課題Ⅰ・Ⅱ・Ⅲは何を問う?
公式の試験内容ページに並んでいる項目を、課題ごとに要約しました(2026年9月27日確認)。問題数は第62回(2026年8月30日)の解答速報の問題番号から当サイトが数えたもので、公式に出題比率として公表されたものではありません。

- 課題Ⅰ 情報セキュリティ総論40問
2択20・4択20
- 課題Ⅱ 脅威と情報セキュリティ対策40問
2択20・4択20
- 課題Ⅲ サイバーセキュリティ対策100問
2択40・4択60
課題Ⅲだけで180問の半分以上。ただし課題別の基準なら、40問ずつの課題Ⅰ・Ⅱにも同じ70%が要る。
第62回(2026年8月30日)の解答速報の問題番号から当サイトが数えた数です。公式に公表された出題比率ではありません。
| 課題 | 主な項目(公式の項目名を要約) | 第62回の問題数 |
|---|---|---|
| Ⅰ.情報セキュリティ総論 | 3要素・7要素、守るべき情報資産、リスクマネジメント・アセスメント・対応、組織の対策、ISMS、関連法規、ストラテジ、QC七つ道具・新QC七つ道具 | 40問(2択20・4択20) |
| Ⅱ.脅威と情報セキュリティ対策 | 従業員・委託先の監督、SNS、ゾーニング、入退管理、オフィス内の対策、モバイル機器、災害・システム障害・建物や設備への対策、事業継続 | 40問(2択20・4択20) |
| Ⅲ.サイバーセキュリティ対策 | 利用者管理、本人認証、パスワード、アクセス制御、不正プログラム、外部からの攻撃、電子メール、不正アクセス、無線LAN、障害対策、電子媒体、暗号、認証技術、セキュアな通信、Web攻撃対策、ログ・インシデント対応、クラウド・API、ランサムウェア・標的型攻撃、サプライチェーン攻撃 | 100問(2択40・4択60) |
課題Ⅲの最後の5項目は、2026年2月度の試験から追加された項目です。初級には4つ目の課題「Ⅳ.コンピュータの一般知識」がありますが、管理士の範囲には含まれません。
課題ごとに70%が必要とされる根拠は?
根拠は、協会が運営する管理士SMART合格講座のページです。試験概要の欄に、試験内容「課題Ⅰ 情報セキュリティ総論、課題Ⅱ 脅威と情報セキュリティ対策、課題Ⅲ サイバーセキュリティ対策」、問題数「計:180問程度」、合格基準「Ⅰ〜Ⅲ 各々70%以上」と書かれています(2026年9月27日確認)。
一方、試験そのものの案内である試験内容ページは、「70%以上」「ただし、問題の難易度により調整し、70%以下でも合格とする場合があります」と書くだけで、課題ごとの基準には触れていません。
- 注意1:2つのページのどちらが実際の判定方法かは、公式に説明されていません。この記事は「課題別の基準がありうる」という前提で書いています。
- 注意2:講座ページの問題数は「180問程度」、試験内容ページは「180問」と、書き方にも違いがあります。
- 参考:同じ協会の個人情報保護士認定試験は、試験ページに「課題Ⅰ・課題Ⅱ各課題正答率70%以上」と課題別の基準を明記しています。
全体70%と課題別70%で、戦略はどう変わる?
違いがはっきり出るのは、得意・不得意の差が大きい人です。第62回の問題数(40問・40問・100問)に当てはめ、配点をすべて同じと仮定して試算しました(実際には2択と4択で配点が異なり、配点は非公表です)。
- 課題Ⅰ 総論(24/40問)60%
70%に届かない
- 課題Ⅱ 脅威と対策(30/40問)75%
- 課題Ⅲ サイバー対策(80/100問)80%
- 全体(134/180問)約74%
全体では70%を超えても、課題別の基準なら課題Ⅰの60%で不合格になりうる。一番低い課題を上げるのが合格に一番効く。
数値は当サイトが作った架空の例で、配点をすべて同じと仮定した試算です(実際の配点は非公表)。
| 課題 | 正解数 | 課題の正答率 | 課題別70%で見ると |
|---|---|---|---|
| Ⅰ 総論 | 24/40問 | 60% | 届かない |
| Ⅱ 脅威と対策 | 30/40問 | 75% | 届く |
| Ⅲ サイバー対策 | 80/100問 | 80% | 届く |
| 全体 | 134/180問 | 約74% | 全体70%なら届くが、課題別では課題Ⅰで不合格の可能性 |
課題Ⅲが得意で問題数も多いと、全体の得点率は70%を超えやすくなります。しかし課題別の基準では、課題Ⅰの60%が合否を決めてしまいます。課題Ⅰは法令や規格の暗記が多く、IT系の人ほど後回しにしがちな課題なので、特に注意が必要です。
逆に、事務系の人は課題Ⅰ・Ⅱで点を取りやすく、問題数の多い課題Ⅲで崩れやすい傾向があります(当サイトの見立て)。どちらの場合も、一番低い課題の正答率を上げることが、合格に一番効くという考え方になります。
課題ごとの時間配分は?
