資格HubIPA公開問題・全100問・IPA解答例照合
IPAが公開したITパスポート試験 令和8年度の公開問題について、問1〜100の正答と4つの選択肢それぞれの判断根拠をこのページに載せています。問題文はIPAの問題冊子PDFを開き、問題番号を合わせて読んでください。
| 試験の方式 | CBT方式で随時実施。試験時間120分、100問（四肢択一） |
|---|---|
| 合格基準 | 総合評価点600点以上（1,000点満点）で、ストラテジ系・マネジメント系・テクノロジ系の分野別評価点がそれぞれ300点以上（各1,000点満点） |
| 公開問題 | 実際に出題した問題から、IPAが年度ごとに100問を公開しています |
IPAの解答例と照合しています。問題番号を選ぶと解説へ移動します。
| 問題 | 正答 | 論点 |
|---|---|---|
| 問1 | ア | 生成AIと著作権 |
| 問2 | ア | BYOD |
| 問3 | ウ | マクシミン戦略 |
| 問4 | イ | 短期集中型の共同開発イベント |
| 問5 | エ | ビジネスモデル特許 |
| 問6 | エ | デジタルトランスフォーメーション |
| 問7 | イ | バリューエンジニアリング |
| 問8 | ウ | IoTシステム |
| 問9 | イ | 製造間接費 |
| 問10 | エ | ブレーンストーミング |
| 問11 | エ | 著名人の肖像と顧客吸引力 |
| 問12 | エ | 業務プロセスの流れ図 |
| 問13 | ウ | 匿名加工情報 |
| 問14 | ア | 組織の社会的責任 |
| 問15 | イ | キャズム |
| 問16 | ア | 教師あり学習の正解付与 |
| 問17 | イ | AI利用時のリスク |
| 問18 | ア | コンカレントエンジニアリング |
| 問19 | ア | ASP |
| 問20 | イ | RFP |
| 問21 | ウ | サイバーセキュリティ基本法 |
| 問22 | エ | RPA |
| 問23 | イ | リスティング広告 |
| 問24 | ア | コーポレートガバナンス |
| 問25 | エ | ビッグデータの3V |
| 問26 | ア | 自己資本比率 |
| 問27 | イ | 弱いAI |
| 問28 | イ | エスクローサービス |
| 問29 | ウ | 請負契約 |
| 問30 | ア | 事業部制組織 |
| 問31 | ウ | リーン生産方式のムダ |
| 問32 | ウ | ニッチ戦略 |
| 問33 | ウ | SCM |
| 問34 | ア | IT基本計画 |
| 問題 | 正答 | 論点 |
|---|---|---|
| 問55 | ウ | IoTカメラの不正侵入対策 |
| 問56 | エ | DBMSのチェックポイント |
| 問57 | ウ | 関係データベースの外部キー |
| 問58 | ア | 構造化シナリオ法 |
| 問59 | ウ | WPA2 |
| 問60 | ア | レスポンシブWebデザイン |
| 問61 | イ | VRAM |
| 問62 | エ | ベンチマークテスト |
| 問63 | ウ | ランサムウェア被害の低減 |
| 問64 | ウ | キャリアアグリゲーション |
| 問65 | エ | DNSサーバ |
| 問66 | イ | ウィザード |
| 問67 | イ | 選択ソートの途中経過 |
| 問68 | エ | 電子メールの送受信プロトコル |
| 問69 | ウ | データベースの正規化 |
| 問70 | エ | 情報セキュリティ事象の報告 |
| 問71 | ア | リスクベース認証 |
| 問72 | イ | 外部キー制約とデータ追加順 |
| 問73 | エ | コピーレフト |
| 問74 | ア | 2進数加算の表計算式 |
| 問75 | エ | Bcc |
| 問76 | エ | LPWA |
| 問77 | ウ | サーバ室の機密性 |
| 問78 | エ | IoTデバイスのセンサー |
| 問79 | ウ | 経営者のサイバーセキュリティ責任 |
| 問80 | エ | バイオメトリクス認証の精度 |
| 問81 | ア | Bluetooth Low Energy |
| 問82 | ア | バックプロパゲーション |
| 問83 | ア | PCのマルウェア感染防止 |
| 問84 | エ | 演繹推論 |
| 問85 | エ | 素数判定プログラム |
| 問86 | エ | 差分バックアップからの復旧 |
| 問87 | ア | NAS |
| 問88 | ア | 正六角形描画プログラム |
| 問89 | イ | 脅威と脆弱性 |
| 問90 | ウ | PKI |
| 問91 | ウ | ハッシュ関数 |
| 問92 | イ | ゼロトラストセキュリティ |
| 問93 | ア | ISMSの適用範囲 |
| 問94 | イ | 物理的セキュリティ対策 |
| 問95 | イ | サニタイジング |
| 問96 | ア | APT攻撃 |
| 問97 | イ | OSSの利用条件 |
| 問98 | ウ | プロンプトエンジニアリング |
| 問99 | イ | イメージスキャナーとdpi |
| 問100 | ウ | ISMSのリスク管理 |
解説を全300問・1,200肢そろえた471ページのPDFです。 買い切りで、購入後すぐダウンロードできます。
収録した全問を試験実施団体の公表問題・正答と照合しています。照合の手順を見る →
正答 ア
既存楽曲に似せる意図があり、生成物を公衆へ公開する行為は著作権者の許諾が必要になる可能性があります。私的使用の範囲に収まる保存・視聴とは分けて判断します。
正しい組合せです。類似させる意図とインターネット公開があるaだけが該当します。
bは個人で視聴するための保存であり、設問の条件では私的使用の範囲として扱います。
cは偶然似た生成物を個人で視聴した事例です。公開や頒布をしていません。
bとcまで含めるのは広すぎます。利用目的と公開の有無を区別する必要があります。
正答 ア
BYODは従業員が私物の端末を会社の許可と管理の下で業務利用する形態です。端末所有者と業務利用の組合せが識別点です。
正しい説明です。私物端末の業務利用というBYODの要件を満たします。
