令和7年度 春期 情報処理安全確保支援士試験 午後 過去問・解説

大問1　サプライチェーンのリスク対策（配点50点）

L社は，金融業向けにシステムを開発している従業員1,000名の企業である。L社のシステム開発プロジェクトでは，プラットフォームGというソフトウェア開発プラットフォームを利用している。プラットフォームGの機能には，ソースコード及び開発ドキュメントのバージョンを管理する機能，CI/CDパイプラインの管理機能，開発対象のSBOM作成機能がある。CI/CDパイプラインの管理機能を利用してテストやリリースの自動実行が可能である…

設問

• 本文中の下線①について，どのような考え方か答えよ。
• 本文中の下線②について，明記すべき事項を，50字以内で答えよ。
• 本文中の下線③について，影響を受けない配置方法を答えよ。
• 本文中の下線④について，加えた変更を，具体的に答えよ。
• 本文中の下線⑤について，修正した項番と修正内容を答えよ。
• 表2中の[ ア ]〜[ エ ]に入れる適切な項番を答えよ。
• 表2中の[ a ]〜[ c ]に入れる適切な字句を答えよ。
• 本文中の下線⑥について，脆弱性管理がしやすくなる理由を，具体的に答えよ。
• 本文中の[ d ]に入れる適切な字句を，図2中の名称で答えよ。
• 本文中の下線⑦について，(あ)，(い)で実行する利点を，それぞれ40字以内で答えよ。

大問2　脆弱性管理（配点50点）

M社は，従業員3,000名の情報サービス業を営む企業である。ソフトウェアの開発・販売を行っており，自社ホームページのほか，販売したソフトウェアのサポート用Webサイトなど複数のWebサイト（以下，Webサイトをサイトという）を保有している。M社では，メンテナンスのために管理者が自宅や外出先からサイトにリモートアクセスする。セキュリティに関する問合せ窓口は，情報システム部が担当している…

設問

• 表1中の[ a ]〜[ e ]に入れる応答を，解答群の中から選び，記号で答えよ。なお，解答は重複して選んでもよい。
• 本文中の[ f ]，[ g ]に入れる適切な字句を，それぞれ20字以内で答えよ。
• 表4中の[ h ]〜[ k ]に入れる適切な字句の組合せを，解答群の中から選び，記号で答えよ。
• 本文中の下線①について，検知する方法を，具体的に答えよ。
• 本文中の下線②について，採用した対策を，20字以内で具体的に答えよ。
• 本文中の下線③について，脆弱性WA-1のACがLと評価された評価根拠と脆弱性WB-1のACがHと評価された評価根拠を，それぞれ具体的に答えよ。
• 本文中の下線④について，該当するサイトCの仕様を，図2中の項番から選び，答えよ。
• 本文中の下線⑤について，現状値は手間が掛かる理由とEPSS値は手間が掛からない理由を，それぞれ40字以内で答えよ。
• 本文中の[ l ]に入れる適切な字句を，15字以内で答えよ。
• 本文中の下線⑥について，妥当である理由を，30字以内で答えよ。
• 表7中及び表8中の[ m ]〜[ t ]に入れる対応優先度を答えよ。

大問3　スマートフォン用アプリケーションプログラムの開発（配点50点）

A社は，撮影機器の販売や写真のプリントサービスを全国に200店舗で展開する従業員2,000名の企業である。実店舗の運営に加え，インターネットを介して撮影機器の販売を行うECサイト事業を有している…

設問

• 表1中の下線①について，アクセスキーを取得する方法を，具体的に答えよ。
• 表1中の下線②について，アクセスキーを取得する方法を，具体的に答えよ。
• 表1中の下線③について，ダウンロードする方法を，具体的に答えよ。
• 表1中の下線④について，攻撃者のWebサイトにアクセスさせることができるように細工したURLの例を，攻撃者が取得したドメイン名をk-sha.co.jpとした場合で答えよ。
• 図9中の下線⑤について，サーバ証明書のSubject Alternative Nameの値を，具体的に答えよ。
• 図9中の a 〜 h に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線⑥について，設定の内容を，具体的に答えよ。
• 本文中の i に入れる記号を，図4中の(あ)〜(お)から選び，答えよ。
• 本文中の下線⑦について，問題点を，20字以内で答えよ。
• 本文中の下線⑧について，実装する機能を，具体的に答えよ。

