基本情報の情報セキュリティは何を勉強する？科目A・科目Bの対策を解説

セキュリティって、結局どこまで覚えればいいんだろう。

用語を暗記しても、問題を解くと手が止まっていませんか？

情報セキュリティは、基本情報技術者試験のなかでも特に範囲がつかみにくい分野です。攻撃の名前、対策の名前、法律や制度の名前が次々に出てきます。

そして厄介なのが、同じ情報セキュリティという名前でありながら、科目Aと科目Bでは問われ方がまったく違うという点です。

私はエンジニアとして10年以上、Webシステムの開発や運用に携わってきました。脆弱性の指摘を受けて修正したことも、社内のアクセス権限を棚卸ししたこともあります。

その経験から言うと、この試験のセキュリティは現場の判断に近い形で出題されます。だから暗記だけでは届かないし、逆に仕組みが分かれば覚える量はぐっと減ります。

この記事では、科目Aと科目Bで何が違うのかを整理してから、それぞれの対策を順番に見ていきます。

基本情報のセキュリティは、科目Aと科目Bの両方に出る¶

まず全体像を押さえましょう。情報セキュリティは、この試験で唯一、両方の科目に明示的に登場する分野です。

科目Aは60問90分で、幅広い分野から知識が問われます。そのなかにセキュリティの設問が混ざる形です。

一方の科目Bは20問100分で、そのうち情報セキュリティが4問と決められています。残りの16問はデータ構造とアルゴリズム、つまり擬似言語の問題です。

数だけを見ると科目Bの4問は少なく感じます。ただ、科目Bも1000点満点で600点以上が必要なので、4問の重みは決して小さくありません。

両科目の違いを表にまとめました。ここを取り違えると勉強の方向がずれてしまいます。

科目Aは知識の勝負です。知っていれば数秒で答えが決まり、知らなければ考えても出てきません。

科目Bはその逆で、知識だけでは足りません。文章のなかの状況を読み取って、どの対策が妥当かを選ぶ形になります。

科目Aのセキュリティは知識を問う¶

科目Aで出るのは、攻撃手法の名前や、暗号方式の仕組み、認証のやり方といった知識です。過去問を回せば回すほど点が安定していきます。

ここは素直に演習量が効く場所です。間違えた用語をノートに残し、翌日にもう一度見るだけでも定着していきます。

覚え方にコツがあるとすれば、単語をばらばらに覚えないことです。攻撃と、それを防ぐ対策をセットにしておくと、記憶が引き出しやすくなります。

科目Bのセキュリティは場面を読ませる¶

科目Bの4問は、会社の業務や情報システムの運用場面が文章で示されます。そのうえで、どの対応が適切かを判断させる形式です。

登場人物が複数出てきて、それぞれ持っている権限が違う、という設定もよく見かけます。文章を丁寧に追わないと、選択肢の違いが見えてきません。

科目Bのセキュリティに絞った対策と、擬似言語との時間の配り方は、専用の記事で詳しく扱っています。

【関連記事】基本情報 科目Bの情報セキュリティ対策｜擬似言語との勉強時間の配分を解説

科目Aのセキュリティで何を勉強するか¶

科目Aの対策は範囲の広さが敵になります。全部を均等に覚えようとすると、途中で息切れしてしまいます。

そこで、出てくる用語を役割ごとに分けて整理します。同じ棚に入るものをまとめておくと、思い出す手がかりが増えるからです。

私が新人に説明するときは、次の3つの箱に分けて話します。この分け方は実務の会話でもそのまま使えます。

攻撃の箱に入れた用語は、必ず対策の箱の何かと線でつながります。この線を引きながら覚えると、記憶が一本の話になります。

たとえばランサムウェアはデータを暗号化して使えなくする攻撃なので、対策の側ではバックアップが効きます。この対応関係を押さえておけば、選択肢を絞るのが速くなります。

