共通テスト情報Ⅰ・2-10

情報セキュリティの基礎の一問一答

共通テスト「情報Ⅰ」の「情報社会とデザイン」から、情報セキュリティの基礎に関する4択問題を10問。「答えと解説を見る」を開くと、正解とその理由がその場で読めます。会員登録は不要です。

この分野の演習

全10問／解説付き・基本無料

アプリ形式で解く（全800問）情報社会とデザインの要点解説を読む

問題

上から順に解いてみてください。答えは各問の下で確認できます。

問12-10・基礎

情報セキュリティの3大要素（CIA）とは、機密性、完全性と、もう一つは何か？

①可用性 (Availability)
②真正性 (Authenticity)
③責任追跡性 (Accountability)
④信頼性 (Reliability)

答えと解説を見る

正解 ①可用性 (Availability)

解説
正解は「可用性 (Availability)」。許可された人が、必要なときにいつでも情報やシステムを使える性質です。

なぜ
情報セキュリティの3要素は、機密性・完全性・可用性です。機密性は、許可された人だけが情報を見られること。完全性は、情報が正確で、書き換えられていないこと。可用性を守るには、予備の機器やバックアップ（データの写し）を用意して、故障や攻撃で止まらないようにします。例えば、DDoS攻撃でサービスが止まると、可用性が損なわれます。

ひっかけ注意

・「真正性 (Authenticity)」…利用者や情報が本物であること。JIS Q 27000では、3要素に加えて含めてもよい特性の1つとされる。
・「責任追跡性 (Accountability)」…だれがいつ何をしたかを、記録（ログ）から後でたどれること。これも追加の特性で、3要素には入らない。
・「信頼性 (Reliability)」…システムが意図したとおりに一貫して動くこと。追加の特性の1つで、送った事実を後で否定させない否認防止も同じ仲間。

問22-10・基礎

実在する企業やサービス（銀行や宅配業者など）を装ったメールを送りつけ、偽のWebサイトに誘導してIDやパスワードを盗み出す攻撃手法はどれか？

①DDoS攻撃
②フィッシング
③SQLインジェクション
④ランサムウェア

答えと解説を見る

正解 ②フィッシング

解説
正解は「フィッシング」。実在の会社を装ったメールなどで偽サイトに誘い、IDやパスワードを盗む手口です。

なぜ
アカウントの停止や荷物の不在を知らせるふりをして、不安や急ぎをあおる文面が多いのが特徴です。偽サイトは本物そっくりに作られています。メールのリンクから開かず、公式アプリや登録しておいたブックマークから確かめることが対策になります。

ひっかけ注意

・「DDoS攻撃」…多数の機器から一斉にアクセスしてサーバを止める攻撃。狙いは情報を盗むことではなく、サービスを使えなくすること（可用性の侵害）。
・「SQLインジェクション」…Webページの入力欄にデータベースへの命令（SQL）を混ぜ、データを盗んだり書き換えたりする攻撃。人をだますのではなく、Webページのプログラムの弱点を突く点が違い。
・「ランサムウェア」…ファイルを暗号化して、元に戻す代わりに金銭を要求するマルウェア。支払った場合でも元に戻る保証はない。

問32-10・基礎

コンピュータ内のファイルを勝手に暗号化して開けなくし、元に戻すことと引き換えに金銭（身代金）を要求するマルウェアはどれか？

①キーロガー
②スパイウェア
③ランサムウェア
④ボット

答えと解説を見る

正解 ③ランサムウェア

解説
正解は「ランサムウェア」。ファイルを勝手に暗号化し、元に戻す代わりに身代金を要求するマルウェア（悪意のあるソフトウェア）です。

なぜ
ランサムは英語で身代金という意味です。感染するとファイルが開けなくなり、支払いを求める画面が出ます。支払っても元に戻る保証はありません。パソコンからアクセスできる場所のファイルは、つないだままの外付けドライブも含めて暗号化されるおそれがあります。バックアップ用の媒体はバックアップのときだけつなぐのが有効な対策です。

ひっかけ注意

・「キーロガー」…キーボードの入力を記録して、IDやパスワード、カード番号などを盗むソフトウェア。入力を盗むだけで、ファイルを暗号化はしない。
・「スパイウェア」…利用者が気づかないうちに、個人情報や機器の情報を外部へ送るソフトウェア。情報を盗むのが目的のため、身代金は要求しない。
・「ボット」…感染した機器を外部から遠隔操作できるようにするマルウェア。多数のボットの集まり（ボットネット）は、DDoS攻撃や迷惑メールの送信に使われる場合がある。

問42-10・基礎

パスワードなどの知識情報に加え、スマホなどの「所持情報」や指紋などの「生体情報」のうち、2種類以上を組み合わせて本人確認を行う方式はどれか？

①シングルサインオン
②二段階認証
③生体認証
④多要素認証

答えと解説を見る

正解 ④多要素認証

解説
正解は「多要素認証」。知識・所持・生体のうち、種類の違う要素を2つ以上組み合わせて本人を確かめる方法です。

なぜ
認証の要素は、知識（パスワードなど知っていること）、所持（スマホなど持っているもの）、生体（指紋など体の特徴）の3種類です。種類の違う要素を組み合わせると、1つが盗まれても不正にログインされにくくなります。パスワードを2つ使うのは同じ種類なので、多要素認証になりません。

