情報処理安全確保支援士の過去問を解いていて、
この年度に受験していたら受かったのに。。
なんて思うことがあるかと思います。
仕事などで経験したことがある分野が出題されれば、スムーズに解答することができ、高得点を狙うことができます。
ですが、経験したことがない分野が出題されてしまうと、解答に苦戦し点数も低くなってしまいます。
じゃあ全ての分野を経験しようとか対策しようとするのは現実的ではありません。
出題されるテーマが予想できればいいのにな。。
ということで今回は『令和8年度 前期試験』で出題されるであろうテーマを予想していきます。
注意事項
しっかりと過去問対策をした上で本記事をご覧ください。
情報処理安全確保支援士の勉強法は『こちら』
あくまで予想であり、確実に出題されるわけではありません。
また、この分野だけ勉強すればよいというわけでもありません。
ご理解いただけた方のみご覧頂き、予想が外れたり、合否の結果などに関しては当ページでは一切の責任を負いませんのでご了承ください。
試験の出題構成の変更について
令和5年度秋季試験より試験の出題構成が変更となっています。
変更内容としてはこれまで午後Ⅰ試験・午後Ⅱ試験と午後に2つの試験がありましたが、午後試験という1つの試験に統合されます。
| 午後Ⅰ試験 試験時間：90分 出題形式：記述式 出題数：3問 解答数：2問 |
午後試験 試験時間：150分 出題形式：記述式 出題数：4問 解答数：2問 |
| 午後Ⅱ試験 試験時間：120分 出題形式：記述式 出題数：2問 解答数：1問 |
詳しくは『別記事』にてまとめていますので、変更前に受験したことがあって変更後に初めて受験する方などはぜひ一読ください。
令和8年度試験からCBT方式に変更
もう科目A試験を受験された方には不要の説明となりますが、令和8年度より応用情報技術者試験・各高度試験・情報処理安全確保支援士試験はこれまでの紙ベースの試験であるPBT方式から、テストセンターでPC上で受験するCBT方式に変更となります。
これまでの午前Ⅰ・午前Ⅱ・午後に相当する試験は、それぞれ科目A-1・科目A-2・科目Bという名称になっています。
| 科目 | 試験時間 | 出題形式・問題数 |
|---|---|---|
| 科目A-1 | 50分 | 四肢択一・30問全問解答 |
| 科目A-2 | 40分 | 四肢択一・25問全問解答 |
| 科目B | 150分 | 記述式・4問から2問を選択 |
令和8年度はこれまでの出題形式（記述試験あり）のまま出題されます。
令和9年度以降はCBT方式は継続で、出題形式は全て選択式に変更となる予定となっています。
詳しくは、『過去記事』を参照してください。
出題テーマの傾向
情報処理安全確保支援士の出題テーマに関しては、以下2点の傾向があると言われています。
- 実際にあったセキュリティインシデント
- 午前Ⅱで新たに出題されたキーワード
この2つの観点のもと予測を行っていきます。
1つ目の『実際にあったセキュリティインシデント』に関しては、TVなどのニュース、ネットニュースになるレベルのセキュリティインシデントが発生した場合にその原因や関連したテーマが出題されることがあります。
本記事では実際に起こったセキュリティインシデントなどとともにこちらをメインに扱っていきます。
今回は令和7年度秋季試験が終了した2025年10月頃から科目B試験直前の2026年10月頃までに実際に起ったセキュリティインシデントなどをご紹介します。
試験問題を作成するのに時間がかかる関係で、直近で発生したものは科目B試験に出題される可能性は低いです。
2025年10月～2026年4月頃に起きたセキュリティインシデントなどが、今回の令和8年度前期試験に出題される可能性が高いと考えます。
2026年4月以降については、次回の令和8年度後期試験に出題される可能性が高いと考えられますが、時間があればお付き合いください。
そして、直近1年くらいのセキュリティインシデントなどを復習しておくと良いので、『令和7年度秋季試験出題テーマ予想』についてもご覧ください。
