【2026年最新・SCアクセス制御】情報処理安全確保支援士試験合格対策｜5期255枠と最小権限

「最小権限の原則に基づき、業務に必要な権限のみを付与する」。情報処理安全確保支援士の午後でアクセス制御が題材になったら、そう書けば加点される——本当にそうでしょうか。

IPAが公開している採点講評を5期ぶん読むと、こういう文が出てきます。

つまり 「アクセス権を最小限にする」と書いた受験者は珍しくなく、そしてIPAはそれを外れとして名指ししたということです。アクセス制御問題で『最小権限の原則』を運用まで書く採点者基準というものが本当にあるなら、こんな講評が出るはずがありません。

この記事は、現行形式（150分・4問中2問）の全5期＝令和5年度秋期から令和7年度秋期までの20大問・解答枠255本を、IPA公開の解答例PDFと採点講評PDFから機械処理して数えた実測だけで書いています。数えて初めて分かったことが3つありました。「最小権限」という語は解答例にも講評にも0回しか出てこないこと。アクセス制御に関わる解答枠は255本のうち5本（2.0%）しかないこと。そしてIPAが受験者の解答を引用して否定した文が30件あり、そのうち3件がまさに権限・アクセス制御・認証の語彙だったことです。

図: 「アクセス制御」系の語が、SC科目Bの解答例・採点講評・科目A収録問題にそれぞれ何回出るかの実測。原則の名前ほど、答案側には存在しない

「最小権限」と書いて外した記録が、3件そのまま残っている

まず、いちばん痛いところから見ます。IPAが受験者の解答を引用して退けた文のうち、アクセス制御・権限・認証の語彙を含むものは5期で3件ありました。全部そのまま引きます。

1件目：令和6年度秋期 問1 設問2f（正答率がやや低かった）

原則としては正しい対策です。にもかかわらず外れになったのは、その事例で起きた持出しが、権限を絞っても止まらない経路で起きていたからです。マルウェアは正規利用者の権限で動いていた。つまり最小権限は「間違った知識」ではなく「この事例に効かない対策」でした。

2件目：令和7年度秋期 問1 設問4（正答率が低かった）

ここで名指しされている “IDの棚卸しを行う” と “権限チェックを行う” は、アクセス制御の答案テンプレとしてよく紹介される言い回しそのものです。外れた理由は内容の誤りではなく、設問が聞いているのが開発プロセスなのに、運用プロセスの話で答えたという層のズレでした。

3件目：令和7年度秋期 問4 設問3（正答率がやや低かった）

3件に共通するのは、書かれた対策そのものは教科書的に正しいという点です。落としたのは知識ではありません。事例で実際に起きた事象に、その対策が効くかどうかを確かめずに書いたことです。

解答枠255本を数えると、アクセス制御は2.0%しかない

では、そもそもアクセス制御はどれくらい出ているのか。ここを感覚で語らないために、母集団を固定して数えました。

対象は令和5年度秋期〜令和7年度秋期の5期20大問です。この範囲に区切ったのは、SCが午後Ⅰ・午後Ⅱを午後試験に統合したのが令和5年度秋期からで、それ以前とは問題の作りが違うからです（統合により150分・4問中2問へ。IPAの変更告知に明記されています）。

解答例PDFの解答欄を1つずつ切り出すと、20大問で解答枠255本、内訳は記述129本・記号や穴埋め126本でした。1大問あたりの解答枠は最小8・中央値11.5・最大23です。

この255本を、権限・アクセス権・アクセス制御・特権・職務分掌・棚卸・認可・ロールといった語で厳格に拾ったところ、ヒットは5枠、全体の2.0%。該当する大問は20問中4問だけでした。

しかも5枠の中身を1本ずつ目で確かめると、さらに減ります。

• 令和6年度春期 問3 設問1(2)（104字）— 管理者権限のcookieを盗む攻撃経路の説明。設計でも運用でもない

• 令和6年度秋期 問4 設問1(4)d（38字）— sessionIDの無効化と再発行。セッション管理であって権限運用ではない（機械的な取りこぼし）

• 令和7年度秋期 問1 設問2(1)（5字）— 「ロール管理」

• 令和7年度秋期 問1 設問2(4)g（17字）— 「利用者のロールを管理者に設定する。」これも攻撃側の記述

• 令和7年度秋期 問4 設問2(2)（75字）— 所属組織×読込／書込／権限変更の権限マトリクス（○×表）

「アクセス制御の設計・運用を書かせた枠」に絞ると、実質2本です。5年で2本。255枠中の2枠が、この論点の実際の重みでした。

語そのものを数えるともっと露骨です。5期分の解答例PDFと採点講評PDFを全文カウントすると、「最小権限」0回。「最小限の権限」0回。「必要最小限」0回。「職務分掌」0回。「特権」0回。「アクセス制御」0回。「棚卸」が講評に1回（例の“IDの棚卸しを行う”＝誤答の引用）、「権限」が解答例に6回・講評に4回。それだけです。

