情報処理安全確保支援士（登録セキスペ／SC）は、午前I（科目A-1）を免除できれば勝負は実質「午前II」と「午後」の2科目に絞られます。そして合否を分けるのは、記述式の午後（科目B）です。この記事は3ヶ月の学習を前提に、出題範囲・学習ロードマップ・午前II対策を整理したうえで、午後の過去問をテーマ別頻出度・設問タイプ・解答技術まで踏み込んで分析します。
まず土台を正確に。2026年度（令和8年度）から大きな運用変更があるため、古い情報のまま準備すると足をすくわれます。
| 科目（新／旧） | 形式 | 出題／解答 | 時間 | 合格基準 |
|---|---|---|---|---|
| 科目A-1（午前I） | 多肢選択（四択） | 30問／30問 | 50分 | 100点満点・60点以上 ／ 本記事は免除前提 |
| 科目A-2（午前II） | 多肢選択（四択） | 25問／25問 | 40分 | 100点満点・60点以上 |
| 科目B（午後） | 記述式 | 4問出題／2問選択 | 150分 | 各50点・計100点／60点以上 |
午前II（科目A-2）と午後（科目B）は同じ知識領域を、「選べる知識」か「使える知識」かという違う深さで問う。範囲の骨格は共通なので、まず全体像を押さえる。
| 領域 | 主な内容（午前II＝知識／午後＝応用の両面で問われる） |
|---|---|
| 情報セキュリティ基礎 | 機密性・完全性・可用性、リスクマネジメント、脅威と脆弱性、CVSS、セキュリティポリシー |
| 暗号・認証 | 共通鍵／公開鍵暗号、ハッシュ、ディジタル署名、PKI・電子証明書、TLS、多要素認証、OAuth・SAML・OpenID Connect |
| ネットワークセキュリティ | ファイアウォール、プロキシ、IDS/IPS、VPN（IPsec・TLS）、境界防御とゼロトラスト、セグメンテーション |
| Webアプリケーション | XSS、SQLインジェクション、CSRF、セッション管理、クリックジャッキング、WAF、セキュアコーディング |
| メール・DNS | SPF・DKIM・DMARC、DNSSEC、なりすまし・フィッシング、S/MIME、標的型メール |
| マルウェア・攻撃手法 | 標的型攻撃、ランサムウェア、C2通信、サプライチェーン攻撃、ラテラルムーブメント、MITRE ATT&CK的な攻撃連鎖 |
| インシデント対応・運用 | CSIRT、ログ管理・SIEM、フォレンジック、脆弱性管理・パッチ運用、資産管理、アクセス制御（AD含む） |
| クラウド・開発 | IaaS/PaaS/SaaSの責任共有、コンテナ、DevSecOps、IDaaS、クラウド設定不備 |
| 法制度・管理 | 個人情報保護法、不正アクセス禁止法、各種ガイドライン、ISMS、監査、委託先管理 |
| 時期 | やること | 到達目標 |
|---|---|---|
| 1ヶ月目 基礎固め | 定番テキスト（「専門知識＋午後問題の重点対策」等）で全領域を1周。午後で問われる技術の“仕組み”を理解に寄せてインプット（暗記より「なぜそうなるか」）。並行して午前IIの過去問を分野別に開始 | 用語と攻撃／対策の対応関係が説明できる。午前II 正答6割 |
| 2ヶ月目 午後に着手 | 午後の過去問演習を開始。最初は「解く」より解説を精読し、模範解答の言い回しを写経。分野を絞って（Web→ネットワーク→メール/DNS→インシデント…）縦に潰す。午前IIは反復継続 | 午後1問を時間度外視で完答できる。午前II 正答7〜8割 |
| 3ヶ月目 実戦・仕上げ | 本番形式（4問から2問選択・150分）で通し演習を回数重視で。時間配分と問題選択の訓練。間違いノートで弱点補強。午前IIは直近回を総仕上げ | 午後2問を150分で最後まで書き切れる。午前II 安定8割超 |
ここが本記事の主眼。午後は「4問出題・2問選択・各50点・150分・記述式」。長文のシナリオ（システム構成図＋インシデントや設計変更の物語）を読み、下線部の説明・空欄補充・対策や理由の記述で答える。暗記した用語をそのまま書く問題はほぼ無く、シナリオに即して応用できるかが問われる。
過去問を通観すると、出題テーマは概ね次の領域に収束する。頻出度は年度でぶれるため傾向の目安として捉え、S・Aランクを軸に、自分の得意で2問を確実に取れる形を作るのが戦略。
| テーマ | 頻出度 | 典型的な問われ方（設問の型） |
|---|---|---|
| Webアプリ脆弱性 | S | XSS/SQLi/CSRFの成立条件と対策、脆弱なコードの指摘、セッション管理不備、WAFで防げる／防げない攻撃の切り分け |
| ネットワーク構成と境界防御 | S | 構成図を読み通信経路・許可すべき通信を特定、FW/プロキシ設定、セグメント分離、TLS通信の中身、なぜその経路で攻撃が通るか |
