応用情報技術者の「情報セキュリティ」｜頻出用語・科目A過去問対策

情報セキュリティの用語は、意味だけでなく「何を守るか」「どのように動くか」を組み合わせて覚えましょう。用語を確認したあとに問題を解き、似た選択肢の違いを説明できるか確かめると、復習する箇所を絞れます。

管理人のさめじんは、応用情報技術者試験に完全独学で一発合格した経験があります。この記事は、その学習時にも整理が必要だった通信・暗号・認証・攻撃手法などの用語を見直すための学習メモです。

2026年度の試験はCBTで実施され、旧午前を科目A、旧午後を科目Bと呼びます。用語の暗記に加え、問題文の条件を読み、解答する練習も進めてください。最新の出題範囲・操作案内はIPAの実施案内で確認できます。

情報セキュリティの用語一覧

ARP

IPアドレスから、MACアドレスを求めるためのプロトコルのこと。

さめじんと仕組みを整理

ARP：IPv4アドレスに対応するMACアドレスを調べる

① 問い合わせる端末Aが、同じLAN内へ「端末BのIPアドレスを持つ相手は？」と問い合わせます。通常のARP要求はブロードキャストです。

② 相手が答える端末Bが、自分のMACアドレスを端末Aへ返します。ここでは直接返信する一般的な例を示しています。

③ 対応を記憶する端末Aは「端末BのIP ↔ 端末BのMAC」の対応をARPキャッシュに記録して通信に使います。

向きは IP → MAC。ホスト名からIPアドレスを調べるDNSとは役割が違います。

IT資産管理

組織内にあるハードウェア、ソフトウェア、ドキュメントなどの資産に関する情報を管理すること。

さめじんと仕組みを整理

IT資産管理：対象と管理情報を台帳で結び付ける

管理する対象の例PC・サーバなどのハードウェア／ソフトウェア・ライセンス／文書・手順書。

台帳の情報の例識別番号、利用者・管理者、設置・保管場所、ソフトウェアの版や利用状況など。

変更したら更新導入・移動・更新・廃棄の際に台帳も見直し、管理対象の把握につなげます。

「物を持っている」だけでなく、どこで・誰が・何を使っているかを把握する視点で整理しましょう。

UDP

コネクションレスでデータグラムを送受信するトランスポート層のプロトコルです。到達や順序、再送をUDP自体は保証しません。一方、誤り検出のためのチェックサム欄はあります。TCPとの違いを「誤り検出がない」と覚えないようにしましょう。

確認した一次情報

XML

文書やデータ構造を記述するための言語

さめじんと仕組みを整理

XML：タグでデータの構造を表す

<献立>
  <朝ごはん>煮魚</朝ごはん>
  <昼ごはん>焼き魚</昼ごはん>
  <晩ごはん>フライ</晩ごはん>
</献立>

開始タグと終了タグを対応させ、要素を入れ子にします。文書全体を包むルート要素は1つです。

インシデント管理

ITサービスを阻害する要因が発生したとき、その影響を最小限に留めるための活動

さめじんと仕組みを整理

インシデント管理：サービスへの影響を抑えて復旧する

① 検知・受付サービスの停止や品質低下を把握し、状況を記録します。

② 優先度を判断影響を受ける範囲や緊急度を確認し、対応する順序を決めます。

③ 対応・復旧必要な担当者へつなぎ、サービスを使える状態へ戻します。

④ 記録・振り返り対応内容を共有し、再発防止や改善へつなげます。

中心はサービスへの影響の最小化と復旧です。原因を継続して分析する問題管理との役割の違いも押さえましょう。

ウイルス

ほかのプログラムやファイルに自分のコピーを組み込み、感染先が実行されることで活動・増殖するマルウェアの一種です。単にコンピュータへ悪影響を与えるプログラム全般を指す用語とは区別します。

