結論：課題Ⅱは「範囲が狭くて配点が同じ」なので、先にここを固める
個人情報保護士認定試験は100問・150分で、内訳は課題Ⅰ 50問・課題Ⅱ 50問です。合格基準は各課題それぞれ正答率70%以上。
つまり半分は情報セキュリティの試験です。「個人情報保護士」という名前から法律の試験だと思って申し込むと、ここで詰まります。
そして、この構造には有利な非対称があります。
| 課題Ⅰ 個人情報保護法とマイナンバー法 | 課題Ⅱ 個人情報保護の対策と情報セキュリティ | |
|---|---|---|
| 出題 | 50問 | 50問（同じ） |
| 編 | 第1編〜第11編（11編） | 第1編〜第4編（4編） |
| 1編あたりの出題 | 約4.5問 | 12.5問 |
範囲が狭いのに配点が同じ。1つの編を潰したときに返ってくる点数が、課題Ⅱのほうが2倍以上大きいということです。
進む 仕上げる順番は「課題Ⅱ → 課題Ⅰ」が効率的です。多くの人が逆をやります。
課題Ⅱは4つの編でできている
実施団体が公表している「試験内容」では、課題Ⅱは次の4編・計18項目です。
| 編 | 項目数 | 中身 |
|---|---|---|
| 第1編 脅威と対策 | 5 | 個人情報保護法と情報セキュリティ／情報セキュリティ／脅威と脆弱性に対する理解／情報セキュリティ関連の対策基準／個人情報保護法のガイドライン |
| 第2編 組織的・人的セキュリティ | 8 | 基本方針の策定／個人情報の洗い出しと管理／リスクの認識、分析、対策／規程文書（内部規程）の整備／組織的安全管理措置／人的安全管理措置／委託先の監督／事故・苦情等への対応 |
| 第3編 オフィスセキュリティ | 3 | 物理的セキュリティ対策に関連する知識／物理的安全管理措置の実施項目／災害対策 |
| 第4編 情報システムセキュリティ | 2 | 技術的セキュリティ対策に関連する知識／技術的安全管理措置の実施項目 |
「組織的・人的セキュリティ」だけが8項目で、18項目のうち4割強がここに集まります。項目数で見れば、課題Ⅱの重心は第2編です。
注意 各編に何問出るかは公表されていません。上の項目数は範囲の目安であって、出題数の配分ではありません。
先に「脅威と対策」を固める理由
項目数の重心は第2編ですが、先に手を付けるのは第1編「脅威と対策」です。ここは用語の定義と枠組みが中心で、暗記というより理解で処理でき、残り3編を読むときの前提になります。
具体的には次の3つを押さえると、残りが速くなります。
① 情報セキュリティの定義 機密性・完全性・可用性という3要素の言い換えを正確に押さえます。「誰に見せるか（機密性）」「壊れていないか（完全性）」「使いたいときに使えるか（可用性）」の対応です。この3語は課題Ⅱのほぼ全編に顔を出します。
② リスクの認識・分析・対策（第2編の入口） リスク分析 → リスク対応、という順序と、それぞれの中身。リスク対応の選択肢（低減・回避・移転・保有）は、どれがどの状況に当たるかを問われます。「保険に入る＝移転」「やめる＝回避」のように、行為とラベルを結び付けておきます。
③ 脅威と脆弱性の理解（ソーシャルエンジニアリング） 技術的な攻撃ではなく人を騙す手口です。なりすまし電話、肩越しの覗き見（ショルダーハック）、ゴミの持ち出し（トラッシング）など。技術対策では防げない、というのが出題の意図です。
この3つを固めると、「オフィスセキュリティ」や「情報システムセキュリティ」の各対策が「どのリスクに対する、どの対応か」として整理できます。バラバラの対策リストとして覚えないでください。
「オフィスセキュリティ」は物理、「情報システムセキュリティ」は論理
課題Ⅱの後半2編は、対になっています。
| オフィスセキュリティ | 情報システムセキュリティ | |
|---|---|---|
| 守る対象 | 場所と物 | データと通信 |
| 例 | 入退出管理、施錠、クリアデスク、災害対策 | ユーザID・パスワード、不正アクセス防御、無線LAN、暗号化 |
