過去問・一問一答
基本情報技術者試験 の演習問題（6ページ目）
基本情報技術者試験のオリジナル演習問題 1008問を、分野別に整理しました。各問、正解と選択肢ごとの解説つき。このページは601〜720問目。気になる問題を選んで「なぜその答えになるのか」まで確認できます。
情報セキュリティ
情報セキュリティ96問
SQLインジェクションあるWebアプリのログイン処理は、入力されたIDとパスワードを文字列としてSQL文に連結し『該当行が1件以上あれば認証成功』としている。診断で、パスワード欄…クロスサイトスクリプティングあるWebサービスで二つの不具合が報告された。(1)商品レビュー投稿欄に入れたスクリプトがデータベースに保存され、以後そのページを開いた全利用者のブラウザで…クロスサイトリクエストフォージェリある会員サイトの送金処理にCSRF対策としてトークンを導入することになった。開発者が以下の実装案を検討している。CSRF対策として有効に機能する実装はどれかセッション固定攻撃あるWebアプリは、利用者が最初にアクセスした時点でセッションIDを発行し、その後ログインに成功してもセッションIDを変えずに使い続ける。攻撃者が事前に用意…SSRFあるWebアプリには、利用者が指定したURLの画像を取得してプレビュー表示する機能がある。攻撃者がこの機能に社内ネットワークやクラウドの内部管理用アドレスを…OSコマンドインジェクションあるWebアプリは、利用者が入力したホスト名に対してサーバ上でネットワーク疎通確認コマンドを実行し、その結果を画面に表示する。入力値をコマンド文字列に連結し…安全でないデシリアライゼーションあるWebアプリは、利用者のブラウザに保存させた状態データを、サーバ受信時にそのままオブジェクトへ復元（デシリアライズ）して処理に用いている。攻撃者が復元処…クリックジャッキングある会員サイトで、攻撃者が用意した別ページに会員サイトの操作画面を透明な枠として重ね、利用者が無関係なボタンと思って押した操作が実際には会員サイト上の重要操…HTTPセキュリティヘッダあるWebサービスでは出力時のエスケープを進めているが、開発規模が大きく、万一エスケープ漏れが残った場合にスクリプト実行による被害を抑える多層防御を追加した…HTTPセキュリティヘッダあるWebサービスはHTTPSに対応済みだが、利用者がアドレス欄にホスト名だけを入力した最初のアクセスがHTTPで行われ、その通信が経路上で改ざんされて偽サ…クロスサイトスクリプティングあるサイトの検索結果画面は、利用者がURLで渡した検索語を『〇〇の検索結果』という形でHTML本文にそのまま出力している。細工した検索語を含むURLを被害者…SQLインジェクションあるWebアプリの一覧画面は、利用者が選んだ並べ替え対象の列名をSQL文のORDER BY句に直接埋め込んでいる。列名は値ではなく構文要素のためプレースホル…入力値検証A社のWebアプリで、利用者が入力する都道府県コードを検証する処理を実装する。コードは『01』から『47』までの定義済みの値だけが正当である。多様な不正入力…脆弱性診断B社では開発中のWebアプリについて、まだ動作する環境を構築していない段階で、ソースコードに潜む脆弱性をできるだけ早期に洗い出したい。この目的に適した診断手…脆弱性管理C社の脆弱性管理担当者は、診断ツールが報告した多数の脆弱性に対し、限られた人員で修正対応する順序を決めたい。対応の優先度を客観的に判断する指標ソフトウェアサプライチェーンD社の製品は多数のオープンソースライブラリを組み込んでいるが、どのバージョンの何を使っているかを正確に把握できておらず、新たな深刻な脆弱性が公表されても自社…パッチ管理E社の基幹システムに、重要なセキュリティ修正プログラムの提供が始まった。