科目 B 攻略法と必須問 1「情報セキュリティ」

科目 B の枠組みと 60 点の作り方

科目 B は記述式・150 分で、11 問が出題され 5 問に解答します。必須なのは問 1 だけで、残りは問 2〜11 から 4 問を選びます。配点は問 1 が 20 点、選択の 4 問も各 20 点、合計 100 点満点で基準点は 60 点です。応用情報技術者試験の採点は IRT（項目応答理論）ではなく素点方式なので、積み上げた部分点はそのまま得点になります。

科目 A（150 分・80 問・四肢択一）と科目 B は別日に実施され、科目 A が基準点 60 点に届かなければ多段階選抜で科目 B は採点されません。科目 B 対策は「科目 A を 60 点に乗せてある」ことを前提に積む、という順序を崩さないでください。

その 60 点は「20 点の問題を 3 問完答した分」に相当します。しかし当日どれか 1 問を完答できる保証はどこにもなく、実務的には5 問すべてで 6 割（12 点）を積むほうが易しいです。言い換えると到達条件は「どの 1 問も 0 点にしない」こと。空欄を残さない、迷ったら部分点を狙って書く、という当日の行動はすべてここから導かれます。

問番号と分野の対応は、直近 10 年（19 回）で一度も入れ替わっていません。試験要綱 Ver.5.6 の別紙も同じ構造で、情報セキュリティが問 1 の「◎必須解答」、それ以外の分野が問 2〜11 の「○選択解答」（出題 10・解答 4）です。配置が固定である以上、捨てる分野は学習を始めた日に決められます。

要綱の別紙では「経営戦略」「情報戦略」「戦略立案・コンサルティング技法」の 3 行が問 2 の 1 枠を分け合っていますが、19 回のうち IT 戦略が主題になったのは令和 3 年春の 1 問だけです。問 2 は実質「経営戦略の事例問題」と考えて構いません。

設問の 6 形式と、記述式の採点で起きていること

科目 B の 1 問は、設問 1〜設問 5 程度に分かれ、その下に (1)(2)… の小設問がぶら下がります。問 1 情報セキュリティの 19 回分を小設問の単位で数えると合計 129 小設問、1 問あたり 5〜9（平均 6.8）でした。内訳は 5 個が 2 回、6 個が 7 回、7 個が 4 回、8 個が 5 回、9 個が 1 回です。20 点を平均 6.8 で割ると 1 小設問あたり 3 点前後。設問別の配点は公開されていないので、当日「この設問は配点が高そうだ」と重み付けする根拠はありません。全部同じ重さだと思って全部埋めるのが最善手です。

字数記述と記号選択で 86% を占めます。ここで見落としやすいのが、回ごとの偏りが非常に大きいことです。令和 3 年秋は 6 小設問中 5 が字数記述、逆に令和 3 年春は 8 中 6 が記号選択、令和 5 年春に至っては 9 中 8 が記号選択と穴埋めでした。「問 1 は記述が多い」と決めつけて臨むと、記号ばかりの回で消去法の精度が足りずに落とします。直近 4 回は記述 2〜4・選択 2〜3・用語 0〜2 とおおむね均衡しています。

字数指定は 15〜35 字が本命

19 回の字数指定は 59 件ありました。分布は次のとおりで、15〜35 字で 45 件と大半を占めます。

ここから 2 つの実務的な結論が出ます。第 1 に、40 字の練習より 20〜30 字の練習を優先すること。令和 6 年春以降は 35 字が上限で、長文を書く力より「短く言い切る力」が問われています。第 2 に、12 字以下の設問は文を作らないこと。「〜から」「〜ため」を付けようとすると本体が削れて、要点が消えます。

記述式の採点は、書いた文字列が解答例と一致しているかではなく、解答例が含んでいる要点が自分の答えにも入っているかで決まります。そのため「言い方が違うから 0 点」を恐れる必要はありません。逆に、要点が 2 つある設問で 1 つしか書かなければ、日本語としてどれだけきれいでも減点されます。採点講評が繰り返し指摘する「要素を挙げ切れていない」という誤答傾向は、この構造から生まれます。

問題文の読み方 ― 設問と本文を往復する

科目 B の本文は 3〜5 ページあり、頭から精読すると 1 問で 40 分が飛びます。正解は設問を先に読み、本文を「探しに行く」順序です。設問は本文のどこを見ればよいかを教えてくれる索引だからです。

