情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

まずは合格された方々おめでとうございます。

今回初受験でしたが、午後試験の点数が足りず不合格でした。

標記について、今回の合格者の方々がどのような対策を行われていたのか、あるいはこういった対策が良いというものがあれば教えて頂けると助かります。

参考までに今回の自分の結果は
午前Ⅱ：84
午後 ：54（大問1・2選択）

恐らく大問1が20～25、大問2が30～35程度ではと推測しています。
元々DNS関係は好きだったので、大問2は普通程度という認識でしたが、大問1はログが上手く理解できず、その時点で時間を取られ、設問に対する回答も中々出てこなかった次第です。

当方の情報としては、ITとは一切無縁の仕事をしており、実務未経験です。
SG・FE・APは取得済。

今回午後試験の対策としては
➀重点対策を2周ほど→平成30年度以降の過去問を全て2周ほど→最後の2週間ほどで村山本も並行
といったものでした。

セキュアプログラミングもやってはみたものの、問題の解説文の意味すら分からない状態で、途中で断念しました。

来月末は別の試験を受験するので、そこからの約３カ月、同じ勉強をしても同じ結果になるのではと考えています。
やるからには正しい努力を行いたいと思い、合格者の方の助言を頂ければと思いました。
勿論実務で経験を積んで、あまり対策をしなかったという方もいらっしゃるとは思いますが、何か少しでも参考にしたいと考えておりますのでよろしくお願いいたします。

今春APに合格し、今回午後80点前後で合格しました。
当方も専門職では無く、サーバー管理を保守業者に任せている社内情シスです。
選択した大問も同じです。

さて、午後の勉強方法ですが、村山本と過去問をメインで使いました。
ただし書籍もしくは電子書籍の形で回したのではなく、
Ankiというアプリに村山本を落とし込んで毎日解いていました。
Ankiには記憶の定着に良いとされる頻度で出題してくれる機能があり、それを活用しました。

過去問は過去8〜10年分を解き、回答結果をメモしておきました。
誤答が多い過去問については、２回３回解き直したり、
Ankiに落として記憶の定着を図りました。

少しは参考になれば幸いです。

＞しわさん

アドバイスありがとうございます。

誤答については技術的な知識をネットや本で都度調べたのか、或いは解説など見て後は情報処理技術者試験特有の言い回しといいますか、それこそ村山本で提唱している回答の型を覚えていったのでしょうか。

今回、午後82点で一発合格した者です。
しわ様が重要なことを仰っているので、それとは別観点で述べさせていただきます。

最近ではネットワーク系の問題が減り、いわゆる徳丸問題（今回の大問4の分野。プログラミング除く。）が常連になっています。
徳丸問題を得意とするくらい極めると安定すると思います。
過去問を選んで解き、徳丸本や「安全なWebサイトの作り方」を使って理解し、別観点の問いにも答えられるよう準備します。

私はweb系完全初心者でしたが、徳丸本の大半をノートにまとめて暗記し、初見の問題でも7-8割安定するようになりました。最初は難しく感じますけど、色々解いてくとワンパターンだなと気づきます（IPAはクロスオリジンやHTTPヘッダの名称言わせるの大好きですね。XSSとCSRFも毎回同じこと聞く。）。

mw様の参考になれば幸いです。

> 誤答については技術的な知識をネットや本で都度調べたのか、或いは解説など見て後は情報処理技術者試験特有の言い回しといいますか、それこそ村山本で提唱している回答の型を覚えていったのでしょうか。

どちらも行いました。
初見でちんぷんかんぷんな内容があった場合は、ネットで用語や解説、関連知識をざっくり読み、理解したら自分の言葉とセットでAnkiに落としてました。
暗記ものとして繰り返し記憶の定着を図っていると、何故か回すうちに理解が追いついてくる感覚がありました。
回答の型については仰るとおりです。
村山本の文言を暗記対象にしていたので、村山本の回答方法や解き方が、自然に自分の回答方法や解き方になっていきました。

>今回午後試験の対策としては
>➀重点対策を2周ほど→平成30年度以降の過去問を全て2周ほど→最後の2週間ほどで村山本も

午後は４問から2つ選択なので、どれとどれを選択するのかが大変重要と考えています。
どれを選ぶか、どれの対策をするのか絞ってみてはいかがでしょう。

また解答練習では「IPAの解答例」どおりが目標です。
なぜそのような記載となるのか、そのためにはどのような選択や思考を辿るのかを問題文と解答例から読み解くことが重要です。

ご参考になれば幸いです。

＞あるるさん

違う角度からの助言ありがとうございます。
また、この度は合格おめでとうございます。

やはり徳丸本ですか、、、
例えば重点対策でもバッファオーバーフローとかやってはみたものの、コードも分からず、用語も分からず、解説読んでも分からないという苦行の連続で、途中で断念しました。
ご指摘を受けてもう一度重い腰を上げてみようかと思います。
あれを理解して、しっかり自分の中にパターンとしても落とし込める皆様が本当にすごいと思います。

＞しわさん

今回の助言を受けて理解不足は勿論のこと演習不足もあったのかなと反省しています。
繰り返し行うだけじゃなくて誤答の理由や周辺知識の理解、回答の型の定着が甘かったように改めて思いました。

＞来春再合格対策中さん

決め打ちでいくならセキュアプログラミングといった開発系の分野が非常に苦手なので避けたいところではあります。
一方、今回他の方のご指摘も受けて次回までに間に合えばそちらも対策を行おうか検討中です。
ただ、正直な所得意なのはマルウェア対策やDNS、認証系ですね。