過去に修正プログラムを本番へ即時適用した際、既存機能との不整合で業務が停止した苦い経…ペネトレーションテストF社は脆弱性診断ツールによる網羅的な検査は定期実施しているが、検出された個々の弱点が実際に組み合わさって重要システムへの侵入に至るかを、攻撃者の視点で確かめ…セキュアコーディングG社のWebアプリでは、内部で例外が発生すると、データベースのテーブル名やSQL文、サーバの内部パスを含む詳細なエラーメッセージを利用者の画面にそのまま表示…セキュリティバイデザインH社では、これまでシステム開発の最終工程で脆弱性診断を行い、見つかった問題を都度修正してきた。しかし手戻りが大きく、根本的な設計上の欠陥は修正困難なことも多…セキュアな設定管理I社が導入した管理用ソフトウェアには、出荷時から共通の管理者IDと初期パスワードが設定されており、管理画面が外部ネットワークからもアクセス可能な状態で稼働し…脆弱性診断J社では、機能テストでアプリを実際に動かしている間に、その内部の処理経路まで把握して脆弱性を高精度に検出したい。静的解析だけでは実行時の挙動を捉えられず、外…セキュアコーディングK社のWebアプリでは、利用者が自分の注文明細をURLのパラメタに含む注文番号で参照する。ある利用者が注文番号の数字を別の値に書き換えたところ、他人の注文明…ソフトウェアサプライチェーンL社は自社サービスの一部を外部の開発会社へ委託している。委託先の開発環境が侵害され、納品されるソフトウェアに不正なコードが混入する事態を懸念している。委託元…インシデント対応A社の運用担当者の元へ、監視ツールから『深夜に経理サーバから海外IPへ大量のデータ送信があった』という1件のアラートが届いた。担当者は他にも多数のアラートを…インシデント対応B社の受注処理を担う基幹サーバ1台がマルウェアに感染していると分析で判明した。このサーバを止めると当日の受注業務が完全に停止するが、稼働を続けると社内の他サ…インシデント対応C社では、感染端末を隔離して封じ込めた後、調査で『攻撃者が作成した不正なアカウントと、再侵入用のバックドアプログラムが端末に残っている』ことが判明した。イン…インシデント対応D社では、侵害されたWebサーバの脅威除去（根絶）を終え、業務へ復旧させようとしている。早く再開したいという声が現場から強い。インシデント対応の復旧段階の進…インシデント対応E社では、一連のインシデント対応を終えてシステムを通常運用へ復旧させた。同種の事故を繰り返さないために行うべき、インシデント対応プロセスの最後の段階での活動インシデント対応F社の社員が、業務端末の画面に『ファイルを暗号化した。復号してほしければ支払え』という脅迫文が表示され、ファイルが開けなくなっているのを発見した。端末はまだ…インシデント対応G社で不正アクセスが疑われる端末について、後日の詳細な原因調査や法的手続でも証拠として使えるよう、ディスク内のデータを保全することになった。デジタルフォレン…インシデント対応H社では、各種機器のログやアラートを夜間・休日も含めて常時監視し、攻撃の兆候を早期に検知して一次対応へつなげる専門チームの新設を検討している。このチーム（S…インシデント対応I社の一次対応担当者が、調査の結果『顧客の個人情報が外部に流出した可能性が高い重大インシデント』と判断した。自分の権限では公表や顧客対応の判断ができない。あ…インシデント対応J社のサービスで、利用者の個人データが外部に漏えいした事実が確認された。J社は対応方針を検討している。情報漏えい発覚時の対外対応インシデント対応K社のインシデント調査で、原因が『公開サーバに長期間適用されていなかった既知の脆弱性を突かれたこと』と特定された。再発防止策を立案するうえで、最も適切なもの…インシデント対応L社では、インシデント対応手順書は整備済みだが、実際に事故が起きた際に手順どおり関係者が連携して動けるか不安がある。手順書の実効性を高めるために実施すべき活…
