復習問題 2026-10-09
今日も昨日の5問のすぐ隣です。第1問は SPF・DKIM・DMARC の3語セットの最後の1語、第2問は証明書の「今も有効か」（昨日）の一段上で 「そもそも誰が保証しているのか」。第3問は昨日の SLA に出てきた「99.5 パーセント」という数字の正体です。計算は今日も1問もありません。
第1問 ネットワーク（送信ドメイン認証 DMARC）
SPF と DKIM の検証結果を踏まえて、認証に失敗したメールをどう取り扱ってほしいかという方針を送信側ドメインが宣言し、あわせて受信側から報告を受け取る仕組みはどれか。
- SMTP-AUTH
- DMARC
- OP25B
- S/MIME
解答
解答: b（DMARC）
昨日の第1問で SPF をやりました。DKIM は 9/26 の第3問です。残っていた3語目が今日の DMARC で、これで送信ドメイン認証はひととおり揃います。
| 名前 | 何を見るか | 役割 |
|---|---|---|
| SPF | 送信元サーバの IP アドレス | この住所から出したメールか |
| DKIM | デジタル署名 | 中身がすり替わっていないか |
| DMARC | SPF と DKIM の結果 | 失敗したらどう扱うかの方針を宣言し、結果の報告を受け取る |
DMARC が宣言する方針は3つしかありません。none（何もしない・様子見）/ quarantine（隔離）/ reject（受信拒否）です。実運用では none でレポートだけ集めて、誤判定が無いと確認してから reject に上げます。この「まず観測、あとで拒否」という進め方は、午後の設問で理由を書かせる形で出ます。
DMARC がなぜ必要かという点がもう一つの出題ポイントです。SPF と DKIM だけでは利用者が画面で見ている差出人（From ヘッダ）が検証対象に入っていないからです。SPF が見るのは封筒側の送信元、DKIM が見るのは署名したドメインで、どちらも From とは別に書けてしまいます。DMARC は「From のドメインと、SPF／DKIM で通ったドメインが一致していること」を要求します。これをアライメント（識別子の整合）と呼びます。
- a の SMTP-AUTH は、送信者が自分のメールサーバを使う権利を確認する認証です。昨日の選択肢 c（POP before SMTP）を置き換えたのがこれで、なりすまし検知とは別の話です
- c の OP25B は 9/27 の第3問。プロバイダが 25 番ポートの外向き通信を塞いで、感染端末からの直接送信を止める対策です
- d の S/MIME は本文の暗号化と署名。昨日も選択肢 d に出ていました
3語ともDNS の TXT レコードに置くのが共通点です。「IP で見る SPF、署名で見る DKIM、方針を決める DMARC」の1行で足ります。
第2問 情報セキュリティ（証明書チェーンとルート証明書）
Web ブラウザがサーバ証明書を検証するとき、信頼の最終的な起点となるものはどれか。
- サーバにインストールされているサーバの秘密鍵
- ブラウザまたは OS にあらかじめ組み込まれているルート認証局の自己署名証明書
- 認証局が公開している証明書失効リスト
- サーバが証明書と一緒に提示する中間認証局の証明書
解答
解答: b
昨日の第2問は「その証明書が今も有効か」（CRL と OCSP）でした。今日はその一段上、「そもそも誰が保証しているのか」です。
証明書は数珠つなぎになっています。
| 段 | 誰が署名したか |
|---|---|
| サーバ証明書（example.com） | 中間認証局が署名 |
| 中間 CA 証明書 | ルート認証局が署名 |
| ルート証明書 | 自分自身で署名（自己署名） |
これが証明書チェーンです。ブラウザは下から上へ署名をたどっていき、手元に最初から持っているルート証明書に行き着いたら信頼します。ルート証明書は自己署名なので、証明書の中身を検証して信頼するわけではありません。あらかじめ安全な経路で配られていること自体が信頼の根拠です。だからトラストアンカー（信頼の起点）と呼びます。ここを問う設問では「自己署名」と「あらかじめ組み込まれている」の2語が答えの印になります。
