第56回試験まで1週間を切りました。全範囲勉強する余裕のない方のために出題テーマの分析をしてみました。
結論としては、過去問で繰り返し問われていることを頭にいれておけば大丈夫でしょう。ただし、情報システムセキュリティの用語問題は過去問だけでは不十分だと思います。苦手な方はテキストを眺めてから試験に臨みましょう。
なお、分析対象としたのは手元に過去問がある分だけです。第55回試験の問題は見ておりません。その点ご了承ください。
表中の数字は問題番号です。
個人情報保護法に関する出題テーマ
| 第49回試験 | 第50回試験 | 第54回試験 | |
| 平成27年改正の背景 | １ | １ | |
| OECD8原則 | ２ | ２ | １ |
| JIS Q 15001 | ３ | ３ | |
| プライバシーマーク | ４ | ４ | ２ |
| ISMS適合評価制度 | ５ | ５ | |
| 個人情報の定義 | ６ | ６ | ３ |
| 個人識別符号 | ７ | ７ | ４ |
| 要配慮個人情報 | ８ | ８ | ５ |
| 個人情報データベース | ９ | ９ | ６ |
| 個人情報取扱事業者 | １０ | １０ | ７ |
| 個人データ／保有個人データ | １１ | １１ | ８ |
| 匿名加工情報 | １２ | １２ | ９ |
| 匿名加工情報取扱事業者の義務 | ３０ | ３１ | １０ |
| 利用目的の特定・変更 | １３ | １１ | |
| 利用目的による制限 | １３ | １４ | １２ |
| 要配慮個人情報の取得 | １４ | １５ | |
| 利用目的の通知・公表 | １５ | １４、１５ | |
| 個人情報の直接取得 | １６ | １６ | |
| 個人情報の適正取得 | １３ | ||
| 個人データ内容の正確性 | １６ | １７ | １７ |
| 安全管理措置 | １７ | １８ | １８ |
| 従業者の監督 | １８ | １９ | １９ |
| 委託先の監督 | １９ | ２０ | ２０ |
| オプトアウト | ２０ | ２１ | ２２ |
| 個人データの第三者への提供 | ２１ | ２２ | ２１ |
| 個人データの委託および事業承継 | ２３ | ||
| 外国にある第三者への個人データの提供 | ２２ | ２３ | |
| 第三者提供に係る記録の作成 | ２３ | ２４ | ２４ |
| 保有個人データに関する事項公表 | ２４ | ２５ | ２５ |
| 保有個人データの開示 | ２５ | ２６ | ２６ |
| 保有個人データの訂正 | ２６ | ２７ | ２７ |
| 保有個人データの利用停止 | ２７ | ２８ | ２８ |
| 保有個人データに関する請求 | ２８ | ２９ | ２９ |
| 保有個人データに関する請求の手数料 | ３０ | ３０ | |
| 苦情の処理 | ２９ | ||
| 個人情報保護委員会による監督 | ３１ | ３２ | ３１ |
| 認定個人情報保護団体 | ３２ | ３３ | |
| 個人情報保護方針 | ３３ | ３４ | |
| 個人情報保護委員会 | ３４ | ３５ | |
| 域外適用 | ３２ | ||
| 適用除外 | ３５ | ３６ | ３３ |
| 罰則 | ３４ | ||
| 行政機関個人情報保護法 | ３６ | ３７ | |
| 外国執行当局への情報提供 | ３７ | ３８ | |
| 個人情報データベース等提供罪 | ３８ | ||
| ガイドライン（通則編） | ３９ | ３９ | |
| ガイドライン（金融分野） | ４０ | ４０ | |
| 個人情報保護委員会告示（漏えい事案が発生した場合の対応） | ３５ |
2年前（49回、50回）と今年（54回）を比較しても、出題テーマに大きな違いはありません。平成27年改正の背景が聞かれなくなった、くらいでしょうか。
行政機関個人情報保護法、外国執行当局への情報提供の出題もなくなっていますが、捨てても問題ないとは言いにくいです。
マイナンバー法の出題テーマ
| 第49回試験 | 第50回試験 | 第54回試験 | |
| マイナンバー法の概要 | ４１ | ４１ | |
| マイナンバー法上の定義規定 | ４３ | ３６ | |