本文 1 周目でマークする 4 種類

本文を最初に通すとき、次の 4 つだけを拾います。読解ではなく索引づくりだと考えてください。

1. 構成図の機器と通信経路 ― ファイアウォール、プロキシ、DMZ、DNS、メール中継。どの通信がどの機器を通り、どこにログが残るかを図の上で確認します
2. 登場人物と役割 ― 担当者・上司・外部専門家・委託先。誰の発言かで、その内容が「現状の説明」なのか「見落としの指摘」なのか「対策の方向づけ」なのかが変わります
3. 「対策 1」「対策 2」のような番号付き箇条書き ― 設問はほぼ必ずこの番号を参照します
4. 下線部と空欄 ― 下線部は設問の伏線です。答えの材料は下線部の前後 2〜3 文にあります

本文中の〔 〕や注釈も見落とせません。「〜は 6 か月で上書きされる」「〜は社外からは参照できない」といった一見どうでもいい条件が、そのまま理由記述の根拠になります。平成 29 年秋の問 1 では、会員番号の範囲が限定されているという本文の条件を根拠にハッシュ値の突合が成り立つことを説明させました。この条件を読み落とした受験者が「逆算する」と書いて失点しています。

CBT 方式ではメモ用紙が配られません。画面のメモ機能に打ち込むことになるので、紙のように構成図へ矢印を書き込むことはできません。代わりにテキストで書ける形にメモの型を作っておきます。たとえば「PC → プロキシ → FW → 外部」「A 氏＝担当、B 課長＝指摘」「対策 1＝定義ファイル更新、対策 2＝バックアップ」のように 1 行で表す形です。図の読み取りを言葉に変換する練習は、そのまま字数記述の練習にもなります。

字数指定の答え方 ― 5 つのテンプレート

字数記述は 129 小設問のうち 57 を占める最大の形式です。ここを「文章力」で乗り切ろうとすると崩れます。問い方によって文末が決まり、文末が決まれば入れるべき部品も決まるという機械的な処理に落とすのが正解です。

いちばん取りこぼしが多いのが「対策」です。対策は対象・条件・動作の 3 部品でできています。どれか 1 つでも欠けると「一般論を書いた」と見なされます。図 23-3 は 30 字の対策記述を組み立てた例です。

字数記述の 5 か条

1. 上限の 7〜9 割を埋める。30 字なら 21〜27 字。半分しか書けていない答えは、要素が足りていない合図です
2. 主語と対象を落とさない。採点講評が繰り返し指摘する失点で、字数枠が狭いほど主体が消えます。「切り離す」ではなく「共有ディスクを切り離す」
3. 本文の固有名をそのまま使う。機器名（PC-A、FW、サーバ L）、対策番号、略語は言い換えず引用します
4. 「本文中の字句を用いて」は抜き出し以外を認めない指示です。自分の言葉に直すと 0 点になります
5. 文末を問い方に対応させる。理由を聞かれて「〜する」で終える、対策を聞かれて「〜だから」で終える答えは、内容が合っていても要点を外したと判定されます

150 分の使い方と選択戦略

150 分を 5 問で割ると 1 問 30 分です。しかし 30 分をまるまる使うと、選択と見直しの時間がゼロになります。現実的な予算は1 問 25〜30 分で、そこから最初の 5 分と最後の 10 分を捻出します。

問 1 から解く 3 つの理由

1. 必須なので避けられない。後回しにしても解く時間が減るだけです
2. 採点講評の全体正答率が高 4 回・やや高 2 回・平均 8 回と、19 回中 16 回が平均以上。得点が読めるので、序盤に処理すると残りの計画が立ちます
3. 最初に解くからこそ35 分を超えると選択問題を圧迫することがはっきり分かります。時計を見る基準ができます

例外は問 3（プログラミング）を選ぶ人です。問 3 は「着手 10 分で実データと配列の対応表が書けなければ撤退」という判定が要るので、問 1 の直後に置きます。終盤に始めると撤退を決めた時点で残り時間が足りません。

当日 4 問を絞り込む

選択は当日ひらめくものではありません。5〜6 分野を仕込んでおき、当日 1〜2 分野を捨てるのが正しい形です。予備をゼロにすると、得意分野が難化した回に逃げ場がなくなります。

ルートを決めたら、当日は次の 4 基準で 4 問に絞ります。図表の型の馴染み、記述の本数と字数上限、計算の個数と型、本文の量。この 4 つはどれも問題を解かずに 1 分で判定できるもので、だからこそ 5 分のスキャンで機能します。

