情報セキュリティマネジメント試験（SG）の範囲を教科書で学ぶスキルツリー｜確認テストつき
対象：IPAの
まだ読んでいない 読んだ（このブラウザに記録） 実務の手引き
科目A情報セキュリティ
脅威・攻撃・暗号・認証
0／341-1機密性・完全性・可用性：機密性・完全性・可用性：会社の情報の「守る3つの軸」 1-2真正性など残りの4つ ：真正性・責任追跡性・否認防止・信頼性：取引先が気にする残りの4つ 1-3情報資産・脅威・脆弱性：情報資産・脅威・脆弱性：リスクを3つに分けて考える 1-4事故で会社が傾く理由 ：事故が会社の存続をおびやかす理由：取引停止・損害・信用 1-5不正のトライアングル ：不正のトライアングルと内部不正：機会・動機・正当化 1-6攻撃者と目的 ：攻撃者は誰で、何が目的か：金銭・ハクティビズム・国家 1-7多層防御：多層防御とセキュリティバイデザイン：1つ破られても止まる作り 2-1マルウェアの種類 ：マルウェアの種類：ウイルス・ワーム・トロイの木馬・ボット・RAT 2-2ランサムウェア：ランサムウェアと二重脅迫、RaaS：いま一番多い被害の仕組み 2-3見つかりにくいマルウェア：ファイルレスマルウェア・ルートキット・バックドア：見つかりにくい手口 2-4パスワードを破る攻撃 ：パスワードを破る攻撃：辞書・総当たり・リスト型 2-5フィッシング：フィッシングとスミッシング：偽サイトに入力させる手口 2-6AitB・中間者攻撃：AitB・MITB・中間者攻撃：多要素認証をすり抜ける手口 2-7ビジネスメール詐欺：ビジネスメール詐欺（BEC）：振込先の変更を装う手口 2-8標的型攻撃：標的型攻撃・水飲み場型攻撃・APT：特定の会社を狙う手口 2-9人をだます手口 ：ソーシャルエンジニアリング：人をだます手口とサポート詐欺 2-10Webサイトへの攻撃① ：Webサイトへの攻撃①：SQLインジェクション・OSコマンドインジェクション 2-11Webサイトへの攻撃② ：Webサイトへの攻撃②：XSS・CSRF・クリックジャッキング・ディレクトリトラバーサル 2-12通信を狙う攻撃 ：通信を狙う攻撃：DNSキャッシュポイズニング・セッションハイジャック・リプレイ攻撃 2-13DoS・DDoS攻撃 ：DoS・DDoS攻撃：サービスを止める攻撃 2-14ゼロデイ攻撃：ゼロデイ攻撃と機能の悪用：パッチがない間を狙う 2-15侵入から被害までの流れ ：攻撃の準備とラテラルムーブメント、サイバーキルチェーン：侵入から被害までの流れ 2-16AIを悪用した攻撃 ：AIを悪用した攻撃：ディープフェイク・プロンプトインジェクション・敵対的サンプル 2-17自社が踏み台になる手口 ：踏み台・SNSの悪用・SEOポイズニング：自社が加害者側になる手口 3-1暗号の基本 ：暗号の基本：共通鍵暗号と公開鍵暗号、ハイブリッド暗号 3-2ハッシュと改ざん検知 ：ハッシュ関数とメッセージ認証：改ざんを見つける仕組み 3-3デジタル署名：デジタル署名とタイムスタンプ：誰がいつ作ったかを証明する 3-4PKIと証明書 ：PKIとデジタル証明書：サイトの鍵マークの裏側 3-5鍵管理と暗号化 ：鍵管理と暗号化：ストレージ暗号化・ファイル暗号化・危殆化 3-6多要素認証：多要素認証と多段階認証：何を組み合わせると強いか 3-7パスキー：パスワードレス認証（FIDO・パスキー）とリスクベース認証 3-8生体認証：生体認証：本人拒否率と他人受入率の考え方 3-9シングルサインオン：シングルサインオンとアクセス管理：アカウントを1か所で管理する 7-12シャドーITと生成AI ：シャドーITと生成AIの社内ルール
科目A情報セキュリティ管理
リスク・
4-15クラウドの守り ：クラウドのセキュリティ：責任共有モデルと設定ミス 5-1情報資産台帳：情報資産台帳のつくり方：何がどこにあるかを書き出す 5-2リスクの種類 ：リスクの種類：財産損失から地政学リスク、サプライチェーンリスクまで 5-3リスクアセスメント：リスクアセスメントの手順：特定・分析・評価とリスクマトリックス 5-4リスク対応の4つ ：リスク対応の4つ：回避・低減・共有（移転）・保有 5-5サイバー保険：サイバー保険の選び方と使い方 5-6残留リスク：残留リスクとリスクの受容：経営者に判断してもらう書き方 6-1セキュリティポリシー ：情報セキュリティポリシーの体系：方針・対策基準・実施手順 6-2必要な規程の一覧 ：会社に必要な規程の一覧：情報管理・インシデント対応・SNS利用など 6-3ISMS：ISMS（ISO/IEC 27001）とは：認証を取る会社・取らない会社 6-4管理策の分け方 ：管理策の分け方：組織的・人的・物理的・技術的、予防・検知・是正 6-5CSF：サイバーセキュリティフレームワーク（CSF）：識別・防御・検知・対応・復旧 6-6国のガイドライン ：国のガイドライン：サイバーセキュリティ経営ガイドラインと中小企業向けガイドライン 6-7SECURITY ACTION・SCS：SECURITY ACTIONとSCS評価制度：中小企業が示せる「対策の証拠」 6-8PCI DSS・ISMAP：PCI DSSとISMAP：業界ごとの基準 6-9委員会とCISO ：情報セキュリティ委員会とCISO：小さな会社の体制のつくり方 6-11継続的改善：継続的改善：PDCAで規程を見直す 8-4クラウドの選び方 ：クラウドサービスを選ぶときの確認項目 8-5サプライチェーン：サプライチェーンリスク：取引先経由で被害が広がる仕組み 9-1インシデントの流れ ：インシデントハンドリングの流れ：検知・トリアージ・対応・報告 9-7CSIRT・SOC：CSIRT・PSIRT・SOC：小さな会社の体制 9-8相談先と届出 ：相談先と届出：警察・IPA・JPCERT/CC・個人情報保護委員会 9-9BCPとBIA ：事業継続計画（BCP）とBIA：止まってはいけない業務を決める
