ISC2 CC試験100題過去問+問題集 全問解答解説付き

ISC2 CC試験試験の過去問+問題100題を全問解答＋全問解説しています。

私自身、IT資格の勉強をしているときに情報が少なくて苦労しました。その経験から、誰でも効率的に資格取得を目指せる情報を提供したいと考え、このnoteを始めました。

当noteは、次のような方々をサポートするために運営しています。

• IT資格を取得したい方

• ITスキルを高めたい方

• キャリアアップを目指すエンジニア

理念: 「わかりやすく、最短で、資格合格を後押しする」

1問1問全選択肢ごとに、正解を導き出すための思考プロセスや、関連知識、さらには実務にも役立つ補足情報まで、丁寧に解説しています。
初学者から経験者まで、わかりやすく学習可能です。

ここから問題と解答/解説になります。

1.
問題文: セキュリティベースラインに準拠していないデバイスが発見された場合、セキュリティチームはどのような措置を講じますか？

A. 報告する
B. 評価する
C. 無視する
D. 確認および更新されるまで、無効化または隔離エリアに隔離する。

正解: D
解説:
A. 報告する - 報告はインシデント対応プロセスの一部ですが、最初に行うべき行動ではありません。準拠していないデバイスをネットワークに接続したままにしておくとリスクが継続するため、まずは脅威を封じ込める措置が優先されます。
B. 評価する - 評価も重要なステップですが、リスクを封じ込めた後に行われるのが一般的です。準拠していないという事実が判明した時点で、他のシステムを保護するために即座に行動を起こす必要があります。
C. 無視する - 準拠していないデバイスを無視することは、組織を重大なセキュリティリスクにさらす行為であり、決して許容される選択肢ではありません。
D. 確認および更新されるまで、無効化または隔離エリアに隔離する。 - 正解です。セキュリティベースラインに準拠していないデバイスは、ネットワーク全体に対する潜在的な脅威です。そのため、他の資産への影響を防ぐために、直ちにネットワークから切り離し（隔離し）、安全な状態になるまで修正措置を講じることが最も適切な初動です。

2.
問題文: 次のツールのうち、一般的にパスワードクラックに使用されるものはどれですか？

A. Burp Suite
B. Nslookup
C. John the Ripper
D. Wireshark

正解: C
解説:
A. Burp Suite - Burp Suiteは、主にWebアプリケーションの脆弱性をテストするためのプロキシツールです。通信を傍受して改ざんすることはできますが、ハッシュ化されたパスワードを解析する専門のクラッキングツールではありません。
B. Nslookup - Nslookupは、DNSサーバーに問い合わせを行い、ドメイン名からIPアドレスを調べたり、その逆を行ったりするためのコマンドラインツールです。パスワードの解析機能はありません。
C. John the Ripper - 正解です。John the Ripperは、パスワードの強度をテストし、弱いパスワードを検出するために設計された、有名で強力なパスワードクラッキングツールです。辞書攻撃や総当たり攻撃などの手法を用いて、ハッシュ化されたパスワードから元のパスワードを特定します。
D. Wireshark - Wiresharkは、ネットワーク上を流れるデータをキャプチャして分析するためのプロトコルアナライザです。暗号化されていない平文のパスワードがネットワーク上を流れていればそれを盗聴することは可能ですが、ハッシュ化されたパスワードを解読（クラック）する機能はありません。

3.
問題文: ハッカーが企業ネットワークにアクセスし、ログイン情報を盗むためにネットワークトラフィックを傍受し始めました。この攻撃はOSI参照モデルのどの層を標的にしていますか？

A. ネットワーク層
B. 物理層
C. データリンク層
D. アプリケーション層

正解: D
解説:
A. ネットワーク層 - ネットワーク層（レイヤー3）は、IPアドレスに基づいたルーティングやパケットの転送を担当します。この層への攻撃はIPスプーフィングやルーティング情報の改ざんなどであり、直接的にログイン情報を標的とするものではありません。
B. 物理層 - 物理層（レイヤー1）は、ケーブルや電波など、データを物理的に伝送する媒体そのものを扱います。この層への攻撃は、ケーブルの盗聴（タッピング）や信号妨害など、物理的な手段によるものです。
C. データリンク層 - データリンク層（レイヤー2）は、同一ネットワーク内の機器間でデータを転送する役割を持ち、MACアドレスを利用します。この層への攻撃にはARPスプーフィングなどがありトラフィック傍受の手段となり得ますが、攻撃者が狙っているログイン情報そのものは、より上位の層で扱われます。
D. アプリケーション層 - 正解です。アプリケーション層（レイヤー7）は、ユーザーが直接対話するアプリケーション（例: Webブラウザ、メールソフト）のプロトコルを扱います。ログイン情報（ユーザー名やパスワード）は、HTTP、FTP、SMTPといったアプリケーション層のプロトコルを通じて送受信されるデータです。したがって、これを盗む行為はアプリケーション層を標的とした攻撃となります。

