出題範囲の変化

情報処理安全確保支援士（SC）／もう出ない分野と、新しく増えた分野

← トップへ技術の仕組み単語帳

支援士の出題範囲は2023年の改訂で大きく動きました。古い問題集や改訂前の教材で勉強していると、もう出ない分野に時間を使い、新しく入った分野を丸ごと落とすことになります。
このページは、その改訂で消えたものと増えたものを分野別に並べたものです。まず消えたほうから見てください。やらなくていいことが決まると、時間が浮きます。

① もう出ない：ここは捨てていい

改訂で範囲から外れたものです。覚え直す必要はありません。

データベースの古い方式

削除の大半がここに集中しています。古い問題集ほどこの4方式の比較表に紙面を割いていますが、いまは読む必要がありません。

境界防御の考え方

これがいちばん大きい
長いあいだ午後の答案で使われてきた言葉が、まるごと消えました。「社内と社外を分けて、境目で止める」という考え方そのものが引退したということです。
いまの前提は「守る対象はもう社内にない」。クラウドに置いたデータ、自宅から入る社員、委託先のシステム——境目が引けません。だから代わりに入ったのがクラウドサービスの責任共有モデル（どこまでが自社の責任か）です。
答案で「入口対策・出口対策」と書く型は捨ててください。

その他

STは削除され、代わりにPP（プロテクションプロファイル）が入りました。製品1つの仕様書ではなく、製品分類ごとの要求仕様を問う方向です。

② 言い方が変わった：古い呼び方で覚えていると迷う

内容は同じで、呼び方だけが変わったものです。選択肢に新しい呼び方で出ます。

古い呼び方いまの呼び方
ホワイトハッカーエシカルハッカー
ヒューマンインタフェースユーザーインタフェース
利用者マニュアル利用者用文書類（ウィザード／チュートリアル／オンラインヘルプ）
ST（セキュリティターゲット）PP（プロテクションプロファイル）
CMMIの成熟度レベルJIS X 33001／JIS X 33020（プロセスの能力水準）

③ 新しく増えた：どこが厚いか

増えた量は分野でかなり違います。時間配分の目安にしてください。

分野追加削除中身
セキュリティ19211AI・ランサムウェア・パスワードレス認証
ソフトウェア開発管理746DevOps・ローコード開発（どちらも新設）
システム開発技術602マイクロサービス・DDD・テスト手法
データベース579NoSQL・分散トランザクション
ネットワーク231QUIC・HTTP/3・5G
サービスマネジメント220SLI/SLO・RLO
システム監査60データガバナンス
見落としやすい落とし穴
支援士＝セキュリティの試験だと思ってセキュリティだけを固める人が落とすのがここです。開発系の2分野（74＋60＝134）とデータベース（57）を足すと、セキュリティに匹敵する量が増えています。試験範囲には開発・データベース・ネットワーク・運用・監査も入っています。

④ 増えた分野の中身

AI ― 攻める側と守る側の両方に入った

AIが攻撃に使われる／AIが狙われる

  • プロンプトインジェクション
  • データポイズニング
  • モデルインバージョン攻撃／メンバーシップ推測攻撃
  • 敵対的サンプル／ディープフェイク
  • AIを悪用した攻撃（フィッシングの巧妙化、マルウェア亜種の生成）

AIで守る

  • AIを使ったセキュリティ技術（AI for Security）
  • AIそのものを守る技術（Security for AI）
  • 連合学習
  • AIOps（運用の自動化）

AIだけの独立した章はありません。「脅威」「攻撃手法」「対策」といった既存の節に散らして入っています。だから出題も、AI単独の問題よりふつうの事例（社内システム・クラウド移行・インシデント対応）の中にAIが混ざる形になります。

ランサムウェア ― 「入られたあと」が前提

攻撃側

  • 二重脅迫（ダブルエクストーション）／リークサイト
  • RaaS（ランサムウェアの分業化）
  • ラテラルムーブメント（侵入後の横移動）
  • RAT／リバースシェル

対策側

  • 3-2-1ルール（バックアップの取り方）
  • イミュータブルバックアップ（消せない保管）
  • 脅威ハンティング（能動的に探しに行く）
  • XDR／SOAR（検知と対応の自動化）

