【CompTIA Security+問題集】⑧総合問題徹底解説つき「初心者向け無料演習」

この記事は、CompTIA Security+ 問題集シリーズの最終回・第8弾「総合問題」です。これまでの①〜⑦で学んだ知識を横断し、実務でありがちなシナリオも交えて、1問ずつ徹底解説します。分野をまたいで考える力＝本番で問われる力を、ここで仕上げましょう。

解説では、正解の理由だけでなく、不正解の選択肢がなぜ違うのかまで説明しています。まずは何も見ずに解いて、弱点分野が見つかったら、該当するシリーズ記事に戻って復習してください。

総合問題演習問題（全10問）
おわりに｜シリーズ完走、お疲れさまでした
CompTIA Security+ 問題集シリーズ全8回（分野別）
あわせて読みたい関連記事

総合問題演習問題（全10問）

問題1

情報を許可された人だけが見られるようにする、CIAの3要素のうち「機密性」を守る代表的な対策はどれか。

A. バックアップ
B. ハッシュによる改ざん検知
C. データの暗号化
D. 冗長化

正解　C

【解説】
答えはデータの暗号化です。情報セキュリティの土台となるCIAの3要素——機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）——のうち、機密性は「許可された人だけが情報を見られる」状態を指します。これを守る代表的な対策が、データの暗号化とアクセス制御です。鍵を持つ人以外には中身が読めないため、盗まれても情報が漏れません。

各選択肢の解説
A：バックアップは可用性を守る対策。
B：ハッシュによる改ざん検知は完全性を守る対策。
C：正しい。暗号化は機密性を守る代表策。
D：冗長化は可用性を守る対策。

試験対策ポイント：「機密性＝暗号化・アクセス制御」。CIAと対策の対応を押さえる。
ワンポイント：機密性＝暗号化、完全性＝ハッシュ、可用性＝バックアップ／冗長化。
関連知識：CIAはセキュリティのすべての土台。どの対策がどれを守るかで整理する。

問題2

サーバーを二重化（冗長化）し、1台が壊れてもサービスを止めないようにするのは、CIAのどれを守る対策か。

A. 機密性
B. 可用性
C. 完全性
D. 否認防止

正解　B

【解説】
答えは可用性です。サーバーを二重化（冗長化）して、1台が壊れてもサービスを止めない——これはCIAのうち可用性（Availability：必要なときに使えること）を守る対策です。ほかにも、負荷分散、バックアップ、DDoS対策などが可用性の維持に貢献します。ランサムウェアやDDoSは、この可用性を狙う攻撃だと整理できます。

各選択肢の解説
A：機密性は「見られないこと」で、暗号化などで守る。
B：正しい。冗長化は可用性（使えること）を守る。
C：完全性は「改ざんされないこと」で、ハッシュなどで守る。
D：否認防止はCIAの3要素ではない（デジタル署名などで実現）。

試験対策ポイント：「冗長化・バックアップ＝可用性」。止めない・使えるを守る。
ワンポイント：ランサムやDDoSは可用性への攻撃。冗長化とバックアップで対抗。
関連知識：可用性の指標が稼働率（99.9%など）で、SLAで約束される。

問題3

ファイアウォール・IPS・アンチウイルス・教育など、性質の異なる複数の対策を層状に重ねて守る考え方はどれか。

A. 最小権限
B. ゼロトラスト
C. 責任共有
D. 多層防御（Defense in Depth）

正解　D

【解説】
答えは多層防御（Defense in Depth）です。ファイアウォール、IPS、アンチウイルス、そして人への教育まで、性質の異なる複数の対策を層状に重ねる考え方です。1つの対策が破られても、次の層で止められるため、全体として堅くなります。「城の堀・壁・門を何重にも設ける」イメージです。単一の対策に依存しないことが、現実的なセキュリティの基本です。

各選択肢の解説
A：最小権限は必要最小限の権限を与える原則。
B：ゼロトラストは何も信用せず都度検証する思想。
C：責任共有はクラウドの責任分担の考え方。
D：正しい。複数の対策を層状に重ねる考え方。

試験対策ポイント：「対策を層状に重ねる＝多層防御」。1つ破られても次で止める。
ワンポイント：技術だけでなく、人（教育）や物理も層に含めるのがポイント。
関連知識：ゼロトラストと組み合わせると、境界内部でも多層で守れる。

問題4

社員が機密ファイルをUSBメモリや個人メールで外部に持ち出そうとするのを検知・ブロックする仕組みはどれか。

A. DLP（データ損失防止）
B. WAF
C. IDS
D. VPN

正解　A

【解説】
答えはDLP（Data Loss Prevention：データ損失防止）です。社員が機密ファイルをUSBメモリや個人のメール、クラウドストレージへ持ち出そうとするのを検知・ブロックする仕組みです。情報の中身（マイナンバー、カード番号などのパターン）を見て、ルールに反する持ち出しを止めます。内部からの情報漏えい対策の要となる技術です。

