情報処理安全確保支援士（SC）は、経済産業省が認定する国家資格で、情報処理技術者試験の中でも最難関区分の1つとされています。組織のセキュリティ登録者数は年々増加しており、企業のDX推進・サイバーセキュリティ経営が求められる中で、資格保有者への需要はIT部門にとどまらず経営層への助言役としても広がっています。実務でセキュリティ業務相当をこなしていても、資格そのものは取れていないという方が、管理職登用やキャリアアップの場面で「有資格者であること」を証明したいというケースも増えています。
正直に言えば、SCの範囲は知識861語＋技能31項目と、ITパスポート（819語）を上回るボリュームです。真正面からすべてを20時間で覚えようとするのは非現実的で、無理だと感じるのが自然です。
ただし、実務でセキュリティ業務相当をこなしている方なら、この12章の大半はすでに「知っている」内容のはずです。必要なのは、ゼロから全部を学び直すことではなく、どこが本当の弱点かを特定し、そこだけに時間を投じることです。このコースは、20時間を「コース全体の総時間」ではなく「1つの章に最大20時間かける」という配分の単位として設計しています。診断テストが12章の中から苦手章を教え、苦手と出た章だけを重点的に仕上げれば、無駄なく合格ラインに近づけます。
本コースは学習教材であり、合格を保証するものではありません。SCは既に公開されている過去問・対策教材が豊富にある試験のため、仕上げには公式テキストや模擬試験を必ず併用してください。
まず力試し：25問の診断テスト
12章の中からどこが苦手かを、25問の診断テストで確認しましょう。正答率が低かった章は、該当ページに進んで重点的に学習することをおすすめします。
問1. 取引先や上司を装い、偽の送金依頼メールを送りつけて金銭をだまし取る攻撃手法はどれか。
問2. Webアプリケーションの代表的な脆弱性を分類・整理した、業界標準として広く参照されるリストはどれか。
問3. 攻撃者の行動を「偵察→初期侵入→権限昇格→永続化→ラテラルムーブメント→C2→持ち出し」という時系列で捉える代表的なモデルはどれか。
問4. AIモデルへの入力に悪意ある指示を紛れ込ませ、開発者の意図しない出力をさせる、生成AI特有の攻撃手法はどれか。
問5. 情報セキュリティの伝統的な3要素（CIA）に該当しないものはどれか。
問6. 単一損失予想額（SLE）が100万円、年間発生率（ARO）が0.5（2年に1回発生）のとき、年間予想損失額（ALE）はどれか。
問7. 日本国内のインシデント対応の調整を担う組織はどれか。
問8. 2027年シラバスで新たに明記された、AIを組織的に管理するための国際規格はどれか。
問9. ISMS認証の根拠となる要求事項を定めた国際規格はどれか。
問10. 1人の担当者に権限が集中しないよう、業務のプロセスを複数人・複数部門に分担させる管理策はどれか。
問11. 役職・役割に応じてアクセス権限を割り当てるアクセス制御モデルはどれか。
問12. 端末（エンドポイント）の異常を検知し、対応（隔離・調査）まで行うセキュリティ製品はどれか。
問13. 生体認証において、本人であるにもかかわらず誤って拒否してしまう確率を示す指標はどれか。
問14. 将来の量子コンピュータによる解読にも耐えられるよう設計された暗号技術はどれか。
問15. AIモデルへの指示と外部から渡されるデータを分離し、プロンプトインジェクションを防ぐ対策はどれか。
問16. 個々の脆弱性を一意に識別するための共通識別子はどれか。
問17. TCPに代わり低遅延な通信を実現する、HTTP/3の基盤にもなっているプロトコルはどれか。
問18. 5Gにおいて、用途に応じてネットワークを仮想的に分割し、それぞれに適した性能を割り当てる技術はどれか。
問19. サービス提供者と顧客の間で合意する、サービス水準の具体的な取り決め文書はどれか。
問20. 上場企業に財務報告に係る内部統制の整備・運用を義務付ける、日本の制度はどれか。
問21. トランザクションが満たすべき原子性・一貫性・独立性・永続性という4つの性質の総称はどれか。
問22. システム開発の共通フレームにおいて、機能を独立したサービスに分割し、それぞれを個別にデプロイできるようにするアーキテクチャはどれか。
問23. 取引先の1社でセキュリティインシデントが発生したとの報道を受け、自社の委託先管理を見直したいと相談された。支援士として最も適切な対応はどれか。