削除された「電子メール爆弾」と入れ替わりです。攻撃の目的が嫌がらせから金銭へ移ったことが、そのまま範囲に出ています。

認証 ― パスワードを無くす方向、ただし破り方も同時に入った

新しい認証

  • Passkeys／FIDO2／FIDO U2F／UAF
  • IDaaS（認証をサービスとして借りる）
  • eKYC（オンライン本人確認）
  • EMV 3-Dセキュア（3Dセキュア2.0）

それを破る手口

  • クレデンシャルスタッフィング（使い回しパスワードの総当たり）
  • 多要素認証疲労攻撃（承認要求を連打して押させる）
  • スミッシング（SMSのフィッシング）
答案で気をつけること
「多要素認証を導入したので安全です」と書くと減点されます。MFAを破る手口が同じ改訂で入っているからです。方式を挙げるだけでなく、それが何を防いで、何を防げないかまで書いてください。

脆弱性 ― 「見つける」から「管理し続ける」へ

単発の脆弱性検査ではなく、部品表を持ち、優先度をつけ、情報を共有し続けるという運用の話になりました。SBOMは「対策」と「構成管理」の2か所に入っています。セキュリティ部門だけの話ではなく、開発の話でもある、という位置づけです。

暗号 ― 「なぜ安全と言えるか」まで問う

方式名を覚えるだけでは足りません。情報量的安全性と計算量的安全性を並べて置いたところに意図が出ています。「どこまで安全なのか」を強度の言葉で説明できるか、が問われます。

データベース ― 分散が前提になった

①で捨てた古い4方式と入れ替わりです。Sagaパターン・BASE特性・結果整合性は、いずれもマイクロサービスで分散トランザクションをどう成立させるかの話で、下の開発分野とつながっています。

開発 ― 節そのものが5つ新設された

用語が足されたのではなく、学習項目が新しく作られたのが次の5つです。古い教材には章ごと存在しません。

新設された項目中身
DevOpsCI/CD、SRE、テスト駆動開発、Four Keys、オブザーバビリティ、DevSecOps
ローコード／ノーコード開発特徴・利点・注意点
ドメイン駆動設計（DDD）ドメインモデル、ユビキタス言語、値オブジェクト
NoSQLと関係データベースの違い使い分けと注意点
情報セキュリティに関する基準PCI DSS、サイバーセキュリティフレームワーク、NIST SP 800シリーズ

あわせてアーキテクチャの語も入りました。

ネットワーク ― 世代交代

運用コマンドがip・ss・digに置き換わりました。古いコマンド名から現行のものへ移ったということは、実際に手を動かして確認した経験を前提にする構えです。この分野はネットワークスペシャリスト（NW）の対策にもそのまま使えます。

内部不正 ― 規程で縛るだけでなく、振る舞いで見つける

⑤ 何から手を付けるか

1. まず①を捨てる

データベースの古い4方式と「入口／出口対策」。ここに使っていた時間がそのまま浮きます。

2. 新設5項目をやる

古い教材に章ごと無い＝対策していない人が多い。DevOps・ローコード・DDD・NoSQL・各種基準。

3. 語を押さえる

AI・ランサムウェア・パスワードレス認証・SBOM。知らないと手が出ない型なので、まず語として。

4. 午後は流れで理解する

境界の消滅・侵入後の対応・パスワードレスの3本は、事例の背景そのものに効きます。

4について
午後は用語の暗記では解けません。効くのは「その仕組みがどう動いて、どこで破れるか」の理解です。この3本に対応する図解が技術の仕組みにあります（ゼロトラスト、パスワードレス認証、証明書の失効確認、ディジタルフォレンジックなど）。個々の語の意味は単語帳から辿れます。

