情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

10月の情報処理安全確保支援士試験に向けて

10月の情報処理安全確保支援士試験に具体的には何をやるべきでしょうか？
参考書（買う時期なども含めて）やおススメサイトなどを教えて欲しいです。
特に今回は試験の傾向が変わったので今の段階でアップデートされていない書籍を買っても効果が薄いのでは？という気もしてます。

例えば村上本をおすすめで買ったほうがいいが、内容が更新されるのは〇月頃だからそれまでは買うべきではないなど、(試験内容  形式なども変わるかも)
またやるのは、試験何週間前がいいとか、○○の参考書をやって過去問を○○回はやった後の方がいいなど具体的に
タイミングなども含めて教えて欲しいです。
（例として村上本を出しましたが名前聞いたことあるだけで内容は試験後に店で立ち読みでチラ見した程度です。）
今手元にあるものとしては、上原本2022年度と、udemyの令和５年度問題の解説動画（櫻庭 裕太郎）と令和4年度春の解説動画（瀬戸美月）だけです。
他の年度は「やさしいネットワークとセキュリティ」というサイトの解説を読んでいました。

今回の試験に向けては令和5年から令和三年秋季までは午後問も含めて全て
それ以外は時間がなかったので。令和3年度春季  令和２年秋期  令和元年秋期は午後１しかやれていません。
（全て1週のみです。）
午前１は免除で、午前2は現時点で通過できるだけの能力はあるつもりです。（去年の秋の応用の午前みたいに急に凄い難しくならなければ）
（ちなみに自分は、去年の秋の応用で午後はダメダメだったけど、午前が難問化して通過率が低くなったおかけで多分午後の採点基準が緩くなって応用に受かった口です。）

自分のスペックは、IT経験2か月のプログラマ（C言語のみ）でした。ただし2か月ちょいで派遣先から首を切られるほどプログラマとしては無能です。
（もともとネットワーク構成を考えたり、クラウドで何をやったりとITを使って何をするかを考えるのが好きでそれらの仕組みを考える上流工程のエンジニアになりたくて実際の現場でやる作業にはあまり興味がなかったので、実際の作業能力はほぼ皆無です。）（特にプログラムは興味を持てなくて、職場にいた凄腕プログラマを見ても、凄いとは思っても、憧れもなりたいとも思えなかったので恐らく致命的に向いてないです。）

習った言語はCのみでCの能力があまり高くないうえに、組込み系なのでHTTP系（GET  POST）はほとんど使わず、HTMLもJAVAスクリプトもまったくわかりません、DBもあまり分かりません。

資格は、応用、AWSSAA、ITIL4ファウンデーション、lpic1、、オラクルデータベースブロンズ2019 情報セキュティマネジメントを持ってますが、これらを使う実務経験自体はほとんどありません。（awssaaやDBの資格を持っていますが、完全に知識のみで実際に触ったことは欠片もありません。）
ただ、学びはしたので、セキスぺのセキュリティインシデントやサービスマネジメント管理とかはある程度できる基礎はあると思います。
ネットワーク系も、実務経験がないので実際のコマンドとか機器の操作方法を問われえると厳しいですが、ネットワーク構成を見て脆弱性を探したり、FWの設定を考える問題などはある程度は分かります。

以下は四月の反省点です。  メモ程度なのでまとまってないです。

問2は技術的にはだいだいわかった。（IPAが求める回答を書けたとは言っていない。）
セキュアプログラムは完全に捨てるつもりだったので、問4はすぐに受けないことを決めたが、問1と問3はどっちにするか決められなくて、パニックになって20分以上時間を消費してしまった。
問１  問３  にプログラムぽいものを見つけたので
また、問１は最初のaが分からなかったので、選ぶのに躊躇してしまった。
が問３も捨てるつもりだったGETリクエストのスクリプトの具体的な記載内容（HTMLやJAVA）を求める問題があったので。

最終的には問1を解くことにしたが時間がなくて、ほとんど白紙提出になってしまった。
ただ、やった感じ問1と問3は内容的にはちゃんと時間さえあればある程度解けそうな感じだった。
問題選択のルールをもっと厳密に決めておくべきだった。
（ちなみに考えていた選択基準はプログラミングを捨てるのと、HTMLやLAVAのスクリプトの文字列を読んだり書いたりする問題です。HTTP GET POSTなどの）

今回の試験の個人的な感想としてはパニックを起こさず、冷静に対応して解く時間を確保できてれば、合格か合格に近いラインは取れていたのではないかと思いました。（他の受験者の点数次第ですが皆低そうな感じだったのでそれによる点数の割り増し補正も考えて）

一度試験を受けられた方なので、"セキュリティ技術の教科書  第3版"を読めば足りなかった知識が洗い出しできるかと考えてます。

後は過去問演習でしょうか？少なくとも直近5年分は解いて設問とその回答は理屈を理解して(特にプログラミングは言語の仕様も、過去問で示されている箇所に関する内容は頭に叩き込む)暗記するレベルになると当日慌てなくて済むと考えてます。

