復習問題 2026-10-14
昨日の5問（シングルサインオン・OAuth と認可・RAID5・PEST 分析・不正アクセス禁止法）のすぐ隣を5問。今日も計算はありません。
昨日が「確かめたあと、何をどこまで触らせるか（認可）」でした。第1問はその設計のしかた（アクセス制御の方式）、第2問はさらにその先で、そもそも社内を信用しないという考え方（ゼロトラスト）です。認証 → 認可 → アクセス制御 → ゼロトラスト、で一本の線になります。
第1問 アクセス制御の方式（情報セキュリティ）
ロールベースアクセス制御（RBAC）の説明として、適切なものはどれか。
- 情報の所有者が、自分の判断で他の利用者に対する権限を自由に設定する方式。
- 利用者個人ではなく職務上の役割に権限を割り当て、利用者にはその役割を割り当てる方式。
- 情報と利用者の双方にラベル（機密区分）を付け、システムの規則で可否を決める方式。
- 利用者の所属や時刻、接続元などの属性を組み合わせて、その都度可否を判定する方式。
解答
答え：b
権限を人に直接付けないのが要点です。「経理担当」「システム管理者」といった役割（ロール）に権限をまとめておき、人にはロールを渡します。
| 方式 | 誰が決めるか | 特徴 |
|---|---|---|
| DAC（任意アクセス制御） | 情報の所有者 | 柔軟だが、所有者の判断次第でばらつく。一般的なファイル共有がこれ |
| MAC（強制アクセス制御） | システム（規則） | ラベルで機械的に判定。所有者でも変えられない。軍・政府系で使う |
| RBAC（ロールベース） | 管理者（役割の設計） | 企業システムの標準。異動・退職に強い |
| ABAC（属性ベース） | 属性の組合せ | 所属・時刻・接続元などで動的に判定。ゼロトラストの実装で使う |
RBAC が試験で評価される理由は1つだけ——異動や退職で権限を外し忘れにくいことです。人に直接付けていると、異動のたびに古い権限が残り（これを権限の蓄積といいます）、最小権限の原則が崩れます。ロールを付け替えるだけなら古い権限は自動的に外れます。
a は DAC、c は MAC、d は ABAC です。
午後の問1（必須）で書ける形：「利用者ごとに権限を付与しているため、異動後も不要な権限が残る」という記述を見たら、答案は「職務に応じたロールを定義し、ロール単位で権限を付与する（RBAC）」＋「定期的な権限棚卸し」の2点です。昨日の最小権限の原則とセットで使います。
第2問 ゼロトラスト（情報セキュリティ）
ゼロトラストの考え方に基づくセキュリティ対策はどれか。
- 社内ネットワークと外部との境界にファイアウォールを設置し、内部からの通信は信頼して通す。
- 社内からのアクセスであっても、利用者と端末を都度検証し、必要な資源にだけアクセスを許可する。
- 重要なサーバを社内ネットワークから物理的に切り離し、外部との通信を一切行わない。
- 社外から接続する利用者に VPN を使わせ、接続後は社内の利用者と同じ権限を与える。
解答
答え：b
ゼロトラストは「社内だから安全、という前提を捨てる」考え方です。ネットワークのどこから来たかで信用を決めず、アクセスのたびに利用者・端末・状況を検証し、必要な資源にだけ通します。
| 境界型防御（従来） | ゼロトラスト | |
|---|---|---|
| 前提 | 社内は安全、社外は危険 | どこも信用しない |
| 守る場所 | 出入口（境界） | 資源ごと・アクセスごと |
| 検証 | 入るときに1回 | 毎回 |
| 弱点 | 内部に入られると横に広がる（ラテラルムーブメント） | 設計と運用の負担が大きい |
必要になった背景が2つあり、どちらも問題文のヒントになります——クラウド利用（守るべきデータが社内に無い）とテレワーク（利用者が社内に居ない）。「境界」がもう引けない、というのが出発点です。
a と d は境界型そのものです。とくに d の「VPN で入れば社内と同じ権限」は、ゼロトラストがやめようとしている形なので、ひっかけとしてよく出ます。c はスタンドアロン／物理的分離（エアギャップ）の話です。
昨日からの線：SSO（認証を1か所に集める）と OAuth（権限だけ渡す）は、どちらもゼロトラストの部品です。毎回検証するには、認証基盤が1つにまとまっていて、権限が細かく切れている必要があるからです。多要素認証・RBAC・ログ監視の3つが実装の柱になります。
第3問 NAS と SAN（システム構成）
SAN（Storage Area Network）の説明として、適切なものはどれか。
- サーバに直接ケーブルで接続した、そのサーバ専用のディスク装置。
- LAN に接続し、ファイル単位で複数のサーバやPCから共有して使うストレージ。
- サーバとストレージを専用のネットワークで接続し、ブロック単位でアクセスする仕組み。
- インターネット経由で事業者のストレージを従量課金で利用するサービス。
解答
答え：c
