情報処理安全確保支援士試験参考書

情報セキュリティの三大要素である機密性・完全性・可用性（CIA）を軸に、真正性・責任追跡性・否認防止・信頼性を加えた管理特性、そしてOECDセキュリティガイドラインの考え方を学び、実際のインシデントでどの特性が損なわれ、何を最優先で対策すべきかを判断する力を養います。

情報資産を脅かす脅威（物理的・人的・技術的）と、攻撃を成立させる弱点である脆弱性（バグ・セキュリティホール・人的脆弱性・シャドーIT）、Webアプリの代表的な脆弱性類型であるOWASP Top10、そして内部不正が起きる心理的条件を説明する不正のトライアングル（機会・動機・正当化）を学びます。

自己増殖するワームや遠隔操作されるボット（ボットネット・C&Cサーバ・コネクトバック通信）、身代金要求型のランサムウェア、情報を盗み出すスパイウェア・キーロガー、管理者権限を隠蔽するルートキット、常時侵入経路を確保するバックドア、ディスクに実体を残さないファイルレスマルウェア、検知回避のためのポリモーフィック型・メタモーフィック型を学び、観測された挙動からマルウェア種別を診断し封じ込め策を選ぶ判断力を養います。

パスワードクラック（辞書攻撃/ブルートフォース/リバースブルートフォース/レインボーテーブル/パスワードリスト攻撃）、Webアプリの代表的攻撃であるXSS（反射型/格納型/DOMベース）・CSRF・クリックジャッキング・SQLインジェクション・OSコマンドインジェクション・ディレクトリトラバーサル・中間者攻撃（MITM）/MITBを学び、脆弱性の症状からどの攻撃が成立し、どの対策が有効かを判断する力を養います。

サービスを妨害するDoS/DDoS攻撃（SYNフラッド・リフレクション・増幅攻撃）、特定組織を狙う標的型攻撃/APTとその段階モデルであるサイバーキルチェーン、攻撃者の戦術を体系化したMITRE ATT&CK/CAPEC、人の心理を突くソーシャルエンジニアリング・ビジネスメール詐欺（BEC）、そして物理的な副次情報を利用するサイドチャネル攻撃を学びます。

共通鍵暗号・公開鍵暗号・ハイブリッド暗号の使い分け、代表的な公開鍵暗号であるRSAと楕円曲線暗号（ECC/ECDSA）、鍵を安全に共有するDiffie-Hellman（DH）鍵交換とPFS（Perfect Forward Secrecy）、そして暗号の危殆化に備えるCRYPTREC暗号リスト・SSL/TLS暗号設定ガイドラインを学びます。

一方向性・衝突耐性を持つハッシュ関数（SHA-256等）、共有鍵とハッシュ関数でメッセージの改ざんを検知するMAC/HMAC、公開鍵暗号を使って真正性と否認防止まで担保するデジタル署名、そしてタイムスタンプ・コードサイニング・XMLデジタル署名を学びます。

知識・所持・生体の3要素と多要素認証、ワンタイムパスワード・チャレンジレスポンス認証・リスクベース認証、生体認証の精度指標（本人拒否率FRR/他人受入率FAR）、パスワードレスを実現するFIDO/WebAuthn、そしてKerberos・RADIUSを学びます。

SSOを実現するSAML・OpenID Connectと、認可専用プロトコルであるOAuth 2.0（認証ではない点に注意）、PKI（公開鍵基盤）を構成する認証局CA・検証局VA、デジタル証明書（ルート/サーバ/クライアント）、失効確認のCRL・OCSP、そしてGPKIを学びます。

情報資産の分類から始まり、リスクアセスメント（リスク特定・リスク分析・リスク評価）の手順、定性的リスク分析と定量的リスク分析の使い分け、リスク対応（移転・回避・受容・低減）の選択基準、残留リスクとリスクマトリックス、JIS Q 31000の考え方を学びます。

組織的な情報セキュリティ管理の枠組みであるISMS（情報セキュリティマネジメントシステム）、要求事項を定めるJIS Q 27001と管理策を例示するJIS Q 27002の役割分担、情報セキュリティポリシーの方針・対策基準・実施手順の3階層構造、継続的改善のPDCAサイクル、認証取得時に作成する適用宣言書を学びます。

組織内でインシデント対応を担うCSIRTと、監視・検知を担うSOCの役割分担、検知から報告までのインシデントハンドリングの流れ（トリアージを含む）、国内の中核組織であるJPCERT/CC・NISC・IPAの役割、脆弱性報奨制度バグバウンティ、企業間の情報共有の枠組み（J-CSIP等）を学びます。

脆弱性の深刻度を数値化するCVSS（基本値・現状値・環境値）、脆弱性識別子のCVE、脆弱性の型を分類するCWE、国内の脆弱性対策情報を集約するJVN、セキュリティ機能の評価基準ISO/IEC 15408（コモンクライテリア）とEAL、国内認証制度JISEC、実際に侵入を試みるペネトレーションテスト、ハードウェアの解析耐性耐タンパ性を学びます。

