令和7年度 秋期 情報処理安全確保支援士試験 午後 過去問・解説

大問1　コンサルティング業務で利用するSaaS（配点50点）

H社では，コンサルティング業務で利用するSaaS（以下，Sサービスという）を提供している。コンサルティング業務を行う企業50社程度がSサービスを利用しており，総利用者数は1,000名程度である。 〔Sサービスの概要〕 Sサービスでは，利用企業ごとに複数のプロジェクトを登録できる。Sサービスの利用者には2種類のロールがある…

設問

• 本文中の a ， b に入れる適切な字句を，"できる"，"できない"のいずれかでそれぞれ答えよ。
• 図3のスクリプトは，表1中のどの機能を悪用するものか。機能名を答えよ。
• 図4中の c に入れる適切なタスクの項目を，表1中の字句を用いて答えよ。
• 図4中の d に入れる適切な文字列を，図2から抜き出して答えよ。
• 図4中の e 〜 g に入れる適切な字句を答えよ。
• 本文中の下線①について，工夫の内容を，具体的に答えよ。
• 本文中の h に入れる追加すべき処理の内容を，具体的に答えよ。
• 本文中の i に入れる適切な機能名を答えよ。
• 本文中の下線②について，追加すべき処理の内容を，具体的に答えよ。
• 本文中の j に入れる適切な検査方法を，具体的に答えよ。

大問2　暗号資産交換業におけるセキュリティ（配点50点）

A社は従業員50名の暗号資産交換業者である。A社では，3年前から暗号資産Bコインを取り扱っており，20万人の顧客が暗号資産口座を開設している。A社には財務部があり，顧客の預けた時価200億円相当のBコインを顧客に代わって保有し管理している。 〔Bコインの仕組み〕 Bコインは，楕円曲線暗号を用いたデジタル署名方式を用いて，分散型台帳で管理される。Bコインの保有者が，別の者にBコインを送ることを移転という…

設問

• 楕円曲線暗号を用いたデジタル署名アルゴリズムを解答群の中から全て選び，記号で答えよ。
• 本文中の下線①について，攻撃にはどのような手法が考えられるか。手法を具体的に答えよ。
• 図4中の下線②について，どのような処理をさせるのか。処理の内容を答えよ。
• 本文中の a に入れる共通鍵を使った適切な暗号技術を答えよ。
• 本文中の下線③について，対策を具体的に答えよ。
• 本文中の下線④について，問題点のうちリスクの最も高いものを答えよ。
• 図7中の b 〜 e に入れる適切な字句をb〜eの解答群の中から，あ，いに入れる適切な字句をあ，いの解答群の中から，それぞれ選び，記号で答えよ。なお，解答は重複して選んでもよい。
• 本文中の下線⑤について，Jさんが考えた根拠を答えよ。
• 本文中の下線⑥について，攻撃者はファイルを何に書き換えるか。書き換え後のファイルの内容を答えよ。

大問3　情報システムのセキュリティ強化（配点50点）

P社は，従業員100名の機械部品商社である。P社には，総務部，営業部，技術部が，また，総務部には経理係と情報システム係がある。 従業員には，一人1台の社有PC及び社有スマートフォン（以下，両者を併せて情報端末といい，スマートフォンをスマホという）を貸与している。さらに，社有スマホの故障，災害発生などの緊急時については，個人所有のスマホの利用を許可している…

設問

• 表2中の a に入れる適切な字句を，英字10字以内で答えよ。
• 表2中の b ， c に入れる適切な字句を，それぞれ英字5字以内で答えよ。
• 表5中の d ， e に入れる適切な字句を解答群の中からそれぞれ選び，記号で答えよ。なお，解答は重複して選んでもよい。
• 図8中の下線①について，設定内容を具体的に答えよ。
• 本文中の f に入れる依頼の内容を具体的に答えよ。
• 本文中の下線②について，追加する宛先を答えよ。
• 本文中の g に入れる設定内容を具体的に答えよ。
• 本文中の下線③について，施策を具体的に答えよ。