まず、今回出題された中で辛うじてセキュアプログラミングの問題と言えるのは問4だけです。

また、これはあくまでも私の考えですが、情報処理安全確保支援士という情報セキュリティのプロ資格を取得したいのであれば可能な限り全ての範囲を網羅して欲しいです。苦手な分野として最初から切り捨てるのは果たしてプロなのでしょうか。

前置きが長くなりましたが、上記の理由と苦悶逝く悶様の文章内容より、私としてはWebアプリケーションのセキュリティを学べる名著「体系的に学ぶ安全なWebアプリケーションの作り方: 脆弱性が生まれる原理と対策の実践」（通称、徳丸本）を推奨いたします。

実際に手を動かすことで原理を学ぶことが出来ますし、分からないWebの話が出てきてもそこで理解していきましょう。

既に徳丸本をお読みでしたらこのコメントはお気になさらないで下さい。

試験全般に言えることですが、資格をとったあとそれをどう生かしたいが明確になっているかで学習効果も増すように思います

資格の活かし方としては、転職の際の箔漬けでしょうか？
実務経験があまりないので資格で張ったりを効かせられないかなと。
資格を生かして上流工程に強みをもつIT企業かか、ユーザーの大企業の社内SEに入社できればいいのですが
（情報処理安全確保支援士試験の過去問に出てきたような、大企業の社内SEで方針やルール・仕組みづくりは自分でやるけど実際の作業は協力会社に委託してるような場所が理想です。）
徳丸本は読んだことないし知りませんでした。
セキュリティ技術の教科書  第3版  も知らなかったのでおススメしてくださってありがとうございます。
過去問5年分は確かに解きたかったですね。  時間管理を失敗しました。

大変恐縮ですが、単純に学習量が不足しています。
SCで一番重要なのは学習量です。
今の状況などはあまり問題ではありません。
目安として
・直近過去10回分 × 3周
です。
今後の傾向への対策としてセキュアプログラミングの問も全て
解くことも必要と思われます。
あとは、村山本も読んでおいたほうがよいでしょう。

村上本について調べたところ、発行日が2023年06月27日となっておりました。
恐らく今年の同時期に最新版が発売されるのですよね？
やるとしたらそれ以降が良さそうなので最新版がでたらやることにします。

>村上本について調べたところ、発行日が2023年06月27日となっておりました。
>恐らく今年の同時期に最新版が発売されるのですよね？
村山本は上原本や三好本と違い、毎年発行されるものではありません。
発行時期は以下です。
初版 2021/4/15
第2版 2023/6/23

初版と第2版の間は2年2ヶ月開いていますので、第3版が出版されるのであれば
2025年後半以降になると思われます。

村上本って毎年発売されるものだったのではなかったのですね。
それなら10月までに内容更新されるかは結構疑問なので今すぐ買ってもよさそうですね。
ありがとうございました。

来秋からAI分野が増えるとのことだから、それはノータッチで良いのだろうか
セキスペは実務より単純なインプット量が大事というのは同意なんだが、そうなると新出題範囲はだどうするのってことになる
まあ考えても仕方ないか

>資格の活かし方としては、転職の際の箔漬けでしょうか？
>実務経験があまりないので資格で張ったりを効かせられないかなと。

そういった求人があるのか調べておくのも一興でしょう。
モチベーションを上げる維持することも重要な対策の一つと存じます。

かつてこの試験区分は、２つに別れていました。
  情報セキュリティアドミニストレータ
  テクニカル（情報セキュリティ）
上記２つを統合しRISSという士を創設して現在に至ります。
統合後は情報セキュリティアドミニストレータ寄りだったかと思います。
前回今回とテクニカル（情報セキュリティ）へ寄ってきたと考えます。

ご健闘を。

そういえば、範囲が変わるんでしたっけ？
そこの部分は過去問ないだろうし対策本当にどうしましょうね。
生成AI関連の著作権関連の法律とか出そうな気はするんだけど

左門さんの参考書で勉強するのがオススメです。

>資格の活かし方としては、転職の際の箔漬けでしょうか？
https://www.sc-siken.com/bbs/1313.html
そうなりますね。昇給はどうしたもんか、というところですが、昇格したけりゃプロマネ一択です。

不合格が確実としても、IPA解答例・得点分布（ランキング）・採点講評を確認してから本格的に試験対策するのが効率的でしょう。
それまで2か月ありますから、職歴が無駄にならないようにC言語を問題なく読めるようになりませんか？

C言語は現代の低級言語のような位置づけで、OSを含めた主要ソフトウェアはC言語で組まれているため、それらの動作を推察するための基礎教養になります。
C言語の難所はポインタと言われていますが、ポインタの機能であるメモリ操作はアセンブリ言語（≒機械語）を学べば理解できるかと思います。