残り60問を表示
ISMSA社はISMSを運用して2年が経過し、内部監査と前回のマネジメントレビューで『インシデント報告の手順が形骸化し、軽微な事象が記録されていない』という不適合が…適用宣言書B社はISMS認証の取得に向け適用宣言書を作成している。標準の管理策一覧のうち『開発環境のセキュリティ』に関する管理策を、自社は開発業務を一切行わず外部に委…リスクアセスメントC社では、情報セキュリティリスクの洗い出しを担当者が思いつくままに列挙していたため、部署や情報資産によって洗い出しの深さにばらつきが生じ、重要なリスクの見落…リスク分析D社では特定したリスクについて、対応の優先順位を付けるための分析を行おうとしている。担当者から『各リスクの大きさをどう見積もればよいか』と相談があった。リス…リスク評価E社では、分析を終えた多数のリスクについて、どれから優先して対応するかを決める段階に入った。経営層からは『すべてに対応する予算はない』と言われている。リスク…リスク対応F社は、あるリスクに対し技術的・運用的な低減策を実施した結果、リスクレベルが受容基準を下回る水準まで下がった。それでもなお、わずかな残留リスクは残っている。…情報セキュリティポリシーG社の情報セキュリティ文書は、経営層が定めた『当社は情報資産を適切に保護する』という基本方針と、『パスワードは規定の方法で管理する』といった対策基準、『パス…セキュリティ教育H社では全社員に同一内容のセキュリティeラーニングを年1回実施しているが、開発者からは『業務に直結する内容が乏しい』、新入社員からは『前提知識がなく理解でき…情報資産の格付けI社では情報資産を機密度に応じて『極秘・社外秘・公開』の三段階に格付けする制度を整えた。次の運用として、格付け制度を実効あるものにするために最も適切なものは…委託先のセキュリティ評価J社は新たにクラウド型の業務システムを外部事業者へ委託するにあたり、複数の候補事業者から1社を選定しようとしている。委託先のセキュリティ水準を選定段階で客観…内部監査K社ではISMSの内部監査を実施するにあたり、監査員の人選を検討している。監査対象には情報システム部の運用業務が含まれる。内部監査の客観性を確保するための監…セキュリティ成熟度L社の経営層は『当社のセキュリティ対策は他社と比べてどの水準にあり、次に何へ投資すべきか分からない』と感じている。場当たり的な対策投資から脱し、計画的に水準…暗号方式の選択A社では、夜間バッチで数十GBに及ぶ業務データを社内ストレージへ暗号化保存する処理を新設する。鍵は社内のバッチサーバだけが扱い、外部との鍵交換は発生しない。…鍵ライフサイクル管理B社では、退役する暗号化ストレージ装置に保存データの復号に使う共通鍵が記録されている。装置はリース返却するため社外へ渡る。鍵の廃棄段階で講じる対策鍵ライフサイクル管理C社は、取引先と共通鍵暗号で機密ファイルをやり取りすることになり、両者で同じ共通鍵を共有する必要がある。両社はまだ安全な秘密の通信路を持っていない。共通鍵を…暗号アルゴリズムの危殆化D社の社内システムは、長年ハッシュ計算に旧来のMD5を使っている。セキュリティ監査で『当該アルゴリズムは安全性が低下し、推奨リストから外れている』と指摘され…鍵長の選択E社は、長期にわたり機密性を保つ必要がある契約データを公開鍵暗号で保護する設計を行っている。設計者は処理速度を優先して短い鍵長を採用しようとしている。鍵長の…HSMF社の決済システムでは、重要な秘密鍵をアプリケーションサーバのファイルとして保存しており、サーバ侵入時に鍵が窃取される懸念がある。鍵そのものの保護を強化する…証明書の階層と相互認証G社とH社は、それぞれ別の認証局が発行した電子証明書を社内で利用している。