復習問題 2026-10-13
昨日の5問（チャレンジレスポンス認証・パスワードの保存・ホットスタンバイ・KGI と KPI・個人情報保護法）のすぐ隣を5問。今日も計算はありません。
昨日までが「本人かどうかを確かめる（認証）」の話でした。今日の第1問・第2問はその次の段——「確かめたあと、何をどこまで触らせるか（認可）」です。試験でここを混ぜてくるので、2問セットで片付けます。
第1問 シングルサインオン（情報セキュリティ）
シングルサインオン（SSO）の説明として、適切なものはどれか。
- 一つのパスワードを複数のシステムに同じものとして登録しておき、利用者が各システムで同じパスワードを入力する方式。
- 利用者が一度認証を受けると、連携している複数のシステムを再度の認証なしに利用できる仕組み。
- パスワードに加えてワンタイムパスワードを要求し、認証の強度を上げる仕組み。
- 一人の利用者に一つの ID だけを割り当て、ID の重複登録を防ぐ仕組み。
解答
答え：b
一度の認証で、連携先のシステムすべてを使えるようにする仕組みです。「認証する場所を1か所に集める」のが要点で、各システムは自分でパスワードを持たず、認証済みという証明（トークンやチケット）を信用して通します。
- SAML：企業システムや SaaS の SSO で使う。認証する側（IdP）が発行した証明書つきの XML を、使う側（SP）が検証して通す
- OpenID Connect：SAML と同じ「認証」を Web / スマホ向けに作ったもの。OAuth 2.0 の上に乗っている
- ケルベロス認証：社内 LAN（Active Directory）の SSO。チケットを配る方式
- リバースプロキシ型：入口に1台置いて、そこで認証してから中へ流す
利点と弱点の両方が問われます。利点はパスワードを覚える数が1つで済むこと（結果として使い回しや付箋が減る）。弱点はその1つが漏れると連携先すべてが開くことで、だからこそ SSO には多要素認証を併せるのが定石です。
a は「パスワードの使い回し」で、SSO とは逆の最も危ない状態です（入力の回数は減っていません）。c は多要素認証。d は ID 管理の話です。
昨日からの線：昨日はパスワードを「流さない（チャレンジレスポンス）」「残さない（ハッシュ＋ソルト）」の2方向で守りました。SSO は3つ目の方向で、そもそも入力する回数を減らすという守り方です。
第2問 OAuth 2.0 と認可（情報セキュリティ）
OAuth 2.0 の目的として、適切なものはどれか。
- 利用者の ID とパスワードを他のサービスに預け、そのサービスが利用者の代わりにログインできるようにする。
- 利用者が自分のパスワードを渡さずに、他のサービスへ自分のデータへの限定的なアクセス権限を与える。
- 通信を暗号化し、途中で内容を読まれたり改ざんされたりすることを防ぐ。
- 利用者が誰であるかを、生体情報を用いて確認する。
解答
答え：b
OAuth は 認可（権限の委譲）のための仕組みです。あるサービスに「自分のデータの一部を読んでよい」という許可だけを渡し、パスワードは渡しません。渡されるのはアクセストークンで、使える範囲（スコープ）と期限が付いています。
| 認証（Authentication） | 認可（Authorization） | |
|---|---|---|
| 問い | あなたは誰か | 何をしてよいか |
| 例 | ID とパスワード、生体、SAML、OpenID Connect | アクセス権の設定、OAuth 2.0 |
| 順番 | 先 | 後（認証の結果を使う） |
a は「パスワードを預ける」形で、OAuth がまさにやめさせたかったやり方です（預けた先で全権限が使えてしまう）。ここが本番で一番多いひっかけです。c は TLS、d は生体認証の説明です。
第1問とのつながり：OpenID Connect（認証）は OAuth 2.0（認可）の上に乗っています。つまり「誰か」を確かめるのが OpenID Connect、「何をしてよいか」を渡すのが OAuth。名前が似ていて混ざりますが、問題文に「権限」「代わりにアクセス」とあれば OAuth、「本人確認」「ログイン」とあれば OpenID Connect です。
午後の問1（必須）向けにもう一歩：認可の設計で答えさせられるのは、ほぼ次の2語です。
- 最小権限の原則：業務に必要な最小限の権限だけを与える
- ロールベースアクセス制御（RBAC）：権限を人ごとではなく役割（ロール）に付け、人にはロールを割り当てる。異動や退職のときに外し忘れが起きにくい
「権限が必要以上に与えられている」という記述を見たら、答案はこの2語で書けます。
第3問 RAID（システム構成）
RAID5 の説明として、適切なものはどれか。
- 複数台のディスクにデータを分散して書き込み、速度を上げる。冗長性はない。
- 2台のディスクに同じ内容を書き込み、片方が故障してもデータを失わない。
- 3台以上のディスクにデータとパリティを分散して記録し、どれか1台が故障してもデータを復元できる。
- 2台以上のディスクに同じ内容を書き込んだうえで、さらにその全体を別の筐体へ複製する。
解答
答え：c
昨日は機械の冗長化（ホット／ウォーム／コールドスタンバイ）でした。今日はその一段内側、ディスクの冗長化です。RAID は3つだけ覚えれば午前は足ります。
| 方式 | やること | 台数 | 故障耐性 | 容量の効率 |
|---|---|---|---|---|