ついでに、この5期で分かったもうひとつの不均衡も挙げておきます。大問レベルの講評は20回中17回が「平均的」でした。ところが同じ講評の設問単位の評価を拾うと、59件中33件（55.9%）が「低かった」「やや低かった」です。大問まるごと解けない受験者はほとんどいない。落ちる人は、解ける大問の中の特定の設問で落としている。アクセス制御の型を増やしても、この33件には届きません。

科目Aには「アクセス制御」が23問ある。それでも答案語彙にはならない

「そんなはずはない、アクセス制御はSCの頻出論点だ」という感覚は、間違いではありません。ただしそれは科目A（旧・午前）の話です。運営している過去問AI（

）には、SC区分の科目A問題が年度横断で入っています。

そこで収録問題を「アクセス制御」の語で全文検索すると、こうなります。

図: 過去問AIでSC区分を「アクセス制御」で検索した実際の結果。23件ヒットし、左の絞り込みに年度と分野の内訳が出る（2026-08-04 実測）

23件。年度も11年度にまたがります。「権限」なら30件・13年度、「認可」17件・10年度。知識としては明確に頻出です。

ただし、この23件をそのまま「認可の問題が23問ある」と読んではいけません。左の分野内訳を見ると、ネットワークセキュリティ8・ネットワーク6で、ネットワーク系だけで14件を占めています。実際の設問文も「IEEE 802.11a/b/g/n で採用されているアクセス制御方式はどれか」「イーサネットで使用されるメディアアクセス制御方式であるCSMA/CD に関する記述として、適切なものはどれか」——媒体アクセス制御（MAC）です。権限管理の話ではありません。

では肝心の「最小権限」は科目Aに何問あるか。

図: 同じ検索を「最小権限」で実行した結果。SC区分の収録問題でヒットは1件だけだった（2026-08-04 実測）

1件です。しかも中身は令和1年度秋期 問17で、SQLインジェクション対策を問う設問。アクセス制御の設計を問うた問題ですらありません。「職務分掌」「棚卸」「ロールベースアクセス制御」に至っては科目Aでも0件でした。

ここまでを整理すると、こうなります。アクセス制御は科目Aでは頻出だが、科目Bで書く言葉としてはほぼ存在しない。そして書いた人はIPAに名指しで退けられている。原則を運用まで書き込む練習に時間を使っても、55.9%が低評価だった設問群には効きません。

では、その33件を落とさない側の答案は何が違うのか。IPAは答えをかなり露骨に出しています。5期の採点講評から「〜という解答が散見された／多く見られた／見られた」型の文を全件抜き出すと30件あり、うち14件は低評価だった設問に付いています。この30件は、IPA自身が「これは違う」と言い切った実物の答案リストです。あなたが本番で書きかけて手が止まるとき、その形はほぼ確実にこの30件のどれかと同じです。

ここから先は、その30件を期・大問・設問番号とIPAの逐語つきで全部並べ、6つの類型に分けて渡します。あわせて、対策を1文字も書く前に通す4つの問い、アクセス制御を書いてよい場合の答案テンプレ3本（権限マトリクス型・ロール型・追跡型）、権限が実際に正答になった2つの解答例の逐語、そして「何枠落としても受かるか」を要綱の公表値から逆算した撤退ラインの計算まで、本番でそのまま使える形にしてあります。

あわせて読みたい

同じ情報処理安全確保支援士の別論点として、5期20大問・255解答枠を実測・完全版まで続けて確認できます。

同じ情報処理安全確保支援士の別論点として、科目Bの150分・4問中2問・完全版まで続けて確認できます。

同じ情報処理安全確保支援士の別論点として、全50解答枠と低調7設問の実測まで続けて確認できます。