科目Aセキュリティ技術評価
CVSS・脆弱性検査
0／1科目A情報セキュリティ対策
人・技術・物理の
4-4ファイアウォール・WAF ：ファイアウォール・WAF・IDS・IPS・UTM：役割の違い 4-5ネットワークを分ける ：DMZ・検疫ネットワーク・認証VLAN：ネットワークを分けて守る 4-10端末を守る ：端末を守る：EDR・マルウェア対策ソフト・MDM 4-11情報漏えいを防ぐ ：情報漏えいを防ぐ：DLP・データマスキング・匿名化 4-12ログを集めて見る ：ログを集めて見る：SIEMとログ管理 4-13脆弱性管理：脆弱性管理：パッチ適用・SBOM・CVSS 4-16IoT機器：IoT機器のセキュリティ：複合機・カメラ・ルーター 4-17AIとセキュリティ ：AIを使った守り（AI for Security）とAIそのものの守り（Security for AI） 4-18物理的な対策 ：物理的な対策：入退室管理・クリアデスク・機器の処分
科目Aセキュリティ実装技術
プロトコル・
4-1TLS・HTTPS・SSH：TLS・HTTPS・SSH：通信を暗号化する仕組み 4-2VPNとIPsec ：VPNとIPsec：社外から安全につなぐ仕組みと、VPN機器が狙われる理由 4-3無線LANのセキュリティ ：無線LANのセキュリティ：WPA2・WPA3と社内Wi-Fiの分け方 4-6メールの送信元認証 ：メールの送信元認証：SPF・DKIM・DMARC 4-7メール暗号化と迷惑メール ：メールの暗号化と迷惑メール対策：S/MIME・PGP・OP25B 4-8Webサイトの守り方 ：Webサイトの守り方：セキュアプログラミングとWAF 4-9データベースの守り ：データベースのセキュリティ：暗号化・アクセス制御・ログ
科目A法務
知的財産・
10-1個人情報保護法：個人情報保護法：安全管理措置と漏えい時の報告義務 10-2不正アクセス禁止法：不正アクセス禁止法：何が犯罪になり、会社は何をすべきか 10-3刑法のサイバー犯罪 ：刑法のサイバー犯罪：ウイルス作成罪・電子計算機使用詐欺罪ほか 10-4基本法と国の体制 ：サイバーセキュリティ基本法と国の体制 10-5特定電子メール法ほか ：特定電子メール法と情報流通プラットフォーム対処法 10-6電子署名・電帳法：電子署名法・e-文書法・電子帳簿保存法 10-7著作権と営業秘密 ：著作権法と不正競争防止法（営業秘密） 10-8労働法と就業規則 ：労働関連の法律と就業規則・派遣：社員と派遣社員の扱い 10-9GDPRと海外 ：GDPRと海外の個人情報のルール 10-10情報倫理：情報倫理：フェイクニュース・デジタルタトゥー・ファクトチェック
科目B科目B（技能）
計画から
7-1アカウントと権限 ：アカウントと権限の管理：最小権限・棚卸し・退職者の削除 7-2パスワードのルール ：パスワードのルール：長さ・使い回し・管理ツール 7-3バックアップの運用 ：バックアップの運用：3-2-1ルール・世代管理・復元の練習 7-4マルウェア対策の運用 ：マルウェア対策の運用：定義ファイル・検知時の流れ 7-5パッチ適用の運用 ：パッチ適用の運用：どの順で、いつまでに当てるか 7-6ログの取得と監視 ：ログの取得と監視：何を、どれだけ保管するか 7-7持ち出しと誤送信 ：メール・ファイル送付・持ち出しのルール：誤送信を防ぐ 7-8USBメモリと廃棄 ：USBメモリなど記録媒体の管理と廃棄 7-9運用状況の点検 ：運用状況の点検：月1回のセルフチェック 7-10社員教育と訓練 ：社員教育と標的型メール訓練 7-11内部不正を防ぐ ：内部不正を防ぐ：ガイドラインと状況的犯罪予防 8-1委託先の調査 ：委託先を選ぶ前の調査：何を確認するか 8-2委託契約とNDA ：委託契約とNDA：準委任・請負・守秘義務 8-3委託の終了 ：委託の終了：検収・データの消去・返却 8-6チェックシート：取引先のセキュリティチェックシート：設問の読み方と答え方 9-2初動：初動：切り離す・残す・知らせる 9-3原因の切り分け ：原因の切り分けと復旧：ログとアクセス記録の読み方 9-4証拠保全：証拠の保全とデジタルフォレンジックス 9-5再発防止策：再発防止策の書き方：業務手順の見直しまで 9-6社外への説明 ：社外への説明：お詫び文・公表文・取引先への報告
科目A その他の分野 その他の分野
監査・
この試験の形式と勉強の順番
試験の
学んだことを、取引先への回答にそのまま使う
Moshiruは、