120分で180問を解くので、平均は1問40秒です。ただ、2択(○×)と4択では読む量が違うため、当サイトでは形式ごとに時間を分ける配分をすすめています。次の表は第62回の構成に当てはめた当サイトの案です。
目安の時間 = 2択の数 × 20秒 + 4択の数 × 50秒
- 1課題Ⅰ:20問×20秒+20問×50秒=1,400秒(約23分)
- 2課題Ⅱ:20問×20秒+20問×50秒=1,400秒(約23分)
- 3課題Ⅲ:40問×20秒+60問×50秒=3,800秒(約63分)
- 4合計:1,400秒+1,400秒+3,800秒=6,600秒(110分)
- 5見直し:120分−110分=10分
解く時間 110分 + 見直し 10分 = 120分
2択20秒・4択50秒は当サイトの案で、問題数は第62回の構成に当てはめたものです。
| 課題 | 問題の内訳(第62回) | 目安の時間 |
|---|---|---|
| Ⅰ 総論 | 2択20問・4択20問 | 約23分 |
| Ⅱ 脅威と対策 | 2択20問・4択20問 | 約23分 |
| Ⅲ サイバー対策 | 2択40問・4択60問 | 約63分 |
| 見直し | 迷った問題の再確認 | 約10分 |
勉強時間の配分も、同じ考え方で決めます。問題数だけで見ると課題Ⅲが半分以上を占めますが、課題別の基準では課題Ⅰ・Ⅱも同じ70%が必要です。当サイトでは、勉強時間を Ⅰ:Ⅱ:Ⅲ = 3:2:5 程度から始め、模試の結果を見て、70%に届かない課題に時間を回すことをすすめています。
苦手な課題はどう見つける?
当サイトの模試は、本番と同じ180問・120分(1問40秒)で、2択と4択を混ぜて出題します。解き終わると、課題ごとに70%以上かどうかを表示します。これは当サイトの判定基準で、公式の配点や判定方法を再現したものではありません。課題ごとの問題数は、第62回の解答速報から数えた構成に合わせて、課題Ⅰ 40問・課題Ⅱ 40問・課題Ⅲ 100問(○×80問・4択100問)にしています。これは1回分の本番から数えた配分なので、今後の回で本番の配分が変わる場合があります。
結果は次の順で読むと、次に何をすべきかが決まります。
- 3つの課題のうち、正答率が一番低い課題を見る
- その課題の中で、間違えた問題がどの章(法令、ISMS、物理対策、攻撃手口など)に集中しているかを見る
- 集中している章のドリルとテキストに戻り、用語を説明できるまで直す
- 時間切れで解けなかった問題がないかを見る(ある場合は知識より時間配分の問題)
課題別の直前チェックリストは?
試験の1週間前に、次の項目を「人に説明できるか」で確かめます。当サイトの整理で、公式の出題予想ではありません。
| 課題 | 説明できるか確かめること |
|---|---|
| Ⅰ 総論 | 3要素と7要素の違い/リスク対応の4分類(低減・回避・移転・保有)の例/ISMSのPDCA/個人情報保護法の主な用語と義務/不正アクセス禁止法で禁止される行為/QC七つ道具と新QC七つ道具の区別 |
| Ⅱ 脅威と対策 | ゾーニングと入退管理の考え方/委託先の監督で確認すること/SNS・モバイル機器の利用ルール/障害対策の用語(フェールセーフ、フールプルーフなど)/事業継続計画の目的 |
| Ⅲ サイバー対策 | 多要素認証の3要素/共通鍵暗号と公開鍵暗号の違い/主なWeb攻撃(SQLインジェクション、XSSなど)の仕組み/ログの時刻合わせと保管の意味/クラウドの責任分担/ランサムウェア・標的型攻撃・サプライチェーン攻撃の手口 |
法令や規格の数字は改正されることがあります。法令の要点は関連法規の早見表で、2026年時点の条文をもとに整理しています。
確認問題1
ゾーニングの考え方はどれ?
課題Ⅱで扱う、オフィスの「ゾーニング」の考え方として、最も適切なものはどれか。
選択肢を準備しています。「正解と解説を見る」は先に開けます。
正解と解説を見る
正解:1。ゾーニングは、情報の重要度に応じて区画(ゾーン)を分け、重要な区画ほど奥に置き、入れる人を限定する考え方です。
2 は、区画を分けない状態で、ゾーニングの逆です。3 は、部外者を最も重要な区画に近づけてしまいます。受付は、誰でも入れる区画に置くのが基本です。4 も逆で、重要な区画は外部から遠い奥の場所に置き、複数の区画を通らないと入れないようにします。
確認問題2
SQLインジェクションの対策はどれ?
Webアプリケーションに対するSQLインジェクションの対策として、最も適切なものはどれか。
選択肢を準備しています。「正解と解説を見る」は先に開けます。
正解と解説を見る
正解:3。SQLインジェクションは、入力欄に細工した文字列を入れて、データベースへの命令(SQL文)を書き換える攻撃です。プレースホルダを使うと、入力が命令の一部として解釈されなくなります。
1 のTLSは通信の盗聴や改ざんを防ぐ対策で、アプリがSQL文を組み立てる部分の弱点は防げません。2 は、パスワードを推測する攻撃への対策です。4 は、クロスサイトスクリプティング(XSS)への対策です。