各選択肢の解説
A：正しい。機密情報の外部持ち出しを検知・防止する。
B：WAFはWebアプリへの攻撃を防ぐ。
C：IDSは侵入検知。
D：VPNは通信の暗号化。

試験対策ポイント：「情報の持ち出しを防ぐ＝DLP」。内部からの漏えい対策。
ワンポイント：メール・USB・クラウドなど、複数の出口を監視するのがDLP。
関連知識：内部脅威（うっかり・悪意）対策として、教育・権限管理と併用する。

問題5

攻撃者をわざとおびき寄せ、手口の観察や本番システムからの誘導に使う「おとり」の仕組みはどれか。

A. DMZ
B. サンドボックス
C. ハニーポット
D. プロキシ

正解　C

【解説】
答えはハニーポットです。あえて攻撃者をおびき寄せる「おとり」のシステムで、わざと弱そうに見せて攻撃を誘い込みます。狙いは2つ——攻撃者の手口を観察して学ぶことと、本番システムから注意をそらすことです。実例として、偽のサーバーやサービスを設置して、そこへのアクセスを監視します。

各選択肢の解説
A：DMZは公開サーバーを置く緩衝地帯で、おとりではない。
B：サンドボックスは、不審なファイルを隔離環境で安全に実行して調べる仕組み。
C：正しい。攻撃者をおびき寄せるおとり。
D：プロキシは通信を中継する仕組み。

試験対策ポイント：「攻撃者をおびき寄せるおとり＝ハニーポット」。
ワンポイント：複数のハニーポットを網状に配置したものをハニーネットと呼ぶ。
関連知識：サンドボックス（隔離実行）との違いに注意。目的が異なる。

問題6

認証された人のすぐ後ろにくっついて、許可なく施設へ入り込む「共連れ（テールゲーティング）」を防ぐ物理的な対策はどれか。

A. マントラップ（二重扉）
B. ファイアウォール
C. 暗号化
D. MFA

正解　A

【解説】
答えはマントラップ（二重扉）です。認証された人のすぐ後ろにくっついて、許可なく施設へ入り込む共連れ（テールゲーティング）を防ぐ物理的な対策です。二重扉の間に一人ずつしか入れない構造にし、1枚目が閉じてから2枚目が開くことで、なりすましの侵入を防ぎます。セキュリティは、サイバーだけでなく物理も重要という好例です。

各選択肢の解説
A：正しい。二重扉で共連れ（テールゲーティング）を防ぐ物理対策。
B：ファイアウォールは通信の制御で、物理侵入は防げない。
C：暗号化はデータ保護で、物理侵入とは無関係。
D：MFAは本人確認だが、共連れそのものは防げない。

試験対策ポイント：「共連れ（テールゲーティング）対策＝マントラップ（二重扉）」。
ワンポイント：物理セキュリティも試験範囲。監視カメラ・施錠・警備員も対策に含む。
関連知識：ソーシャルエンジニアリングの一種である共連れは、物理対策と教育で防ぐ。

問題7

「経理部です。至急この口座に振り込んでください」という、上司名の急な振込指示メールが届いた。最も適切な初動はどれか。

A. すぐに指示どおり振り込む
B. メール以外の手段（電話など）で本人に直接確認する
C. 添付リンクを開いて内容を確認する
D. 同僚に転送して意見を聞く

正解　B

【解説】
答えは「メール以外の手段で本人に直接確認する」です。上司や取引先になりすまして急な振込を指示するのは、BEC（ビジネスメール詐欺）の典型的な手口です。メールは送信元を簡単に詐称できるため、メール上でのやり取りだけで判断してはいけません。正しい初動は、登録済みの電話番号など、メールとは別の経路で本人に直接確認することです。急かされるほど、いったん立ち止まるのが鉄則です。

各選択肢の解説
A：すぐ振り込むのは最も危険。詐欺の思うつぼ。
B：正しい。別経路で本人に直接確認する。
C：添付リンクを開くと、フィッシングサイトやマルウェアの危険。
D：同僚に転送しても真偽は確認できず、被害を広げかねない。

試験対策ポイント：「なりすまし送金指示＝別経路で本人確認」。メール上で判断しない。
ワンポイント：「至急」「今すぐ」と急かすのは、冷静な判断をさせない常套手段。
関連知識：組織的には、振込手続きのダブルチェックとMFAで多層的に防ぐ。

問題8

パスワードがフィッシングなどで漏れても、不正ログインを防ぐのに最も効果的な対策はどれか。

A. パスワードを定期的に変更する
B. 通信を暗号化する
C. ログを監視する
D. 多要素認証（MFA）を導入する

正解　D

【解説】
答えは多要素認証（MFA）の導入です。パスワードは、フィッシングや漏えいで盗まれる前提で考える必要があります。MFAを導入しておけば、たとえパスワードが漏れても、スマホのワンタイムコードなど「もう一つの要素」がなければログインできず、不正アクセスを防げます。パスワード頼みから脱却する、最もコスト対効果の高い対策の一つです。