2つ目の『午前Ⅱで新たに出題されたキーワード』に関しては、試験当日にならないとわかりませんが、午前Ⅱは6割程度は過去問から出題され、残り4割は新規の問題が出題されます。
この新規4割の問題の中から午後問題のテーマが出題される場合があります。
このため、午前Ⅱで新規出題された問題の中に知らない用語などがあれば、お昼休みのうちに概要だけでも掴んでおくと合格に近づけるかもしれません。
2025年10月～2026年10月に起こったセキュリティインシデント
令和7年度秋季試験が終了した2025年10月頃から試験直前の2026年10月頃までに実際に起こったセキュリティインシデントなどの中で、特に話題になったものをピックアップしました。
- アサヒグループのランサムウェア被害
- アスクルのランサムウェア被害
- Project Glasswing・MythosとAI関連の動向
- 2026年9月頃からAIを用いた攻撃と思われるセキュリティインシデントについて
- PHP2Shell・Node2Shell
アサヒグループのランサムウェア被害
2025年9月29日、アサヒビールを含むアサヒグループで、ランサムウェアによるシステム障害が発生しました。
受注・出荷などへの影響が長期間続いたため、ニュースなどで見た方も多いかと思います。
個人的にも飲食店でスーパードライが飲めなくなったりして、地味に影響を受けた記憶があります…
『アサヒグループの調査報告』によると、攻撃者は障害発生の約10日前に、グループ拠点のネットワーク機器を経由して内部へ侵入していました。
その後、主要データセンターに入り込み、パスワードの弱点を突いて管理者権限を取得しました。
奪ったアカウントを利用して複数サーバーへの侵入・偵察を繰り返し、9月29日にランサムウェアを一斉実行しています。
この結果、複数のサーバと一部の従業員端末が暗号化され、端末からの情報窃取も確認されました。
再発防止策には、リモートアクセスVPN装置の全面廃止などが挙げられています。
こちらから出題が予想されるものとして、特権ID管理・PAMが挙げられます。
PAMはPrivileged Access Managementの略で、管理者などの強い権限を、誰が・いつ・どのシステムで・どのように利用できるかを管理する仕組みです。
例えば、委託先の担当者に管理者アカウントを渡し、そのアカウントをいつでも使える状態にしていたらどうでしょうか。
認証情報が漏えいした場合、攻撃者にも同じ権限で操作される可能性があります。
そこで、必要な作業に必要な権限だけを与える最小権限や、必要な時間だけ権限を与えるJust-in-Timeアクセスという考え方が重要になります。
PAM製品の代表的な機能には、以下のようなものがあります。
- 管理者パスワードや秘密鍵を安全に保管する
- 利用前に本人確認や承認を行う
- 作業対象と利用時間を制限する
- 管理者パスワードを定期的、または利用後に変更する
- 管理者の操作ログや画面を記録する
製品や構成によっては、担当者に管理者パスワードそのものを知らせず、PAMが接続を仲介することもできます。
多要素認証（MFA）が「その利用者が本人か」を確認する対策であるのに対して、PAMは強い権限をどのように使わせるかまで管理する対策と考えると分かりやすいかと思います。
もちろん、PAM自体の管理者権限や設定も保護する必要があります。導入すれば、管理者アカウントの問題がすべて解決するわけではありません。
- 通常の業務用アカウントと管理者アカウントを分ける理由
- 委託先などに管理者権限を常時付与することのリスク
- 必要な作業の間だけ権限を与える目的
- 共有の管理者アカウントを使った場合でも、実際の作業者を追跡する方法
「管理者パスワードを複雑にする」だけでなく、権限の付与から利用、記録、利用終了までを確認しておきたいです。
アスクルのランサムウェア被害
2025年10月19日、アスクルでランサムウェア被害が発覚し、ASKUL・ソロエルアリーナ・LOHACOの受注・出荷業務が停止しました。
『アスクルの調査報告』では、例外的にMFAを適用していなかった、業務委託先向け管理者アカウントのID・パスワードが漏えいし、不正利用されたことが確認されています。
