復習問題 2026-10-12
5問・計算なし。すべて昨日の5問の隣です。
第1問 チャレンジレスポンス認証（情報セキュリティ）
チャレンジレスポンス認証を用いる利点として、適切なものはどれか。
- 利用者が記憶すべきパスワードを不要にできる。
- パスワードそのものをネットワークに流さずに本人確認ができ、盗聴されたデータの再送（リプレイ攻撃）も防げる。
- 通信内容すべてが暗号化され、第三者に本文を読まれなくなる。
- 認証に失敗した回数を記録し、アカウントを自動的にロックできる。
解答
答え：b
サーバが毎回違う乱数（チャレンジ）を送り、利用者側はパスワードとチャレンジを合わせたハッシュ値（レスポンス）を返します。サーバも同じ計算をして一致を確かめる——流れるのはハッシュ値だけで、パスワード本体は一度も線に乗りません。
- チャレンジが毎回変わる → レスポンスも毎回変わる → 盗聴したものを後から再送しても通らない（リプレイ攻撃対策）
- 昨日の MAC と同じで、材料は「秘密の値＋本文（ここではチャレンジ）」のハッシュです
a は誤り。パスワードは記憶したままで、流さないだけです（記憶を不要にするのは証明書や生体認証のほう）。c は範囲の勘違いで、認証の仕組みであって本文の秘匿はしません（秘匿は TLS の仕事）。d はアカウントロックの説明で、別の対策です。
一言で：パスワードを「送らない」仕組み。毎回変わるから使い回せない。
第2問 パスワードの保存（情報セキュリティ）
利用者のパスワードをサーバに保存する方法のうち、最も適切なものはどれか。
- 可逆の暗号化を施して保存し、照合時に復号して平文と比較する。
- ハッシュ値だけを保存する。同じパスワードなら同じハッシュ値になるので、照合はハッシュ値どうしで行う。
- 利用者ごとに異なるソルトを付けてハッシュ化し、さらに処理を何千回も繰り返した（ストレッチング）値を、ソルトとともに保存する。
- 平文のまま保存し、データベースへのアクセス権を管理者だけに限定する。
解答
答え：c
ハッシュ関数は一方向——値からは元に戻せません。しかし「戻せない」ことと「当てられない」ことは別で、よくあるパスワードは総当たりや事前計算表（レインボーテーブル）で当てられます。そこを埋めるのがソルトとストレッチングです。
- ソルト：利用者ごとに違う値を混ぜる。同じパスワードでもハッシュ値が別になるので、事前計算表が効かず、1人分を破っても他人には使い回せない。ソルトは秘密でなくてよい（一緒に保存してよい）
- ストレッチング：ハッシュ計算を数千〜数万回繰り返す。1回の照合が遅くなるのは誤差でも、総当たりは同じ倍率で遅くなる
a は「復号できる＝鍵が漏れれば全員分の平文が出る」ので不適切。b は一方向な点は正しいが、ソルトが無いため同じパスワードの利用者が一目で分かり、事前計算表も効きます（試験では「ソルト」の有無で選びます）。d は論外です。
第1問とのつながり：チャレンジレスポンスは通信路でパスワードを守る話、こちらは保存先で守る話。パスワードの守り方は「流さない」「残さない（ハッシュ＋ソルト）」の2方向で整理すると、午後の問1でどちらを答えるべきか迷いません。
第3問 スタンバイ方式とフェールオーバ（システム構成）
ホットスタンバイ方式の説明として適切なものはどれか。
- 待機側の機器は電源を切っておき、障害発生後に起動してシステムを復旧させる。
- 待機側も電源を入れて同じ処理をいつでも引き継げる状態にしておき、障害時はごく短い時間で切り替わる。
- 2台の機器が通常時から処理を分担し、障害時は残った1台が全体の処理を引き受ける。
- 複数の機器で同じ処理を同時に行い、結果を多数決で判定して出力する。
解答
答え：b
昨日の RTO（目標復旧時間）を短くするための投資が、まさにこの冗長構成の選択です。待機側をどこまで温めておくかで、RTO と費用が決まります。
| 方式 | 待機側の状態 | 切替時間（RTO） | 費用 |
|---|---|---|---|