各選択肢の解説
A：定期変更は、近年はむしろ弱いパスワードを招くとして推奨されていない。
B：通信の暗号化は盗聴を防ぐが、漏れたパスワードでのログインは防げない。
C：ログ監視は事後の検知で、ログイン自体は防げない。
D：正しい。パスワードが漏れても、もう一つの要素で守れる。

試験対策ポイント：「パスワード漏えい対策の本命＝MFA」。要素を足して守る。
ワンポイント：パスワードの定期変更義務は今や非推奨。長く複雑な一意のパスワード＋MFAが正解。
関連知識：MFAはフィッシング被害の大部分を無効化できる、費用対効果の高い対策。

問題9

退職者のアカウントが有効なまま放置され、不正アクセスに悪用された。これを防ぐために徹底すべき運用はどれか。

A. パスワードの複雑化
B. 速やかなアカウント無効化（退職時の権限剥奪／デプロビジョニング）
C. データの暗号化
D. バックアップの取得

正解　B

【解説】
答えは速やかなアカウント無効化（退職時の権限剥奪／デプロビジョニング）です。退職者や異動者のアカウントを放置すると、本人や第三者に悪用され、内部からの不正アクセスの温床になります。入社時に権限を与える（プロビジョニング）のと同じくらい、退職時に速やかに権限を剥奪する運用が重要です。ID管理のライフサイクル全体を回すことが、最小権限の実践につながります。

各選択肢の解説
A：パスワードの複雑化は、放置アカウントの悪用そのものは防げない。
B：正しい。退職時に速やかに権限を剥奪する運用。
C：暗号化はデータ保護で、アカウント放置とは別問題。
D：バックアップは復旧手段で、予防にはならない。

試験対策ポイント：「退職者アカウントの放置対策＝速やかな無効化（デプロビジョニング）」。
ワンポイント：入社（付与）と退職（剥奪）はセット。ID管理はライフサイクルで考える。
関連知識：定期的なアクセス権の棚卸し（レビュー）も、放置権限の発見に有効。

問題10

既知の脆弱性を悪用して広がるワームやランサムウェアの被害を防ぐ、最も基本的で効果の大きい対策はどれか。

A. 修正パッチの適用（パッチ管理）
B. ハニーポットの設置
C. ソーシャルエンジニアリング訓練
D. ディスク暗号化

正解　A

【解説】
答えは修正パッチの適用（パッチ管理）です。既知の脆弱性を悪用して広がるワームやランサムウェアは、ベンダーが出す修正パッチを当てるだけで、その多くを防げます。実例として、WannaCryは既に修正パッチが出ていたSMBの脆弱性を悪用しており、パッチを当てていれば被害を避けられた組織が多くありました。地味ですが、パッチ管理は最も基本的で効果の大きい対策です。

各選択肢の解説
A：正しい。既知の脆弱性対策の基本はパッチ適用。
B：ハニーポットは観察用のおとりで、直接の防御策ではない。
C：意識向上訓練は人を狙う攻撃向けで、脆弱性そのものは塞げない。
D：ディスク暗号化は保管データの保護で、ワーム感染は防げない。

試験対策ポイント：「既知の脆弱性＝パッチ適用」。基本にして最重要。
ワンポイント：未知（ゼロデイ）は挙動検知、既知はパッチ。攻撃の種類で対策を分ける。
関連知識：パッチ管理は、脆弱性スキャン→優先度づけ（CVSS）→適用、の運用で回す。

■ ここまでのミニまとめ（問題1〜10）

復習ポイント：機密性＝暗号化／可用性＝冗長化／対策を層で重ねる＝多層防御／持ち出し防止＝DLP／おとり＝ハニーポット／共連れ対策＝マントラップ／なりすまし送金は別経路で確認／漏えい対策＝MFA／退職者は速やかに無効化／既知の脆弱性＝パッチ適用。

重要用語まとめ：CIA（機密性・完全性・可用性）、多層防御、DLP、ハニーポット／サンドボックス、物理セキュリティ、BEC、MFA、デプロビジョニング、パッチ管理。

頻出ポイント：①CIAと対策の対応②多層防御の考え方③シナリオでの最適な初動（別経路で確認・MFA・パッチ適用）。ここは特に狙われます。

現役エンジニアの視点：実務での使いどころ

総合問題は、分野をまたいで「結局どう守るか」を問う、いちばん実務に近いパートです。現場では、CIA（機密性・完全性・可用性）のどれを守りたいのかを起点に対策を選びます。多層防御・最小権限・デフォルト拒否といった考え方は、機器やクラウドが変わっても通用する普遍的な原則。ここが身につくと、知らない問題でも「原則から推測して」正解にたどり着けます。