ソフトウェアロボットによる定型作業の自動化はRPAです。
業務プロセスを継続的に管理・改善する考え方はBPMです。
業務を抜本的に設計し直す取組はBPRです。
正答 ウ
各戦略の最小利益を比べます。戦略aの最小値は−15、戦略bは0なので戦略bを選び、市況好転時の利益5が答えです。
−15は戦略aで市況が悪化した場合の利益です。採用される戦略ではありません。
9という利益は表にありません。最小値の比較と採用後の列参照を分けます。
最小利益が大きい戦略bを選び、好転時の5を読み取ります。
20は戦略aの好転時利益ですが、戦略aの最悪値が−15なので選びません。
正答 イ
開発者や企画者が短期間でアイデアを形にし、成果を競うイベントはハッカソンです。hackとmarathonを組み合わせた名称です。
トレードフェアは見本市や商談展示会であり、短期共同開発の催しではありません。
短期集中で企画・実装・発表まで行うハッカソンに一致します。
パネルディスカッションは複数の登壇者が討論する形式です。共同開発は行いません。
レセプションは歓迎会や公式な会合を指します。成果物を競う開発イベントではありません。
正答 エ
コンピュータを利用して具体的に実現したビジネス上の仕組みは、発明として特許法による保護の対象になり得ます。単なる着想だけでは足りません。
意匠法は物品や画像などのデザインを保護します。技術的な仕組みの保護とは異なります。
実用新案法は物品の形状・構造・組合せに関する考案を対象とします。
著作権法はプログラムの表現を保護しますが、実現された技術的アイデア自体を独占する制度ではありません。
コンピュータで具体化された技術的なビジネスモデルは特許法の対象になり得ます。
正答 エ
DXはデジタル技術の活用によって生活、組織、事業の仕組みに変革を起こすことです。単なるデータ形式の変換より広い概念です。
デジタル機器の利用機会による格差はデジタルデバイドです。
デジタル機器が身近な環境で育った世代はデジタルネイティブです。
アナログ信号をデジタル信号へ変換することはデジタイゼーションです。
技術導入を通じた社会やビジネスの変革というDXの説明です。
正答 イ
VEでは価値を機能とコストの比で捉え、価値＝機能÷コストとします。機能を高めるかコストを下げると価値が向上します。
機能をコストと機能の和で割る式はVEの定義ではありません。
価値を機能÷コストで表します。
機能とコストの積では、コスト増加でも価値が上がるため意図に合いません。
コスト÷機能は定義の逆数です。
正答 ウ
IoTはセンサーなどを備えた物がネットワークにつながり、データ収集や監視、制御を行う仕組みです。設備センサーの遠隔監視が典型例です。
ネット上で借り手と貸し手を仲介する仕組みは金融サービスであり、物の接続が中心ではありません。
投稿や通話から感情を分析する処理はテキスト・音声分析の事例です。
設備のセンサー情報をネット経由で収集し、遠隔監視しています。
オンラインストレージの提供はクラウドサービスの事例です。
正答 イ
特定の製品に直接ひも付けられる費用か、工場全体に共通して発生する費用かで区別します。電気供給設備の保守労務費だけが間接費です。
完成品の検査労務費は製品に直接対応させられるため直接労務費です。
bだけが工場全体の維持に関わる間接労務費です。
外注加工費は対象製品へ直接集計できる直接経費です。
aやcを含む組合せは、直接費を間接費に含めるため誤りです。
正答 エ
ブレーンストーミングでは批判を避け、自由な発想、量の重視、他者案への便乗を促します。選別や評価はアイデア出しの後に行います。
実現可能性だけに絞るaは自由な発想を妨げます。
aを含むため誤りです。便乗を認めるb自体は適切です。
aに加え、途中で選別するcも原則に反します。
ほかの案を発展させるbだけが適切です。
正答 エ
著名人の氏名や肖像がもつ顧客吸引力を無断で商業利用すると、パブリシティ権を侵害するおそれがあります。写真を商品として販売している点が重要です。
意匠権は登録された物品などのデザインを保護する権利です。
商標権は商品やサービスの出所を示す登録標識を保護します。
撮影者側に生じる写真の著作権とは別に、選手本人がもつ顧客吸引力が問われています。
著名選手の肖像を販売促進力として利用する行為に関係します。
正答 エ
業務手順や担当、情報の流れを可視化する記述様式がWFAです。業務プロセスの見直しに直接使えます。
CRUD図はデータに対する作成・参照・更新・削除と処理の対応を示します。
DMMは発想や情報整理に使うマトリクスで、業務フローの標準記法ではありません。
E-R図は実体と関連を表すデータモデルです。業務手順の流れ図ではありません。
WFAは業務の流れを記述し、可視化するために使います。
正答 ウ
匿名加工情報は法定の加工によって特定の個人を識別できず、元の個人情報を復元できないようにした情報です。定められた規律の下で本人同意なしに活用できます。
公開統計を加工して自社情報と結び付けただけでは、匿名加工情報の定義になりません。
復元を前提とする情報は匿名加工情報ではありません。仮名加工情報との違いにも注意します。
個人識別不能かつ復元不能という二つの要件を満たします。
氏名を取らなくても、ほかの情報で個人を識別できれば個人情報に該当し得ます。
正答 ア
ISO 26000は組織の社会的責任に関する手引です。企業の社会的責任を表す用語はCSRです。
CSRはCorporate Social Responsibilityの略です。
SDGsは持続可能な開発目標であり、企業の社会的責任そのものを表す略語ではありません。
コーポレートガバナンスは企業経営を監視・統制する枠組みです。
ソーシャルメディアポリシーは組織のSNS利用方針です。
正答 イ
革新的な製品が初期市場から主流市場へ移る際、アーリーアダプターとアーリーマジョリティの間にある大きな隔たりをキャズムと呼びます。
カニバリゼーションは自社の新商品が既存商品の売上を奪う現象です。
初期採用層から前期多数層へ普及する際の壁を表します。
死の谷は研究成果が事業化へ進む途中で資金や支援が不足する難所です。
レッドオーシャンは競争が激しい既存市場を表します。
正答 ア
学習データへ正解ラベルや意味情報を付ける作業はアノテーションです。教師あり学習では入力と正解の組を用意します。