問24. フィッシングメールによる不正アクセスの疑いが発覚した直後、担当者から「まず何をすべきか」と相談された。支援士として最も適切な助言はどれか。
問25. 退職者・異動者のアカウントが放置されているケースが複数見つかった。支援士として最も適切な対応はどれか。
診断結果からどう進めるか
診断結果に応じて、次のように進め方を変えるのがおすすめです。他資格のような「標準/実務者/直前」という一律のパターンではなく、あなた自身の弱点に合わせて進め方そのものを変えるのがこのコースの考え方です。
| 診断結果の傾向 | おすすめの進め方 |
|---|---|
| 苦手な章が0〜2章程度 | その苦手章だけ集中攻略（1章あたり最大20時間を目安に）→総復習で仕上げる |
| 苦手な章が3〜5章程度 | 苦手章を優先度順に並べ、1章ずつ順番に攻略する（無理に並行しない） |
| 苦手な章が6章以上 | 実務経験がまだ浅い可能性があります。まず専門知識（第1〜9章）を順番に一周し、その後で技能（第12章）に進むのがおすすめです |
特に第8章「セキュリティ実装技術・評価」は2027年シラバスで完全新設された分野のため、実務経験があっても知識が追いついていないケースがあります。診断結果にかかわらず一度は目を通しておくと安心です。
章一覧
| 章 | ジャンル | この章で学ぶこと | 目安 |
|---|---|---|---|
| 第1章 脅威の基礎・分類とマルウェア/脆弱性 | 脅威（基礎） | 事故・不正アクセス・なりすましなど脅威の基礎的な分類、ランサムウェアやOWASP Top 10に代表されるマルウェア・脆弱性の種類 | 150分 |
| 第2章 攻撃者の行動プロセスと最新の攻撃技術 | 脅威（攻撃技術） | サイバーキルチェーンによる攻撃プロセス、認証・Webアプリケーションへの攻撃技術、生成AI・サプライチェーンという新領域の脅威 | 210分 |
| 第3章 リスクマネジメントと情報セキュリティの基本原則 | マネジメント（基礎） | 機密性・完全性・可用性などの基本原則、ALE/SLE/AROを使ったリスクアセスメント手法、リスク対応の選択肢 | 150分 |
| 第4章 情報セキュリティ関連組織・標準・ガイドライン | マネジメント（組織・標準） | CSIRT/JPCERTなど国内外の関連組織、ISMAP等の評価制度、NIST CSFやAIマネジメントシステムなどの国際標準 | 120分 |
| 第5章 ISMSの運用管理策 | マネジメント（ISMS運用） | ISO/IEC 27002の組織的・人的・物理的・技術的という4分類で整理された実務管理策 | 240分 |
| 第6章 インシデント対応・物理/人的セキュリティと検知・ネットワーク防御 | 対策（運用・防御） | 脅威インテリジェンスとインシデント対応プロセス、アクセス制御モデル、SIEM/EDR等の検知技術、ゼロトラストを含むネットワーク境界防御 | 240分 |
| 第7章 認証技術と暗号・PKI | 対策（認証・暗号） | 多要素認証・アイデンティティ連携・生体認証、共通鍵/公開鍵暗号と鍵管理、PKI・証明書、耐量子計算機暗号 | 180分 |
| 第8章 セキュリティ実装技術・評価 | 実装・評価 | ゼロトラストとAI・LLMセキュリティ、セキュアコーディング、クラウド・コンテナ実装、IoT/OTセキュリティ、デジタルフォレンジック、脆弱性管理と評価制度 | 210分 |
| 第9章 ネットワークの構成技術とプロトコル・広域/移動体通信 | ネットワーク | ネットワークの構成技術、アドレス解決とルーティング、トランスポート/アプリケーション層プロトコル、広域・移動体通信サービス | 150分 |
| 第10章 ガバナンス・監査とサービスマネジメント | ガバナンス・監査 | SLAに基づくサービスマネジメント、インシデント/問題管理、内部統制（J-SOX）とシステム監査の基準・プロセス | 120分 |
| 第11章 データベースとシステム開発・運用 | DB・システム開発運用 | データモデリング・トランザクション制御・分散データベース、システムライフサイクルプロセス、アジャイル/DevOps・SRE | 210分 |
| 第12章 実務ケーススタディ（技能） | 実務演習 | 登録セキスペとして企業を支援する主人公の1年間を通じて、技能4グループ31項目を体験 | 180分 |
総復習
全12章を終えたら、20問の総復習で定着度を確認しましょう。各章から1〜2問ずつ出題しています。正答率が低かった章は、該当ページに戻って章末チェックを解き直すことをおすすめします。