両社が相互に相手の証明書を信頼して安全に通信できるようにしたい。認証局の信頼構造に…コードサイニング証明書I社は、自社開発のソフトウェアをインターネットで配布している。利用者から『ダウンロードしたファイルが本物か、改ざんされていないか確かめたい』との要望がある。…鍵の生成J社の開発者が暗号鍵を生成する際、再現性を確保したいという理由で、固定の初期値を与えた疑似乱数で鍵を作っていた。生成された鍵が攻撃者に推測される懸念がある。…暗号化通信の選択K社では、社内の各種システムへ管理者がリモートで接続して保守作業を行う。従来は暗号化されていない遠隔操作プロトコルを使っており、操作内容や認証情報が経路上で…鍵の保管L社では、データベースを暗号化して保存しているが、復号に使う暗号鍵を同じデータベースサーバ上の設定ファイルに平文で置いている。サーバ一台が侵害されると暗号化…鍵の更新M社では、長期間にわたり同一の暗号鍵を交換せず使い続けており、万一その鍵が漏えいした場合、過去から将来までの全データが復号される懸念がある。鍵運用の改善策情報漏えい対策A社では、社員がマイナンバーやクレジットカード番号を含むファイルを誤って外部メールやクラウドへ送る漏えいが散発している。ファイル名や拡張子は様々で、送信経路…保存データの暗号化B社の顧客管理システムは、データベースに氏名・住所のほかパスワードや口座番号などの秘匿性が特に高い項目を保持する。データベースのバックアップファイルが流出し…バックアップ戦略C社は基幹データのバックアップを、本番サーバと同じデータセンタ内の別ストレージ1台にのみ保存している。建物全体の火災や水害が起きた場合に備え、バックアップの…バックアップ運用D社は毎日バックアップを取得し、取得完了のログも正常に記録されている。ところが実際に障害が起きてデータを戻そうとしたところ、バックアップファイルが破損してお…データ持ち出し管理E社の営業担当者は、顧客リストを保存したノートPCを社外へ持ち出して商談に使う。置き忘れや盗難でPCごと第三者の手に渡った場合でも、保存された顧客情報を読み…秘密分散F社では、システムの最重要マスタ鍵を1名の管理者が単独で保管している。担当者の不在時に利用できず、また1名の不正や鍵ファイルの単一流出で全体が危険になる点が…匿名加工情報G社は、保有する購買履歴を統計分析のため外部研究機関へ提供したい。提供データから特定の個人を識別できず、かつ元の個人情報に復元できない状態に加工して渡したい…仮名加工情報H社では、顧客データを社内のデータ分析チームが継続的に分析する。分析担当者の手元データから直接は個人を特定できないようにしつつ、後で問合せ対応が必要になった…データマスキングI社では、システムのテストに本番データベースのコピーをそのまま用いており、テスト環境には開発委託先も含め多くの人がアクセスできる。本番の個人情報がテスト環境…クラウドストレージのデータ保護J社は、社外の取引先と共有する資料をクラウドストレージに置いている。設定を確認したところ、一部のフォルダがリンクを知る誰もが閲覧できる公開状態になっており、…データ持ち出し承認K社では、機密データを社外へ持ち出す際の手続が定まっておらず、各自の判断で外部媒体やクラウドへ自由にコピーして持ち出している。持ち出しに伴う漏えいリスクを組…暗号鍵管理L社は長期間同じ共通鍵で大量の機密データを暗号化し続けている。鍵が一度漏えいすると過去から将来までの全データが解読される点が懸念されている。鍵の漏えい時の被…入退室管理A社のサーバ室はICカードのかざしだけで解錠できる。退職者が返却し忘れたカードや、貸し借りされたカードによる無断入室が懸念されている。カード保持者が本人であ…サーバ室の物理対策B社のサーバ室は施錠された専用区画にあり、入室できるのは運用担当に限られている。