画像の領域指定や文章の分類ラベル付与などが該当します。
エンコードはデータを所定の符号形式へ変換する処理です。
クラスタリングは正解ラベルなしで似たデータをまとめる手法です。
レンダリングはデータから画像や画面表示を生成する処理です。
正答 イ
AIには安全性、公平性、プライバシーの各リスクがあります。生命・身体への危害、差別的判断、プライバシー侵害の全てを想定します。
一部だけを挙げる組合せでは不十分です。安全性以外の影響も管理対象です。
a、b、cはいずれもAIの設計・運用で検討すべき事項です。
差別だけを対象にすると安全性とプライバシーのリスクが抜けます。
プライバシーだけを対象にすると安全性と公平性のリスクが抜けます。
正答 ア
製品開発の複数工程を並行して進め、後工程の知見も早期に反映することで開発期間や納期を短縮します。
工程の同時並行化による期間短縮が主目的です。
セキュリティ確保は重要ですが、この手法を採る直接の目的ではありません。
省エネルギー性能は製品要件であり、並行開発方式の主目的ではありません。
最新技術の採用可否と工程を並行化する考え方は別です。
正答 ア
サーバ上のアプリケーションをネット経由で利用者に提供する事業者・サービス形態はASPです。利用者は自端末への個別導入を抑えられます。
Application Service Providerの説明です。
ISPはインターネット接続サービスを提供する事業者です。
アウトソーシングは業務を外部へ委託する広い概念です。
データウェアハウスは分析用データを蓄積する仕組みです。
正答 イ
RFPは発注者が候補ベンダーへ調達条件や要求事項を示し、具体的な提案を依頼する文書です。Request for Proposalの略です。
ベンダー側から開発の必要性を提案する文書ではありません。
発注者が調達条件を示して提案を求めます。
契約後に共同作成する設計書ではなく、調達先選定前に用いる文書です。
ユーザー部門から情報システム部門への内部依頼文書ではありません。
正答 ウ
同法はサイバーセキュリティ施策の基本理念を定め、国や地方公共団体などの責務を明らかにして総合的な推進を図ります。
不正アクセスの定義と禁止は不正アクセス禁止法の説明です。
情報セキュリティ管理策の実践規範は規格・ガイドラインに関する説明です。
基本理念、関係主体の責務、施策の推進が立法趣旨です。
技術的制限手段の無効化規制は不正競争防止法などに関係します。
正答 エ
伝票入力のようなPC上の定型作業をソフトウェアロボットで自動化する手段はRPAです。
BPOは業務プロセスを外部事業者へ委託することです。
EUCは利用部門が自らシステムやツールを開発・運用する考え方です。
FAは工場の生産工程を自動化する取組です。
Robotic Process Automationの説明です。
正答 イ
検索連動型広告とも呼ばれ、利用者が入力した検索キーワードに応じて広告を表示します。検索意図に近い広告を出せる点が特徴です。
閲覧・購買履歴を使う行動ターゲティング広告の説明です。
検索キーワードと連動して表示されます。
受信許諾者への広告メール配信はオプトインメールです。
メールマガジン内の広告掲載であり、検索結果とは連動しません。
正答 ア
コーポレートガバナンスは株主などの利害関係者が経営を監視・規律付けする企業統治の枠組みです。経営の透明性と健全性を高めます。
経営者への監視・監督を中心とする企業統治の説明です。
資本調達はファイナンスに関する活動です。
統一イメージによるブランド向上はCIに関する説明です。
独自の中核能力はコアコンピタンスです。
正答 エ
ビッグデータの代表的な特徴はVolume、Velocity、Varietyです。日本語ではデータ量、生成・更新速度、多様性に対応します。
3Cは顧客・競合・自社を分析するマーケティングの枠組みです。
4Pは製品・価格・流通・販売促進のマーケティングミックスです。
5Forcesは業界の競争要因を分析する枠組みです。
三つの英単語の頭文字から3Vと呼びます。
正答 ア
自己資本比率は純資産÷総資産×100で求めます。表では純資産300百万円、総資産1,000百万円なので30％です。
300÷1,000×100＝30％です。
流動資産だけを分母にする計算ではありません。
負債合計を総資産で割ると負債比率になり、自己資本比率ではありません。
固定資産と純資産を直接比較する指標ではありません。
正答 イ
弱いAIは特定用途に特化し、意味を人間のように理解しているわけではなくても、学習結果に基づく判断を出力できます。
人間と同等の汎用知能を前提としており、強いAIの説明です。
特定課題の処理結果を示せても、人間同様の理解をもつとは限りません。
人間を超えて自律的に能力を高めるという説明は弱いAIの定義ではありません。
知識や能力を柔軟に自律適用する汎用性は強いAI側の説明です。
正答 イ
第三者が代金を一時預かりし、商品の受渡し確認後に売り手へ支払うことで、支払ったのに商品が届かないリスクを抑えます。
誤入力による入札の取消可否は取引サイトの規約や操作設計の問題です。
代金と商品の引渡しを第三者が仲介して未配送リスクを低減します。
パスワード漏えいは認証や端末・通信のセキュリティ対策で防ぎます。
受領後の自己都合解約は契約条件や消費者保護制度に関する問題です。
正答 ウ
特段の取決めがない請負では、仕事の完成と目的物の引渡しに対して報酬支払義務が生じます。プログラムの引渡し時点が該当します。
再請負に注文者の承諾が常に必要とは限りません。契約で制限する場合は別です。
欠陥への追完請求には期間などの制約があり、いつでも請求できるわけではありません。
完成した成果物の引渡しと報酬支払が対応します。
完成前の解除では、注文者が請負人に生じた損害を賠償する必要があります。
正答 ア
事業部制では製品・事業ごとに購買、開発、販売などの機能をまとめ、それぞれに責任をもたせます。X事業とY事業が別々の購買組織をもつ事例が該当します。
事業単位で必要な機能を備える事業部制の構造です。
機能ごとに全事業を横断して担当する職能別組織です。
製品軸と地域軸の二人の上司をもつマトリックス組織です。
特定目的のため一時的に人材を集めるプロジェクト組織です。
正答 ウ
ムダは顧客価値を生まない待ち、運搬、過剰加工、在庫などです。能力や身体への過度な負担を指すムリ、ばらつきを指すムラと区別します。