確認した一次情報

セッション管理

クライアントとサーバ間で通信を行う際に、サーバが通信相手と処理の状態を制御する機能

さめじんと仕組みを整理

セッション管理：IDとサーバ側の状態を対応させる

① 認証・IDの発行ログインを確認したサーバが、セッションIDを発行します。

② IDを付けて通信Cookieを使う方式では、ブラウザが次のリクエストにもIDを送ります。通信路はHTTPSで保護します。

③ 状態を参照サーバはIDに対応する利用者や処理の状態を参照します。期限やログアウトに応じて無効化します。

この図はサーバ側で状態を持つCookie方式の一例です。セッションIDをパスワードそのものとして覚えないようにしましょう。

ログ管理

いつ誰がどのような処理を行ったかといったアクセスや通信履歴を記録し、保存する機能のこと。

さめじんと仕組みを整理

ログ管理：出来事を記録し、保管・確認できるようにする

① 生成・収集端末・サーバ・アプリなどの出来事を集めます。

② 保存・保護閲覧権限や保存期間、改ざんへの備えを考えて管理します。

③ 確認・分析へ障害調査や不審な動作の確認に記録を使います。

記録項目の例：時刻 ／ 利用者・端末 ／ 操作 ／ 成功・失敗などの結果

ログ管理は記録・保管の仕組み、ログ分析は記録から事象を読み取る作業、と役割を分けて整理できます。

MXレコード

ドメイン宛ての電子メールを受け取るメールサーバのホスト名と優先度を指定するDNSレコードです。優先度の数値が小さい方を優先します。

確認した一次情報

PTR RECORD

IPアドレスからホスト名を求めるときに使用する定義情報のこと。

さめじんと仕組みを整理

IPv4の説明用の例です。ホスト名はメールアドレスではありません。正引きと逆引きの登録は別なので、必ず相互に一致するとは限りません。

SMTP

電子メールを送信するためのプロトコルのこと。

さめじんと仕組みを整理

SMTPはIPアドレスからホスト名を調べる仕組みではありません。受信者がメールボックスの内容を閲覧するIMAPとも役割が異なります。

SPF

メール送信元のIPアドレスが、SMTPで示されたドメインを使って送信することを許可されているか、DNS上のポリシーで確認する仕組みです。詳しくは、後の「SPF（Sender Policy Framework）」も参照してください。

確認した一次情報

SQLインジェクション

入力した値がSQL文の命令や条件の一部として解釈される脆弱性を悪用し、意図しないデータの参照や変更などを引き起こす攻撃です。下の図では「入力データが命令に混ざる原因」と「SQLの構造と値を分離する対策」を対応させて確認しましょう。参考：IPA「SQLインジェクション」（2026年11月7日確認）。

さめじんと仕組みを整理

SQLインジェクション：入力がSQLの構文に混ざる

危険な組み立て方外部入力をSQL文字列へ連結すると、入力によってSQLの意味が変わる可能性があります。

影響の例許可していないデータの参照・変更・削除などにつながります。

対策の基本SQLの構造と入力データを分離し、プレースホルダへ値をバインドします。必要な権限も絞ります。

パラメータ化した問い合わせでは、入力をSQLの命令ではなくデータとして扱います。入力を単純に連結してから準備する方法とは区別しましょう。

虹彩認証

目の虹彩の模様を登録済みの情報と照合し、本人を確認する生体認証です。暗記では「何の特徴を照合するか」と「認証の精度をどう評価するか」を分けて整理しましょう。

照合精度は、撮影条件や判定のしきい値などに左右されます。方式名だけで顔認証より必ず優れるとは決めず、他人を本人と誤って認める場合と、本人を拒否する場合を区別して確認しましょう。参考：NIST SP 800-63B 生体認証の精度と利用上の考慮事項（2026年11月7日確認）。

ディジタル証明書

公開鍵と、その鍵を使用する主体の情報との対応を、認証局などの署名で示す電子的な証明書です。利用時には発行者の署名、有効期間、用途、失効などの条件を検証します。インターネット経由で認証局へ毎回問い合わせること自体を、証明書とは呼びません。

確認した一次情報

ブルートフォース攻撃

考えられるパスワードの組合せを順に試して、認証の突破を狙う総当たり攻撃です。ログインを狙う説明では、あるIDに対してパスワードを変えながら試す形を、逆ブルートフォース攻撃と対比すると整理できます。

