科目Bの事例で迷ったら、知っている対策をすぐに選ぶ前に、誰が・何を・いつまでに行う必要があるかを読み分けてみてください。「権限は少ない方がよい」「データを消せばよい」といった一般論だけでは、その会社の業務条件を満たせないことがあります。
この記事では、権限変更・クラウド契約終了・インシデント初動の3つを、短い四択のオリジナル事例で練習します。各問で答えを一つ選び、設問中のどの条件が判断の根拠になるかを確認してから、解説を読んでください。
これは科目Bの一部技能を学ぶための入門教材です。公式問題の転載・改変ではなく、本試験の選択肢数や難度を再現した模試でもありません。IPAの2026年度公開例には8択・10択の組合せ問題があり、実際の形式はIPAの公開問題ページで確認できます。この記事の正答数から、IRT方式の総合評価点や本試験の合否は判定できません。
解く前に、条件を3つに分ける
| 読み分ける条件 | 本文で確認すること |
|---|---|
| 必要な仕事 | 誰が、どの作業をできる必要があるか |
| 制限や例外 | 操作の範囲・期限・承認内容は何か |
| 実際の状態 | 契約案・権限・接続が条件を満たしているか |
「安全そうな言葉が入っているか」だけでなく、必要な条件が一つ残らず満たされるかで選びます。次の3問では、誤答にも一部は適切な対応が含まれています。
事例1｜異動した人の権限をどう変えるか
2つの仕事と、期限付きの例外を確認します。
ある会社では、異動日に旧部署の権限を外し、新しい職務に必要な権限を付与する。引継ぎの例外は、業務責任者が対象・操作・期限を承認した範囲に限る。購買担当の森さんは10月1日から内部監査担当となる。監査資料の閲覧権限が必要である。また、10月3日まで旧部署の請求書を閲覧して引継ぎ対応を行う必要があるため、請求書の閲覧権限だけを10月3日まで残す例外が承認された。異動前は請求書の閲覧・修正・支払承認の権限を持っていた。10月1日に行う設定として、社内ルールと承認内容を満たすものはどれか。
- 旧部署の3つの権限を10月3日まで残し、監査資料の閲覧権限を追加する。
- 請求書の修正・支払承認を外し、請求書の閲覧は10月3日を期限として残す。監査資料の閲覧権限を追加する。
- 旧部署の3つの権限を直ちに全て外し、監査資料の閲覧権限だけを追加する。
- 請求書の閲覧だけを期限なしで残し、修正・支払承認を外して監査資料の閲覧権限を追加する。
解答と解説
正解：2
権限の必要性は、部署名だけでなく現在の職務と承認された例外で判断します。新しい職務では監査資料の閲覧が必要です。旧部署の権限は原則として外しますが、今回は請求書の閲覧だけが10月3日まで承認されています。そのため、選択肢2が対象・操作・期限の3条件を満たします。
1は、引継ぎの承認を受けていない修正・支払承認まで残す点が不適切です。3は最小権限を意識した設定に見えますが、承認された引継ぎの閲覧をできなくします。4は閲覧という操作の範囲は適切でも、期限後まで例外を残してしまいます。
IPAのガイドラインは、必要最小限のID・権限付与、異動や退職に伴う変更・削除漏れを防ぐルール、付与状況の管理を示しています。本問の3日間の例外は架空の社内ルールであり、一般的な猶予期間ではありません。
事例2｜クラウドの契約案で何が不足しているか
自社の要件と、事業者が約束する内容を対応させます。
ある会社が、文書保管クラウドの導入前に契約案を確認している。社内要件は、利用終了前に全保存文書を移行先で読めることを検証し、終了日から30日以内に事業者側の文書とその複製を消去したことを記録で確認する、というものだ。契約案には、文書を一括出力できること、終了日に利用者のアクセスを停止すること、通常の保管領域は終了日に消去すること、バックアップは60日後に消去することが書かれている。移行先での読取検証と消去結果の報告方法は決まっていない。契約前の対応として、社内要件を満たすものはどれか。
- 終了日にアクセスできなくなるので消去済みと扱い、契約案を承認する。読取検証は終了後に行う。
- 通常の保管領域の消去記録だけを追加で求め、バックアップの60日後消去はそのまま承認する。読取検証は終了前に行う。
- 終了前の読取検証手順と、複製を含む30日以内の消去及び確認記録について合意できるか確認し、合意できなければ契約案を承認しない。
- 一括出力機能があるので読取検証は省き、複製を含む30日以内の消去と確認記録だけを契約条件へ追加する。
解答と解説
正解：3
契約案を、必要なデータの確保と事業者側に残るデータの処理に分けて読みます。全保存文書を出力できることと、移行先で実際に読めることは別です。また、契約案のバックアップ消去は60日後なので、社内要件の30日以内を満たしません。選択肢3は読取検証・複製を含む消去期限・確認記録の不足を全て扱っています。