「人が入ってくる経路をふさぐのが前者、データが出ていく経路をふさぐのが後者」と分けると、対策が混ざりません。公式の区分で第3編に「災害対策」が入っているのは、事業継続も場所と物を守る話として扱われるためです。
注意 情報システムセキュリティは、IT系の資格を持っている人ほど油断します。暗号化や無線LANは基本情報技術者などと重なりますが、この試験では「個人情報を守るための手段として」問われます。技術的な深さより、どの場面でどれを使うかの対応関係が中心です。
課題Ⅱの接地先は無料で読める
課題Ⅱの中身は公式テキストに載っていますが、接地先そのものは公開資料です。
- 個人情報保護委員会のガイドライン（通則編の「安全管理措置」は、組織的・人的・物理的・技術的の4分類で書かれており、課題Ⅱの骨格とほぼ一致します）
- IPA（情報処理推進機構）の公開資料（情報セキュリティの用語・脅威の分類）
進む ガイドラインの「安全管理措置」4分類を先に読むと、課題Ⅱの4編がどこに対応するかが一目で分かります。 独学の入口としてはここが最短です。
課題Ⅰを捨てられないことも確認しておく
課題Ⅱから始めるのは順番の話であって、課題Ⅰを軽くしてよいという意味ではありません。各課題70%の足切りがあるので、課題Ⅰで35問取れなければ、課題Ⅱが満点でも不合格です。
課題Ⅰの中身と学習順は独学ルートの記事にまとめています。
時間配分は「150分・100問」から逆算する
150分で100問なので、1問あたり1分30秒です。課題Ⅰの条文問題は読む量が多く、課題Ⅱは短文が多い傾向があります。
現実的には、課題Ⅱを速く終わらせて、余った時間を課題Ⅰの長文に回す配分になります。演習の段階から「課題Ⅱは1問1分」を目標にしておくと、本番で慌てません。
なお受験方法は3つあり、公開会場（追加費用0円）／CBT（+1,500円）／オンラインIBT（+3,000円）から選べます。オンラインIBTは360度全周Webカメラを取り寄せて自宅で受ける方式で、送料が実費としてかかります。
課題Ⅱだけを続けて解く
課題Ⅱは範囲が狭いぶん、同じ範囲を繰り返し解く効果が出やすい分野です。ぴよパスでは個人情報保護士の練習問題476問をカテゴリ別に無料公開しており、課題Ⅱに当たるカテゴリだけを続けて解けます。
- 個人情報保護士の練習問題（課題Ⅰ 5カテゴリ・課題Ⅱ 2カテゴリ）
注意 カテゴリごとの問題数は、実際の出題配分ではなく学習しやすさで分けたものです。模擬試験のほうは本番と同じ課題Ⅰ50問・課題Ⅱ50問で構成し、課題別70%で判定します。
まとめ
- 個人情報保護士は100問150分で、うち50問が情報セキュリティ
- 課題Ⅱは4編18項目で50問。課題Ⅰ（11編で50問）より1編あたり2倍以上濃い
- したがって課題Ⅱから固めるほうが効率的
- 項目数の重心は「組織的・人的セキュリティ」の8項目。ただし着手は第1編から（機密性・完全性・可用性／リスクの認識・分析・対策／脅威と脆弱性の理解）
- 後半2編は「オフィス＝物理、情報システム＝論理」で分ける
- 接地先は個人情報保護委員会のガイドラインとIPAの公開資料で無料
- ただし各課題70%の足切りがあるので、課題Ⅰを捨てることはできない
出典
- 一般財団法人 全日本情報学習振興協会「個人情報保護士認定試験」試験概要（問題数100問・課題Ⅰ課題Ⅱ各50問・150分／合格基準 各課題正答率70%以上／受験料と受験方法別費用）
- 同 個人情報保護士「試験内容」（課題Ⅰ 第1〜11編／課題Ⅱ 第1〜4編と各編の項目一覧）
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」安全管理措置
編集部の見方：以前この記事は実施団体の対策講座シラバス（課題Ⅰ32小項目・課題Ⅱ23小項目）を根拠にしていましたが、公式の「試験内容」は課題Ⅰが第1〜11編、課題Ⅱが第1〜4編・計18項目で、区分も項目名も違います。読者が公式サイトで照合できるよう、公式の「試験内容」に合わせ直しました。出題はどちらの課題も50問なので、1編あたりの重みは課題Ⅱのほうが大きくなります。各編に何問出るかは公表されていないため、この記事では区分のみを根拠にしており、出題配分としては扱っていません。