逆ブルートフォース攻撃

パスワードの候補を一つに固定し、複数のIDに対してログインを試す攻撃です。「どちらを固定し、どちらを変えるか」で総当たり攻撃と区別しましょう。IDごとの失敗回数だけを制限しても、多数のIDへ試行を分散する攻撃には十分に対応できない場合があります。参考：IPA「安全なウェブサイトの作り方」改訂第6版・携帯ウェブ向けの注意点（手法の説明を2026年11月7日確認）。

パスワードリスト攻撃

不正に入手した、IDとパスワードのリストを用いて、他サイトにもログインを試みる攻撃手法のこと。

類推攻撃

利用者の個人情報などからパスワードを類推して、ログインを試みる攻撃手法のこと。

辞書攻撃

辞書や人名録などに載っている単語や、それらを組み合わせた文字列などでログインを試みる攻撃手法のこと。

ゼロデイ攻撃

セキュリティパッチが提供される前にパッチが対象とする脆弱性を攻撃すること。

DDoS攻撃

多数の送信元から通信やリクエストを集中させ、回線やサーバなどの資源を圧迫して、サービスの利用を妨げる攻撃です。Webサイトだけが対象とは限らず、日時を事前に取り決めることも定義上の条件ではありません。

確認した一次情報

フィッシング

信頼できる組織や人物を装い、メールやメッセージなどで利用者をだまして、認証情報などを入力させたり、不正な操作へ誘導したりする手法です。特定の相手だけを狙うものに限りません。

確認した一次情報

ディジタル署名

公開鍵暗号の技術を応用してディジタル文書の正当性を保証する仕組みのこと。

ポートスキャン

対象のポートへの通信と応答などを調べ、開いているポートや稼働するサービスを確認する行為です。FINパケットを使う方法は手法の一つであり、ポートスキャン全体の定義ではありません。

確認した一次情報

ログ分析

システムやアプリケーションなどのログを調べ、注目すべき事象や不審な動作を見つけることです。目的に応じて複数の記録を関連付けて確認します。ファイルの改ざん検知だけに限定されません。

確認した一次情報

パターンマッチング

ネットワーク上を流れるパケットを収集し，そのプロトコルヘッダやペイロードを解析して，あらかじめ登録された攻撃パターンと一致した場合は不正アクセスと判断すること。

ディレクトリトラバーサル攻撃

入力文字列からアクセスするファイル名を組み立てるアプリケーションに対して，攻撃者が，上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスすること。

サイバーレスキュー隊(J-CRAT)

・標的型サイバー攻撃の被害低減と拡大防止する組織のこと。

・標的型サイバー攻撃を受けた組織や個人から提供された情報を分析し，社会や産業に重大な被害を及ぼしかねない標的型サイバー攻撃の把握，被害の分析，対策の早期着手の支援を行う。

レインボー攻撃

平文のパスワードとハッシュ値をチェーンによって管理するテーブルを準備しておき，それを用いて，不正に入手したハッシュ値からパスワードを解読すること。

SIEM(Security Information and Event Management)

複数のサーバやネットワーク機器のログを収集分析し，不審なアクセスを検知すること。

AES(Advanced Encryption Standard)

・アメリカ合衆国の次世代暗号方式として規格化された共通鍵暗号方式のこと。

・データベースで管理されるデータの暗号化に用いることができ，かつ，暗号化と復号とで同じ鍵を使用する暗号化方式

楕円曲線暗号

・楕円曲線上の離散対数問題を解くことが困難であることを利用した公開鍵暗号方式のこと。

・公開鍵暗号方式であり，TLSにも利用されている。

ElGamal暗号

非常に大きな数の離散対数問題を解くことが困難であることを利用した公開鍵暗号方式のこと。

RSA

けた数の大きな数の素因数分解に膨大な時間がかかることを利用した公開鍵暗号方式のこと

DNSSEC

DNSデータへディジタル署名を付け、データの出所と完全性を検証できるようにする拡張です。DNSの問い合わせや応答の内容を秘匿するための暗号化とは、役割が異なります。