担当者ごとの品質差はばらつきであり、ムラに当たります。
組織能力を超える負荷はムリです。
待機や必要以上の加工は付加価値を生まないムダです。
身体へ過度な負担をかける作業はムリです。
正答 ウ
ニッチ戦略は大手が狙いにくい狭い市場へ経営資源を集中し、独自性で優位を築きます。固有技術を生かした高級レストラン向け製品が該当します。
大量市場へ低価格で広く販売するコストリーダーシップ戦略です。
経営統合によって市場シェア首位を狙う規模拡大型の施策です。
限定市場と独自加工技術に集中しています。
縮小市場からの撤退であり、特定市場へ集中する成長戦略ではありません。
正答 ウ
SCMは調達・製造・物流・販売を供給連鎖全体で管理し、在庫や待ち時間を減らして全体最適を図ります。
CRMは顧客との関係を管理し、顧客価値や収益性を高める取組です。
POSは販売時点の情報を記録・集計する仕組みです。
供給者から消費者までの一連の流れを最適化します。
SFAは営業活動の情報共有や効率化を支援します。
正答 ア
IT基本計画では利活用に関わるステークホルダと、現在・将来の組織ニーズへの対応を明確にします。個別の運用手順や業務要件の合意は別工程で具体化します。
aとbが基本計画で明確にする事項です。
cのインシデント管理手順は運用管理で定める具体的な手順です。
dの業務要件と優先順位は要件定義で合意する内容であり、ここでは含めません。
cとdを含む組合せは、基本計画より詳細な活動を混在させています。
正答 エ
経営陣はITの効果をモニターし、戦略実現に必要な責任と資源を指示し、複数案を評価します。専門家を使っても最終的な説明責任は経営陣に残ります。
aは責任まで外部へ全面委譲しており不適切です。経営陣の説明責任は移せません。
bは効果の達成度を把握するモニター活動として適切ですが、ほかの適切な記述が抜けます。
bとcは適切ですが、外部専門家の分析を材料に将来像を評価するdも含まれます。
b、c、dが評価・指示・モニターに対応します。
正答 ウ
導入対象は契約で定めた範囲に限り、想定外の状況では発注者と合意して安全に復旧します。現場判断で契約外作業を無償実施してはいけません。
aは契約外PCを対象外とする適切な行動ですが、cも適切です。
bは依頼があっても契約変更や費用の合意なしに無償対応しており不適切です。
契約範囲を守るaと、発注者の合意を得て復旧するcが適切です。
bを含む組合せは契約管理を欠くため誤りです。
正答 エ
計画初期に短時間で概算を出すなら、規模や条件が似た過去プロジェクトの実績を基にする類推見積りが適します。詳細情報が少ない段階でも使えます。
FP法は機能数を洗い出して規模を測るため、初期の短期概算より作業が必要です。
作業ごとのコストを積み上げるボトムアップ見積りは詳細なWBSが必要です。
コード行数による見積りは言語や設計の情報が必要で、計画初期には不確かです。
類似案件の実績から迅速に概算します。
正答 イ
要求が明確で変更が少ない開発では、工程を順に完了させるウォーターフォールモデルが適します。各工程の成果物と承認点を明確にできます。
アジャイル開発は要求変化へ反復的に対応する場合に適します。
仕様が安定している条件と工程順序型の開発が合います。
スパイラルモデルはリスク分析を繰り返しながら段階的に開発します。
プロトタイピングは試作品で要求を確認するため、要求が曖昧な場合に有効です。
正答 ウ
WBSはプロジェクトの成果物と、それを作るための作業を管理可能な単位まで階層的に分解したものです。日程、担当、費用の計画基盤になります。
クリティカルパスだけを記載するものではありません。全作業から経路を分析します。
主要な予定日を示すものはマイルストーン計画に近い説明です。
全成果物に必要な作業を階層分解します。
ツール一覧は資源管理資料でありWBSではありません。
正答 ア
内部統制は業務の有効性・効率性、財務報告の信頼性、法令遵守、資産保全を確保する組織的な仕組みです。重大な決算誤りを速やかに公表する対応は財務報告の信頼性回復に関わります。
重大な財務報告上の誤りに対し、透明性を確保する統制上の対応です。
起票者と承認者を同一にすると職務分掌が働かず、不正や誤りを発見しにくくなります。
全リスクを回避するのは現実的でなく、低減・移転・保有も含めて選択します。
直属上司だけを通す制度では通報が阻害される可能性があり、独立した窓口が必要です。
正答 ウ
取締役会が規範を定めても実践しなければ、組織に倫理的な行動は定着しません。方針の提示だけでなく、行動と監督でリーダーシップを示す必要があります。
担当部門へ権限委譲しても、取締役会の最終責任は残ります。担当部門へ最終責任を移す考え方は不適切です。
期待値の設定は取締役会の役割です。関与を避ける方が目的とのずれを招きます。
規範と実践が一致しないことによるリーダーシップ上のリスクです。
ITガバナンス方針を明示すること自体は必要であり、部門偏重の原因とは限りません。
正答 イ
サービスデスクは稼働中のITサービスについて、利用者からの問合せや障害報告を一元的に受け付ける窓口です。利用者とサービス提供側の単一窓口になります。
受入テストだけの不具合窓口に限定されません。
システム稼働後の利用者窓口という役割に一致します。
開発者向けの質問窓口ではなく、サービス利用者を支援します。
要件定義で要求を収集する窓口とは役割と時期が異なります。
正答 イ
短い期間ごとに優先度の高い機能を実装し、継続的にリリースする進め方はアジャイル開発です。変化する候補一覧を反復単位で扱います。
DevOpsは開発と運用の連携・自動化を重視する文化と実践であり、設問が問う開発モデルの中心ではありません。
2週間ごとの反復と優先順位による逐次リリースが特徴です。
ウォーターフォールは工程を順に完了させ、短期反復を基本としません。
リバースエンジニアリングは既存システムを解析して仕様などを把握する活動です。
正答 イ
導入前は1,000件×2分＝2,000分です。導入後の人手対応は割当て不能100件×2分と、割当てミス45件×4分で380分となり、削減率は(2,000−380)÷2,000＝81％です。
80％ではありません。自動割当ての成功率だけでなく、誤割当ての再対応時間も計算します。