アセンブリ言語のCPUアーキテクチャはx86系と比べてレジスタ構成がシンプルなARMを選択すべきです。
ARMのシェアは圧倒的ですから、もしも意図せずARMアセンブリ言語を極めることになれば職に困ることもないでしょう。

Pythonの勉強はSC対策という観点からは無駄でしょうか。
仕事で統計を使う関係で以前から興味がありました。
試験勉強は発表日までする気にならないので、気分転換も兼ねてPythonの勉強でもしてみようかなと思っているのですが。

便乗で申し訳ありません。
ご教示ください。

過去問について、
> 直近過去10回分 × 3周
とありますが、下線や書き込みをした問題用紙で周回しても良いのでしょうか？
それとも毎度きれいな問題用紙を印刷し直すべきでしょうか？

この投稿は投稿者により削除されました。(2024.05.01 12:57)

この投稿は投稿者により削除されました。(2024.05.01 13:50)

>Pythonの勉強はSC対策という観点からは無駄でしょうか。
純粋なSCのペーパーそのものの対策という意味では何にもなりません（論理的な話などの一般的などこでも通じるような考え方は除く）。なぜなら出題範囲がC/C++、Java、ECMAScript（JavaScript）となぜかいまだにPerlと決まっているからです。ちなみにPerlが出たのは23年でほんとに1回こっきりで、なにがしたかったんだレベルです。もはやCは平成どまりで、令和で出てくるのはJavaだから、いい機会だからJavaに素直に慣れる受験者が増えるのか、と思います。

この前の6年春の問4みたいなのはどこまでいっても論理ミスのつぶしのようなものなので、そういう問題の例外とかまでPythonで書き直してみる、という意味ではいいんじゃないでしょうかね。まあ、Javaでゴリゴリしているようなのは、そのあたりも自前で書いてみるくらいにはならないと何にもならんかもしれませんが・・・。

※ここからは余談
試験直後は、やれコードだらけじゃないか、ってありましたけど、DBも昔似たようなことがあって、昔はクエリの問題が午後1の3問中1問しか出ないもんだから、クエリを回避する、みたいなことが出来ていたのが、令和も4年が過ぎると、いまや2問どころか午後2も出張してくるくらい幅をきかせる問題になったんですね。
DBでクエリを回避できないじゃないか、ってのはDBの受験者もコード（クエリ、とだけせめて限定しておきましょうか）のできねえやつも少ねえからだろが、バラエティに富んでいる支援士の層と一緒にするなよ、ってもしかしたら試験終わった直後は言われてたかもわかりませんが、実際そうやって変わっていくもんだからねえ、って思うんですよね。

>とありますが、下線や書き込みをした問題用紙で周回しても良いのでしょうか？
正直人によります。気にならなければそれでいいんじゃないか、と思いますが、線を引き重要な部分を探り当てる訓練だと思うのであれば、まっさらにするべきでしょうね。私の過去問の位置付けは左門至峰のいう宝探しの訓練なので、「線を引き重要な部分を探り当てる訓練」だと思っていたので、まっさらにしてました。

GinSana様

ご回答ありがとうございます。
なるほど宝探しですか…。印刷の手間がかかりますが、検討してみます。

>たくさん(No.16) 
言語を特定せずにスクリプト言語のリスキーな実行環境例が出題されてもおかしくない気はします。
出題が期待できないとしても、教材屋さんの正解・採点基準の私案をインプットするよりPythonで遊ぶのが有益でしょう。

Pythonをプライベートで扱ってみてSC寄りな感想としては、メンテナンスが行われていない放置モジュールへの対策が最重要課題になると思いました。

>GinSanaさん(No.21)
>橙色文書さん(No.23)
アドバイスありがとうございます。
統計だとRというのもありますが、マニアック過ぎて応用がきかないような気がしていて。
今は高校情報ⅠPythonを読み始めたところですが、面白いなあと感じています。
とりあえずSC合格発表までは、Python3エンジニア認定基礎試験、Python3エンジニア認定データ分析試験あたりを目標にして頑張ってみようかなと思います。
（R５秋に応用を取得して今回SC初受検だったのですが、50点台で不合格だと思っています。ダメだったら秋にまた受けたいと思います。）

>たくさん(No.24) 
午後の得点は、午前全体の通過率に反比例する午後通過率によって変動します。
新午後の得点を絶対値で見てしまうと精神的ダメージが大きいようですから、合否発表の際は得点分布を見て試験全体の状況を俯瞰してからご自身の得点を確認しましょう。

前回R5秋の採点対象者7,788名のうち40点台が1,317名もいましたが、結果報告スレッドには40点台が1件もありませんでした。
867名の30点台では3件ありました。