ひっかけ注意

・「シングルサインオン」…1回のログインで複数のサービスを使えるようにするしくみ。便利な一方、そのIDが盗まれると複数のサービスに入られる。
・「二段階認証」…認証を2回に分けて行う方法。2回とも同じ種類の要素（例：パスワードと秘密の質問）の場合もあり、その場合は多要素にならない。
・「生体認証」…指紋や顔など体の特徴で本人を確かめる方法。生体の要素1種類だけなら、多要素認証には当たらない。

問52-10・基礎

組織内のネットワークとインターネットとの境界に設置し、通過するパケット（通信データ）を監視して、許可されていない通信を遮断する装置はどれか？

①ファイアウォール
②ルータ
③スイッチングハブ
④アクセスポイント

答えと解説を見る

正解 ①ファイアウォール

解説
正解は「ファイアウォール」。組織内のネットワークとインターネットの境目で、許可していない通信を止める装置やソフトウェアです。

なぜ
ファイアウォールは防火壁という意味です。送り先・送り元のIPアドレスやポート番号などを調べて、決めたルールに合わない通信を通しません。外からの不正な侵入を防ぎ、内から外への不要な通信も止められます。

ひっかけ注意

・「ルータ」…異なるネットワークの間で、宛先IPアドレスを見てパケットの転送先（経路）を決める機器。基本の役割は道順を選ぶことで、決めたルールに合わない通信を止めて守るファイアウォールとは、役割の中心に違いがある。
・「スイッチングハブ」…同じネットワーク（LAN）の中で、MACアドレスを見て宛先の機器にだけデータを送る集線装置。
・「アクセスポイント」…無線LANの端末を電波でネットワークにつなぐ機器。暗号化の方式はWPA2かWPA3を選ぶ。

問62-10・基礎

ソーシャルエンジニアリングに該当する行為はどれか？

①総当たり攻撃でパスワードを解読する
②パスワード入力を背後から盗み見る
③ネットワーク上の通信を盗聴する
④ウイルスでキー入力を記録して盗む

答えと解説を見る

正解 ②パスワード入力を背後から盗み見る

解説
正解は「パスワード入力を背後から盗み見る」。ショルダハッキングと呼ばれ、ソーシャルエンジニアリングの代表例です。

なぜ
ソーシャルエンジニアリングとは、コンピュータの技術を使わず、人の心理のすきや不注意につけ込んで情報を盗む手口です。肩越しにのぞく、電話で関係者を装ってパスワードを聞き出す、捨てられた書類をごみ箱からあさる（トラッシング）などがあります。技術的な対策だけでは防げないので、一人一人の注意が大切です。

ひっかけ注意

・「総当たり攻撃でパスワードを解読する」…考えられる組合せを機械で次々に試す技術的な攻撃。4けたの数字なら、最大1万通りを試せば必ず当たる。
・「ネットワーク上の通信を盗聴する」…通信データを機器やソフトで盗み取る技術的な攻撃。通信を暗号化した場合は、盗まれても中身を読まれにくい。
・「ウイルスでキー入力を記録して盗む」…キーロガーというマルウェアを使う技術的な攻撃。人をだますのではなく、プログラムで盗む点が違い。

問72-10・標準

Webページの入力フォームなどに、悪意のある命令を含んだデータを入力し、利用者のブラウザ上で不正な動作をさせる攻撃はどれか？

①バッファオーバーフロー
②辞書攻撃
③クロスサイトスクリプティング
④トロイの木馬

答えと解説を見る

正解 ③クロスサイトスクリプティング

解説
正解は「クロスサイトスクリプティング」。XSSとも呼ばれ、ページを見た人のブラウザで悪意のある命令を動かす攻撃です。

なぜ
入力された内容をそのまま画面に出すWebページには、この弱点があります。攻撃者は入力欄にJavaScriptなどの命令文（スクリプト）を入れます。そのページを開いた利用者のブラウザで命令が動き、Cookie（ログイン状態などの情報）を盗まれたり、本物のサイトの上に偽の画面を出されたりします。被害を受けるのは、Webサイトではなくページを見た利用者です。

ひっかけ注意

・「バッファオーバーフロー」…用意された記憶領域の大きさを超えるデータを送り込み、プログラムを誤動作させたり乗っ取ったりする攻撃。入力されたデータを適切に扱わないプログラムの場合に起こる。ページを見た人のブラウザで命令を動かすXSSとは、仕組みが違う。
・「辞書攻撃」…辞書の単語やよく使われる言葉をパスワードとして次々に試す攻撃。英単語1語だけのパスワードの場合に破られやすい。
・「トロイの木馬」…役に立つソフトを装って入り込み、内部に潜んでシステムの破壊・外部からの侵入の手助け・情報の外部送信などをするプログラム。見た目は普通のソフトなので、利用者が自分で入れてしまう場合がある。入力欄から命令を送り込むXSSとは入り込む経路が違う。