大問4　IT資産管理及び脆弱性管理（配点50点）

V社は，従業員3,000名の製造業である。東京に本社，大阪，名古屋，福岡に支社がある。V社は，J事業部，K事業部，情報システム部（以下，情シ部という），総務部，経理部などから成る。 V社の社内システム及びネットワークの運用並びに情報セキュリティ管理は，情シ部のB部長とS主任を含む8名の部員が担当している。V社のネットワーク構成を図1に示す。 公開Webサーバでは，V社製品のキャンペーンなどを紹介している…

設問

• 本文中の下線①について，設定を変更したサーバを，図1中から一つ選び，サーバ名を答えよ。また，その設定の変更内容を，30字以内で具体的に答えよ。
• 図2中の a ， b に入れる適切な内容を，それぞれ30字以内で答えよ。
• 本文中の c に入れる適切な字句を，英字10字以内で答えよ。
• 図3中の あ 〜 う に入れる適切な文字を，X，Y，Zから選び，答えよ。
• 図3中の d 〜 h に入れる適切な内容を，次の解答群の中から選び，記号で答えよ。
• 本文中の下線②について，調査方法を，40字以内で具体的に答えよ。
• 本文中の下線③について，調査方法を，40字以内で具体的に答えよ。
• 本文中の下線④について，二つの場合における主な対応方法を，それぞれ35字以内で答えよ。
• 本文中の下線⑤について，CVSSの最新のバージョン番号を，4字以内で答えよ。
• 本文中の下線⑥について，KEVカタログのフルスペルを，解答群の中から選び，記号で答えよ。
• 本文中の下線⑥について，KEVカタログに掲載される脆弱性はどのようなものか。掲載される条件のうち主なものを，20字以内で答えよ。
• 本文中の下線⑦について，表1の脆弱性管理の項番1，2の改善策を，項番1の改善策は60字以内で，項番2の改善策は40字以内でそれぞれ具体的に答えよ。

この回の出題傾向と学習ポイント

令和7年度春期の午後は、サプライチェーンのリスク対策、脆弱性管理、スマホアプリ開発、IT資産管理という構成で、開発工程と脆弱性管理に重心を置いた回です。SBOM・EPSS・KEVカタログといった脆弱性管理まわりの用語が複数の大問に登場し、選択制とはいえ管理系の知識整理が全体の得点を左右します。

問1　サプライチェーンのリスク対策

ソフトウェア開発プラットフォームとSASTツールを使う開発会社を舞台に、サプライチェーンリスク対策のガイドライン作成と点検を進める問題です。セキュリティ・バイ・デザインの考え方や、再委託に備えて契約書に明記すべき事項を40〜50字で記述させるほか、点検表の項番選択、SBOMで脆弱性管理がしやすくなる理由の記述など、委託先管理と開発工程の対策を横断的に問われます。

問2　脆弱性管理

複数のWebサイトを保有する企業の脆弱性診断運用が題材です。PF診断とWebアプリ診断の運用ルールを読み取る解答群選択に加え、CVSSのAC（攻撃条件複雑さ）の評価根拠や、現状値とEPSS値の手間の違いを40字以内で説明させる設問があり、最後は対応優先度の表を埋めます。CVSS・EPSSによる脆弱性評価の考え方を整理しておくと得点しやすい大問です。

問3　スマートフォン用アプリケーションプログラムの開発

写真入りグッズを注文できるスマホアプリの開発が題材です。アプリ内に埋め込んだクラウドストレージのアクセスキーを取得する方法や、細工したURLの例、サーバ証明書のSubject Alternative Nameの値など、「具体的に答えよ」型の記述が中心です。リソース内の秘密情報や証明書検証、URLの取扱いといったモバイルアプリ特有のリスクを攻撃者視点で考える練習が有効です。

問4　IT資産管理及び脆弱性管理

製造業のIT資産管理と脆弱性管理の改善が題材です。CDNサービス解約後に放置されたサブドメインの悪用など、報道事例を踏まえて自社を点検する流れで、調査方法を40字以内で記述させる設問が並びます。知識問題としてCVSSの最新バージョンやKEVカタログのフルスペル・掲載条件も問われるため、脆弱性情報の収集・活用に関する用語を押さえておきたい大問です。

脆弱性管理というテーマが問1・問2・問4に共通して流れており、SBOM・CVSS・EPSS・KEVを自分の言葉で説明できるかがカギです。記述は字数指定付きが多いので、根拠を短くまとめる練習をしておきましょう。