大問4　製造業におけるセキュリティ管理（配点50点）

L社は，従業員100名の，主に家電製品の部品を製造する企業である。精密加工技術に定評があり，他社では製造が難しい部品も製造している。L社の売上げのうち90％は大手家電製品製造企業であるJ社への売上げである。昨年度，L社はJ社の資本参加を受け入れ，J社の子会社になった…

設問

• 図2中の a ， b に入れる適切な字句を，それぞれ5字以内で答えよ。
• 図8中の c 〜 e に入れる適切な字句を答えよ。
• 本文中の下線①について，見直し後の権限の設定を答えよ。 設計情報ファイルの保存領域での権限設定（行＝所属組織，列＝読込権限／書込権限／権限変更権限。各セルに○＝権限あり／×＝権限なしを記入）。表3は見直し前の設定状況。
• 表4中の f ， g に入れる適切な字句を，対策の導入箇所を含めて答えよ。いずれも，できるだけ効果が高いものを答えるものとし，効果が同程度であれば，業務への影響が少ないものを答えるものとする…
• 表6中の h ， i に入れる適切な字句を答えよ。
• 表6中の j 〜 l に入れる適切な字句を答えよ。jには，できるだけ起こる可能性が高いものを，攻撃の発端を含めて答えよ。kには，できるだけ効果の高いものを答えよ。

この回の出題傾向と学習ポイント

令和7年度秋期の午後は、Webアプリケーション（SaaS）のアクセス制御、暗号資産と暗号技術、中小企業の情報システム運用、製造業のセキュリティマネジメントという構成で、技術寄りの問1・問2とマネジメント寄りの問3・問4のバランス型。例年どおり「本文中の業務フローを正確に読み取れているか」を問う設問が中心で、知識の暗記だけでは得点しにくい回です。

問1　コンサルティング業務で利用するSaaS

マルチテナント型SaaSを題材に、管理者と一般利用者のロール設計で「できる／できない」を判定させる認可の問題と、スクリプトによる機能悪用（本文の機能表と突き合わせて悪用先を特定する）が軸。アクセス制御の仕様を表から正確に読み取る力が問われます。Webアプリの脆弱性対策を開発タスクに落とし込む設問もあり、セキュアプログラミングの基本用語を確認しておきたい大問です。

問2　暗号資産交換業におけるセキュリティ

楕円曲線暗号を用いたデジタル署名（ECDSAの選択問題あり）、署名鍵の管理、共通鍵暗号技術と、暗号分野の知識問題が多め。暗号資産という題材は目新しいものの、問われているのは「秘密鍵をどう守るか」という王道のテーマです。デジタル署名の仕組み（署名鍵と検証鍵の役割）を自分の言葉で説明できるかが得点の分かれ目になります。

問3　情報システムのセキュリティ強化

従業員100名の商社を舞台に、社有PC・スマホの利用規程、緊急時の個人スマホ利用まで含めた端末管理を扱う運用系の大問。英字略語を字数制限付きで答えさせる知識問題と、設定内容・依頼内容を具体的に記述させる設問が混在します。字数制限が厳しいので、略語の正式名称と用途をセットで覚えているかが試されます。

問4　製造業におけるセキュリティ管理

サイバーセキュリティ経営ガイドラインVer3.0に基づく対策整備がテーマのマネジメント大問。設計情報ファイルの保存領域に対するアクセス権限設計（読込・書込・権限変更を組織別に設定）や、「できるだけ起こる可能性が高い攻撃」「できるだけ効果の高い対策」を選ばせるリスクアセスメント型の設問が特徴です。技術用語よりも、リスクと対策を費用対効果で比較する視点が必要になります。

全体として、本文の表・図に答えの材料が埋め込まれているタイプの設問が多く、知識問題は問2の暗号分野に集中しています。演習の際は「本文のどこを根拠に解答したか」を意識すると、本試験での得点力につながります。