問82-10・基礎

不特定多数のコンピュータに感染し、攻撃者からの指令によって一斉に特定のサーバへ大量のアクセスを行い、サービスを停止させる攻撃はどれか？

①標的型攻撃
②ゼロデイ攻撃
③中間者攻撃
④DDoS攻撃

答えと解説を見る

正解 ④DDoS攻撃

解説
正解は「DDoS攻撃」。多数の機器から一斉に大量のアクセスを送り、サービスを止める攻撃です。

なぜ
DDoSは分散型サービス妨害という意味です。攻撃者は、ウイルスで乗っ取った多数の機器（ボットネット）に指令を出し、同時に標的のサーバへアクセスさせます。送り元がたくさんあるため、1台から攻撃するDoS攻撃より防ぎにくくなります。情報セキュリティの3要素のうち、可用性を損なう攻撃です。

ひっかけ注意

・「標的型攻撃」…特定の組織を狙い、取引先などを装ったメールの添付ファイルやリンクで侵入して情報を盗む攻撃。不特定多数ではなく、特定の組織だけを狙い撃ちにする。
・「ゼロデイ攻撃」…修正プログラムが提供される前の脆弱性（セキュリティ上の弱点）を悪用する攻撃。修正前という攻撃の時期に注目した呼び名で、手段の違いを表す言葉ではない。
・「中間者攻撃」…通信する二者の間に割り込み、内容を盗み見たり書き換えたりする攻撃。サービスを止めるのではなく、機密性や完全性を破るのが狙い。

問92-10・標準

公衆無線LAN（フリーWi-Fi）を利用する際のセキュリティ対策として、適切でないものはどれか？

①パスワード付きWi-Fiなら通信は安全とみなす
②httpsで始まる暗号化されたサイトだけを使う
③重要な個人情報やカード番号の入力は避ける
④端末のファイル共有機能をオフにしておく

答えと解説を見る

正解 ①パスワード付きWi-Fiなら通信は安全とみなす

解説
正解は「パスワード付きWi-Fiなら通信は安全とみなす」。これが不適切な対策です。

なぜ
お店などで掲示されている共通のパスワード（WPA2パーソナルなど）は、同じパスワードを知る他人も使えます。総務省は、利用者全員が同じ暗号化キーを知っている公衆Wi-Fiは、暗号化されていない場合と同じように注意するよう求めています。本物そっくりの名前（SSID）の偽のアクセスポイントが置かれていることもあります。そのため、パスワードがあるだけで安全とは言えません。

ひっかけ注意

・「httpsで始まる暗号化されたサイトだけを使う」…Webサイトとの間の通信が暗号化されるので適切。ただし偽サイトの場合もあるので、URL全体も確かめる。
・「重要な個人情報やカード番号の入力は避ける」…盗み見られたときの被害を防げるので適切。総務省は、暗号化なしやWEPの場合はこうした入力を避けるよう求めている。
・「端末のファイル共有機能をオフにしておく」…同じWi-Fiにつないだ他人に、端末の中のファイルを見られないための適切な対策。

問102-10・基礎

ソフトウェアの脆弱性（セキュリティホール）が発見された際、メーカーが修正プログラムを提供する前に、その脆弱性を悪用して行われる攻撃を何と呼ぶか？

①ブルートフォース攻撃
②ゼロデイ攻撃
③サプライチェーン攻撃
④バックドア

答えと解説を見る

正解 ②ゼロデイ攻撃

解説
正解は「ゼロデイ攻撃」。脆弱性（セキュリティ上の弱点）が見つかってから、修正プログラムが提供されるまでの間に行われる攻撃です。

なぜ
修正プログラムが出る日より前、つまり対策が0日の状態で攻撃されるという意味です。利用者は更新して防ぐことができないため、とても危険です。怪しいファイルを開かない、複数の対策を重ねるといった備えが必要です。修正プログラムが出たら、すぐに更新することも大切です。

ひっかけ注意

・「ブルートフォース攻撃」…パスワードのあり得る組合せをすべて試す総当たり攻撃。英小文字8文字なら26の8乗（約2千億）通りある。
・「サプライチェーン攻撃」…取引先や委託先など、つながりのある組織の弱い所を足がかりに本当の標的を攻める攻撃。狙う経路の違いに注目した呼び名。
・「バックドア」…攻撃者が次からも簡単に侵入するためにこっそり作る裏口。攻撃の時期ではなく、侵入のための仕組みを指す。

当サイトは、独立行政法人大学入試センターとは一切関係のない、非公式の学習サイトです。試験に関する最新情報は、大学入試センターの公式サイトでご確認ください。

共通テスト情報Ⅰ 基礎完全対策（全800問）に戻る

※本ページでは、アクセス解析（Googleアナリティクス）と、広告の配信・成果の計測（A8.net）のためにCookie等を利用し、閲覧に関する情報をGoogle LLC・株式会社ファンコミュニケーションズへ送信しています。詳しくはプライバシーポリシーをご覧ください。

※本ページの問題・解説は、生成AI（人工知能）を活用して作成しています。