また、侵害されたデータセンターでは、サーバーへのEDR導入と24時間監視が行われておらず、即時検知できませんでした。
攻撃の過程では、EDR等の無効化も行われています。
なお、ID・パスワードが漏えいした方法については、完全な特定には至っていません。
ここから出題が予想されるものとしては、多要素認証、FIDO認証です。
FIDO2およびパスキーについても数多くのサイトで導入が進んでいますので、押さえておきたいところです。
また、EDRも注目しておきたいです。
EDRはEndpoint Detection and Responseの略で、PCやサーバーなどの端末の動きを継続的に収集・分析し、不審な動作の検知、調査、対処を支援する仕組みです。
例えば、プロセスの起動、外部への通信、ログイン、ファイル変更などの情報を使って、攻撃の流れを調べます。
不審なプログラムの起動後に外部通信が発生し、その後、大量のファイルが変更された場合、それぞれの動作を関連付けて調査する、といった使い方です。
深堀りをするとすれば、EDRを導入しただけで、すべての攻撃を防げるわけではないことです。
アスクルの事例では、EDRが未導入だった環境と、攻撃者によってEDR等が無効化された場面を分けて考える必要があります。
導入されていないサーバーでは、EDRによる情報収集や検知はできません。
また、停止されていても気付かなければ、監視できない状態が続いてしまいます。
そのため、次のような点も重要になります。
- 必要なサーバーや端末に導入されているか
- エージェントが正常に動作し、情報を送信しているか
- 停止・削除を防ぐ設定や、異常時の通知が有効か
- アラート発生時に調査・隔離する担当者と手順があるか
EDRが通知しても、担当者が確認していなければ対応は遅れてしまいます。
このことから、SOCによる監視や、複数のログを関連付けるSIEMも合わせて確認しておきたいです。
試験では、「EDRを導入する」に加えて、どの情報から異常と判断し、誰が何を隔離するかまで問われるのではないかと考えています。
Project Glasswing・MythosとAI関連の動向
2026年4月7日、AnthropicはProject Glasswingを発表しました。
Mythos Previewを使い、参加する企業・組織が重要ソフトウェアの脆弱性を発見・修正する取り組みです。
Mythosはセキュリティ専用というより、サイバー能力の高さが注目された汎用AIモデルとして説明されています。
ネットワーク・セキュリティベンダーでも、Security Hardening Releaseとして、AIによる検査成果を製品の修正版に反映する動きが出ています。
ここから出題が予想されるものとしては、脆弱性の評価、更新の優先順位、対応期限の判断です。
脆弱性の深刻度を表す指標として、CVSSがあります。
CVSSの基本スコアは、脆弱性の技術的な深刻度を表すものですが、その点数だけで、自社がどれくらい危険か、いつまでに修正するべきかが決まるわけではありません。
現在はCVSSのスコアだけの評価から、悪用状況と自社への影響を踏まえて対応する方法へ見直すことが重要になってきています。
このような考え方を、リスクベースの脆弱性管理と呼びます。
評価に使う情報や仕組みとしては、以下のようなものがあります。
| 指標・仕組み | 何を確認するものか |
|---|---|
| CVSS | 脆弱性の技術的な深刻度。基本スコアに加え、脅威や利用環境を反映する評価もある。 |
| EPSS | 今後30日以内に、その脆弱性の悪用が実際に観測される確率を推定する。 |
| KEV | 実際の悪用が確認された脆弱性を掲載するCISAの一覧。 |
| SSVC | 悪用状況や業務・安全への影響などを条件分岐で評価し、対応の優先度を判断する仕組み。 |
| 自社環境の情報 | 対象製品の有無、インターネットからの到達性、利用機能、扱う情報、業務の重要度など。 |
EPSSは、あくまで悪用される可能性の推定です。自社のシステムが攻撃される確率や、被害金額を直接表しているわけではありません。