| ホットスタンバイ | 電源ON・いつでも引継げる | 最短（秒〜分） | 高い |
| ウォームスタンバイ | 電源ONだが準備が必要 | 中（分〜） | 中 |
| コールドスタンバイ | 電源OFF（機器だけ用意） | 長い（時間〜） | 安い |
a はコールドスタンバイ、c は相互待機（デュプレックスの一形態）で待機機を遊ばせない代わりに障害時は性能が落ちる形、d はデュアルシステムです。
昨日からの線：RPO を縮めたいならバックアップの間隔（レプリケーション）、RTO を縮めたいならこの待機方式。RPO はデータ、RTO は機械。どちらを問われているか先に見分けます。
第4問 KGI・KPI・CSF（ストラテジ）
KPI（重要業績評価指標）の説明として適切なものはどれか。
- 最終的に達成したい経営目標を、売上高や利益といった数値で表したもの。
- 目標達成のために決定的に重要となる要因を、数値ではなく要因として挙げたもの。
- 目標達成に向けた活動の進み具合を、途中で測るための中間的な数値指標。
- 財務・顧客・業務プロセス・学習と成長の4つの視点から業績を評価する枠組み。
解答
答え：c
3つは「ゴール → 勝ち筋 → 途中の計器」の順に並びます。
- KGI（重要目標達成指標）：最終ゴールの数値。例「年間売上20億円」（選択肢 a）
- CSF（重要成功要因）：そのために何が決め手かという要因。数値ではない。例「リピート率の改善」（選択肢 b）
- KPI：CSF が進んでいるかを途中で測る数値。例「月間リピート購入率30%」
d は BSC（バランススコアカード、10/7）で、KPI を4つの視点に配って並べる枠組みです。KPI は BSC の中身として使われるので、2つはセットで覚えられます。
枠組み1枚シリーズ8枚目の整理——ここまでの枠組みは「どこを見るか（分析）」でしたが、KGI・CSF・KPI は「決めたあと、どう測るか（管理）」です。見分けの一言：KGI＝結果の数字、CSF＝数字ではない要因、KPI＝途中の数字。「要因」と書いてあれば CSF、「中間」「プロセス」と書いてあれば KPI です。
第5問 個人情報保護法（法務）
個人情報保護法における「匿名加工情報」の説明として適切なものはどれか。
- 人種、信条、病歴など、取扱いに特に配慮を要する個人情報のこと。
- 特定の個人を識別できないように加工し、かつ元の個人情報に復元できないようにした情報で、一定のルールの下で本人の同意なく第三者に提供できる。
- 氏名だけを削除した情報で、他の情報と照合すれば個人を識別できるもの。
- 個人情報を暗号化して保存した情報で、復号鍵を持つ者だけが利用できるもの。
解答
答え：b
個人情報は原則、本人の同意なく第三者に渡せません。その壁を外して統計やデータ分析に使えるようにする仕組みが匿名加工情報で、条件は「識別できない」＋「復元できない」の2つです。加工した側には、加工方法に関する情報の安全管理や、匿名加工情報であることの公表といった義務が付きます。
- 個人情報：生存する個人を識別できる情報（氏名、生年月日との組合せ、個人識別符号＝マイナンバーや指紋データなど）
- 要配慮個人情報：人種・信条・社会的身分・病歴・犯罪歴など。取得そのものに原則本人同意が必要（選択肢 a）
- 匿名加工情報：識別不可＋復元不可に加工。同意なく第三者提供できる
- 仮名加工情報：他の情報と照合しなければ識別できない程度の加工。社内分析には使えるが、第三者提供は原則できない
c は加工が足りておらず、照合すれば個人が分かる状態なので依然「個人情報」です（ここが一番多いひっかけ）。d は暗号化はしても鍵があれば元に戻るため、復元不可の要件を満たしません。
昨日からの線：営業秘密は会社の情報を守る法律、個人情報保護法は個人の情報を守る法律。守る対象が違うので、問題文の主語（会社か本人か）で根拠法を切り分けられます。試験では「復元できない」という表現を探すのが最短です。
今日からフェーズ③（仕上げ）ですが、やることは変えません。5問だけで達成です。