情報セキュリティ管理士 ネットワーク・Webセキュリティの対策

情報・サイバーセキュリティ認定試験（管理士）は180問・120分のマークシート方式で、合格基準は70%以上とされています（問題の難易度により調整あり。2026年9月27日確認）。公式の出題範囲は課題Ⅰ「情報セキュリティ総論」、課題Ⅱ「脅威と情報セキュリティ対策」、課題Ⅲ「サイバーセキュリティ対策」に分かれ、この記事で扱うのは課題Ⅲの一部です。

課題Ⅲには、コンピュータ利用者の管理や暗号技術と並んで、外部からの攻撃と対策、電子メールの脅威、不正アクセス、無線LAN、セキュアな通信技術が挙げられています。さらに2026年2月度試験で追加される項目として、Web攻撃対策、ログ・インシデント対応、クラウド・API、ランサムウェア・標的型攻撃、サプライチェーン攻撃が示されています（公式の試験内容ページ、2026年9月27日確認）。当サイトではこのうちネットワークとWebに関わる部分（追加項目のWeb攻撃対策とインシデント対応の基本を含む）をまとめて「第8章」とし、残りの追加項目は第9章の記事で掘り下げます。

ネットワークの守りは、1つの装置で完結しません。外との境界、公開サーバの置き場所、通信路、メール、Webアプリ、社内の端末と、層ごとに別の対策を重ねる多層防御が基本です。まず全体の地図を表で押さえてください。

アプリケーションの権限を考える具体例として、RAGの信頼境界とSaaS・OAuth連携も確認できます。

試験で最も取り違えやすいのが、この3種類（IDSとIPSを分けると4種類）の役割です。見分けるコツは、何を見ているか（ヘッダか中身か）と、見つけた後に止めるか、知らせるだけかの2点です。

検知の方式には、既知の攻撃パターンと照合するシグネチャ型と、ふだんの状態から外れた動きを見つけるアノマリ型があります。攻撃を見逃すことをフォールスネガティブ、正常な通信を攻撃と誤って判定することをフォールスポジティブと呼びます。言葉の向きを逆に覚えやすいので注意してください。

DMZは、インターネットに公開するWebサーバやメールサーバを置く、社内LANとも外部とも分けた区画です。公開サーバが乗っ取られても、そこから社内LANへ直接入れないようにするのが目的です。データベースのような社内向けの重要なサーバは、DMZではなく内部に置くのが基本です。

VPNは、インターネットのような共有の回線の上に、暗号化と認証で守られた仮想的な専用の通り道を作る技術です。拠点どうしを結ぶ場合はIPsecを使うものが代表的で、テレワークの端末から社内へ入る場合はTLSを使うVPN（SSL-VPNと呼ばれることが多い）も使われます。VPN装置は外部に公開されるため、装置そのものの脆弱性を突かれる被害も多く、更新の適用と多要素認証が欠かせません。

Webの通信を守るTLSは、現行の版が TLS 1.3（RFC 8446、2018年8月）です。古い TLS 1.0 と 1.1 は RFC 8996（2021年3月）で使うべきでないとされました（いずれも2026年9月27日確認）。TLSの仕組みはTLSとはで詳しく扱っています。

無線LANは電波が壁を越えて届くため、盗聴と「ただ乗り」への備えが要ります。Wi-Fi Alliance は2018年6月25日に WPA3 を発表し、WPA3-Personal では SAE という鍵の確立方式でパスワードの推測に強くしています（2026年9月27日確認）。

• ✓WEPは使わない：暗号の弱さが知られており、対策として数えない。
• ✓SSIDを隠す（ステルス）だけでは守れない：通信を観察すれば分かるため、暗号化の代わりにはならない。
• ✓MACアドレスによる接続制限は補助：MACアドレスは偽装できるため、単独では不十分。
• ✓公衆無線LANでは重要な通信をTLSやVPNで守る：同じアクセスポイントの利用者に通信を見られる前提で考える。

WPA3の詳細はWPA3とはを参照してください。

メールは差出人の表示を簡単に偽れるため、フィッシングや標的型攻撃メール、取引先を装って送金させるビジネスメール詐欺の入口になります。受信側で「本当にそのドメインから来たメールか」を確かめるのが送信ドメイン認証です。

DMARCはこれまで RFC 7489（2015年3月）という情報提供（Informational）の位置づけの文書でしたが、2026年5月に標準化過程の RFC 9989 が発行され、RFC 7489（と公開サフィックスドメイン向けの実験的な拡張 RFC 9091）は廃止扱いになりました（2026年9月27日確認）。試験では「DMARCはSPFとDKIMを前提にした仕組み」という関係を押さえておけば十分です。詳しくはDMARCとはへ。