問1. ディスクにファイルを残さず、メモリ上だけで動作することで検知を逃れようとするマルウェアの手口はどれか。
問2. 会社が把握・許可していない機器やクラウドサービスを従業員が業務で勝手に利用してしまう状態を何と呼ぶか。
問3. データを暗号化するだけでなく、支払いに応じなければ漏えいさせると脅す、近年主流のランサムウェア攻撃の手口はどれか。
問4. 正規のライブラリ名に酷似した偽パッケージを公開リポジトリに送り込み、開発者に誤ってインストールさせる攻撃はどれか。
問5. クラウドサービスの利用において、どこまでを事業者が守り、どこからを利用者が守るのかを明確にする考え方はどれか。
問6. 対策コストが見合わないと判断し、リスクをそのまま受け入れるリスク対応の選択肢はどれか。
問7. 政府が利用するクラウドサービスのセキュリティを評価する制度はどれか。
問8. 委託先や取引先との契約段階からセキュリティ要件を盛り込む考え方に最も関連が深い管理策はどれか。
問9. 企画から廃棄まで一貫してセキュリティを組み込む、システム開発における管理策はどれか。
問10. 3つのデータコピーを2種類の媒体に保存し、うち1つを遠隔地に保管するバックアップの基本原則はどれか。
問11. クラウドサービスの利用状況を可視化し、シャドーITの検出やアクセス制御を行う仕組みはどれか。
問12. OAuth 2.0の認可コードフローにおいて、認可コードの横取り攻撃を防ぐために追加される保護技術はどれか。
問13. 証明書が失効しているかどうかを、その場でオンラインに照会して確認する仕組みはどれか。
問14. 情報系（IT）と制御系（OT）のネットワークを分離するために設ける中間領域はどれか。
問15. IT製品の安全性を第三者が評価する国際的な枠組みで、コモンクライテリア（CC）の根拠となる規格はどれか。
問16. ネットワーク機器の稼働状況を監視・制御するために使われる、管理情報ベース（MIB）を用いたプロトコルはどれか。
問17. システム監査の一連のプロセスにおいて、本調査の前に行う調査を何と呼ぶか。
問18. プログラムの内部構造（ロジック）に着目してテストケースを設計する手法はどれか。
問19. 新システムの企画段階で、担当者から「セキュリティは実装フェーズで考えればよいのでは」と相談された。支援士として最も適切な助言はどれか。
問20. インシデント対応の中で、法的手続きに備えた証拠保全が必要になった。支援士として最も適切な対応はどれか。
完走したら
このコースは「知識体系の入口」です。SCは公開過去問・対策教材が豊富にある試験のため、公式の過去問演習・模擬試験と組み合わせて仕上げてください。
- 数理・統計や生成AIの基礎を復習したい方はG検定 20時間コース
- データガバナンス・統計分析を体系的に学びたい方はデータマネジメント試験 20時間コース
- サービスマネジメント・ガバナンス・DB/システム開発をさらに深掘りしたい方はPD-Mコース・PD-Sコース
- 試験制度・シラバス改訂の最新動向は当サイトのtrend記事で随時フォローする
よくある質問
Q. このコースだけでSCに合格できますか？ A. 本コースは学習教材であり、合格を保証するものではありません。SCは公開過去問・対策教材が豊富にある試験のため、本コースで苦手分野を特定した後、公式の過去問演習・模擬試験で仕上げの演習を行うことをおすすめします。
Q. なぜ「20時間でSCの全体像をつかむ」という訴求をしないのですか？ A. SCは知識861語・技能31項目と最難関試験であり、フラットに「20時間で全体像」と訴求すると実態とかけ離れて感じられてしまいます。このコースは20時間を「1つの章にかける時間」として再定義し、診断で特定した苦手章だけに集中投資する設計にしています。
Q. 12章はどの順番で進めるべきですか？ A. 上記の「診断結果からどう進めるか」を参考に、苦手章の数に応じて進め方を変えてください。実務経験があるなら苦手章だけの集中攻略、実務経験がまだ浅いなら第1章から順に進めるのがおすすめです。
Q. 第8章「セキュリティ実装技術・評価」だけ他と違う印象があります。 A. その通りです。第8章は2027年シラバスで完全新設された中分類で、ゼロトラスト・生成AIセキュリティ・クラウド/コンテナ実装・IoT/OTセキュリティなど、既存の実務経験だけでは知識が追いついていない可能性がある分野です。診断結果にかかわらず、一度は目を通しておくことをおすすめします。