人手時間380分を基に削減率81％を得ます。
85％は誤割当て件数または処理時間の扱いが不足しています。
86％は自動化率をそのまま時間削減率として扱うなどの誤りです。
正答 イ
プロジェクト憲章は新規プロジェクトの存在を正式に認可し、プロジェクトマネージャーへ組織資源を使用する権限を与える文書です。
ステークホルダ登録簿は関係者の情報や関心、影響度を記録します。
プロジェクトの正式な発足を認可します。
スコープ記述書は成果物や対象範囲、除外事項を具体化する文書です。
リスク登録簿は識別したリスク、分析、対応策などを管理します。
正答 ウ
問題管理はインシデントの根本原因を調査し、再発防止や恒久対策を進めるプロセスです。早期復旧を優先するインシデント管理と区別します。
ハードウェアやソフトウェアの構成情報維持は構成管理です。
計画外中断から迅速に復旧する活動はインシデント管理です。
根本原因の調査と解決策の提示が問題管理です。
修正の計画と確実な実施は変更管理に関係します。
正答 ウ
システム監査は情報システムに関するリスクへの対応が適切かについて、独立した立場で検証・評価します。対象は情報システムの有効性、効率性、信頼性、安全性などです。
情報漏えいリスク管理に焦点を当てた検証は情報セキュリティ監査です。
財務諸表に至る処理の適正性は会計監査です。
情報システムに係るリスク対応を検証します。
組織の諸業務全般の合理性・効率性を検証するのは業務監査です。
正答 ウ
発生事象の一時復旧はインシデント管理、原因究明は問題管理です。監視頻度や増設手続の仕組み自体を変えるcとdが、管理システムの改善に当たります。
aは当面の業務を継続するための復旧対応です。bは根本原因を扱う問題管理です。
cは改善ですが、dも容量管理の仕組みを改める改善に含まれます。
タイムリーな監視と即時の増設手続に変えるc、dが該当します。
bは問題管理であり、改善項目だけの組合せではありません。
正答 ア
会議では目的・議題・開始終了時刻を事前に定め、決定事項と担当を議事録で関係者へ共有します。参加者は議題に必要な人へ絞ります。
決定事項を記録し、必要な関係者へ共有する基本動作です。
終了時刻を決めない会議は議論の拡散と長時間化を招きます。
全会議へ全員を参加させると時間を浪費します。議題に必要な参加者を選びます。
議題は開始前に設定・共有し、参加者が準備できるようにします。
正答 ウ
前提関係だけでなく、同時に利用できる要員が3名という制約を反映して作業を配置します。競合する作業をずらして最短日程を組むと15日です。
9日では前提作業と要員競合を同時に満たせません。
12日は前提関係だけを見た場合に近く、要員不足による待ちが抜けています。
3名の要員制約を満たす最短配置は15日です。
18日は実行可能でも、並行できる作業まで直列化しており最短ではありません。
正答 エ
収集した監査証拠を評価し、外部媒体の管理状況について監査意見を形成するのは最終の評価段階です。調査前の計画や証拠収集とは分けます。
監査計画は目的、範囲、方法、日程などを定める段階です。
予備調査は対象の概要を把握し、本調査の重点を決める段階です。
本調査は質問、観察、資料閲覧などで監査証拠を収集する段階です。
収集結果に基づいて評価し、監査意見をまとめます。
正答 ア
利用者は開発者がまとめたシステム要件をレビューし、業務上の要求を正しく反映しているか妥当性を確認します。技術的な実現性の検証は主に開発者側の役割です。
利用者の業務視点で要件の妥当性を確認します。
全てを開発者へ任せると業務要求とのずれを発見できません。
保守可能性の技術的評価は開発・運用側の専門的な役割です。
技術的実現性の検証は開発者が中心となって行います。
正答 イ
SLAの計画、交渉、合意、監視、測定、報告を通じてサービス水準を管理する活動はサービスレベル管理です。SLAは活動ではなく合意文書です。
アウトソーシングは業務を外部へ委託する形態であり、SLA管理活動の名称ではありません。
サービス水準の合意から測定・改善までを管理します。
SLAはサービス提供者と顧客が合意した水準を記載する契約・合意です。
リエンジニアリングは業務プロセスを抜本的に再設計する取組です。
正答 ウ
ファシリティマネジメントは建物、設備、執務空間を経営資源として最適化します。オフィスレイアウトや会議設備、床面積を見直すbとcが該当します。
aはソフトウェアの保守と情報セキュリティ管理であり、施設・空間の改善ではありません。
bは該当しますが、出社率に応じて空間を最適化するcも含まれます。
bとcはいずれもオフィス設備・空間の有効活用です。
dは人事・勤務制度の改善であり、施設管理そのものではありません。
正答 ウ
映像の盗み見は第三者による不正侵入の脅威です。出荷時の初期パスワードを使い続けず、推測されにくい固有のパスワードへ変更します。
DDoS攻撃はサービスを利用不能にする攻撃です。映像閲覧のための侵入とは異なります。
有線回線を避けることは認証対策にならず、DDoS攻撃の分類も適合しません。
不正侵入に備えて初期パスワードのまま利用しない組合せです。
有線回線の利用有無だけでは第三者の認証突破を防げません。
正答 エ
チェックポイントはメモリ上の更新結果を補助記憶装置へ書き出す処理、またはその時点です。障害復旧時は直近のチェックポイント以降のログを中心に再実行できます。
正常終了したトランザクションの確定はコミットです。
処理開始前の状態へ戻す操作はロールバックです。
互いのロック解除を待ち続ける状態はデッドロックです。
更新内容をまとめて外部記憶へ反映する時点を指します。
正答 ウ
成績表の学生番号は学生表、科目コードは科目表の主キーを参照します。存在しない学生や科目を成績へ登録させない参照整合性を保ちます。
親表側の主キーを外部キーとして設定する説明ではありません。
科目名は科目表の主キーではなく、学生表とも対応しません。
成績表の学生番号と科目コードが二つの親表を参照します。
成績値はほかの表の主キーを参照しないため外部キーではありません。
正答 ア
UXデザインの構造化シナリオ法では、価値を扱うバリューシナリオ、活動を扱うアクティビティシナリオ、具体的な操作を扱うインタラクションシナリオを段階的に作ります。
バリュー、アクティビティ、インタラクションの三つがそろいます。