| 個人番号 | ４３ | ３７ | |
| 個人番号の変更 | ４４ | ３８ | |
| 個人情報保護法とマイナンバー法の関係 | ４２ | ４２ | |
| 特定個人情報の利用目的 | ４５ | ４６ | ３９ |
| 再委託、委託先の監督 | ４６ | ４７ | ４０ |
| 国・地方公共団体・事業者の責務 | ４４ | ||
| 個人番号の生成 | ４５ | ||
| 個人番号の提供の要求 | ４８ | ４８ | ４１、４２ |
| 本人確認の措置 | ５０ | ４９ | ４３ |
| 代理人による個人番号の提供 | ４９ | ５０ | ４４ |
| 通知カード | ４７ | ５１ | ４５ |
| 個人番号カード | ５１ | ５１ | ４５ |
| 特定個人情報の提供制限 | ５２ | ５２、５３ | ４６ |
| 特定個人情報の収集の制限 | ４７ | ||
| 特定個人情報の第三者提供の制限 | ５３ | ||
| 特定個人情報の収集・保管 | ５４ | ５４ | |
| マイナポータル | ５５ | ５５ | |
| 情報提供ネットワークシステム | ５６ | ５６ | |
| 特定個人情報ファイル | ５７ | ４８ | |
| 特定個人情報保護評価 | ５７ | ||
| 法人番号 | ５８ | ５８ | ４９ |
| 罰則 | ５９ | ５９ | ５０ |
| ガイドライン | ６０ | ６０ |
問題数削減の影響で実務に直結する知識に出題が絞られているように見受けられます。提供制限や本人確認措置は必ず出題されるものと思って確実に抑えましょう。
脅威と対策のテーマ
|
|
第49回試験 | 第50回試験 | 第54回試験 |
| 個人情報の保護に関する基本方針 | ６１ | ||
| マネジメントシステム | ６１ | ５１ | |
|
JIS Q 27000:2014 |
５２ | ||
| 情報のCIA | ６２ | ６２ | ５３ |
| 著作権法 | ６３ | ５４ | |
| 不正アクセス禁止法 | ６３ | ５５ | |
| 不正競争防止法 | ６４ | ||
| JIS Q 15001:2017 | ６５ | ||
| PMS（個人情報保護マネジメントシステム） | ６４ | ６８ | ５７ |
| 個人情報保護評価 | ６５ | ||
| 組織における業務の適正確保、会社法 | ６６ | ６６ | ５６ |
| 個人情報保護法、マイナンバー法の罰則 | ６７ | ||
| リスクマネジメントプロセス | ６７ | ５８ | |
| リスクアセスメント | ６８ | ６９ | ５９ |
| 脅威の分類 | ６９ | ||
| STRIDEモデル | ７０ | ７０ | ６０ |
| リスク評価手法 | ７３ | ７１ | ６１ |
| リスク対応 | ７４ | ７２ | |
| 脅威と脆弱性 | ７１ | ７３、７５ | ６３ |
| 損失額算出考慮要素 | ７２ | ||
| 漏洩個人情報の価値 | ７４ | ||
| 内部不正防止の基本原則 | ７５ | ６２ |
出題傾向に変化なし。リスクとは、脅威とは、マネジメントシステムとは、等。基本的な理解がしっかりしていれば大丈夫です。
組織的・人的セキュリティの出題テーマ
| 第49回試験 | 第50回試験 | 第54回試験 | |
| 組織的安全管理措置の内容 | ７６ | ６４ | |
| 台帳管理 | ７６ | ６５ | |
| 個人情報保護方針 | ７７ | ７７、７８ | ６６ |
| 規程文書の体系 | ７８ | ７９ | |
| 情報セキュリティ基本方針 | ６７ | ||
| 管理者・管理委員会の役割 | ７９、８１ | ８０ | ６８ |
| 従業者の役割 | ８０ | ６９ | |
| 個人情報保護監査、監査人の役割 | ８２、８３ | ８１、８２ | ７０ |
| 非開示契約 | ８４ | ８３ | ７１ |
| 従業者のモニタリング | ８５ | ８６ | |
| 派遣社員のモニタリング | ８４ | ||
| 教育による不正防止 | ８５ | ７２ | |
| 業務委託、再委託 | ８６、８７ | ８７、８８ | ７３ |