1はアクセス停止とデータ消去を混同し、読取検証も終了前という要件から外れます。2は通常の領域の記録を追加しても、バックアップが30日を超えて残る問題を解決しません。4は消去条件を補っても、実際の読取検証を省くため不十分です。
IPAはサービス終了時のデータ取扱い条件を事前に確認すること、委託終了時の情報資産の返却・消去などを管理することを示しています。本問の30日という期限は会社が定めた架空の要件で、法令上の一律の保存・消去期限ではありません。
事例3｜接続状態と初動の指示を照合する
被害を広げない対応と、記録を失わない対応を両立させます。
業務端末に身代金を要求する画面が表示され、共有フォルダーにも影響が広がるおそれがある。発見した社員は社内の連絡手順に従って責任者へ電話し、責任者から『当該端末をネットワークから切り離す。電源は切らず、表示内容と発見時刻を記録する。復旧操作は担当者の指示を待つ』と指示された。端末は有線LANと社内Wi-Fiの両方に接続されている。社員が行う対応として、指示に沿うものはどれか。
- LANケーブルを抜いてWi-Fi接続も切り、電源を維持する。別の端末で表示内容と発見時刻を記録し、責任者へ対応状況を伝える。
- LANケーブルだけを抜いてWi-Fi接続を残し、電源を維持する。表示内容と発見時刻を記録して担当者を待つ。
- LANとWi-Fiを切り、電源を切る。起動していない間は記録が変化しないので、表示内容の記録は担当者の到着後に行う。
- LANとWi-Fiを切り、電源を維持する。業務再開を早めるため、記録より先に初期化とバックアップからの復元を始める。
解答と解説
正解：1
指示は、被害を広げないことと調査に必要な記録を残すことの両方を求めています。端末には2つの接続経路があるため、LANケーブルを抜くだけでは切り離せません。選択肢1は両方の経路を切り、電源を維持して記録し、実施状況を報告するので指示に沿います。
2はWi-Fi経由の接続が残ります。3は電源を切らないという指示に反し、揮発性の記録を失うおそれがあるうえ、表示内容の記録も後回しにします。4は担当者の指示を待たず復旧操作を始め、調査前の記録を失うおそれがあります。
IPAの手引きは、被害拡大のおそれがある場合のネットワーク遮断や隔離と、不用意な電源断などで記録を消さないことを示しています。現実の対応は組織の手順や担当者の指示に従います。本問は与えられた指示を満たす行動を選ぶ練習であり、全ての障害で同じ操作を行うという意味ではありません。
間違えたときは、条件を落とした場所を探す
| 事例 | 正解を選ぶために必要だった読み取り |
|---|---|
| 権限変更 | 新しい仕事の権限、引継ぎの閲覧、例外の期限を同時に満たす |
| 契約終了 | 移行先で読めること、複製も含む消去期限、確認記録をそろえる |
| 初動 | 有線・無線の両経路を切り、電源と記録を保ち、復旧の指示を待つ |
正解だけを覚えると、日付や接続が変わった事例では再び迷います。解き直すときは、誤答のどこまでは適切で、どの条件が一つ抜けているのかを説明してみてください。たとえば事例2の選択肢2は、通常の保管領域の消去記録と終了前の読取検証には対応しています。しかし、バックアップが60日残るという不一致を解消していません。
今回の3問が解けても、科目B全体の対策が終わったわけではありません。IPAが示す範囲には、リスクアセスメントや教育・訓練なども含まれます。短い条件整理に慣れたら、公式公開問題で複数の判断を組み合わせる形式を確認し、根拠を説明できなかった分野に戻ると、次に学ぶ対象を絞れます。
学習全体の進め方は情報セキュリティマネジメントの独学と講座の選び方、採点の仕組みはSGの試験概要とIRTによる合格基準で確認できます。
出典と教材の範囲
事例の会社・人物・日付・期限・契約内容は、ぴよパス編集部が練習用に設定したものです。日数や社内手順を、そのまま法令上の義務や全組織に共通する決まりとして覚える必要はありません。管理の考え方は次の公開一次資料で確認しています。
- IPA：SGの出題内容・採点方式 — 科目Bの学習範囲と総合評価点の扱い。
- IPA：SGシラバスVer.4.1 — 情報資産利用時の対策、委託管理、インシデント管理の要求技能。
- IPA：中小企業の情報セキュリティ対策ガイドライン第4.0版 — 本文31ページの権限管理、39ページの委託管理。
- IPA：中小企業のためのクラウドサービス安全利用の手引き — 本文7ページの利用終了時のデータ取扱い条件。
- IPA：中小企業のためのセキュリティインシデント対応の手引き — 本文3ページの初動対応と記録保持。
確認日：2026年9月7日。現行シラバスVer.4.1の一部を扱う教材で、2027年度の新制度への対応を示すものではありません。