ところが、入室権限を持つ清掃や設備保守の作業員が在室中に、サーバ本体の記憶媒…クリアデスクC社のオフィスは取引先や配送業者が頻繁に出入りする。社員が短時間離席する際、机上に顧客名簿の印刷物や付箋に書いた仮パスワードが置かれたままになっている。離席…ショルダーハッキングD社の営業担当は、移動中の新幹線や空港のラウンジでノートPCを開き、顧客情報を扱う業務を行う。隣席や背後の他人に画面を覗き見され情報が漏れるリスクが懸念され…印刷物の管理E社では複数部署が一台の共有プリンタを使う。給与明細や契約書を印刷した社員が取りに行く前に席を離れ、他部署の社員が出力トレイから機密文書を持ち去る事案が起き…紙媒体の廃棄F社では不要になった顧客台帳や設計図の紙を、一般ごみの箱にそのまま捨てている。回収業者へ渡る前にごみ置場から抜き取られ、記載情報が外部に流出する懸念が示され…内部不正対策G社では、経理担当者が一人で入金消込と帳簿修正の両方を担い、上長の確認も形骸化している。借金を抱えた担当者が自分の操作を誰にも気づかれず修正できる状況にある…退職者の人的リスクH社では、競合への転職が決まった営業担当が退職直前の数週間、業務上の必要を装って顧客リストや見積データを個人の外部ストレージへ大量にコピーしていた事案が後で…委託要員の人的リスクI社では、開発を委託した会社の要員が自社オフィスに常駐し、社員と同じ共用の作業用アカウントで社内システムを利用している。委託要員が交代しても同じアカウントが…セキュリティ意識向上J社では年一回の座学研修だけでは、従業員が不審メールの添付やリンクを実際にクリックしてしまう傾向が改まらない。研修内容が実際の行動変容につながっていない。従…来訪者管理K社のオフィスでは、来訪者が受付で記帳すれば社員エリアへ自由に立ち入れる。先日、商談で訪れた人物が無人の会議室や執務エリアを一人で歩き回り、机上の資料を見て…クリアスクリーンL社のフロアは他部署や来客が行き交う。社員が会議や昼食で長く離席する間、PCがログイン状態のまま放置され、第三者が操作して社内システムの情報を閲覧できる状態…標的型攻撃A社のSOCが、ある業務PCから社内の複数サーバへ向けて、業務時間外に管理共有(IPC$)を使った認証試行が連続して発生していることを検知した。当該PCの利…ゼロトラストB社では、社内ネットワークに接続された端末は信頼できるものとして、いったん社内網に入れば各業務システムへ追加の確認なしにアクセスできる設計になっている。標的…クラウドセキュリティC社は、サーバの基盤(物理・仮想化・OSより下位)はクラウド事業者が運用するIaaSを利用し、その上に自社でOSとアプリケーションを構築している。利用者が登…クラウドセキュリティD社は顧客資料をクラウドストレージに保存し、社内の特定部署だけで共有している。あるとき、本来は限定共有のはずのフォルダが『リンクを知っていれば誰でも閲覧可』…リモートアクセスE社はテレワークのため、自宅から社内網へ接続するVPN装置を運用している。セキュリティ機関から、E社が使用している型番のVPN装置に認証を回避できる深刻な脆…BYOD管理F社では、従業員が私物スマートフォンで業務メールや顧客データを扱うBYODを認めている。私物端末の紛失・盗難時に、端末内の業務データだけを保護しつつ、私物の…IoTセキュリティG社は工場に多数のネットワークカメラやセンサ機器(IoT機器)を設置している。これらの機器の多くが出荷時の初期ID・パスワードのまま運用され、一部はインター…メールセキュリティH社は自社ドメインを差出人に詐称したなりすましメールが取引先に送られる被害を受けている。