送信側の対策としては、ISPが自社網の端末から外部の25番ポートへの直接の送信を止めるOP25Bや、メールサーバを誰でも中継に使える状態（オープンリレー）にしないことも出題されやすい点です。

IPAの「安全なウェブサイトの作り方」（改訂第7版、2021年3月31日公開）は、SQLインジェクション、OSコマンド・インジェクション、ディレクトリ・トラバーサル、セッション管理の不備、クロスサイト・スクリプティング、CSRF、HTTPヘッダ・インジェクション、メールヘッダ・インジェクション、クリックジャッキング、バッファオーバーフロー、アクセス制御の欠落の11種類を取り上げ、脆弱性の原因をなくす根本的解決と、被害を減らす保険的対策を分けて示しています（2026年9月27日確認）。

間違えやすいのは、HTTPSにすればSQLインジェクションも防げるという誤解です。TLSは通信路の盗聴と改ざんを防ぐもので、正しく暗号化された通信で届いた攻撃の文字列は、そのままアプリに届きます。また、WAFは攻撃の文字列を検出して止める保険的な対策で、アプリの作りを直す根本対策とは別物です。

JPCERT/CC の「インシデントハンドリングマニュアル」（2021年11月30日版）は、インシデント全般に共通する基本的な流れを検知／連絡受付→トリアージ→インシデントレスポンス（対応）→報告／情報公開の4つで示しています（2026年9月27日確認）。トリアージとは、限られた人員で対応するために、あらかじめ決めた基準で優先順位を付けることです。

米国NISTのインシデント対応の文書 SP 800-61 は、2025年4月に第3版（Rev.3）が公表され、2012年の第2版は2025年4月3日に廃止されました。第3版はサイバーセキュリティフレームワーク（CSF）2.0 の考え方に沿って、平時の備えから復旧までをリスク管理の一部として扱っています（2026年9月27日確認）。

1. 1検知・連絡受付：監視の装置や外部からの通報でインシデントに気づく。通報を受ける窓口を決めて公開しておく。
2. 2トリアージ：事実を確かめ、対応が必要か、どれから対応するかを決める。
3. 3封じ込め：被害の拡大を止める。感染が疑われる端末はネットワークから切り離す。むやみに初期化せず、証拠を残す。
4. 4根絶と復旧：原因（マルウェア、侵入口の脆弱性など）を取り除き、バックアップなどから業務を戻す。
5. 5報告・情報公開：経営層・関係者・所管の官庁などに報告し、必要に応じて公表する。
6. 6振り返り：原因と対応の良し悪しを記録し、手順や対策を見直す。

現場の従業員に求められるのは、自分で調べて直そうとせず、決められた窓口へすぐ報告することです。初期化や再起動で証拠が消えると、原因の特定や被害範囲の確認ができなくなります。証拠の扱い（デジタルフォレンジック）は第9章の記事で扱います。

対策名が並ぶと、どれか一つを入れれば安全になると考えがちです。無線区間を守ること、アプリ同士の通信を守ること、Webアプリへの攻撃を減らすことを分けます。次の表は役割を理解するための整理で、特定環境への導入・設定の指示ではありません。

たとえばWPA3の社内無線LANから偽サイトを開いた場合、無線の認証方式だけで相手の事業者が本物とは証明できません。また、VPNを通った利用者にも、アクセスしてよい範囲の判断が必要です。問題文では「どの区間」「どの主体」「どの操作」を守る話かを言い直します。

無線の方式はWPA2とWPA3の比較、利用者への権限は認証・認可の具体例で補えます。学習する順番を迷う場合は管理士の勉強法へ戻り、章別の反復と通し練習が必要なら管理士パックの収録内容を確認してください。

迷った問題は「その対策はどこを守るのか（境界・通信路・メール・アプリ）」「見つけるだけか、止めるか、根本から直すか」の2点で見直してください。この章の用語は、選択肢の主語を入れ替えるだけで誤りの文が作れるため、ペアで覚えるのが近道です。

本番と同じ形式で確かめたい方は、登録不要の情報・サイバーセキュリティ管理士の無料お試しを使ってください。問題集の全体は対策ページで案内しています。

当サイトは全日本情報学習振興協会とは関係のない、非公式の個人運営の教材です。合格を保証するものではありません。公式テキスト・公式問題集・サンプル問題・実物形式問題集の文章は使っていません。