し、リクエストはサーバー側で組み立てる。ネットワーク層でも、通信先を制限する
クロスサイト・スクリプティング（XSS）の対策について、IPA「安全なウェブサイトの作り方」における根本的解決として位置づけられているものはどれですか。
正解: HTMLを出力する際に、出力する要素に対してエスケープ処理を行う
設定ファイルに書くパスワードを、Base64でエンコードして保存しています。この方法についての説明として、適切なものはどれですか。
正解: Base64は暗号化ではなく、鍵なしで誰でも元に戻せるので、機密性は得られない
ログイン後のセッションIDなど、推測されてはいけない値を生成する方法として、IPAとOWASPが示す考え方に沿うものはどれですか。
正解: 暗号論的擬似乱数生成器（CSPRNG）を使う。または、フレームワークやサーバー製品のセッション機能を使う
メッセージが途中で改ざんされていないか、送信元が正しいかを確認するために、共有した秘密鍵を使って付ける検証用の値として、適切なものはどれですか。
正解: HMAC（秘密鍵とハッシュ関数を組み合わせた、メッセージ認証コード）
Webサービスで、ユーザーのパスワードをデータベースに保存します。OWASPの Password Storage Cheat Sheet や NIST SP 800-63B が示す考え方として、適切なものはどれですか。
正解: パスワードごとに一意のソルトを付け、Argon2idなど、パスワード保存用に設計されたハッシュ関数でハッシュ化して保存する