| 認証・認可 | A | 多要素認証の導入効果、証明書の検証、OAuth/SAMLのトークン・フロー、パスワードリスト攻撃への対策 |
| メール・DNSセキュリティ | A | SPF/DKIM/DMARCの判定の仕組みとなりすまし防止、標的型メールの見分け、DNS応答の悪用 |
| マルウェア・標的型／ランサム | A | 攻撃連鎖（侵入→横展開→窃取）の各段階の説明、C2通信の検知、被害範囲の特定、ラテラルムーブメント対策 |
| インシデント対応・ログ／フォレンジック | A | ログのどの項目から何が読めるか、初動対応の順序、封じ込め・根絶・復旧、CSIRTの役割、証拠保全 |
| 暗号・PKI・TLS | B | 鍵管理、証明書チェーンの検証、TLSのバージョン／暗号スイート選定、ハッシュと改ざん検知 |
| クラウド・セキュア開発 | B | 責任共有モデル、設定不備（公開バケット等）、CI/CDへのセキュリティ組込み、権限の最小化 |
| アクセス制御・AD／内部不正 | B | 権限設計、特権管理、Active Directoryを狙う攻撃、内部不正の検知と抑止 |
頻出度Sの2テーマ——Webアプリ脆弱性とネットワーク構成・境界防御——は、ほぼ毎回どこかの設問で絡む。ここは「用語を知っている」では足りず、成立条件・対策・記述で使う言い回しまでセットで固めておくと、本番で手が止まらない。以下は過去問で繰り返し問われた核心に、周辺の必須知識（α）を足して整理したもの。
| 脆弱性 | 成立条件（なぜ起きる） | 本命の対策と記述キーワード |
|---|---|---|
| XSS （クロスサイトスクリプティング＝利用者のブラウザ上で攻撃者のスクリプトを実行させる攻撃。反射／格納／DOM の型がある） | 利用者入力をエスケープ（特殊文字を無害な文字に変換すること）せずHTMLとして出力してしまう。格納型はDB等に保存され後から他の利用者に発火、DOM型（HTMLをプログラムから操作する仕組み）はJavaScriptが画面に書き込む | 出力時のエスケープ（出す場所＝HTML本文／属性／JavaScript／URL ごとに変換）を核に。付随してContent-Security-Policy（ブラウザに読み込ませてよいスクリプトの範囲を指示する仕組み）、CookieのHttpOnly（JavaScriptからCookieを読めなくする設定）でCookieの盗み取りを防ぐ。解答で書くなら「入力値を、出力する場所（HTML本文・タグの属性・JavaScript・URL）に合わせてエスケープし、スクリプトとして実行されないようにする」 |
| SQLインジェクション （入力欄からデータベース操作の命令を注入する攻撃） | 入力値を文字列としてそのままSQL（DB操作命令）に連結するため、入力が命令の一部として解釈されてしまう | プレースホルダ（値を入れる場所を先に用意し、入力を後から安全に差し込む仕組み。バインド機構ともいう）が本命。エスケープは次善。解答で書くなら「プレースホルダを使い、入力値をSQLの命令の一部としてではなく、ただのデータとして扱う」。被害：情報漏えい・改ざん・認証回避（ログインのすり抜け） |
| CSRF （クロスサイトリクエストフォージェリ＝ログイン中の利用者に気づかせず不正な操作を実行させる攻撃） | ログイン状態のCookie（サーバが発行する会員証のような小さなデータ）が自動で送られる性質を悪用し、利用者に意図しない要求を送らせる | CSRFトークン（正規画面でしか受け取れない使い捨ての合言葉。サーバ側で照合）が本命。補助にSameSite属性（別サイト起点のCookie送信を制限）、Refererチェック（要求元ページの確認）、重要操作前の再認証。解答で書くなら「正規の画面でしか受け取れないトークンをリクエストに含めさせ、サーバ側で突き合わせて確認する」 |
| セッション管理不備 （ログイン状態を識別するIDの扱いの弱さ） | セッションID固定化（Session Fixation＝攻撃者が用意したIDを使わせる手口）、推測できてしまうID、ログイン後にIDを作り直さない | ログイン成功時にセッションIDを作り直す（再生成）、十分に長い乱数、CookieにSecure（HTTPS通信でのみ送る）/HttpOnly/SameSite。無操作での時間切れ（タイムアウト）とログアウトで確実に破棄 |
| ディレクトリトラバーサル／アップロード （ ../等でサーバ内の想定外ファイルに到達する攻撃） | ファイル名に../（一つ上の階層へ戻る指定）を含め非公開ファイルへ到達／実行できるファイルを置かれる | パスの正規化（表記の揺れを一本化）と許可リスト、拡張子・MIME検証（ファイルの種類を中身で確認）、実行権限を与えない保存先。解答で書くなら「ファイル名をチェックし、公開していない決まったフォルダにだけ保存する」 |