ペルソナは想定利用者像であり、三つのシナリオの名称には含まれません。
インタラクションシナリオが抜け、代わりにペルソナを含むため誤りです。
アクティビティシナリオが抜け、ペルソナを含むため誤りです。
正答 ウ
WPA2は無線LANの認証と暗号化を行い、盗聴や不正利用を防ぐためのセキュリティ規格です。
複数アンテナで高速化する技術はMIMOです。
アクセスポイント名を見えにくくする機能はSSIDステルスです。
WPA2は通信データを暗号化します。
登録MACアドレスだけを許可する機能はMACアドレスフィルタリングです。
正答 ア
画面幅や端末特性に応じてレイアウトを変化させ、PCやスマートフォンで見やすさと操作性を保つ設計手法です。
一つのWebページが表示領域に応じて柔軟に変化します。
利用者に近い配信サーバを選ぶ仕組みはCDNです。
端末センサーのデータを利用する機能はレスポンシブデザインの定義ではありません。
マウスを重ねた際の説明表示はツールチップです。
正答 イ
VRAMは画面に表示する画像データを保持する専用メモリです。解像度、色数、描画処理の性能に関係します。
EEPROMは電気的に書換え可能な不揮発性メモリです。画面専用ではありません。
Video RAMとして画面表示データを保持します。
キャッシュメモリはCPUと主記憶の速度差を補います。
フラッシュメモリは電源を切っても内容を保持する記憶媒体です。
正答 エ
ベンチマークテストは標準的な処理を行う評価用プログラムを対象システムで実行し、処理時間などを測って比較します。実機上の共通尺度が要点です。
別の疑似システムで同じ業務を動かす方法では、評価対象そのものの性能を測れません。
モデルを疑似環境で動かす方法はシミュレーションに近い説明です。
仕様値を机上で積算するだけでは実測ベンチマークになりません。
標準処理を対象システム上で実行して性能を測ります。
正答 ウ
ランサムウェアでファイルが暗号化・破壊されても、切り離して保管した正常なバックアップがあれば復旧できます。バックアップ自体も感染されない構成が必要です。
UPSは停電時の電源を確保しますが、ファイル暗号化への復旧策ではありません。
通常のデータ暗号化は機密性を守りますが、ランサムウェアによる利用不能を回復できません。
世代管理したオフライン・別環境のバックアップが被害低減に有効です。
ログインパスワード変更だけでは、メール添付や脆弱性を使う感染経路を防ぎ切れません。
正答 ウ
複数の異なる周波数帯の搬送波を束ね、広い帯域として同時利用することで移動通信を高速化します。
移動時に接続基地局を切り替える技術はハンドオーバです。
暗号化や認証を強化する技術の名称ではありません。
複数のキャリアを束ねて通信帯域を拡大します。
無線LANでアクセスポイントを介する通信形態はインフラストラクチャモードです。
正答 エ
DNSはドメイン名とIPアドレスを対応付け、名前解決と逆引きを行います。Webサイトの名前を通信先アドレスへ変換する役割です。
PCの代理でWebアクセスを中継するのはプロキシサーバです。
ファイル転送要求を受けるのはFTPサーバなどです。
IPアドレスやネットワーク設定を自動配布するのはDHCPサーバです。
ドメイン名とIPアドレスを相互に変換します。
正答 イ
ウィザードは画面の質問に順番に答えることで、複雑な設定や操作を段階的に完了できる支援機能です。
アーカイブは複数ファイルをまとめたり長期保存したりする処理です。
対話形式で操作手順を案内します。
オートコンプリートは入力途中の文字列から候補を補完します。
ポップアップウィンドウは前面に一時表示される小画面です。
正答 イ
最小値を未整列部分の先頭へ移す選択ソートです。初回で1,5,3,2,4、2回目で1,2,3,5,4となり、3回目は3が既に正しいので1,2,3,5,4です。
1,2,3,4,5は4回目まで進めた最終状態です。
j＝3の入替え後も1,2,3,5,4のままです。
降順に近い並びであり、昇順の選択ソート過程ではありません。
入力を逆順にした並びであり、プログラムの比較・交換結果と一致しません。
正答 エ
メール送信にはSMTP、メール受信にはIMAP4またはPOP3を使います。IMAP4はメールをサーバ側で管理しながら閲覧できます。
IMAP4もPOP3も受信用で、送信プロトコルがありません。
送信と受信の役割が逆です。
POP3は受信用、SMTPは送信用なので列が逆です。
送信SMTPと受信IMAP4の組合せです。
正答 ウ
正規化はデータ重複を減らして更新時の矛盾を防ぎ、一貫性を保つために行います。段階を進めると一つの表を役割ごとの複数表へ分割します。
圧縮率向上が主目的ではありません。表の分割方向だけが合っています。
目的も処理方向も誤りです。正規化は表を統合する操作ではありません。
一貫性を保つため一つの表を複数表へ分割します。
一貫性は正しいものの、複数表を一つに統合する説明が逆です。
正答 エ
情報セキュリティ事象を速やかに適切な管理者へ報告できるよう、連絡経路と手順を事前に整備します。報告後に評価し、インシデントかを判定します。
臨機応変さだけに頼らず、対応手順を事前に文書化して訓練します。
得られた知識は再発防止と管理策の改善に活用します。
事象の全てが直ちにインシデントとなるわけではなく、評価と分類が必要です。
事前に報告経路と仕組みを用意します。
正答 ア
普段と異なる端末、場所、時刻などからリスクを評価し、高リスク時だけ追加認証を求める方式です。通常時の利便性を保ちながら安全性を高めます。
未知のPCからのログインを高リスクと判定し、秘密の質問を追加しています。
無操作時間による自動ログアウトはセッション管理です。
連続失敗によるロックは総当たり攻撃への対策です。状況に応じた追加認証ではありません。
長期間未変更のパスワードに対する変更通知はパスワード運用です。
正答 イ
口座表は顧客番号で顧客表を参照し、取引明細表は口座番号で口座表を参照します。親となる顧客、次に口座、最後に取引明細の順で追加します。
口座を先に追加すると、参照先となる顧客がまだ存在せず外部キー制約に反します。
顧客→口座→取引明細の順に親から子へ登録します。
取引明細を口座より先に登録すると参照先口座が存在しません。
最も子側の取引明細から追加する順序では、外部キー制約を満たせません。
正答 エ