最後の 10 分の見直しは、新しい問題を解くより確実に点になります。確認するのは 6 点だけです。① 空欄が残っていないか ② 主体が設問の主語と一致するか ③ 文末が問い方に対応しているか ④ 字数は上限の 8 割以上か ⑤ 単位・桁数・切上げ／切捨て ⑥「本文中の字句を用いて」を守ったか。

採点講評の読み方と、問 1 の失点 8 型

IPA は問題・解答例と一緒に採点講評を公開しています。ここには「全体として正答率は平均的であった」といった総評に加え、正答率が低かった設問と誤答の傾向、そして「〜を理解してほしい」という出題側の意図が書かれています。過去問演習の価値の半分はここにあります。解いて答え合わせをしたら、必ず講評まで読んでください。

問 1 の 19 回分の全体正答率は、高が 4 回（平成 28 年秋・平成 29 年春・令和元年秋・令和 6 年春）、やや高が 2 回（令和 5 年春・令和 6 年秋）、平均が 8 回、低が 2 回（平成 28 年春・平成 30 年春）、明記なしが 3 回でした。19 回中 16 回が平均以上という、科目 B の中では取りこぼしにくい分野です。ただし19 回中 18 回で「正答率が低い」設問が 1〜3 個指摘されています（例外は令和 6 年秋のみ）。全問正解を狙いにいくと時間を溶かす構造だと理解してください。

この 8 型のうち、型 1 と型 6 は問 1 に固有の重さがあります。情報セキュリティは新語の登場が最も速い分野で、SIEM・EDR・ゼロトラスト・SBOM・イミュータブルはいずれも直近 4 年で初出です。そして問 1 は必ず技術と管理の両面を問います。19 回のどの回にも、技術的対策の設問と、体制・教育・抑止といった管理的対策の設問が同居しています。技術だけ固めても 20 点満点の 2〜3 割は取り逃します。

過去問 1 回分のまわし方

問 1 は 19 回分の過去問が公開されており、これがそのまま最良の教材です。ただ解いて答え合わせをするだけでは、講評に書かれた情報の大半を捨てることになります。次の 5 手順で回してください。

1. 27 分を計って解く。本番の予算と同じ時間でやらないと、撤退判断の感覚が身に付きません
2. 採点する。字数記述は「解答例の要点が自分の答えに入っているか」で〇か×を付け、△を作りません。△は「たぶん部分点」という願望で、復習の対象から漏れます
3. 採点講評を読む。正答率が低いと書かれた設問に印を付け、自分が正解できたかどうかと突き合わせます。低正答率の設問を落としているなら、それは想定内です
4. 外した設問を失点 8 型に分類する。回を重ねると自分の型が偏ることが見えます。型 1（用語を名前だけで覚えている）が多いなら知識不足、型 3・5（本文の使い方・なぜの説明）が多いなら読み方と記述の型の問題で、対策が正反対です
5. 戻る先を決める。型 1・2 なら第 11・12 章の対比表へ、型 4・5 なら本章の図 23-7（攻撃の段階と対策の位置）へ、型 6・7 なら組織的対策と設定レベルの具体策へ戻ります

19 回分をこの手順で通すと、129 の小設問に触れることになります。同じ論点が業種を変えて何度も出るので、5〜6 回分を過ぎたあたりから「またこれか」という感覚が出てきます。その感覚が出たら仕上がりです。

問 1 の 19 回分 ― 題材とジャンル

直近 10 年（19 回）の問 1 は、すべて情報セキュリティでした。過去問は旧・午後試験として実施されたものですが、試験要綱 Ver.5.6 の科目 B も問 1 が情報セキュリティの必須解答なので、分野配置はそのまま引き継がれます。まず全 19 回の題材を眺めてください。同じ論点が業種を変えて何度も戻ってくることが見えます。

19 問を場面で分けると 4 ジャンルになります。

A と B で 13 / 19 を占め、どちらも中小〜中堅企業の情報システム部門（担当者 + 上司 + 外部専門家）の会話という同じ器に入っています。時系列で見ると、平成 28〜31 年は Web アプリ・認証・暗号、令和元〜5 年は標的型攻撃・EDR・SIEM・CSIRT、令和 6〜7 年はゼロトラスト・サプライチェーン・SBOM・イミュータブルと、題材の表面は移り変わります。それでも下敷きの論点（脆弱性管理・ログ・認証・初動）は変わりません。ランサムウェアは平成 30 年春・令和 5 年春・令和 7 年春の 3 回登場し、3 回ともバックアップの保護がセットでした。