4.
問題文: 次のグループのうち、通常、組織のサイバーセキュリティインシデント対応チームの一員ではないものはどれですか？

A. サイバーセキュリティの専門家
B. 技術分野の専門家
C. 経営陣
D. 法執行機関

正解: D
解説:
A. サイバーセキュリティの専門家 - インシデントの特定、分析、封じ込め、根絶といった技術的な対応を主導する中心的なメンバーです。チームに不可欠な存在です。
B. 技術分野の専門家 - 影響を受けた特定のシステム（例: データベース、ネットワーク機器）に関する深い知識を持つ専門家です。インシデントの詳細な調査や復旧作業を支援するためにチームに参加します。
C. 経営陣 - インシデントがビジネスに与える影響を評価し、リソースの配分、広報戦略、法的な判断など、組織としての方針決定を行います。チームの重要な構成員です。
D. 法執行機関 - 正解です。法執行機関（警察など）は、サイバー犯罪が発生した場合に組織が協力し、報告を行う外部の機関です。彼らは組織の「内部」チームの一員ではなく、必要に応じて連携する外部の協力者という位置づけになります。

5.
問題文: ロードバランシングは、CIAトライアドのどの要素を保護しますか？

A. すべて
B. 完全性
C. 可用性
D. 機密性

正解: C
解説:
A. すべて - ロードバランシングは主に可用性を高めるための技術であり、直接的に機密性や完全性を保護する機能は持っていません。
B. 完全性 - 完全性とは、データが正確であり、不正に改ざんされていないことを保証する概念です。ロードバランシングはトラフィックを分散させるだけで、データの内容が正しいかどうかは検証しません。
C. 可用性 - 正解です。可用性とは、ユーザーが必要な時にシステムやサービスを利用できることを保証する概念です。ロードバランシングは、複数のサーバーにトラフィックを分散させることで、単一のサーバーに負荷が集中してダウンするのを防ぎます。また、一台のサーバーが故障しても他のサーバーでサービスを継続できるため、システム全体の可用性を高める上で非常に重要な役割を果たします。
D. 機密性 - 機密性とは、許可されたユーザーだけが情報にアクセスできるようにすることを保証する概念です。ロードバランシングはトラフィックの分散を行いますが、通信内容を暗号化したり、アクセスを制御したりするわけではないため、機密性の保護には直接寄与しません。

6.
問題文: 認証要素のうち、「Something you are（あなた自身の特徴）」として分類されるのはどのタイプですか？

A. タイプ3
B. タイプ1
C. タイプ4
D. タイプ2

正解: A
解説:
A. タイプ3 - 正解です。タイプ3認証は「Something you are（あなた自身の特徴）」、すなわち生体認証を指します。これは、指紋、顔認証、虹彩スキャン、静脈パターンなど、個人の身体的または行動的な特性に基づいています。
B. タイプ1 - タイプ1認証は「Something you know（あなたが知っていること）」、すなわち知識情報を指します。これには、パスワード、PINコード、秘密の質問への答えなどが含まれます。
C. タイプ4 - タイプ4認証は「Somewhere you are（あなたがどこにいるか）」、すなわち場所情報を指します。これは、ユーザーの地理的な位置（GPS情報など）や、特定のネットワーク（IPアドレスなど）からのアクセスに基づいています。
D. タイプ2 - タイプ2認証は「Something you have（あなたが持っているもの）」、すなわち所持情報を指します。これには、ハードウェアトークン、スマートカード、スマートフォンに届くワンタイムパスワード（OTP）などが含まれます。

7.
問題文: ある任務や事業機能の成功のために、組織が情報または情報システムに依存する度合いを示す尺度は何ですか？

A. 可用性
B. 認可
C. 重要度
D. 機密性

正解: C
解説:
A. 可用性 - 可用性（Availability）とは、認可されたユーザーが必要な時に情報やシステムにアクセスできることを保証する特性です。これはシステムの重要性そのものを測る尺度ではありません。
B. 認可 - 認可（Authorization）とは、認証されたユーザーに対して、特定のリソースへのアクセス権限を与えるプロセスです。これはアクセスコントロールの一環であり、システムの依存度を示すものではありません。
C. 重要度 - 正解です。重要度（Criticality）は、特定の情報システムやデータが、組織のミッションやビジネス機能を遂行する上でどれほど不可欠であるか、その依存度を評価するための尺度です。
D. 機密性 - 機密性（Confidentiality）とは、情報へのアクセスを正当な権限を持つ人物に限定し、不正な開示を防ぐ特性です。これは情報の秘密を守ることに関する概念です。

