情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

いつでも困ったときに回答をくれるpix様とは何者なのでしょうか。
知識も豊富で、こちらが納得できるまで質問に付き合ってくれます。凄すぎて何者なのかとても気になってしまいました。
違反してたら削除してください。

お世話になりすぎてます。
明日の試験頑張ります。

お気に掛けて頂き大変恐縮です。
私自身は一介の安全確保支援士に過ぎないです。

私がSCに合格する際に、この試験について徹底的に研究を行いました。
IPAの試験は非常に独特な性質があります。
それを理解するか否かが、合格するか否かに直結していると悟りました。

概要ですが、IPAは受験者に
・技術的な知識があることは大前提
・その上で、事象に関する問題分析力、解決策の提案力を求めている
という点が根底としてあります。
この点を理解していないで、自身の技術力から生じる技術的な解答をしてしまうことが
不合格の原因であると分析しています。

また個人的に別のスタンスとして、SCの問題を理解することによって、
・実業務でもケースとして参考にできる点がたくさんある
・実業務でもSCの問題を解くスピードで、実際に発生した問題に対応できるようになる
という実利もあると感じています。

それ以上にこの掲示板で回答することにより
・問題に対しての深い理解
・相手に正確に内容を伝達するための国語力
の訓練になっています。

もし、国語力に自身がない方がいらっしゃるのでれば、積極的に掲示板で解答し、
作成した文章が多くの人の目に触れることにより、国語力を鍛えることが
できると思います。

ITに限らず、ある程度勉強していると、わからない人の気持ちが理解できない人になると思いますが、
pixさんはわからない人が、どこでわからないのかも理解しようとして答えてくれるので本当に助かってます。

私は秋受験なので、まだまだお世話になります！

pixさん、大きな声では言えないが、防衛省統合幕僚監部(識能レベル7)として政府の最高機密情報の防衛最前線に立つ傍ら、国民全体のセキュリティ能力を上げるためNISCの委託を受け、この掲示板にてSC人材育成にご尽力なさっている説。
いつもありがとうございます。明日の試験がんばります。

試験直前ですが、pix様には感謝の言葉もありません。いつも本当にありがとうございます。

昔は玉石混合ではあったけど、セキュリティに関する優れた情報もメンターもいっぱいいらした。
参考になる書籍も２０年くらいの方が多かった感あります（ヤンチャでしたけど）
pix様が居てくださるこちらは昔のフォーラムみたいでとても楽しかったです。
お若い受験者が気の毒だな、と思う点は他国と比較して良質や情報を得たりトレーニングを上級者から受ける機会がほとんど無いことだと思う。このままでは他国とのIT戦争に負けてしまいそうで恐ろしい。

とにかく、今日はTHE LONGEST DAYの戦いです。
未来の日本の情報安全のために日本のセキュリティサムライ達よ、奮起せよ！

私もpix様にはお世話になっております。

いつもわかりやすい解説をしていただき
ありがとうございます。
今後ともよろしくお願い致します。

今日の試験についてのpixさん評論おまちしております。
特に試験傾向が変わったので、プログラミングをどのように勉強していくか教えてください。

僭越ながら、今回の午後問の感想です。

みなさんの意見ではセキュアプログラミングが多かったとのことです。
しかし私が見てみたところ、純粋なセキュアプログラミングの問題はなかったです。
多少のプログラミングとその他の要素が複合したものでした。
他の要素も、Linux、apache、HTTPなどの知識から導き出せるものでした。
今後はこのような複合型の問が出題がトレンドになる可能性もあります。

しかし、SCの試験において重要なポイントが2点あります。
・作問のチーム体制について
SCの試験は年2回開催です。1回の試験問題を作成するのに1年かかると
言われています。
そのため、問題作成は2チーム体制で行われていると推測されます。
仮に春チーム、秋チームとしますが、この2チームは全く傾向に共通性がないです。
そのため、春と秋で全く別傾向の問題が出題されることがあります。
ですので、今春の問でプログラミングが多かったとしても、秋は全く
別の傾向になる可能性も十分にあります。

・IPAが求めるもの
IPAが受験者に求めるのは「セキュリティスペシャリスト」です。
情報処理安全確保支援士と名前は変わりましたが、本質はセキュリティの
スペシャリストの試験です。
そのため、セキュリティに対してのオールマイティな知識を要求してきます。
言い換えれば、IPAは受験者のスキルセットに対して忖度するようなことは
ないです。
今後はDevOpsなどさらにオールマイティ性を求められることが想定されます。
IPAは一切忖度しない組織なので、受験者から歩み寄っていかないと、
SCの合格は難しくなっていくのではと想像します。

IPA内部の人でもないのになんなんだ

pixさん、ありがとうございます。
昨年秋にAPに合格したばかりで今回がSC初受験で、１月に勉強を始めたので今回はプログラミングの部分はあまり学習せずに臨んだところですが、１はさあておき、３とか４はメジャーな試験対策本、上原本、三好本、村山本と過去問を解いていれば合格ラインに達するような内容なのでしょうか？
秋はSC以外に受けたい資格もないし、今後、NWも取りたいので、徳丸本をまずは買ってきて、結果が出るまで読んでみようかとは思います。

