2023/9/5updated

「科目B」の攻略法を解説！情報セキュリティマネジメント試験の科目別勉強法

バックナンバー：情報セキュリティマネジメント試験の科目別勉強法

皆さん、こんにちは。
この連載「情報セキュリティマネジメント試験の科目別勉強法」では、情報セキュリティマネジメント試験の合格ラインである「600点」以上を短期間で効率よく確実に取るための具体的な勉強法を、出題科目ごとに説明しています。

連載9回目となる今回は、情報セキュリティマネジメントの試験科目「科目B」の特徴や勉強法について解説していきます。

いよいよ最終回。皆さんと一緒にここまでこられたことを、本当にうれしく思います。しかし最後まで油断せず、合格に向けて気をしっかり引き締めて学習していきましょう。

情報セキュリティマネジメント試験の科目別勉強法
1.【重点分野】情報セキュリティ全般
2.【重点分野】情報セキュリティ管理
3.【重点分野】情報セキュリティ対策
4.【重点分野】情報セキュリティ関連法規
5.【関連分野】テクノロジ
6.【関連分野】マネジメント
7.【関連分野】ストラテジ
8. 科目B　←今回はココ

試験科目「科目B」の概要
試験科目「科目B」の出題傾向
試験科目「科目B」の攻略法

試験科目「科目B」の概要

情報セキュリティマネジメント試験は2023年4月からCBT方式の受験となり、120分で科目A、科目Bをまとめて実施します。

「科目B」では、真新しい知識を問われるわけではなく、「科目A」の知識をベースにした、ケーススタディ問題で技能を問う問題が出題されます。

具体的には、企業内で発生した情報セキュリティ事故やトラブルへの対応、コンプライアンス問題などを中心に、身近で実際に起こりうるシチュエーションを想定したものから出題されるというイメージです。記述式ではなく、複数ある選択肢から正解を選ぶ多肢択一方式なので安心してください。

「科目B」は全部で12問出題されます。1問目の続きで2問目の出題がされるわけではなく、12問全てが独立した問題です。

これまでの連載でも解説したように、「科目B」をクリアできるかどうかは、今まで勉強してきた「科目A」の理解度にかかっています。あとは、長い問題を読み解く読解力を備えておけば大丈夫でしょう。

試験科目「科目B」の出題傾向

科目Bで出題されやすい分野はずばり、「情報セキュリティ対策」です。過去問の傾向からすると、試験要領の「2（2）部門の情報システム利用時の情報セキュリティの確保」についての問題が、8回の試験中、6回出題されています。つまり、75％の出題率です。
出題率や情報セキュリティマネジメント試験の特性を考えると、今後も継続して出題されることが予想できます。

「2（2）部門の情報システム利用時の情報セキュリティの確保」は科目でいうと、連載4回目で解説した「情報セキュリティ対策」にあたります。
試験では、実際に情報セキュリティの脅威に直面した場合の対応方法や、予防の仕方を問われます。「科目A」では知識を問われる問題に対し、「科目B」は実務面を重視した技能を問われる問題が出題されます。
付随して「情報セキュリティ」「情報セキュリティ管理」で出てきた用語も問題文で多数使われていますので、重点的に覚えておきましょう。

試験科目「科目B」の攻略法

ではここからは、「科目B」を攻略するためのポイントと勉強法を見ていきましょう。

基本知識を定着させてから「科目B」の問題に取り組もう

先述したように、「科目B」の問題を解くためには「科目A」の問題をどれだけ理解しているかが鍵になります。
つまりは、「科目A」を制することが「科目B」の最大の攻略法というわけですね。

知識がない状態で焦って「科目B」の勉強を始めても、用語の意味がわからなかったり、問題の内容を理解したりするのに苦労して挫折してしまいます。
それでは非効率なので、「科目A」の勉強が概ね合格ラインに達した段階で「午後問題」の勉強を始める勉強法が効果的です。

もし「科目A」の学習が中途半端のまま「科目B」の勉強を始めようとしている人は、まずは「科目A」を万全な状態にしてから取り組みましょう。

独学ではいまいち自信がもてないという方には、オンライン動画講座をおすすめします。頑張ってやってみても、1人の力ではどうしても理解できない部分があるのは当然のことです。「科目A」の知識をより強固にするために、動画講座を活用してバッチリ仕上げていきましょう。

情報セキュリティマネジメント講座

長文問題の読解力を上げよう

「科目B」を攻略するために必要なことは、「科目Aの知識」の他にもう1点あります。それが「読解力」です。

なぜなら、情報セキュリティマネジメント試験の「科目B」は、1問につき問題文が1ページ、2ページ目に設問、の構成です。「科目A」は1ページにつき3〜4問、出題されます。比較すると1問に対する文章量が違うことがわかりますね。

ですので、「科目B」にとりかかったら、最初に意識してやってほしい勉強法は「読解力」を身に付けることです。
テキストには「科目B」の解き方のコツが丁寧に解説されているので、まずはそこをじっくり読み、問題文の読み方と解き方のポイントをつかみましょう。