確認した一次情報

DNSキャッシュポイズニング

・社内の利用者が，インターネット上の特定のWebサーバにアクセスしようとすると，本来とは異なるWebサーバに誘導する攻撃手法のこと。

【対策】再帰的な問合せに対しては，内部ネットワークからのものだけを許可するように設定する。

ポリモーフィック型マルウェア

感染ごとにマルウェアのコードを異なる鍵で暗号化することによって，同一のパターンでは検知されないようにすること。

SPF（Sender Policy Framework）

受信メールの接続元IPアドレスと、SMTPのMAIL FROMやHELOで示されたドメインのDNSに公開された送信ポリシーを照合する仕組みです。利用者に表示されるFromヘッダーの本人性や、メール本文の安全性を、SPFだけで確認できるわけではありません。

確認した一次情報

クロスサイトスクリプティング（XSS）

信頼できないデータがWebページへ適切に処理されずに組み込まれ、閲覧者のブラウザで悪意のあるスクリプトなどが実行される脆弱性・攻撃です。データが保存される型や、応答に反映される型などがあり、出力先の文脈に合うエンコードや安全な処理が対策の基本になります。

確認した一次情報

IMAPS

メールを参照・管理するIMAPの通信を、接続開始時からTLSで保護する方式です。標準のポート番号は993で、利用端末はスマートフォンに限りません。端末とメールサーバの通信路の保護と、メール本文そのもののエンドツーエンド暗号化は区別します。

確認した一次情報

NISC（旧組織）とNCO

NISCは内閣サイバーセキュリティセンターの略称です。2025年7月に改組され、国家サイバー統括室（NCO：National Cybersecurity Office）が設置されました。過去問の組織名と、現在の組織を区別して確認しましょう。

確認した一次情報

TPM(Trusted Platform Module)

PCなどの機器に搭載され，鍵生成，ハッシュ演算及び暗号処理を行うセキュリティチップのこと。

ブロックチェーン

取引履歴などのデータとハッシュ値の組みを順次つなげて記録した分散型台帳を，ネットワーク上の多数のコンピュータで同期して保有し，管理することによって，一部の台帳で取引データが改ざんされても，取引データの完全性と可用性が確保されることを特徴とする技術のこと。

Man-in-the-Browser

サイトをWebブラウザに表示させる。PCに侵入したマルウェアが，利用者のインターネットバンキングへのログインを検知して，Webブラウザから送信される振込先などのデータを改ざんすること。

サンドボックス

不正な動作の可能性があるプログラムを特別な領域で動作させることによって，他の領域に悪影響が及ぶのを防ぐこと。

WAF

・Webアプリケーションへの攻撃を検知し，阻止する。

・特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断すること。

NAPT（IPアドレスとポート番号の変換）

IPアドレスに加えてTCP・UDPのポート番号などを変換し、複数の内部端末が1つの外部IPアドレスを共有できるようにする機能です。通信を許可・遮断するファイアウォールの制御とは区別して考えます。

確認した一次情報

SSH

暗号化や認証機能をもち，遠隔にあるコンピュータに安全にログインするためのプロトコルのこと。

エクスプロイトキット

OSやアプリケーションソフトウェアの脆弱性を悪用して攻撃するツールのこと。

クリプトジャッキング

PCにマルウェアを感染させ，そのPCのCPUなどが有する処理能力を不正に利用して，暗号資産の取引承認に必要となる計算を行い，報酬を得ること。

認証局が発行するCRL

有効期限内のディジタル証明書のうち失効したディジタル証明書と失効した日時の対応が提示されること。

ハイブリッド暗号方式

公開鍵暗号方式と共通鍵暗号方式を組み合わせることによって鍵管理コストと処理性能の両立を図ること。

ペネトレーションテスト

決められた対象・条件の範囲で攻撃を模した検証を行い、脆弱性を悪用してシステムやデータへどこまで到達できるかなどを評価するテストです。公開サーバやファイアウォールだけに対象を限定する用語ではありません。