用語は攻撃と対策をセットにする¶

一問一答で用語を回すのは有効です。ただ、答えを言えるようになった段階で止めないでください。

その用語が攻撃側なのか対策側なのかを口に出して確かめる。そのうえで、対になる用語を一つ挙げてみる。この二手間が科目Bにも効いてきます。

実務でも同じことをしています。ある脆弱性の報告を受けたとき、まず何を狙われるのかを確かめ、次に止める手段を決めるという順番です。

順番が逆になると、必要のない対策に時間を使ってしまいます。試験の選択肢を選ぶときも、この順番がそのまま判断の軸になります。

ネットワークの知識と重ねて覚える¶

セキュリティの用語は、ネットワークの知識と密接につながっています。ファイアウォールもVPNも、通信の仕組みが分かっていないと丸暗記になってしまいます。

逆に言えば、通信の流れを一度理解しておけば、セキュリティ側の用語は意味から思い出せます。二分野をまとめて勉強するほうが結果的に速いのは、このためです。

ネットワークの分野が実務でどうつながるのかは、別の記事で具体的に書いています。

【関連記事】基本情報のネットワーク分野は実務でどう役立つ？IPアドレス・DNS・ルーティングのつながり

科目Bの4問をどう攻略するか¶

ここからは科目Bの話です。4問しかありませんが、擬似言語より読みやすい分、取りこぼしたくない4問でもあります。

文章題として解くときの手順は、実はいつも同じです。順番を決めておけば、初めて見る場面でも迷いにくくなります。

まず読むのは、誰が何をできる立場なのかという部分です。次に、守りたい情報が何かを確かめます。

そのうえで選択肢を見ると、明らかに場面と噛み合わないものが落ちていきます。これで残るのはたいてい2つです。

権限と情報の流れを図にする¶

文章を読むだけで判断しようとすると、途中で関係が分からなくなります。私は問題用紙の余白に、簡単な図を描くことを勧めています。

登場人物を丸で囲み、情報がどこからどこへ動くかを矢印で書く。それだけで、権限を持ちすぎている人や、外部に出てはいけない経路が目に見えるようになります。

実務での設計レビューでも、まったく同じことをします。文章で書かれた要件を図に描き直した瞬間に、権限の穴が見つかることは珍しくありません。

図にする作業は数十秒で終わります。その数十秒が、選択肢を2つから1つに絞る決め手になります。

慣れないうちは、図が汚くても構いません。誰かに見せるものではないので、自分が関係をたどれれば十分です。

迷ったときは影響が大きいほうを選ぶ¶

2つまで絞ってから迷う場面は必ず来ます。そのときの判断基準を、あらかじめ決めておくと安定します。

セキュリティの設問では、被害の大きさや影響範囲が広いほうを優先する考え方が基本になります。手間の少なさより、守れる範囲の広さが評価されます。

もう一つの手がかりが、問題文に書かれていない対策は選ばないという点です。文章のなかに根拠が見つからない選択肢は、たいてい正解ではありません。

用語の言い換えに気づけるようにする¶

科目Bの文章は、用語をそのまま使わずに言い換えてくることがあります。多要素認証と書かずに、合言葉に加えて手元の端末でも確認する、といった説明にする形です。

この言い換えに気づけないと、知っているはずの知識が使えません。だから科目Aの用語を覚えるときは、意味を自分の言葉で説明できるところまでやっておくと安心です。

意味を説明できる状態というのは、言い換えを見ても同じものだと判断できる状態のことです。単語と単語の対応で覚えていると、ここで止まってしまいます。

擬似言語とセキュリティのどちらから対策すべきか迷っている人は、こちらの記事も参考になります。

【関連記事】基本情報科目Bで擬似言語と情報セキュリティ、どちらから対策すべき？

セキュリティの考え方は擬似言語でも使える¶

科目Bのセキュリティと擬似言語は、別々の勉強に見えます。ただ、判断の型は共通しています。

どちらも、条件を一つずつ確かめて結論に至るという構造だからです。実際にコードにしてみると、その共通点がはっきりします。

たとえばファイルにアクセスしてよいかを判定する処理を、擬似言語で書いてみます。利用者の権限と、ファイルの持ち主を照らし合わせる形です。

○論理型: accessDekiruka(整数型: riyousha, 整数型: mochinushi, 整数型: kengen)
  if (kengen = 3)
    return true
  endif
  if (riyousha = mochinushi)
    return true
  endif
  return false

このコードが表しているのは、管理者なら誰のファイルでも見られて、そうでなければ自分のファイルだけ見られるという規則です。実務のアクセス制御も、突き詰めれば同じ形をしています。

大事なのは、条件を確かめる順番です。上の判定を入れ替えて、持ち主かどうかを先に見る形にしても結果は変わりませんが、権限の考え方が読み取りにくくなります。

科目Bのセキュリティ問題は、この規則を日本語の文章で示してきます。文章を上のような条件の並びに置き換えられれば、選択肢は自然に絞れます。

コードの読み方そのものに不安がある人は、読む順番から整理した記事があります。

【関連記事】擬似言語の読み方｜1行目から追う前に見るべき3か所を解説

勉強の順番と、時間の使い方¶

最後に、どの順番で進めるかを決めておきましょう。ここが決まっていないと、毎日の勉強で迷いが生まれます。

おすすめは、科目Aのセキュリティを先に軽く一周してから、科目Bの4問に入る形です。用語を知らないまま文章題に挑むと、読んでいる途中で意味が取れなくなるからです。

とはいえ、科目Aを完璧にしてから進む必要はありません。7割ほど分かる状態になったら、科目Bの文章題を並行して始めてください。

学習の時期ごとの目安を表にしました。あくまで一例なので、自分の進み具合に合わせて調整してください。

セキュリティは直前でも詰められる分野です。だからこそ、序盤に時間を使いすぎないでください。

序盤に用語の暗記だけを長く続けてしまう人は多いのですが、覚えた用語は使わないと抜けていきます。文章題に触れながら覚えたほうが、結果として残ります。

擬似言語は伸びるまでに日数がかかる代わりに、一度読めるようになると落ちにくい力です。全体の時間配分では、そちらを厚めに取るほうが合理的です。

科目B全体がどういう試験なのかを整理しておくと、配分の判断がしやすくなります。

【関連記事】基本情報技術者試験の科目Bとは？擬似言語・アルゴリズム対策を初心者向けに解説

試験そのものの全体像から確認したい人は、こちらの記事から読んでみてください。

【関連記事】基本情報技術者試験とは？試験内容・難易度・勉強法を初心者向けに解説

まとめ¶

基本情報の情報セキュリティは、科目Aと科目Bの両方に出てきます。同じ分野でも、問われているのは知識と判断という別々の力でした。

科目Aは用語の勝負なので、攻撃と対策を対にして覚えるのが近道です。ばらばらに暗記するより、対応関係でつなぐほうが思い出しやすくなります。

科目Bの4問は、場面を読み取って妥当な対応を選ぶ問題です。権限と情報の流れを図にしてから選択肢を見る、という手順を固めておいてください。

そして進める順番は、科目Aを軽く一周してから科目Bへ、が扱いやすい形です。完璧を目指さず、7割で次へ進んで構いません。

セキュリティは、暗記の分野に見えて実は理屈の分野です。仕組みが腑に落ちた瞬間から、覚える量は目に見えて減っていきます。

通信の流れや攻撃の動きを実際に動かしながら確かめたい人は、Giji Academyのセキュリティ講座を使ってみてください。手を動かすと、文章だけでは見えなかった部分がつながります。