| 漏えい事故発生時の対応 | ８８、８９ | ８９ | ７４、７５ |
ほとんど同じことが聞かれ続けています。1時間の勉強で満点が狙えます。
オフィスセキュリティの出題テーマ
| 第49回試験 | 第50回試験 | 第54回試験 | |
| ゾーニング | ９０ | ９０ | ７６ |
| 物理的セキュイティ境界 | ９１ | ||
| 不正入室対策 | ９１ | ７７ | |
| バックアップ | ９２ | ９２ | ７８ |
| コンピュータの保護 | ９３ | ７８ | |
| ストレージの信頼性（RAID） | ９３ | ９５ | ８０ |
| クリアデスク、クリアスクリーン | ７９ | ||
| IDカード | ９４ | ||
| 本人認証 | ９４ | ||
| 訪問者カード | ９５ | ||
| USBメモリの利用ルール | ８１ | ||
| 個人所有の機器の利用ルール | ９６ | ||
| 入室制限 | ９６ | ||
| ノートパソコン利用のルール | ９７ | ||
| 個人情報の輸送 | ９７ | ８２ | |
| 災害対策 | ８３ | ||
| 装置や媒体の廃棄 | ９８ | ９８ | |
| システムの二重化 | ９９ | ９９ | |
| BCP、BCM | １００ | １００ | ８４ |
このパートも出題傾向に大きな動きはないようです。
情報システムセキュリティの出題テーマ
| 第49回試験 | 第50回試験 | 第54回試験 | |
| 暗号化方式 | １０１ | ８５ | |
| 電子署名 | １０２ | １０１、１０２ | ８６ |
| 本人認証 | １０４ | １０５ | ８７、８８ |
| 公開鍵暗号基盤 | １０３ | ||
| ワンタイムパスワード | １０３ | １０４ | |
| MACアドレスフィルタリング | １０５ | ||
| ファイアウォールの方式（パケットフィルタリング、アプリケーションゲートウェイ） | １０６ | １０６ | ８９ |
| VLAN | １０８ | ９０ | |
|
不正アクセス対策（IDS,IPS,DMZ) |
１０７ | １０７ | |
| UTM | １０８ | ||
| セキュアなプロトコル | １０９ | １０９ | |
| ランサムウェア、スパイウェア、ルートキット | １１１ | ||
| ウォードライビング | １１０ | ||
| ボット、トロイの木馬、ワーム、DDoS攻撃 | １１２ | １１０ | ９１ |
| マルウェア対策 | ９２ | ||
| パスワードの不正入手手法（ディレクトリトラバーサル、ブルートフォース、レプレイ攻撃） | ９３ | ||
| マルウェア感染時の対応 | １１３ | ||
| システムの脆弱性 | １１４ | ||
| システムの設定、アカウントの管理 | １１５ | ||
| 不正アクセス発覚時の対応 | １１６ | ||
| スパイウェア対策 | １１１ | ||
| ボット | １１２ | ||
| キャッシュポイズニング | １１３ | ||
| システム管理者基準 | １１４、１１５ | ||
| アクセスログ | １１６ | ||
| 電子メールの利用 | １１７ | ||
| 情報システムの動作確認 | １１７ | ||
| システムへの攻撃(リプレイ攻撃、キャッシュポイズニング、SQLインジェクション、クロスサイトスクリプティング、バッファオーバーフロー攻撃、 | １１８、１１９、１２０ | １１８、１１９、１２０ | |
| Webアプリケーションへの攻撃 | ９４ | ||
| システムへの攻撃手法（スネールメール、ドライブバイダウンロード、ゼロデイ攻撃、フットプリンティング） | ９５ | ||
| アクセス者の認識 | ９６ | ||
| 運用のセキュリティ | ９７ | ||
| 技術的脅威（BEC、スケアウェア、Hoax） | ９８、９９、１００ |
暗号技術など基本的な考え方に関する出題は大きく変わっていません。しかし、用語問題はかなり変わっています。用語問題は試験中に考えればどうにかなるというものではなく、知らなければ即失点です。だからと言って手を広げ始めるときりがありませんので、テキストに載っている用語は押さえておきましょう。