【2026年最新】情報処理安全確保支援士 インシデント対応 合格対策｜答案を作る4段階

マルウェア感染のシナリオ問題で、いきなり「駆除する」と書いて部分点止まりになる——【SC】情報処理安全確保支援士の記述式でよく紹介される失点パターンです。対応には順序があり、午後(2026年度からの呼称では科目B)の設問はその順序に沿って並びます。インシデント対応問題を『検知→封じ込め→根絶→復旧』の4段階で書く——この整理は、たしかに書き出しの方向を決めてくれます。

ただ、この4段階を覚えたあとに誰も教えてくれないことが2つあります。「4段階は試験のどれくらいを占めるのか」と「4段階のうちどこに時間を割くべきなのか」です。

そこで、IPAが公開しているSC午後(科目B)の解答例PDFと採点講評PDFを5期分ダウンロードし、20大問・255個の解答枠を1つずつ4段階に機械分類しました。結果は予想と逆でした。4段階のいずれかに当てはまった解答枠は31枠、全体の12.2%。残る224枠(87.8%)は4段階の外側にあります。しかも段階の中身は均等ではなく、検知16枠に対して復旧はわずか3枠でした。

「検知→封じ込め→根絶→復旧」は、NISTが定めた4段階ではない

先に、多くの解説記事が書いている出典の話を正しておきます。この4段階はよく「NIST SP 800-61の枠組み」と紹介されますが、SP 800-61r2の4フェーズはこの並びではありません。

r2のライフサイクルは、Preparation(準備)/ Detection & Analysis(検知と分析)/ Containment, Eradication & Recovery(封じ込め・根絶・復旧) / Post-Incident Activity(事後活動)の4つです。つまり封じ込め・根絶・復旧は3つに分かれておらず、1つのフェーズにまとまっている。「検知→封じ込め→根絶→復旧」は、NISTのフェーズを学習用に分解した整理であって、NISTがそう定義しているわけではないのです。

さらに新しい事実があります。2025年4月に出たSP 800-61r3はr2を置き換え(supersedes)、この4段階ライフサイクル自体をやめました。r3はCSF 2.0の6つのFunction(Govern / Identify / Protect / Detect / Respond / Recover)に基づくモデルへ移行しています。r3のTable 1は、旧4フェーズと新Functionの対応表を載せていて、旧「Containment, Eradication & Recovery」はRespondとRecoverに対応づけられています。

この話は雑学ではありません。4段階は「標準規格」ではなく「答案の書き出しを決めるための道具」だと位置づけが変わると、次の問いが自然に出てきます——道具として、どれくらい効くのか。

解答枠255を数えると、4段階に当てはまるのは31枠だけだった

母集団は、現行形式(150分・4問出題2問解答・記述式)になった令和5年度秋期から令和7年度秋期までの5期分です。SCは令和5年度秋期に午後Ⅰ・午後Ⅱを統合したので、現行形式の過去問はこの5期=20大問しかありません。

この20大問について、IPAが公表した解答例を解答欄1つずつ「解答枠」に切り出すと255枠になります。その255枠それぞれの本文に対して、4段階の語彙(検知なら「検知」「調査」「痕跡」「監視」、封じ込めなら「隔離」「遮断」「切り離し」など)が出るかを機械判定しました。

図: SC科目B 5期20大問・解答枠255を4段階に分類した実測。段階別の枠数・記述の字数・採点講評が名指しした低評価件数を並べたもの

結果が上の表です。4段階のいずれかに該当したのは31枠(12.2%)。内訳は検知16・封じ込め7・根絶9・復旧3で、復旧は5期20大問を通じて3枠しかありません。

数え方の限界も書いておきます。単純な部分文字列一致は誤爆します。実際に「ログ」は「ログイン」「プログラム」「ダイアログ」を拾い、「正常」は「正常な通信を妨害する」という攻撃側の説明を拾っていました。これらを正規表現で除外した結果、該当枠は53枠から31枠へ絞られています。つまりゆるく数えて20.8%、厳しく数えて12.2%。どちらを取っても「4段階は解答枠の大部分ではない」という向きは変わりません。

また、4段階のうち2段階以上を含む大問——素直に「インシデント対応シナリオ型」と呼べる大問——は、20大問中6大問でした。残り14大問は、認証・暗号・Web脆弱性・クラウドの設計や運用が主題です。実際、255枠のうち認証やID管理の語を含む枠は37、ネットワーク関連は24、クラウド・APIは22ありました。

段階別に見ると、勉強の重心は「検知」に寄っている

段階の中でも重みは均等ではありません。ここが実用上いちばん効きます。

採点講評が名指しした低評価設問33件を同じ方法で段階に割り振ると、検知4件・封じ込め3件・根絶5件・復旧0件でした。復旧は、枠数が3しかないうえに、5期を通じて一度も「正答率が低かった」と名指しされていません。

科目A側も数えました。過去問AI(kakomon-ai.jp)のSC区分には1,710問が収録されていて、分野ファセットの19分野を合算するとちょうど1,710になります。そのうち分野「インシデント対応」は26問、全体の1.5%でした。

図: 過去問AIのSC区分1,710問の分野内訳(2026年8月3日実測)。「インシデント対応 26」は下から3番目で、ネットワークセキュリティ249・情報セキュリティ166と比べて2桁少ない

さらに語で検索すると、「封じ込め」「駆除」「SIEM」「EDR」はSC科目Aで0件です(「検知」46件、「遮断」28件、「復旧」28件、「隔離」5件)。つまり封じ込めと根絶の語彙は、科目Aの選択肢では鍛えられない。科目Bの記述で初めて自分の言葉にする必要があります。

ここまでが、4段階という道具の「効く範囲」の実測です。無料部分はここで終わりにします。ここから先は、実際に答案を書く順番で、段階別の解答テンプレ4本(検知45.5字・封じ込め44字・根絶34.5字・復旧59字という実測字数に合わせた型)、設問を「4段階の内側か外側か」に仕分ける判定フロー、採点講評が名指しした低評価33件から作った失敗例パターン、そして87.8%を占める段階外の設問に時間をどう配るかの配分表を、そのまま使える形で渡します。

あわせて読みたい

同じ情報処理安全確保支援士の別論点として、5期255枠と最小権限まで続けて確認できます。

同じ情報処理安全確保支援士の別論点として、科目Bの150分・4問中2問・完全版まで続けて確認できます。

同じ情報処理安全確保支援士の別論点として、5期20大問・255解答枠を実測・完全版まで続けて確認できます。