なお、問題ごとに内容は違っても、問題文自体は毎回パターン化されており、だいたい以下の流れで構成されています。

① 会社の概要、組織構成、登場人物の説明
② 情報セキュリティの問題が発生→インシデント管理を実施
③ インシデント管理の評価と問題管理の提案

これを理解しているだけでも読解のスピードは変わってくるので、問題を解く際はこの3つの構成を意識して読んでみるといいですよ。

＜先に設問を読むのもおすすめ＞
ちなみに筆者の場合は、問題文より先に、設問を読むようにしていました。そのうえで問題文を上記の構成ごとに分け、その中でも設問に関係ない情報を除外し、重要な部分を丸で囲んだり図を描いたりして整理しながら読み進めるようにしていたのがポイントです。
試験時間120分の中で問題文を何度も読み返す時間はないので、一読で内容を理解するためにはこのやり方がおすすめです。

繰り返し問題を解いてみよう

読解のポイントがだいたいつかめてきたら、あとは繰り返し問題を解くのみです。テキストには過去問と予想問題集もついていますので、何度もチャレンジして少しずつ解答のスピードを上げていくようにしましょう。最初から早く解こうとしても難しいので、徐々に改善していけば大丈夫です。
また、繰り返しやっていくうちに自分なりの読解のコツが見えてくると思いますので、地道に粘り強く取り組んでいきましょうね。

なお、過去問は試験方法が改定される前なので、科目としては「午後問題」として扱われています。過去問の「午後問題」の方が、「科目B」よりも長文で、より読解力が求められます。
「午後問題」に取り組むことで「科目B」の対策になるので「過去問がない」と不安にならずに、安心してチャレンジしましょう。

＜振り返りではどこでつまずいたのかしっかり確認しよう＞
なお、振り返りの際は「知識」と「読解力」どちらでつまずいたのかを、はっきりさせるようにしましょう。
前者だった場合は「科目Aの知識」がまだ十分に備わっていないことが原因ですし、後者の場合はまだ文章を読む力が不足していることがわかります。
原因を定かにしないまま振り返りをしても意味がないので、しっかり意識して進めてみてください。

問題文にでてくる組織の状況をよく読んで問題に合わせて解くこと

情報セキュリティマネジメント試験の「科目Ｂ」は技能を問う問題です。そのため、現状の組織に合わせた対応が答えになります。

実際に、過去問で出題された会社概要として従業員1,200名の販売代理店や、600名の投資コンサル会社、70名の商社などが登場します。組織の規模や業種によっては、情報セキュリティのリスクや脅威が異なるため、それに応じた対策が必要です。
例えば、金融機関ではお金に関するデータの保護が重要であり、医療機関では患者の個人情報の保護が重要です。これらは非常に重要度の高い情報であり、漏洩した場合の影響は甚大です。

問題文の冒頭に、会社概要や組織構成が説明として記載されているので、「ただの説明文だ」と思わずに、しっかりと読むことが大切です。

ISMSなどの情報セキュリティの知識や考え方を理解し問題にあてはめること

情報セキュリティマネジメント試験の問題は、「国語の問題」と言われることも多いです。おそらく、問題文を読み込んで状況にあった選択肢を答えることからそう言われているのでしょう。

ですが、誰でも「読めば答えられる」というわけではありません。「読めば答えられる」ようになるためにも、基本となる情報セキュリティの知識や考え方を知識として習得する必要があります。

例えば、以下のケースの場合、選択肢の行動には間違いはありません。ですが、自身が情報セキュリティ担当者の立場として最優先に経営陣に伝える対策は？と問われているので、回答を1つに絞ることができます。

問題：
あなたは、中規模の製造業企業の情報セキュリティ担当者。最近、企業の内部ネットワークに不正アクセスが試みられた形跡が見つかりました。幸い、侵入は防がれましたが、経営陣は今後の対策を強化するよう求めています。情報セキュリティ担当者として、経営陣に提案すべき最優先の対策は何か？

選択肢：
ア) ファイアウォールを最新のものにアップグレードする。
イ) 従業員全員を対象に情報セキュリティ教育を実施する。
ウ) リスクアセスメントを実施し、情報セキュリティポリシーを見直す。
エ) 外部のセキュリティ会社に侵入テストを依頼する。

上記の問題はISMSの原則に基づき、「ウ」が正解となります。

現実的に実現可能かを常に意識すること

情報セキュリティ対策は、費用と労力を度外視すれば、より安全に管理することができます。しかし、実際には決められた予算や決められた人員での対応が必要です。

例えば、従業員が70名の商社に対する情報セキュリティの対策として「ソフトウェアのインストール時には、情報セキュリティ部門へ可否を問い合わせる」はまだ、がんばれます。
一方、従業員が1,200名の販売代理店に対して、同じ対策を講じるのは現実的ではありませんよね。情報セキュリティ部門に問い合わせされる量が桁違い、と想像できます。この場合、1,200名の販売代理店には、「インストールを監視する仕組みを作る」などが有効な対策だと考えられます。

さらに、情報セキュリティ対策は、組織の業務目的や、ビジネスニーズと照らし合わせて考える必要があります。過剰なセキュリティ対策は、業務の効率性を損なう可能性があるため、バランスが重要です。
例えば、顧客データの保護が必要な場合、暗号化やアクセス制御を強化することが考えられます。これにより業務の遅延が生じる場合は、効率とセキュリティのトレードオフを考慮する必要があります。

「情報セキュリティマネジメント」とはどんな資格？