演習においては、ご指摘のとおり解答の型に寄せられるよう、更に反復練習をすべきだと再確認しました。

＞例えば重点対策でもバッファオーバーフローとかやってはみたものの、コードも分からず、用語も分からず、解説読んでも分からないという苦行の連続で、途中で断念しました。

誤解させてすみません。徳丸問題といっても、セキュアプログラミングを除いたwebセキュリティことです。（バッファオーバフローはセキュアプログラミングに含まれますので私はやってない）

正直、業務でアプリ開発してない人間にセキュアプログラミングはコスパ悪いです。

セキュアプログラミングは多くて大問1つしか出ず、しかも非プログラミングのwebセキュリティとは別個で出題されますので、素人がセキュアプログラミングを勉強するのは合格の観点からは意味が薄いです。
（私はAP,FEで安定7〜8割取れるレベルにはプログラミングが得意で、業務で簡単なスクリプトを組むこともありますけど、点数は全然安定しませんでした。SCのためにjsやjavaまで一から勉強しましたけど完全に無駄となり後悔しています。）

なお、徳丸問題については私のように素人でも修得可能です。最初はとっつきにくいですが、徳丸本に慣れれば何ということもありません。phpもわざわざ勉強は不要で、何となくの理解で良い。

最近はネットワーク系に代わって徳丸問題が確実に大問1つ以上出ており、次回も出題はほぼ間違い無いと思われます。出題されたとしても、徳丸本たった一冊に答えが載っています（載ってないものは捨て問）。なお、徳丸本は全ページではなく出題される分野のみで十分です。

お話を伺っていると、出題傾向の分析の余地が多くありそうに思えますので、過去10回程度の出題分野を整理すると良いかもです。その上で、例えば新傾向以降3回分の試験において2〜3問を選択した場合に絶対確実に合格可能となるための勉強範囲を検討し、対策するのが吉です。この観点であれば、少なくともネットワークや認証のみの勉強で絶対確実に合格できるという結論には至らないはずですし、過去問も全てやるということにはならないはずです。

＞あるるさん

こちらこそ誤解してしまいすみません。

見落としていましたが、最初のコメントでもプログラミング除くとありましたね。重ねてすみません。

プログラミング除くとなるとCSRFとかクリックジャッキングとかでしょうか。XSSもかな？（間違えてたらすみません）
徳丸本って確か700ページ近くあったような気がしますが、webセキュリティに絞るとどれぐらいのボリュームになるんでしょうか。

また、徳丸本については辞書的な使い方ではなく、予め過去問を参考に範囲を絞ってそこだけを読んで演習するというやり方でしょうか。

開発系はホントに苦手なので、コスパも考えた時に難しいラインかと不安です。

仕事は情シスですらない、ホントにセキュリティなどとは一切無縁の業務でして、資格もCCNAやJavaとか持ってれば良かったのですがAWSしか持っていないという有様でして、、

うーん、単刀直入に申し上げますと、mw様は過去問分析を行っていませんね。

身も蓋もなく聞こえるかもしれませんが、抱かれている疑問の答えは過去問にあります。webセキュリティの過去問のみ拾っていき、「安全なwebサイト～」と照らして出題範囲を分析すれば、答えは簡単に分かります。所要３時間もかからないでしょう。１００％確実かつ無駄なことをせず（つまり貴殿の仰るコスパ重視で）合格したい場合、必須の作業のように思いますが・・・。

とはいえせっかくご質問頂いたので一応回答します。
昨年９月時点の私は、こんな優先順位で対策しました。
 １ ＸＳＳ ＣＳＲＦ セッション その他諸々の頻出分野
 ２ ＨＴＴＰ、ＯＳ、ＳＱＬ
 ３ その他
ですが、次回に備えるのであれば、私ならメールを優先度上げますし、その他いくつかのアレンジを加えます。ここに載せてない分野も複数ある。こういった判断は、過去問を見ないとできないはずです。ぜひ過去問の出題分析をしてください。

得丸本はああ見えてボリュームは大したことないですよ。余白・スクリプト・イラストがかなりを占めますし、何より試験と関係ない内容が多い。
私はやり過ぎて７割くらい暗記しましたけど、４～５割も暗記してしまえば十分。２～３割でも学習効果は大分違うはず。要はあの中からＩＰＡが何を出すかアタリを付けて暗記すれば良い。言語依存の脆弱性も含まれてるし、後半の章などそもそも脆弱性以外の解説も多い。大半は明らか出題されないものです。

なお、得丸本のシチュエーションは、例えば各セクションの冒頭説明部などあまりＩＰＡ過去問的でない部分もあり（試験対策本でないため当然！恐らく原理を理解させるための教科書的意義でしょう。）、その部分は軽くに留めて「安全なwebサイト～～」と過去問の実例で補強するのが良い。

＞また、徳丸本については辞書的な使い方ではなく、予め過去問を参考に範囲を絞ってそこだけを読んで演習するというやり方でしょうか。

範囲を絞りつつ教科書のように使うのが良いですが、範囲の絞り方が大事です。

この試験は、言うほどの難関試験ではないと思います。実務もＣＣＮＡもＪＡＶＡも、あればプラスですが合格に必要なものではない。ＩＰＡの「好物」を見定めてそこからタスクを逆算し、そのとおり机に向かえるかというだけです。