8.
問題文: 今日のEコマースの世界において、否認防止の重要性は何ですか？

A. 自身が行っていない取引に対して、人々が責任を問われないことを保証する
B. 取引がオンラインで行われないことを保証する
C. 自身が行った取引に対して、人々が責任を問われることを保証する
D. 取引がオンラインで行われることを保証する

正解: C
解説:
A. 自身が行っていない取引に対して、人々が責任を問われないことを保証する - これは否認防止の直接的な目的とは異なります。否認防止は、行った行為を後から「やっていない」と否定できないようにすることに主眼を置いています。
B. 取引がオンラインで行われないことを保証する - この選択肢は無関係です。否認防止は、オンライン取引の安全性を高めるための重要なセキュリティ概念です。
C. 自身が行った取引に対して、人々が責任を問われることを保証する - 正解です。否認防止（Non-repudiation）とは、取引や通信の当事者が、後になってその行為を行ったことを否定（否認）できないようにするための仕組みです。これにより、オンライン取引における信頼性と説明責任が確保されます。
D. 取引がオンラインで行われることを保証する - 否認防止は、取引が行われた後の証拠能力に関するものであり、取引そのものが行われることを保証する機能ではありません。

9.
問題文: ダンプスターダイビング（ゴミ漁り）攻撃に対する最善の防御策は何ですか？

A. データ損失防止（DLP）ツール
B. クリーンデスクポリシー
C. シュレッダーにかけること
D. マルウェア対策ソフトウェア

正解: C
解説:
A. データ損失防止（DLP）ツール - DLPツールは、機密情報が電子メールやUSBメモリなどを介して組織の外部に送信されるのを防ぐ、デジタルデータ向けのセキュリティ対策です。物理的な書類の廃棄には関与しません。
B. クリーンデスクポリシー - クリーンデスクポリシーは、離席時に机の上に機密書類を放置しないようにするルールです。これにより書類が不適切に廃棄されるリスクは減りますが、廃棄方法そのものを規定するものではなく、ゴミ漁りへの直接的な防御策ではありません。
C. シュレッダーにかけること - 正解です。ダンプスターダイビングは、廃棄された書類から機密情報を探す物理的な攻撃です。書類をシュレッダーにかけて細断することで、情報を判読不能にし、攻撃者が情報を復元することを困難にするため、最も直接的かつ効果的な防御策となります。
D. マルウェア対策ソフトウェア - マルウェア対策ソフトウェアは、ウイルスやスパイウェアなどの悪意のあるプログラムからコンピュータシステムを保護するものです。物理的な攻撃であるダンプスターダイビングには全く効果がありません。

10.
問題文: IPSecのリプレイ攻撃（再生攻撃）による潜在的な影響は何ですか？

A. ネットワークトラフィックの改ざん
B. すべて
C. ネットワーク通信の妨害
D. ネットワークリソースへの不正アクセス

正解: A
解説:
A. ネットワークトラフィックの改ざん - 正解です。リプレイ攻撃は、攻撃者が正当な通信パケットを傍受し、それを再送する攻撃です。パケットの内容自体は変更されませんが、例えば「送金する」というパケットが再送されると、意図しない二重の取引が発生し、結果として口座残高というデータが不正に「改ざん」されます。このように、システムの状態やデータを意図せず変更させる影響があります。
B. すべて - この問題の正解はAとされているため、この選択肢は当てはまりません。ただし、リプレイ攻撃は状況によって通信妨害や不正アクセスを引き起こす可能性もあります。
C. ネットワーク通信の妨害 - リプレイ攻撃によって大量のパケットを送りつけることで、サービス妨害（DoS）を引き起こし、通信を妨害することは可能です。しかし、この攻撃のより本質的な影響は、正当なパケットを悪用してシステムの状態を不正に変更することにあります。
D. ネットワークリソースへの不正アクセス - 認証プロセスで使われるパケットを再送することで、認証を突破し、不正アクセスを試みることもリプレイ攻撃の一つのシナリオです。ただし、この攻撃による最も広範な影響は、データの不正な変更（改ざん）と考えられます。