情報セキュリティマネジメント試験参考書

情報セキュリティの3要素（機密性・完全性・可用性＝CIA）と、これを補完する真正性・責任追跡性・否認防止・信頼性を学びます。SG は利用者側で情報セキュリティを管理する立場が主題であるため、単なる用語暗記ではなく「組織のどの管理目的にどの要素が対応するか」を実務文脈で押さえます。

脅威の3分類（人的脅威・技術的脅威・物理的脅威）と脆弱性の関係、リスクが顕在化する仕組みを学びます。SGでは特に内部不正と過失が管理対象として重視されます。外部からの攻撃だけでなく、組織内部の人間による意図的・非意図的なリスクをどう管理するかが実務の要点です。

マルウェアの種別、標的型攻撃・フィッシング・BEC（ビジネスメール詐欺）、Webアプリを狙うSQLインジェクション・XSS・CSRF、DoS/DDoS攻撃、パスワード攻撃、人の心理を突くソーシャルエンジニアリング、取引先を経由するサプライチェーン攻撃を学びます。SGでは攻撃手法そのものより、組織としてどう検知・防御・対応するかが問われます。

共通鍵暗号と公開鍵暗号の仕組みと使い分け、両者を組み合わせたハイブリッド暗号、改ざん検知に使うハッシュ関数、暗号の危殆化という古い暗号方式が安全でなくなる現象、そして管理者として重要な鍵管理（生成・保管・更新・廃棄のライフサイクル）を学びます。

複数要素で本人確認する多要素認証（MFA）・生体認証、正当な作成者を証明するデジタル署名、公開鍵の正当性を保証するPKI（公開鍵基盤）と認証局（CA）、通信のなりすましを防ぐチャレンジレスポンス認証、Web通信を保護するSSL/TLSを学びます。

情報資産の洗い出しと分類、リスクアセスメント（リスク特定・リスク分析・リスク評価）の手順、リスク対応（リスク低減・リスク回避・リスク移転・リスク受容）の使い分け、定量的リスク分析と定性的リスク分析の違い、対応後に残る残留リスクを学びます。

ISMS（情報セキュリティマネジメントシステム）と国際規格ISO/IEC 27001、運用の基本サイクルPDCA、情報セキュリティ方針・対策基準・実施手順の3階層、認証取得時に作成する適用宣言書（SoA）、そしてISMS認証の意味を学びます。

管理策の4分類（技術的管理策・物理的管理策・人的管理策・組織的管理策）、職務分掌と最小権限の原則、CISO（最高情報セキュリティ責任者）とセキュリティ委員会など組織体制、教育・訓練の位置づけを学びます。

インシデント対応プロセス（検知・報告→トリアージ→封じ込め→根絶→復旧→事後対応）、CSIRT・SOCの役割の違い、社内での報告・エスカレーション、証拠保全とデジタルフォレンジックス、外部組織JPCERT/CC・JVNの位置づけを学びます。

BCP（事業継続計画）とBCM（事業継続マネジメント）の違い、RTO（目標復旧時間）・RPO（目標復旧時点）の意味と算出、災害対策（代替拠点・冗長化）、バックアップ戦略（フルバックアップ・差分バックアップ・増分バックアップ、3-2-1ルール）を学びます。

ウイルス対策ソフトのパターンマッチング（定義ファイル）方式と、未知の脅威に対応するふるまい検知（ビヘイビア検知）・EDR（Endpoint Detection and Response）を学びます。パッチ管理による脆弱性の解消、未知の実行ファイルを隔離環境で検証するサンドボックス、そしてランサムウェア対策の要となるバックアップ（3-2-1ルール・オフライン/オフサイト保管）を、組織の運用管理の視点から整理します。

ファイアウォール・IDS（不正侵入検知システム）・IPS（不正侵入防止システム）・WAF（Web Application Firewall）という通信の異なるレイヤーを守る4つの仕組みの役割分担、外部公開サーバを隔離するDMZ、拠点間や在宅勤務者の通信を守るVPN、Webアクセスを中継・制御するプロキシ、「境界防御」の限界を超えるゼロトラストの考え方、そして無線LANセキュリティ（WPA3・不正AP対策）を学びます。

技術的な情報漏えい対策であるDLP（Data Loss Prevention）・データの暗号化・情報持ち出し制御（デバイス制御）と、物理的な対策であるクリアデスク・クリアスクリーン・入退室管理・施錠・監視カメラ・記憶媒体の物理破壊や耐タンパ性を学びます。技術的対策と物理的対策が互いに補完し合うという多層防御の視点で整理します。

識別・認証・認可という似て非なる3つの概念の違い、最小権限の原則・知る必要性（need-to-know）、役割に応じて権限を割り当てるRBAC（Role-Based Access Control）、システムの根幹に触れる特権IDの厳格な管理、入社から異動・退職までのアカウント管理のライフサイクル、そして事後の追跡と異常検知を支えるログ管理と監視を学びます。

セキュリティ管理の前提となるTCP/IPの階層構造、IPアドレスとサブネット、名前解決を担うDNS、主要なプロトコル(HTTP/HTTPS・SMTP・DHCP)の役割、そしてデータベースのトランザクション管理とアクセス制御の基礎を、SG に必要な範囲で学びます。

独立した第三者が情報システムを評価するシステム監査の流れと内部統制との関係、ITサービスの継続的な運用を支えるITILとSLA（サービスレベル合意書）、システムを止めない可用性管理と将来の負荷に備えるキャパシティ管理、そして監査の根拠となる証跡（ログ）の扱いを学びます。

個人情報の適正な取扱いを定める個人情報保護法、不正なアクセス行為を禁じる不正アクセス禁止法、インターネット上の権利侵害情報への対応を定める情報流通プラットフォーム対処法(旧プロバイダ責任制限法)、国のサイバーセキュリティ施策の基本を定めるサイバーセキュリティ基本法、営業秘密を保護する不正競争防止法、なりすまし等を防ぐ電子署名法、そして刑法の電子計算機損壊等業務妨害罪を学びます。

経営者が主導する情報セキュリティガバナンス、企業経営全体を律するコーポレートガバナンスとその一部としての内部統制、経営者にセキュリティ投資を促すサイバーセキュリティ経営ガイドライン、そして委託先管理がセキュリティガバナンスの中でどう位置づけられるかを学びます。

現場での情報資産の特定と分類、リスク値の算出（脅威×脆弱性×資産価値）、リスク受容基準の設定、算出したリスクへの対応計画（低減・保有・回避・移転）の立て方を、具体的な組織シナリオで学びます。

委託先選定と契約時のセキュリティ要件、再委託の管理、クラウド利用時の責任分界（責任共有モデル）、SLAとセキュリティ要件の盛り込み方、委託先への監査・報告義務を、具体的な委託シナリオで学びます。

従業員教育の設計、標的型攻撃訓練の実施と評価、規程/手順の周知徹底、入退社時の手続き（アカウント発行・権限剥奪）、規程違反時の対応、組織全体の意識向上の取り組みを、具体的な組織シナリオで学びます。

インシデントの検知/初動/封じ込め/根絶/復旧/事後対応という一連の流れ、報告と広報（社内外への連絡）、証拠保全、再発防止、関係機関（JPCERT/CC等）への届出を、具体的なインシデント対応シナリオで学びます。