特に３や４で合格ラインを目指すのにどのような勉強をするのが良いか教えていただければ幸いです。

＿人人人人人人人人人人人人人人＿
＞  IPAは一切忖度しない組織  ＜
￣Y^Y^Y^Y^Y^Y^Y^Y^Y^Y￣

↑この表現が秀逸過ぎて笑ってます（笑）

pixさん、いつも質問に回答をしてくださりありがとうございます。
改めてお礼を言わせてください。

>pixさん
こんにちは

今回、まさかの午前落ちしてしまいました。
今日見直してみたら、なんで間違えたんだろうという過去問からの問題を3問題程間違えておりました。
いやしかし、過ぎたる事！悔やんでいても仕方ありませんね
と、次回の対策を立てようという所なのですが質問させてやってください。

今までセキュアプログラミングを避けていたのですが、今回ざっとみて何とか読めそうな問4を選択してみたら、みよじさんのAI解答を参考にすると(配点考慮せず)大体5割程解けておりました。
たぶんJAVAなんだろうな？と思いながら解いた訳ですが、これなら取り組みやすそうという感覚が生まれました。
JAVAならJAVAブロンズとか学習材料が豊富でちょうど良いと思うのですが、そもそも今までの出題傾向として、JAVAでの出題率はどんな感じでしょうか？
他のセキュアプログラミングの方が出題率高いでしょうか？
過去問を探るにも、コード書いてあってもこれは何語なのか？という所からでして、、、
ざっくり大体で、出題率の高い言語とかでそうな言語とか習得しやすさとかでのおすすめをお教えお願いできないでしょうか？

次は午前1からなので
2年半計画くらい覚悟して徐々に幅と深みを広げてステップアップ方式でいきたいと思います。
(ベンダー資格を挟みながらですが)

今回の試験内容で色々あれているようなので、思いついたことを雑文として
書きます。

■セキュアプログラミングについて
今回の試験ではセキュアプログラミングが多かったとのことです。
しかし、IPAからすればセキュアプログラミングを多く出題したという認識はないと
思われます。
IPAからすればWeb技術やHTTPはセキュアプログラミングではなくインフラ技術の
一部とみなしていると考えられます。

また一口にセキュアプログラミングと言いますが、大まかに4つくらいに
分類できます。
・セキュアプログラム初級    例：算数レベル(分数の割り算くらいの難易度）
・セキュアプログラム中級    例：中学数学レベル（二次方程式くらいの難易度）
・セキュアプログラム上級    例：高校数学レベル（微分・積分くらいの難易度）
・セキュアプログラムもどき  例：そもそも算数・数学ではない

このうちSCででる可能性のあるものは
・セキュアプログラム初級
・セキュアプログラム中級
・セキュアプログラムもどき
の3つであり、上級レベルのものはほぼでません。

また、今回の試験は
・セキュアプログラム初級
・セキュアプログラムもどき
だと思われます。

今回の試験ではコードがなんでいるだけでセキュアプログラムと判断して、
問題の難易度を見ていないというケースが多かったのではないでしょうか。
難易度がわかれば、初見でも対応する方法が思いつくことも多々あります。

この中で
・セキュアプログラム初級
・セキュアプログラムもどき
のレベルであれば、IPAの過去問を解いているだけで、十分に対応可能です。
地頭が良いかたならば1週間くらいで理解できるレベルです。

・セキュアプログラム中級
このレベルになると、多少はプログラミング言語をやったほうが良いです。
可もなく不可もなくであれば、Javaでいいのではないでしょうか。
Javaであれば定本の「スッキリわかるjava入門第3版」あたりでよいかと
思います。
あとはSCのセキュアプログラミングの定本
「体系的に学ぶ 安全なWebアプリケーションの作り方 第2版」（徳丸本）
はぜひとも読んでおくべきでしょう。


■エンジニアの4技能について
自論になりますが、エンジニアとして以下の4つの技能のバランスが
重要と考えます。
・OS
・ネットワーク
・データベース
・プログラミング

FEからプログラミング、ネットワーク、データベースがなくなり、
APも文系科目を選ぶようになってしまうと、この4技能のバランスがもはや
くずれてしまっています。
しかし、今後SCでエンジニアとしての基礎力を試されるようになるのであれば
この4技能を高めることはとても大切なことです。