また、既に悪用が確認されている場合に、EPSSが低いことだけを理由に対応を遅らせるのも適切ではありません。
SSVCは、もう少し対応の判断に近いものです。
「実際に悪用されているか」「攻撃対象になる状態か」「業務や人の安全にどのような影響があるか」などを確認し、どの程度急いで対応するかを決めます。
CVSSのように点数を出すことより、その組織が取るべき対応を判断する点が特徴です。
例えば、以下のような仮のケースを考えます。
- CVSSが9.8だが、問題の機能を使用しておらず、現在の構成では攻撃が成立しないシステム
- CVSSが7.5で、インターネットに公開され、実際の悪用も確認されている重要システム
点数だけで見ると前者から対応したくなりますが、提示された条件では、後者の対応を急ぐ必要があると考えられます。
もちろん、前者を放置してよいという意味ではありません。
構成変更や新しい情報によって評価は変わるため、判断理由を記録し、見直す必要があります。
実際の対応としては、次のような流れを確認しておきたいです。
- 対象製品・バージョン・機能の利用状況を確認する。
- 悪用状況、外部からの到達性、業務への影響を評価する。
- 対応の優先順位、期限、担当者を決める。
- すぐに更新できない場合は、接続制限や機能停止などの暫定対策を行う。
- 修正を適用し、正常動作と対策の有効性を確認する。
AIによって脆弱性の発見や攻撃方法の検討が速くなると、公開された問題をすべて同じ扱いで処理するのは難しくなります。
試験でも、単に「CVSSが高いから更新する」ではなく、なぜそのシステムを先に対応するのか、更新まで何をするのかを説明する問題を予想しています。
また、AI関連では、プロンプトインジェクションも確認しておきたいテーマです。
例えば、AIが読み込む外部文書の中に、秘密情報の送信や不正な操作を促す文章が含まれていた場合です。
AIがその文章を指示として扱うと、利用者が意図していない操作につながる可能性があります。
特に、AIがファイルを読んだり、外部サービスを操作したりできる場合は、与える権限も重要になります。
なお、これはAI利用から広げた出題予想であり、Project Glasswingで実際に発生した事件という意味ではありません。
直近のセキュリティインシデントから考えるテーマ
ここからは、2026年秋に公表された事例をご紹介します。
2026年9月頃から情報漏洩をはじめとするサイバー攻撃が多く発生しています。
一部はAIを用いた攻撃とも言われていますが、その中でも特に印象に残った事例をご紹介します。
いろんな意味で印象に残っているのはGMOではありますが…今回はご紹介しません…
なお、事象発生が試験直前のため、令和8年度前期試験に反映される可能性は低いと考えられます。
また、多すぎて取り上げられないので、令和8年度後期試験の出題テーマ予想時にもあらためて取り上げるかとは思います。
IDCフロンティア：クラウド管理基盤と特権ID管理
IDCフロンティアでは、IDCFクラウドポータルの認証システムで使用していたOSSの脆弱性が悪用されたと報告されています。
攻撃者は管理コンソールを経由して仮想化基盤の管理者権限を取得し、顧客の仮想サーバーを停止・暗号化しました。
詳しくは『2026年10月27日の調査結果』をご確認ください。
ここから注目するのは、クラウドの管理基盤と特権ID管理です。
仮想サーバーのOSにEDRを導入していても、それを管理する基盤から仮想サーバー自体を操作される場合には、EDRだけで防ぐことはできません。
どこで攻撃が行われ、どの権限が悪用されているのかによって、必要な対策は変わります。
管理コンソールへのアクセス制限、管理者権限の付与、操作ログの監視などを確認しておきたいです。
パーク24：保存データの保護と最小化
パーク24のタイムズカーでは、Webシステムの脆弱性を悪用され、内部で取得した情報を使ってDBやファイル領域へアクセスされたと報告されています。
本人確認書類の画像は暗号化して保管されていましたが、外部送信の痕跡が確認されました。