| RAID0（ストライピング） | データを分散して並列に書く | 2台以上 | なし（1台壊れると全滅） | 100% |
| RAID1（ミラーリング） | 同じ内容を2台に書く | 2台 | 1台まで | 50% |
| RAID5 | データ＋パリティを分散 | 3台以上 | 1台まで | (n-1)/n |
a は RAID0、b は RAID1 です。d は RAID の話ではなく、遠隔のレプリケーションに近い説明です。
選ぶときの一言：RAID0 は速さだけ（信頼性は下がる）、RAID1 は安全だが半分しか使えない、RAID5 は容量効率と安全の折衷。「3台以上」「パリティ」の2語があれば RAID5 です。RAID6 はパリティを2つ持つので2台まで耐えられる、と足しておけば万全です。
注意して覚える1点：RAID はディスク故障に備える仕組みで、バックアップの代わりにはなりません。誤って消したファイルや、ランサムウェアに暗号化されたファイルは、ミラー先も同じように消え・暗号化されます（10/10 の増分／差分バックアップが必要な理由がこれです）。記述式でそのまま使える言い方です。
第4問 PEST 分析（ストラテジ）
PEST 分析の説明として、適切なものはどれか。
- 政治・経済・社会・技術の4つの観点から、自社を取り巻くマクロな外部環境を分析する。
- 業界内の競争、新規参入、代替品、売り手と買い手の交渉力の5つから、業界の収益性を分析する。
- 市場・競合・自社の3つの観点から、事業の成功要因を分析する。
- 自社の強みと弱み、外部の機会と脅威を整理し、戦略の方向を決める。
解答
答え：a
Politics（政治＝法改正・規制・税制）、Economy（経済＝景気・金利・為替）、Society（社会＝人口構成・価値観・生活様式）、Technology（技術＝新技術・特許・標準化）。頭文字がそのまま4つの観点なので、迷ったら英単語に戻せば解けます。
「枠組み1枚」シリーズ9枚目で、これで分析の枠組みは地図が1枚完成します。見る範囲の広い順に並べるのが、本番で混ざらない唯一のコツです。
| 枠組み | 見る範囲 | 観点 | いつ |
|---|---|---|---|
| PEST | 社会全体（マクロ） | 政治・経済・社会・技術 | 今日 |
| ファイブフォース | 業界 | 競争・新規参入・代替品・売り手・買い手 | 10/9 |
| バリューチェーン | 自社の中（活動） | 主活動と支援活動 | 10/10 |
| 3C | 自社の周り | 市場・競合・自社 | 10/11 |
| SWOT | 内と外の統合 | 強み・弱み・機会・脅威 | 10/5 |
| PPM / アンゾフ | 決める段（どこへ投資・どう成長） | 市場成長率×シェア／製品×市場 | 10/6・10/8 |
| BSC / KGI・CSF・KPI | 測る段 | 4つの視点／ゴール・要因・中間指標 | 10/7・10/12 |
b はファイブフォース、c は 3C 分析、d は SWOT 分析です。見分けの一言：外側から順に「世の中（PEST）→ 業界（ファイブフォース）→ 自社の周り（3C）→ 自社の中（バリューチェーン）」、それを1枚にまとめたのが SWOT。問題文に「マクロ」「法改正」「人口」とあれば PEST です。
第5問 不正アクセス禁止法（法務）
不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）で禁止されている行為に該当しないものはどれか。
- 他人の ID とパスワードを無断で入力し、ネットワーク経由でその人のアカウントにログインする。
- 他人の ID とパスワードを、正当な理由なく第三者に提供する。
- フィッシングサイトを作り、他人の ID とパスワードを入力させて取得する。
- サーバの管理者が、自社サーバのアクセスログを調査のために閲覧する。
解答
答え：d
権限のある管理者が自社のログを見るのは、正当な業務であって不正アクセスではありません。この法律が罰するのは「ネットワーク経由で、権限なく、他人のものを使って入る（または入れるようにする）」行為です。
- 不正アクセス行為：他人の ID・パスワードでのなりすまし（a）、脆弱性を突いた侵入（セキュリティホール攻撃）
- 助長行為：ID・パスワードを正当な理由なく第三者に提供する（b）。入っていなくても違法です
- 不正取得・不正保管：他人の ID・パスワードを取得する／持っている
- 不正入力要求行為：フィッシング（c）。サイトを作って入力させた時点で成立します
覚えておくと1点になる要点が3つあります。
- 実害が出ていなくても成立する——ログインできた時点で罰せられます（中のデータを見なくても同じ）
- ネットワーク経由であることが要件——目の前のパソコンを直接操作した場合はこの法律の対象外です（別の罪や社内規程の問題になります）
- 本人の同意があれば不正アクセスではない——だからペネトレーションテストは事前の書面での許可が必須です。午後で問われたらこの一言を書きます
昨日からの線：個人情報保護法は「情報の扱い方」を定める法律（守る側の義務）。不正アクセス禁止法は「行為」を罰する法律（攻める側の処罰）。問題文が義務の話なら個人情報保護法、侵入やなりすましの話なら不正アクセス禁止法です。
第1問・第2問ともつながります。SSO のパスワードが1つ漏れれば連携先すべてに入られる——その「入る」行為を禁じているのがこの法律です。