また、APと高度区分の間は技術知識の壁があります。
その壁を埋めるための4技能のベンダー試験があります。
・OS              LPIC L2
・ネットワーク    CCNA
・データベース    Oracle Master Silver
・プログラミング  Java Silver
理想になりますが、高度区分を取得するのであれば、前提レベルととして
この4技能のベンダー試験に合格しているか、同等の知識をもっている
ことです。
もしSCを何回受験しても不合格になるかたは、一旦この4技能を底上げ
することを検討するのが良いと思います。

pix先輩がコード書けない人たちをぶった斬っている...南無

平成30年まではCしか出ないじゃないかってくらいに出ませんでしたが、いまは最早Java（とついでにECMA）しか出なくなりましたからね。CをやっとくよりかJavaを嗜みでもいいからやっとくくらいの気概があれば問4とかでは苦しまなかったと思います
平成22年春だか秋のプログラミングの問題のJavaのほうがよほどセキュアプログラミングとかに近いような気がしますね
RISSにうっかり登録してしまってからのほうがよほどアセスメントとかマネジメントとやらを実技講習でごちゃごちゃ出てきてなんかおれが求めてるものが違うんだが・・・と思いながら講習を受けるので、逆にそういうコードが読めるほうが嬉しかったですね

贅沢いってるなよってなるかもしれませんが、こういう問題を多目にするなら、RISSの実践講習もCSIRTのママゴトから変えてくれよ、といいたかなりますかねえ。6年目のCyberREXまではなかなか待ちたくないね・・・。

>pixさん
早速、分かりやすく詳しい説明ありがとうございます。

今回の試験後は最初
姉妹サイトの電工2種をやろうと思ってたのですが、やめて
オラクルは今、再受験キャンペーンやってるので5月末までに詰め込みアタックで
計画として
オラクルゴールドそしてAWSと学習しようと考えていたのです。

AWSやってる場合じゃないですね！
JAVAですね！

4つの嗜み揃えるのもカッコいいですね！
これは熱いです！

>GinSanaさん
名言きました！
「JAVAは嗜み」
打ち震えるほどにかっこいいです！

しかも、出題率高いのですね
情報もありがとうございます


お二方のありがたいご助言で方向性が定まりました
早速、書籍ポチっておきます
ありがとうございました^_^

あの講習はなんとか引き受けてくれる人が頑張ってくれているという印象

みなさんは一人⚪︎万払う講習の講師を務められる自信はありますか？

>えぇさん(No.20) 
三好本の作者でも務める自信がないと昔ブログに書いてましたね。一回依頼が来たとか聞きましたが、そういう意味では私は到底無理です。
まあ、RISSにうっかり入っちゃったにせよ、RISS（もしくはSC）に求めるのは昔からセキュマネの補佐役なので、しょうがないといえばしょうがない。

すみません、GinSanaさんがおすすめのセキュアプログラミング参考書もあればご教授頂けないでしょうか？

>まおまおさん(No.22) 
体系的に学ぶ 安全なWebアプリケーションの作り方
も中途半端に読んでそれっきりだったので、とりあえずそれくらいしか挙げられるものがないんですよね。
あとは、RISSに登録してからPython覚える（※）ついでに買った
Pythonでいかにして暗号を破るか 単行本 – 2020/12/23
Al Sweigart (著), IPUSIRON (翻訳)
と
暗号技術 実践活用ガイド
Jean-Philippe Aumasson (著), Smoky (翻訳), IPUSIRON (翻訳, 読み手) 
を読んでます

RSAとかAESのコードはPOSIXの範囲のUNIXコマンドとAWKだけで書いて内部構造を理解したことがあります。AESはAWKだけでできますね
暗号技術入門 第3版 単行本 – 2015/8/26
結城 浩 (著)
でRSAとかAESの概要を読んでから自分で実装してみようと思って試験終わってから2019年秋くらいに実装してました。
AES版
github.com/GinSanaduki/AES_in_AWK
RSA版
github.com/GinSanaduki/RSA_In_Bourne_Shell_and_GAWK

こういう感じで、気になったら自分でも車輪の再発明をしてみるのは、いい教材だと思うのですよね。

※普段ShellScriptとAWKだけでやりくりするので、Pythonとかなかなか必要に迫られないので、こういうので勉強してます

awkはUnixの真骨頂です。
ワンライナーの中でいかにawkを使いこなせるかでその人のレベルが分かります。

GinSanaさん、大変ありがとうございます。
あなた様の書き込みが何名もの受験者の心の支えになることと思います。
これからも宜しくお願いします。

やっと書籍発送メールが来ました！
26日に到着予定！遅いです><

JAVAブロンズ、シルバーと連続学習するのが良さそうですね！
シルバーがSilver SE 17にアップした様で、良いタイミングですが、出ている書籍が紫本しかないのが心もとないところでした。が、とりあえずブロンズを攻略ですね！

オラクルゴールドを予定してましたが、日程的に厳しそうなのでJAVAブロンズに焦点を絞ります！

あぁ、早く書籍届いて欲しいです><

受かりたいさん(No.26)
Java、がんばってください。私は秋にシス監受けます。21日に翔泳社の参考書と「よくわかるシステム監査の実務解説」を買ってきました。

>GinSanaさん
こんばんは
激励ありがとうございます^_^

シス監、受けられるのですね
やはり出来る方は仕事が早いです！
書籍購入の時点で差ががが！？

机まわり片付けて
新試験学習の準備してたのですが、
新しいノートが無いことに気付き、補充にポチっておきました

立ち向かうステージは違いますが
互いに目標攻略やり抜きましょうです！