その後、会員登録完了後は画像を保有しないルールへ変更しています。
『パーク24の調査報告』に詳細がまとめられています。
ここから出題が予想されるものとしては、暗号化、暗号鍵管理、データ最小化です。
暗号化しているから保有し続けてよい、というわけではありません。
本当に必要な情報なのか、いつまで保管する必要があるのか、不要になった情報を削除できているのかまで考える必要があります。
情報漏えいのニュースからは、データをどのような形式で保存するかも出題候補として考えられます。
ただし、すべての情報をハッシュ化すればよいわけではありません。
自社サービスのログインパスワードは、入力された値が正しいか確認できればよく、元の値に戻す必要はありません。
そのため、利用者ごとのソルトと、Argon2idなどのパスワード用ハッシュ方式を使う考え方が基本になります。
一方、外部サービスに接続するためのパスワードやAPIキーは、接続時に元の値が必要な場合があります。
こちらはシークレット管理や暗号化、利用権限の制限などを考える必要があります。
クレジットカード番号についても、非保持化やトークン化、暗号化など、利用目的に応じた方法を選びます。PCI SSCの説明では、保存時の保護と表示時のマスキングが区別されています。
このあたりから、以下のような問題が考えられます。
- パスワードを単純にハッシュ化するだけでは、なぜ不十分なのか
- ソルトにはどのような役割があるのか
- 暗号化データと復号鍵を分けて管理する理由は何か
- 画面で伏せ字にしていても、保存データが保護されているとは限らないのはなぜか
- 不要な情報を保有しないことで、どのようなリスクを減らせるか
ハッシュ化、暗号化、トークン化、マスキングの違いは、合わせて整理しておきたいです。
なお、パーク24では、パスワードを復元できない形式で保管していたことや、カード情報は漏えいしていないことを説明しています。
PHP2Shell・Node2Shell：共通部品の脆弱性管理
2026年10月にPHP2ShellはPHP、Node2Shellと呼ばれる問題はBrotliデコーダーに関係する脆弱性が発表されました。
特にPHPに関しては高市首相がXにて呼びかけを行ったことで、TVなどでも取り上げられました。
ここから注目するのは、IT資産管理、依存関係の把握、SBOMです。
自社でPHPやNode.jsのプログラムを開発していなくても、購入した製品や利用中のコンテナに組み込まれている可能性があります。
脆弱性情報が公開されたときに、自社のどこに影響するのか判断できるようにしておく必要があります。
製品名だけでなく、組み込まれているソフトウェアやライブラリまで管理する理由を確認しておくとよいかと思います。
解説は行っていませんが、令和4年秋期 午後Ⅰ 問2にてLog4jに関する出題がありましたので、将来的な出題が予想されます。
まとめ
今回ご紹介した事例から、令和8年度前期試験で注目しているテーマをまとめます。
| 出題予想テーマ | 確認したい内容 |
|---|---|
| 特権ID管理・PAM | 最小権限、必要な時間だけの権限付与、認証情報の保管、操作記録 |
| MFA・FIDO2・パスキー | 認証方式の違い、例外アカウント、委託先管理 |
| EDR・SOC・SIEM | 動作情報の収集、検知・調査・隔離、導入範囲、停止の検知、初動対応 |
| 脆弱性対応 | CVSS・EPSS・KEV・SSVC、自社環境に基づく優先順位、暫定対策、更新手順 |
| AI利用時のセキュリティ | プロンプトインジェクション、参照情報・ツール権限の制限 |
| 保存データの保護 | ハッシュ化、暗号化、鍵管理、非保持化、データ最小化 |
| IT資産・構成管理 | 組込みソフトウェア、依存関係、SBOM |
知らなかった用語や苦手な分野があれば、過去問や参考書に戻って確認してみてください。
それでは、受験される皆さまの合格をお祈りしております。
YouTube解説動画
情報処理安全確保支援士の問題解説
問題解説・出題テーマ予想は『こちら』にまとめています。