昨日は1台のストレージの中身（RAID）でした。今日はその一段外側、ストレージをどうつなぐかです。見分けるポイントは「ファイル単位か、ブロック単位か」の1点だけです。
| 方式 | つなぎ方 | アクセス単位 | 向いている用途 |
|---|---|---|---|
| DAS | サーバに直結 | ブロック | 単体サーバ。共有できない |
| NAS | LAN に接続 | ファイル | 部門のファイル共有。導入が手軽 |
| SAN | 専用ネットワーク（ファイバチャネル／iSCSI） | ブロック | DB やバックアップ。高速・大規模 |
SAN は OS から見ると自分のディスクがつながっているように見えます（ブロック単位なので）。だからデータベースのように細かい読み書きが多い用途で速い。NAS はファイルサーバそのもので、業務の LAN と同じ線を使うため、トラフィックが増えると影響を受けます。SAN が専用ネットワークを別に敷くのは、この影響を避けるためです。
a は DAS、b は NAS、d はクラウドストレージです。
覚え方：NAS の N は Network「に」つなぐ普通のファイル共有、SAN の S は専用（Storage 専用の線）。問題文に「ファイル共有」とあれば NAS、「ブロック」「ファイバチャネル」とあれば SAN です。
第4問 マーケティングミックス（ストラテジ）
マーケティングミックス（4P）の4つの要素の組合せとして、適切なものはどれか。
- 計画・実行・評価・改善
- 製品・価格・流通・販売促進
- 政治・経済・社会・技術
- 財務・顧客・業務プロセス・学習と成長
解答
答え：b
Product（製品）、Price（価格）、Place（流通）、Promotion（販売促進）。売り手の側から、何を・いくらで・どこで・どう知らせるかを組み立てる枠組みです。
昨日の PEST で分析の枠組みは地図が完成しました。今日からは打ち手の側です。分析（現状を知る）→ 4P（どう売るかを決める）という順に並びます。
| 4P（売り手の視点） | 4C（買い手の視点） | 問い |
|---|---|---|
| Product 製品 | Customer Value 顧客価値 | 何を |
| Price 価格 | Cost 顧客の負担 | いくらで |
| Place 流通 | Convenience 利便性 | どこで |
| Promotion 販売促進 | Communication 対話 | どう伝えるか |
4P を裏返すと 4Cです。「顧客の視点で捉え直したもの」と問題文にあれば 4C。この対応表は行の順番がそのまま出題されるので、4つ縦に並べて覚えるのが早いです。
a は PDCA、c は昨日の PEST 分析、d はバランススコアカードの4つの視点（10/7）です。頭文字が4つ並ぶ枠組みは毎年どれかが出ますので、この4つを取り違えないようにしておけば1点が安定します。
第5問 コンピュータ犯罪と刑法（法務）
刑法の不正指令電磁的記録に関する罪（いわゆるウイルス作成罪）が成立する行為はどれか。
- 他人の ID とパスワードを無断で使い、ネットワーク経由でそのアカウントにログインする。
- 正当な理由なく、他人のコンピュータで意図に反する動作をさせるプログラムを作成し、保管する。
- 競合他社の営業秘密を、不正な手段で取得して自社の事業に使用する。
- 業務で知った顧客の個人データを、本人の同意なく名簿業者へ販売する。
解答
答え：b
昨日の不正アクセス禁止法は「入る行為」を罰する法律でした。今日はその隣で、「仕掛けを作る行為」を罰する刑法の条文です。作成・提供・供用・取得・保管のいずれも対象で、感染させていなくても、持っているだけで成立し得ます（「正当な理由なく」が要件なので、研究や対策目的で扱うぶんには当たりません）。
残り4日なので、コンピュータ関連の法律は「何を守る法律か」の1行だけで引けるようにしておきます。
| 法律 | 罰する／守る対象 | キーワード |
|---|---|---|
| 不正アクセス禁止法 | 権限なく入る行為、助長する行為 | なりすまし・ID 提供・フィッシング |
| 不正指令電磁的記録に関する罪（刑法） | ウイルスそのものの作成・提供・保管 | 意図に反する動作・保管でも成立 |
| 電子計算機損壊等業務妨害罪（刑法） | システムを壊して業務を妨害 | データ破壊・DoS |
| 電子計算機使用詐欺罪（刑法） | データ改ざんで不正に利益を得る | 残高の書換え |
| 不正競争防止法 | 営業秘密（10/11） | 秘密管理性・有用性・非公知性 |
| 個人情報保護法 | 個人データの扱い方（10/12） | 利用目的・第三者提供・匿名加工情報 |
a は不正アクセス禁止法（昨日）、c は不正競争防止法、d は個人情報保護法の違反です。
切り分けの一言：問題文の動詞を見ます。入る＝不正アクセス禁止法、作る・配る・持つ＝ウイルス作成罪、壊す・止める＝業務妨害罪、書き換えて儲ける＝電子計算機使用詐欺罪。