⑥ 増えた分野を、この問題で練習する

ここまでの分野が実際に午後問題で出ている回を、収録している過去問70冊から探しました。読むだけで終わらせず、対応する問題を1問ずつ解くのがいちばん早いです。

増えた分野解く問題ここで何が問われるか
境界の消滅
責任共有モデル・ゼロトラスト		 令和2年度 秋期 午後Ⅱ 問2
クラウドサービスを活用したテレワーク環境		 社内・社外の境目が引けなくなった環境をどう設計するか。ゼロトラストが本文に出てくる数少ない回です。
クラウドの責任分界 令和5年度 春期 午後Ⅱ 問2
Webサイトのクラウド移行と外部サービス連携		 どこまでが自社の責任か。責任共有モデルを正面から扱う回です。
ランサムウェア 令和4年度 春期 午後Ⅰ 問2
NAS製品のランサムウェア被害とインシデント対応		 暗号化されたあとどう動くか。バックアップの取り方が効いてくる形です。
侵入後の横移動
ラテラルムーブメント		 令和3年度 秋期 午後Ⅱ 問2
マルウェア感染への対処（テレワーク移行と社外連携）		 1台の感染がどう広がるか。横展開の扱いが最も厚い回です。
侵入後の対応
新形式で練習したい人はこちら		 令和6年度 秋期 午後 問1
マルウェア感染のインシデントレスポンス		 検知から封じ込め・調査までの流れ。問1〜4の新形式なので本番の感覚に近いです。
認証の強化
パスワード以外の要素		 令和3年度 春期 午後Ⅰ 問1
認証システムの開発（OAuthによるID連携）		 認可とトークンの受け渡し。多要素認証もあわせて問われます。
SBOM・サプライチェーン 令和7年度 春期 午後 問1
サプライチェーンのリスク対策		 SBOMを扱う唯一の回です。委託先をどう管理するかまで含みます。
脆弱性の継続管理
コンテナ・イミュータブル保管		 令和4年度 秋期 午後Ⅰ 問3
サプライチェーン攻撃とコンテナの侵害対応		 ゼロトラストとイミュータブルバックアップの両方が出てくる回です。
DMARC
今回の追加語		 令和6年度 秋期 午後 問2
ドメイン名変更に伴うメール詐称対策		 SPF・DKIM・DMARCの3点セット。DMARCを本格的に問う回です。
CSP
今回の追加語		 令和7年度 秋期 午後 問1
コンサル業務用SaaSのインシデント対応		 CSPをすり抜ける格納型XSS。設定を1行変えると結果が変わる形で問われます。
脅威インテリジェンス・IoC
今回の追加語		 令和元年度 秋期 午後Ⅰ 問2
脅威インテリジェンスとC&C通信の調査		 外部から得た痕跡情報を、自社のログとどう突き合わせるか。
練習できない新語もあります
Passkeys・FIDO2・XDR・PQCは、収録している70冊のどれにも出てきません。新しすぎて、まだ午後問題になっていないということです。
こういう語は問題演習では拾えないので、語として覚えるしかありません。④の一覧と単語帳で押さえてください。逆に言えば、ここはこれから出る可能性が残っているところです。

※ 上の対応づけは、各問題の本文で該当分野の語がどれだけ扱われているかを調べて選んだものです。今回の出題範囲の変更は午前Ⅱ（科目A-2）のものなので、「範囲が変わったから午後でこう出た」という関係ではありません。増えた分野を実際の事例で練習するための入口として使ってください。

⑦ 他の試験区分について

今回の変更は支援士の午前Ⅱ（科目A-2）の範囲のものです。ネットワークスペシャリスト・システムアーキテクト・プロジェクトマネージャのシラバスは、用語のリストではなく「何ができる人か」を書いた技能の一覧なので、こうした増減の形では比べられません。

ただしネットワークの追加分（QUIC・HTTP/3・ローカル5G・ip/ss/dig ほか）は、NW受験にもそのまま効きます。IPAが「いま問う価値がある」と判断した語であることに変わりないからです。

NW・SA・PMの傾向は、シラバスではなく過去問から見るほうが早いです。論述式は午後Ⅱ論述 傾向分析にまとめてあります。

出典：IPA公表「情報処理安全確保支援士試験 シラバス 追補版（科目A-2）Ver.4.0」ほか。追加・削除の判定は原本の色分けによるもので、分類・見出し・解釈・並び順は本サイトの独自分析です。原本はIPAのシラバス公開ページから無料で入手できます。