- a の秘密鍵はサーバの外に出ません。検証に使うのは証明書に入っている公開鍵のほうです。鍵の向きは 10/6 の第1問でやりました
- c は昨日の CRL。これは「失効していないか」の確認で、信頼の起点ではありません。チェーンの検証と失効確認は別の工程で、両方通って初めて有効と判断します
- d の中間 CA 証明書は通り道です。起点ではありません
d は実務でよく踏む落とし穴でもあります。中間 CA 証明書はサーバ側が設定して一緒に送る必要があり、これを入れ忘れるとルート証明書までたどれません。PC のブラウザは中間証明書を以前の通信から覚えていることがあるので通ってしまい、スマートフォンや curl だけがエラーになるという形で現れます。「PC では見えるのに特定の端末だけ証明書エラー」は、まずこれを疑ってください。
ここまでで PKI は、鍵の向き（10/6）→ ハッシュと署名と証明書（10/7）→ 失効確認（10/8）→ 信頼の起点（今日）と四段つながりました。計画で必須に置いた午後の問1（情報セキュリティ）は、この四段のどこを聞かれても答えられれば十分です。
第3問 サービスマネジメント（MTBF・MTTR と稼働率）
システムの信頼性・可用性の指標に関する記述のうち、適切なものはどれか。
- MTBF は故障してから復旧するまでの平均時間であり、値が小さいほど保守性が高い
- MTTR は故障と故障の間の平均稼働時間であり、値が大きいほど信頼性が高い
- 稼働率は MTBF を MTBF と MTTR の和で割った値であり、1 に近いほど可用性が高い
- 稼働率は MTTR を MTBF で割った値であり、値が大きいほど可用性が高い
解答
解答: c
昨日の第3問で SLA の答えは「月間稼働率 99.5 パーセント以上」でした。今日はその数字の正体です。SLA に数値を書くには、測り方が決まっていなければなりません。それが MTBF と MTTR の2語です。
| 語 | 読み方 | 意味 | 何の指標か |
|---|---|---|---|
| MTBF | Mean Time Between Failures | 平均故障間隔。動き続けている時間の平均 | 信頼性（壊れにくさ） |
| MTTR | Mean Time To Repair | 平均修復時間。直すのにかかる時間の平均 | 保守性（直しやすさ） |
稼働率は MTBF ÷ (MTBF + MTTR)。分母は「動いていた時間＋止まっていた時間」、つまり全体の時間です。全体のうち動いていた割合——式を覚えるより、この言い方で持っておくほうが間違えません。
a と b はMTBF と MTTR の説明をそのまま入れ替えたひっかけです。この形が本番で最も多い出題なので、頭文字で切ってください。Between Failures は故障の「間」、To Repair は「修復」まで。これだけで a も b も即座に切れます（なお b の後半「大きいほど信頼性が高い」は MTBF についてなら正しい記述で、語だけがすり替わっています。文の後半が正しそうだからといって選ばないこと）。d は分母と分子がでたらめです。
昨日の SLA につなげて1つだけ。稼働率を上げる手は原理的に2つしかありません。壊れにくくする（MTBF を伸ばす）か、早く直す（MTTR を縮める）かです。冗長化や二重化は前者、監視の強化と復旧手順の整備は後者。午後の問10（サービスマネジメント）で改善策を書かせる設問は、ほぼこの二択のどちらかに分類できます。「どっちの数字を動かす施策ですか」と自分に聞けば、答案の骨は立ちます。
稼働率の数値計算は本番で出ますが、今日は追いません。「99.5 パーセントは月に約3.6時間の停止まで」という感覚と、上の1行の式だけで十分です。
第4問 経営戦略（ファイブフォース分析）
ポーターのファイブフォース分析で取り上げる5つの競争要因に含まれないものはどれか。
- 新規参入の脅威