確認した一次情報

ドライブバイダウンロード攻撃

利用者がWebサイトを閲覧したとき，利用者に気付かれないように，利用者のPCに不正プログラムを転送させる攻撃手法のこと。

マルウェア対策ソフト　フォールスネガティブ

マルウェアに感染しているファイルを，マルウェアに感染していないと判断すること。

マルウェア対策ソフト　フォールスポジティブ

マルウェアに感染していないファイルを，マルウェアに感染していると判断すること。

無線LAN環境におけるWPA2-PSKの機能

アクセスポイントに設定されているのと同じSSIDとパスワード(Pre-Shared Key)が設定されている端末だけに接続を許可すること。

エクスプロイトコード

ソフトウェアやハードウェアの脆弱性を検査するために作成されたプログラムのこと。

SEOポイズニング

Web検索サイトの順位付けアルゴリズムを悪用して，検索結果の上位に，悪意のあるWebサイトを意図的に表示させること。

水飲み場型攻撃

標的組織の従業員が頻繁にアクセスするWebサイトに攻撃コードを埋め込み，標的組織の従業員がアクセスしたときだけ攻撃が行われるようにすること。

チャレンジレスポンス認証方式

利用者が入力したパスワードと，サーバから受け取ったランダムなデータとをクライアントで演算し，その結果をサーバに送信すること。

ダークネット　検出対象

マルウェアがIoT機器やサーバなどの攻撃対象を探すために送信するパケット

OCSPクライアント↔OCSPレスポンダ通信

ディジタル証明書のシリアル番号，証明書発行者の識別名(DN)のハッシュ値などをOCSPレスポンダに送信し，その応答でディジタル証明書の有効性を確認すること。

ディジタルフォレンジックス

不正アクセスなどコンピュータに関する犯罪の法的な証拠性を確保できるように，原因究明に必要な情報の保全，収集，分析をすること。

ファジング

ソフトウェアのデータの入出力に注目し，問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し，脆弱性を見つけること。

用語を確認したら、関連分野も復習する

テクノロジ系

用語を説明できても問題で迷う場合は、選択肢のどこが違うかを確認しましょう。知識の学び直しと、問題文を読む練習は分けて進めると整理しやすくなります。

マネジメント系

技術分野だけに学習が偏らないよう、試験全体の範囲と学習時間を見直しましょう。

ストラテジ系

• システム戦略の用語
• システム企画の用語
• 経営戦略・技術戦略の用語

問題演習で止まったときの教材・講座の選び方

手持ちの教材で理解が進むなら、そのまま問題演習を続けましょう。解説が不足するなら書籍、文章だけでは仕組みを追いにくいなら動画講座が候補です。購入前に、必要な範囲と手持ち教材との重複を確認してください。

過去問をまとめて練習したい人へ

パーフェクトラーニング令和08年版は、直近4回分と追加27回分のダウンロードを組み合わせて演習する問題集です。直近回の旧午後の解答・解説はダウンロード提供のため、紙面だけですべてを読みたい人は注意してください。

用語や仕組みの説明から学び直したい場合は、問題集より基本書が合うこともあります。参考書・問題集の目的別比較で役割の違いを確認しましょう。

動画の解説が合うか試したい人へ

スタディングの応用情報講座は、スマホで動画や問題演習を進めたい人の候補です。まず無料体験で、説明の速度や演習画面が自分に合うか確かめてください。質問の対象・回数、受講期限、教材の対象年度は、有料コースを選ぶ前に確認しましょう。

広告：以下はスタディング応用情報講座の無料体験へのリンクです。講座選びでは、動画の好みだけでなく、必要なサポートと総費用も比較してください。

学習計画・科目B対策の関連ガイド

• 応用情報の学習計画と進め方
• 参考書・問題集の選び方
• 科目Bの解き方を考えるヒント
• 2027年度の制度変更を確認する

まとめ｜用語の意味を確認したら問題で使ってみる

• 用語の意味と、似た技術・攻撃手法との違いを確認する
• 問題を解き、正解・不正解の理由を説明できるか確かめる
• 不明点だけ本文や参考書に戻って復習する
• 教材を追加するときは、不足する役割と対象年度を先に決める

2027年度には試験制度の見直しが予定されています。受験予定の試験に対応する教材か確認してから購入してください。

確認日：2026年10月21日。UDP・MX・証明書など、一次情報のリンクを付した用語は各資料で見直しました。書籍の仕様は技術評論社、無料体験はスタディング公式案内を確認しています。