| クリックジャッキング （透明な画面を重ねて誤クリックを誘う攻撃） | 透明なiframe（別ページを枠内に埋め込む仕組み）で正規画面を重ね、クリックを乗っ取る | X-Frame-Options: DENY/SAMEORIGIN（自サイトを他サイトの枠に埋め込ませない設定）、または CSP の frame-ancestors |
Secure＝HTTPS（暗号化通信）でのみ送信／HttpOnly＝JavaScriptから読めなくしてXSSでのCookieの盗み取りを防ぐ／SameSite＝別サイトを起点とする送信を制限してCSRFを緩和。この3つは「どの攻撃に効くか」まで即答できるように。この設問は与えられたシステム構成図とファイアウォール（通信の可否を判断する関所）のルール表を読み解き、「どの通信が許可されているか／どこから攻撃が到達するか」を特定させるのが定番。覚えるべきは用語より読み解きの手順と、各機器が何を検査するか。
| 機器・概念 | 役割（何を見て何を制御するか） | 設問での問われ方 |
|---|---|---|
| ファイアウォール（FW＝通信の可否を判断する関所） | 送信元/宛先のIPアドレス・ポート番号（サービスの窓口番号）で通信を許可/遮断（L3/L4＝IPやポートを扱う通信の層）。ステートフルインスペクション（行きの通信を覚えて、その戻りだけ通す方式）で戻り通信を許可 | ルール表の穴（過剰な許可・any＝すべて許可）を指摘、攻撃が通る経路の特定、必要最小限の許可への修正 |
| プロキシ（通信を代理・中継する装置。フォワード／リバース） | フォワード＝内部→外部の出口をまとめURLフィルタ・ログ取得。リバース＝外部→内部の公開サーバの前段でLB（ロードバランサ＝負荷分散装置）・TLS終端（暗号を一旦解いて中身を検査） | C2通信（乗っ取った端末へ指令を送る通信）やマルウェアのダウンロードをどこで検知/遮断できるか、ログの活用 |
| DMZ（外部公開用に隔離したネットワーク区画）とセグメント分離 | 公開サーバをDMZに隔離し、DMZ→内部LANの通信を制限。侵入時の横展開（ラテラルムーブメント＝侵入後に別の端末へ被害を広げること）を封じ込める | 「なぜサーバを分けるか」、侵害時の影響範囲、内部の区画（セグメント）間で本当に必要な通信の設計 |
| IDS／IPS（侵入検知／侵入防御システム） | シグネチャ（既知攻撃のパターン）や振る舞いで攻撃を検知（IDS）・遮断（IPS）。通信の中身まで見る（L7＝アプリのデータを扱う層に寄る） | FWで防げない攻撃をどこで捕まえるか、誤検知/検知漏れの扱い |
| TLS通信（通信の暗号化。旧SSL）と可視化 | 暗号化で盗聴・改ざんを防ぐ一方、中身が見えないため検査をすり抜けられる。TLS終端（暗号を解く地点を設ける）で中身を可視化 | 「暗号化通信のためFW/IDSで中身を検知できない」理由、暗号を解く位置の設計、証明書の扱い |
| 踏み台・VPN・リモート保守 （踏み台＝攻撃の中継に使われる乗っ取り端末、VPN＝暗号化した仮想的な専用線） | 外部保守やVPNの入口が侵入経路になりやすい。多要素認証・接続元の制限・ログ取得で守る | 保守用アカウント/経路の悪用、なぜMFA（多要素認証＝パスワード＋αで本人確認）や接続元制限が要るか |
本文の文脈から技術用語や設定値を埋める。ここは知識で確実に取る失点厳禁ゾーン。前後の文と技術的整合が取れる語を選ぶ。迷ったら本文中に定義や言い換えが必ずあるので、本文に根拠を探す。
最頻タイプ。「主語＋動作＋対象＋結果」を1文で。字数制限（30〜50字が多い）は「入れるべき要素の数」のヒント。減点されるのは「用語だけ書いて動作を書かない」「一般論で本文の固有名詞・条件に触れない」パターン。採点は要素点なので、キーワードを落とさないことが最優先。
「なぜこの攻撃が通るのか」「その対策で何を防げるのか」を因果で書く。攻撃側＝前提条件＋悪用される仕組み、対策側＝何を遮断／検証するかをセットで。対策は「本文のこの設定・構成に対して有効」とシナリオに紐づけると点が伸びる。
インシデント対応（検知→初動→封じ込め→根絶→復旧→再発防止）や証明書検証の順序など。定石の型を暗記しておき、本文の状況に当てはめる。
| フェーズ | 目安時間 | やること |
|---|---|---|
| 問題選択 | 〜8分 | 4問を俯瞰し2問決定 |
| 1問目 | 約65分 | 本文精読→設問→根拠を本文に探して記述 |
| 2問目 | 約65分 | 同上 |
| 見直し | 〜12分 | 空欄・字数・主語述語・誤字を確認 |
試験制度は移行期にあり、CBT化の運用細目・免除条件・日程（本記事は2026年7月時点）は変更され得ます。出願前に必ずIPA公式の最新情報をご確認ください。