コピーレフトは利用・改変・再配布の自由を守るため、派生物を配布する際にも同じ条件のライセンス適用を求める考え方です。
著作権を放棄する考え方ではありません。著作権に基づく条件で自由を守ります。
無償提供を義務付けるものではなく、有償配布も可能です。
同じライセンスが求めるソース公開条件を外して派生物を配布することはできません。
派生物にも元と同じライセンスを適用します。
正答 ア
2の位の合計は0、1、2、3のいずれかです。結果ビットは合計が0または1ならその値、2なら0、3なら1となるため、2で割った余りと同じ規則になります。
合計が2未満なら合計値、2なら0、それ以外の3なら1を返します。
合計2のとき1を返すため、2進数の桁上がり後の下位ビットになりません。
条件の向きが逆で、合計0や1を正しく返せません。
合計3のとき合計値を返してしまい、1ビットの出力になりません。
正答 エ
Bccに指定した宛先はメールを受信できますが、そのアドレスはToやCcの受信者へ表示されません。複数の相手へ互いのアドレスを隠して送る場合に使います。
Bcc受信者にもToとCcの宛先は通常表示されます。
Bccは宛先の表示制御であり、自動暗号化の機能ではありません。
添付ファイルを削除する機能ではありません。
To・Cc受信者からBcc宛先は見えません。
正答 エ
LPWAは少量データを長距離へ低消費電力で送るIoT向け通信です。無線LANより広い範囲をカバーし、4Gより少ない電力で動作します。
通信範囲も消費電力もLPWAの特徴と逆です。
低消費電力は合っていますが、通信範囲は無線LANより広い方式です。
広域は合っていますが、消費電力は4Gより少ない方式です。
広域かつ低消費電力の組合せです。
正答 ウ
虹彩認証を追加して無許可の人の入室を防ぐ対策は、情報へアクセスできる者を制限する機密性を高めます。暗証番号との多要素化にもなります。
可用性は必要なときに情報やサービスを利用できる性質です。
完全性は情報が正確で改ざんされていない性質です。
権限のない人による情報への接触を防ぎます。
否認防止は行為の事実を後から否定できないよう証拠を残す性質です。
正答 エ
外気温という物理量を電気信号へ変換する部品はセンサーです。得た信号を処理・送信し、サーバ側の判断に利用します。
アクチュエータは信号を受けて窓の開閉など物理的な動作を行います。
エッジコンピューティングは端末に近い場所でデータ処理を行う構成です。
キャリアアグリゲーションは複数周波数帯を束ねて通信を高速化します。
温度を電気信号へ変換する入力部品です。
正答 ウ
経営者は方針、予算、人材、実施状況の確認に主体的に関与し、自らリーダーシップを発揮します。担当者や外部専門家へ実務を任せても責任は残ります。
部門担当者へ方針策定と実行を全て任せると、全社リスクとの整合が取れません。
CISOの任命は有効ですが、実行と判断を全て任せて経営者が関与しないのは不適切です。
資源配分と監督を含めて経営者が主導します。
外部専門家は支援できますが、権限と責任を全面的に移すことはできません。
正答 エ
安全性を重視するなら他人受入率を低くし、利便性を重視するなら本人拒否率を低く設定します。一般に一方を厳しくすると他方が上がりやすい点も重要です。
他人受入率が高い設定は第三者を通しやすく、安全性が低下します。
他人受入率が高い時点で安全性重視とはいえません。
本人拒否率が高い設定は正当な本人を拒みやすく、利便性を損ないます。
安全性は他人受入率を低く、利便性は本人拒否率を低くします。
正答 ア
BLEはBluetooth規格に含まれる低消費電力通信です。センサーやウェアラブル機器など、少量データを省電力で近距離送信する用途に適します。
Bluetooth Low Energyの略です。
LPWAは広域・低消費電力の通信方式群で、Bluetooth規格の一部ではありません。
LTEは携帯電話網の移動通信規格です。
PLCは電力線を通信回線として使う技術です。
正答 ア
出力と正解の誤差を出力層から入力側へ逆向きに伝え、各結合の重みを調整して誤差を小さくします。
誤差に対する各重みの寄与を計算して更新します。
活性化関数そのものを選ぶ処理ではなく、主に結合重みを学習します。
ノード数の変更はネットワーク設計であり、通常の誤差逆伝播の更新対象ではありません。
処理速度を上げるためにノード数を変える手法ではありません。
正答 ア
OSの既知脆弱性を修正するセキュリティパッチは、攻撃コードによる感染を防ぐ基本対策です。ディスクやログインのパスワードは不正利用対策ですが、感染経路の封鎖にはなりません。
aだけがマルウェアに悪用されるOS脆弱性を直接解消します。
bは起動やディスク利用の制限に役立ちますが、実行中OSへの感染防止ではありません。
cはアカウント不正利用を防ぐ対策で、マルウェア感染そのものを防ぎません。
bとcを含む組合せは、感染防止と認証対策を混同しています。
正答 エ
演繹推論は一般的な規則と個別事実から、論理的に個別の事実を導きます。「全ての記憶装置は記憶容量をもつ」と「HDDは記憶装置」から導く例が該当します。
HDDの性質をSSDへ類推しており、演繹として必要な一般規則がありません。
結果から原因となる関係を推測する仮説形成に近い推論です。
複数の個別例から一般則を作る帰納推論です。
一般則と個別事実から必然的な個別命題を導きます。
正答 エ
2未満は素数でないのでaは「より小さい」です。2以上ではdivを2から増やし、numがdivより大きい間だけ割り切れるか調べるためbは「より大きい」です。
2以下をfalseにすると素数2まで除外してしまい、等しい条件では十分に除数を試せません。
bは合いますが、aが2以下なので2を誤判定します。
aは合いますが、numとdivが等しい場合だけを繰り返す条件では探索できません。
aは「より小さい」、bは「より大きい」です。
正答 エ
差分バックアップは直近のフルバックアップ以降の全変更を含みます。火曜終了時点へ戻すには、土曜のフルと火曜の差分の二つだけで足ります。
差分だけでは土曜時点の元データがないため復旧できません。日曜・月曜の差分も不要です。
火曜の差分だけでは基準となるフルバックアップがありません。
復旧はできますが、日曜と月曜の差分は火曜差分に含まれるため最低限ではありません。
土曜フルへ火曜差分を適用します。
正答 ア