受信側が、H社ドメインを名乗るメールの正当性を検証し、認証に失敗した…サプライチェーン攻撃I社は、業務で利用しているソフトウェアの正規の自動更新を適用したところ、その更新版にあらかじめ不正なコードが仕込まれており、I社内の端末がマルウェアに感染し…ビジネスメール詐欺J社の経理担当者に、取引先の担当者名を名乗る差出人から『振込先の銀行口座を変更したので、今回の支払いから新口座へ送金してほしい』というメールが届いた。文面は…標的型攻撃K社のセキュリティ担当者は、標的型攻撃の準備段階で攻撃者が公開情報を収集していることを警戒している。調査の結果、社員が業務用メールアドレスの命名規則や所属部…ゼロトラストL社はテレワークと社外からのクラウド業務システム利用を進めており、社内網を経由しないアクセスが増えている。社内網に入っているか否かではなく、アクセスしてくる…
テクノロジ系
アルゴリズムとプログラミング24問
計算量要素数nの配列に対する二分探索の最悪計算量を表すものはどれかデータ構造後入れ先出し(LIFO)でデータを取り出すデータ構造はどれか2分木計算高さが4(根を第1段とし全4段が完全に埋まっている)の完全2分木の全ノード数はいくつかハッシュ法ハッシュ表で異なるキーが同じハッシュ値になる現象と、その対策の整列アルゴリズム整列アルゴリズムが安定であるとは、どのような性質を指すか逆ポーランド記法計算逆ポーランド記法で「5 3 - 4 *」と表された式を評価した結果はいくつか計算量nが十分大きいとき、二つの計算量のオーダの大小関係木の走査2分探索木を中順(通りがけ順)で走査したとき、ノードの値はどのような順序で得られるか整列アルゴリズムクイックソートの平均計算量と、最悪計算量のヒープ最大ヒープ(maxヒープ)が満たすべき条件データ構造配列と比べた連結リスト(線形リスト)の特徴2分木計算ノード数が1000個の完全2分木のおよその高さ(根を第1段とする段数)はどれかグラフ頂点数nのグラフを隣接行列で表現したとき、必要な記憶領域の大きさのオーダはどれか連結リスト単方向連結リストと比べた双方向連結リストの利点循環リスト循環連結リスト(環状リスト)の特徴スタックの応用後入れ先出し(LIFO)のデータ構造が処理の仕組みとして最も自然に当てはまる場面はどれかキューの応用先入れ先出し(FIFO)のデータ構造を用いるのが最も適切な処理はどれか2分探索木2分探索木(BST)が満たすべき構造的性質平衡2分探索木AVL木などの平衡2分探索木を用いる主な目的B木とB+木データベースの索引に用いられるB+木の、B木と比べた特徴ハッシュ表の衝突処理ハッシュ表の衝突処理におけるチェイン法(連鎖法)の説明連結リストの計算量計算要素数nの単方向連結リストにおいて、先頭ノードへのポインタが分かっているとき、リストの先頭に新しい要素を1個挿入する処理の計算量はどれか平衡木の高さ計算平衡が保たれた2分探索木に約100万個の要素を格納したとき、根から葉までの高さ(段数)はおよそどの程度になるか。なおlog2(10^6)はおよそ20であるハッシュ表の負荷率計算スロット数が500のハッシュ表に、現在350個のデータが格納されている。このハッシュ表の負荷率(占有率)はいくらか
このページの1,008問は一部です。登録すると基本情報技術者試験の全4,036問。
一問ごとにAIが「なぜ正解か・なぜ他が誤りか」まで解説。まちがえた問題は自動で復習に回り、暗記カードと模試まで無料で使えます。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
過去問だけで合格できますか？
基本情報技術者試験は2023年の改訂以降、本試験問題が原則非公開で、公開されているのはサンプル問題が中心です。旧制度の過去問は科目Aの知識確認には有効ですが、科目B（擬似言語のアルゴリズム）は形式に慣れる演習量が合否を分けます。このページの演習問題は、解説つきで科目A相当の論点を一問ずつ確認できるように作っています。