- 代替品の脅威
- 自社が保有する技術力の高さ
- 買い手の交渉力
解答
解答: c
SWOT（10/5）、PPM（10/6）、BSC（10/7）、アンゾフ（10/8）に続く「枠組み1枚」シリーズの5つ目です。ファイブフォースは、その業界がそもそも儲かる業界なのかを5方向から見る道具です。
- 業界内の既存企業同士の競争（中央）
- 新規参入の脅威（上から入ってくる）
- 代替品の脅威（下から置き換わる）
- 買い手の交渉力（売る相手に値段を叩かれる）
- 売り手（供給業者）の交渉力（仕入れ値を上げられる）
5つに共通するのは、すべて自社の外側だということです。だからファイブフォースは外部環境分析に分類されます。c の「自社の技術力」は内部資源の話なので、5つのどれにも当てはまりません。これが正解です。
消去法に頼らずこの1点だけ見れば解けます。選択肢に自社の中の話が混ざっていたら、それが答えです。逆に「業界の〜」「取引先の〜」と外を向いた選択肢は全部5つのうちのどれかです。
c のような内部の強みを扱うのは SWOT の S（強み）で、10/5 にやりました。SWOT の外部要因（機会・脅威）を掘るための道具がファイブフォース、という関係です。並べて整理しておきます。
| 枠組み | 何を見るか | 出た日 |
|---|---|---|
| SWOT | 内部（強み・弱み）と外部（機会・脅威）の4分類 | 10/5 |
| ファイブフォース | 外部のみ。業界の儲かりやすさを5方向から | 今日 |
| PPM | 市場成長率×シェアで、今ある事業を仕分ける | 10/6 |
| アンゾフ | 製品×市場で、これからどこへ伸ばすか | 10/8 |
| BSC | 4つの視点で、決めた戦略を測る | 10/7 |
この5枚が区別できていれば、午前のストラテジ系（約20問）のうち経営戦略の設問はかなりの率で拾えます。名前を覚える問題ではなく、どの枠組みの話かを見分ける問題として出ます。
第5問 企業法務（下請法）
下請代金支払遅延等防止法（下請法）において、親事業者に禁止されている行為はどれか。
- 下請事業者から納品された物品の検査を行うこと
- 発注時に、給付の内容と下請代金の額を記載した書面を交付すること
- 下請事業者に責任がないのに、あらかじめ定めた下請代金の額を後から減額すること
- 下請代金を、納品物を受領した日から 60 日以内に支払うこと
解答
解答: c
昨日の第5問で、選択肢 c に「下請代金の減額」を置いておきました。今日はそれを正面から聞いています。昨日と同じ埋め方です。
まず2つの法律を分けてください。ここを混ぜると全部あいまいになります。
| 法律 | 何を規制するか | 違反の代表例 |
|---|---|---|
| 労働者派遣法 | 人の使い方（誰が指揮命令するか） | 偽装請負、二重派遣 |
| 下請法 | お金と発注の仕方（立場の強さの乱用） | 代金の減額、支払遅延、買いたたき |
下請法が親事業者に課す義務は4つです。b と d はこの義務そのもので、むしろやらなければ違反になります。
- 発注時に書面を交付する（口約束での発注を禁じる）
- 取引の記録を作成し2年間保存する
- 支払期日を、受領日から60 日以内に定める
- 支払が遅れたら遅延利息を払う
一方の禁止行為の代表は、受領拒否、支払遅延、代金の減額、返品、買いたたき、不当な経済上の利益の提供要請などです。c がここに当たります。ポイントは「下請事業者に責任がないのに」という条件で、合意済みの金額を後から一方的に削ることが問題です（納品物に明確な不備があった場合は別の扱いになります）。a は発注者として当然行う検査で、禁止でも義務でもありません。
覚え方は、義務は「先に決めて、記録して、期日内に払う」、禁止は「あとから一方的に変える」。この一本の線で、ほとんどの選択肢は振り分けられます。
実務での線引きに言い換えると、こうです。委託先に直接こまごまと指示を出したら派遣法（昨日）、見積もり合意後にあとから値引きを求めたら下請法（今日）。昨日の表の隣に、この1行を足して完成です。