11 位以下も 3 回前後で並びます。PKI・電子証明書・CA が 3 回、ランサムウェアとバックアップ保護が 3 回、EDR が 3 回、SPF が 3 回、SQL インジェクション対策が 3 回、ポートスキャンとホスト探索が 3 回、アカウントロックと試行回数制限が 3 回、認証方式（3 要素・多要素・IDaaS）が 3 回、メール経由の漏えい対策（誤送信・PPAP・別送）が 3 回。さらに不正のトライアングル・ゼロトラスト・フォレンジックス・WAF・DNS 攻撃・改ざん検知・多層防御が各 2 回です。ゼロトラストは直近 3 回のうち 2 回に出ており、伸びている論点です。

頻出論点の定番フレーズ

字数記述は、頻出論点ごとに答えの核がほぼ決まっています。次に挙げるのは 19 回の解答例に繰り返し現れる骨格です。丸暗記して貼り付けるのではなく、本文の固有名詞に置き換えて使う型として覚えてください。

この 12 個は、そのまま本試験で通用する形になっています。ただし本文に機器名や対策番号が出ていれば、それを差し込むことを忘れないでください。「社内の他の機器と」を「同じセグメントの他の PC と」に、「バックアップ」を「共有ディスク D」に置き換えるだけで、一般論の答えが本文に即した答えに変わります。講評が指摘する「本文の固有条件を使わない」失点は、この一手間で消せます。

典型設問の型と、図表の読み取り手順

問 1 の本文には、ほぼ必ずネットワーク構成図が付きます。19 回のうち平成 29 年春・令和元年秋・令和 4 年秋・令和 7 年秋は、機器の並びまでほぼ同型でした。構成図は「絵」ではなくログの所在の一覧表だと考えて読むと、設問がどこを聞いているかが即座に分かります。

構成図と一緒に出る図表は 3 種類です。読む順番を決めておくと、本文に戻る回数が減ります。

1. FW のルール表 ― 「送信元・宛先・プロトコル／ポート・動作」の 4 列を見て、どの通信が許可されていないかを先に確認します。設問は許可されている通信より、拒否されている（あるいは拒否すべき）通信を聞きます
2. ログの抜粋 ― 「時刻・送信元 IP・宛先 IP／ポート・イベント」の 4 列。まず時刻の並びを見て、短い間隔で繰り返している行と、他と異なる 1 行を探します。異常はこの 2 か所にしかありません
3. シーケンス図・手順の番号付き並び ― 各手順で誰が何の鍵を使うか、どこで検証が入るかを追います。令和 5 年秋の S/MIME の設問はこの型でした

攻撃の段階と、対策が効く位置

問 1 の記述で最も差がつくのが「なぜその対策が有効か」です。これは攻撃を段階に分け、対策がどの段階を止めるかを言えるかという問題に還元できます。令和 5 年春はサイバーキルチェーンそのものが題材になりました。

パスワード攻撃も同じ整理が要ります。攻撃ごとに効く対策と効かない対策が違うことが、令和 7 年春の設問（ロックアウトのしきい値が効かない理由）のような「対策の限界」を問う設問の下敷きです。

ひっかけポイント

演習問題（科目 B 形式）

本試験と同じ分量・形式で 1 題です。目安は 27 分。設問を先に全部読んでから本文に入り、字数記述は最後にまとめて書いてください。

まとめ

• 読む順序: 設問 → 本文 1 周（構成図・登場人物・対策番号・下線部の 4 種をマーク）→ 記号と用語 → 下線部の前後に戻って字数記述
• 記述の型: 理由は「〜から」、目的は「〜ため」、対策は「対象 + 条件 + 動作」、懸念は「〜できないこと」、事象は「〜されている」
• 問 1 の頻出: 脆弱性管理・URL フィルタリング・FW と不要サービス停止・ログ管理（NTP・SIEM）が各 5 回。次いでパスワード攻撃、ハッシュとソルト、標的型攻撃の侵入後活動、インシデント対応体制が各 4 回
• 失点の 2 大要因: 略語を名前だけで覚えていること、技術的対策に偏って組織・心理面を落とすこと。問 1 は必ず技術と管理の両面を問う
• 当日の見直し 6 点: 空欄／主体／文末／字数／単位・桁／「本文中の字句を用いて」

次章は科目 B のテクノロジ系選択問題（問 3〜8）です。本章で作った「設問を先に読み、テンプレートで書く」手順はそのまま使えます。違うのは撤退判断の基準で、分野ごとに「何分で見切るか」が変わります。