NASはネットワークへ直接接続し、複数のPCやスマートフォンからファイル共有に利用できる記憶装置です。
Network Attached Storageの説明です。
記録位置に直接アクセスする方式はランダムアクセスの説明です。
複数ディスクを一体運用して高速化・冗長化する技術はRAIDです。
無線LANを識別する文字列はSSIDです。
正答 ア
正六角形は外角60度で6辺を描きます。カウンタを0で始め、描画後に1を足し、6未満なら繰り返すと処理は6回です。
a＝0、b＝60度で六つの辺を閉じます。
120度は内角であり、進行方向を右へ変える外角ではありません。
a＝1では条件判定までの繰返し回数が5回になり、辺が一つ不足します。
開始値と回転角の両方が合いません。
正答 イ
情報資産へ望ましくない影響を及ぼす可能性のある原因が脅威であり、その影響を受けやすくする弱点が脆弱性です。
インシデントは実際に発生した、または発生が疑われる事象です。リスクは組合せの右側に適しません。
原因が脅威、弱点が脆弱性です。
脆弱性とインシデントでは、原因と弱点の定義に一致しません。
リスクは脅威が脆弱性を利用した際の損失可能性であり、二語の位置が異なります。
正答 ウ
PKIでは信頼された認証局が公開鍵と所有者情報を結び付けた電子証明書を発行し、その正当性を保証します。
PKIが証明する中心対象は共通鍵ではなく、公開鍵とその所有者の対応です。
信頼の輪はWeb of Trustの考え方で、認証局を中心とするPKIとは異なります。
認証局が電子証明書の正当性を保証します。
秘密鍵は所有者が秘密に管理し、公開してはいけません。
正答 ウ
同じハッシュ関数へ同じデータを入力すれば、常に同じ固定長のハッシュ値が得られます。元データへの逆変換が困難な一方向性も特徴です。
ハッシュ値を再入力しても元データは復元できません。
異なるハッシュ関数は出力長や計算方法が異なり、同じ値になるとは限りません。
入力と関数が同じなら出力も同じです。
実用的に逆算できる逆関数が存在するという説明は一方向性に反します。
正答 イ
ゼロトラストはネットワークの内外だけで信頼を決めず、全てのアクセスを都度検証します。内部からのアクセスにも二要素認証を求める例が適合します。
境界内を信頼する従来型の境界防御を中心とした考え方です。
接続元が内部か外部かにかかわらず認証を要求します。
パッチの迅速適用は重要ですが、全アクセスを検証する考え方の直接例ではありません。
内部PCを一律に信頼し、一部だけへ対策する構成はゼロトラストに反します。
正答 ア
ISMSでは最初に組織、拠点、業務、情報資産などの適用範囲を決めます。範囲が定まってから、その中のリスクを評価し、対応策と監査へ進みます。
リスク評価の対象境界を先に確定します。
リスクアセスメントは適用範囲を決定した後に実施します。
リスク対応はアセスメントで優先度を決めた後に選択します。
内部監査はISMSを運用した後、その適合性と有効性を確認します。
正答 イ
遠隔地へバックアップシステムを配置する対策は、災害による同時被災を避ける設備・立地上の物理的対策です。
規則の制定と教育は人的セキュリティ対策です。
遠隔地の設備によって災害時のサービス継続性を確保します。
攻撃手法や対策の周知は人的セキュリティ対策です。
マルウェア対策ソフトは技術的セキュリティ対策です。
正答 イ
利用者の入力に含まれる制御文字や命令として解釈される文字を無害化し、SQLインジェクションなどの誤動作を防ぐ処理をサニタイジングと呼びます。
MACアドレスフィルタリングは通信機器の識別子に基づく接続制限です。
有害な文字列を安全な表現へ置換します。
ストライピングはデータを複数ディスクへ分散して書き込む方式です。
ソーシャルエンジニアリングは人の心理や隙を突いて情報を得る手口です。
正答 ア
APT攻撃は特定組織や個人を狙い、複数の手法を組み合わせて長期間潜伏・継続する標的型攻撃です。
Advanced Persistent Threatの持続的・標的型という特徴に一致します。
DDoS攻撃は多数の端末から大量通信を送り、サービスを利用不能にします。
ゼロデイ攻撃は修正前の未知・未対策脆弱性を悪用します。
パスワードリスト攻撃は他所から漏れた認証情報を使い回してログインを試みます。
正答 イ
OSSは有償配布もでき、修正版の公開もできます。一方、利用分野を制限する条件はオープンソースの定義に反します。したがってaとcが適切です。
aは適切ですが、修正版を公開するcも適切です。
有償提供のaと修正版公開のcが認められます。
bは特定分野だけに利用を制限するため、OSSの条件を満たしません。
bを含む組合せは誤りです。OSSは特定の利用分野を差別してはいけません。
正答 ウ
生成AIなどから意図した出力を得るため、指示内容、前提情報、例、制約、出力形式を設計・改善する技術です。
多数のデータから規則を獲得する説明は機械学習です。
入力待ちを示す画面上の記号はプロンプト表示ですが、プロンプトエンジニアリングではありません。
質問や指示を工夫して出力品質を高めます。
神経細胞を模した計算モデルはニューラルネットワークです。
正答 イ
紙面へ光を当てて文字や図形を画像データとして取り込む装置はイメージスキャナーです。読み取り解像度は1インチ当たりの点数を表すdpiで示します。
装置は合っていますが、bpsは1秒当たりのビット数を表す通信速度の単位です。
イメージスキャナーとdpiの組合せです。
スクリーンリーダーは画面上の文字などを音声で読み上げる支援ソフトです。
装置が違います。dpiは解像度の単位ですがスクリーンリーダーの性能指標ではありません。
正答 ウ
ISMSは情報資産を特定し、機密性・完全性・可用性に関するリスクを分析・評価して、適切な管理策を運用・改善する仕組みです。
業務プロセスのコストや品質を改善する活動はBPRや業務改善に関係します。
ITサービス品質の継続的改善はITサービスマネジメントの活動です。
情報資産の洗出しとリスク評価・管理がISMSの中心です。
開発プロセスの成熟度評価と改善はCMMIなどに関係します。
出典は独立行政法人情報処理推進機構（IPA）が公開したITパスポート試験 令和8年度の公開問題と解答例です。解説は資格Hubが用語の定義と計算で確かめて書いたもので、IPAとは関係ありません。