被監査部門から独立した立場で行うシステム監査（独立性・監査手続・監査証跡）、業務プロセスの適正性を確保する内部統制、そして不正アクセス禁止法・個人情報保護法・サイバーセキュリティ基本法・刑法（不正指令電磁的記録に関する罪）などの関連法規を学びます。

内部不正防止ガイドラインに基づく組織的な牽制策、標的型メール訓練やレッドチーム演習によるセキュリティ教育、need-to-know（最小権限）原則と特権的アクセス管理、ログ管理、入退室管理・アンチパスバック・インターロック、クリアデスク・クリアスクリーン、そしてシステムの信頼性を測るRASISを学びます。

パターンマッチング・ビヘイビア法・ヒューリスティック法・動的解析・静的解析によるマルウェア検出手法、入口対策・出口対策・多層防御の考え方、感染端末を隔離する検疫ネットワーク、DMZ、脆弱性管理（パッチ適用）、要塞化（ハードニング）、そして鍵を分割保管する秘密分散を学びます。

ファイアウォール・IDS/IPS（シグネチャ型/アノマリ型）・WAF・RASP・UTM・DLP・SIEM・EDR・CASB・SASE・MDM・IdPという多様なセキュリティ製品を、それぞれが守る対象と検知方式で整理し、フォールスポジティブ/フォールスネガティブのトレードオフとともに学びます。

「境界の内側は信頼できる」という前提を捨てるゼロトラストアーキテクチャ（すべてを検証・マイクロセグメンテーション）、攻撃者の動向を収集・分析する脅威インテリジェンス（OSINT）、証拠保全と完全性を重視するデジタルフォレンジックス、IoTセキュリティと制御システム（OT）セキュリティ、そしてセキュアブート・TPM・SEDによるハードウェアレベルの防御を学びます。

ネットワーク層で暗号化・認証を提供するIPsec（トランスポート/トンネルモード・ESP/AH・IKE）、トランスポート層のSSL/TLS（ハンドシェイクとTLS 1.3）、平文プロトコルを暗号化に昇格させるSTARTTLS、リモート操作を保護するSSH、Webを保護するHTTPS、メールを暗号化・署名するS/MIME、無線LANのWPA2/WPA3を、通信要件に応じて選定する判断力を養います。

なりすましメール対策のSPF・DKIM・DMARC（送信ドメイン認証）とその役割分担、迷惑メール対策のSMTP-AUTH・OP25B/IP25B、DNSキャッシュポイズニング対策のDNSSECと迷惑送信元判定のDNSBL、認可の標準であるOAuth、無線LAN等の利用者認証プロトコルEAP/EAP-TLS/PEAP・RADIUS・PSKを、脅威に対してどの対策が有効かという観点で学びます。

境界防御の基本であるパケットフィルタリングとステートフルインスペクション、通信内容まで見るアプリケーションゲートウェイ、アドレス変換のNAT/IPマスカレード、端末単位で認証する認証VLAN、リモートアクセスのVPN（リバースプロキシ/ポートフォワーディング/L2フォワーディング）、不正なDHCPサーバを防ぐDHCPスヌーピング、MACアドレスフィルタリング、そして事前調査のポートスキャンを、境界防御要件に応じて選ぶ判断力を養います。

OSレベルの強制アクセス制御（MAC）・RBAC・最小特権・トラステッドOS、DB暗号化とDBアクセス制御、開発上流から作り込むセキュリティバイデザイン/プライバシーバイデザイン/脅威モデリング、セキュアプログラミング、脆弱性を検出するSAST/DAST/IAST/SCA、Webの分離原則Same Origin Policy/CORS、パスワード保護のソルト/ストレッチング、そしてバッファオーバーフロー/XSS/SQLインジェクション対策を、脆弱性を作り込まない・検出する実装技術の選定という観点で学びます。

OSI参照モデルの7層とTCP/IP4階層モデルの対応関係、IPアドレス・サブネットマスク・CIDRを使ったサブネット分割、静的ルーティングと動的ルーティング（RIP・OSPF・BGP）、TCPの3ウェイハンドシェイクとUDPの違い、そしてポート番号の役割を、セグメント分割のセキュリティ設計判断とあわせて学びます。

HTTP/HTTPS、名前解決を担うDNS（再帰問い合わせ・キャッシュ）、DHCP、SMTP/POP3/IMAPなどのメールプロトコル、フォワードプロキシ・リバースプロキシ、REST、cookie・セッションIDによるセッション管理を、それぞれの攻撃面と安全な設計判断とあわせて学びます。

SNMPによるMIBのポーリング・トラップを使ったネットワーク管理、帯域・スループット・レイテンシなどの性能指標、QoSによる優先制御、無線LAN（SSID・チャネル・ローミング）、そして負荷分散を、監視・性能要件に適した構成を選ぶ判断とあわせて学びます。