「科目Bは、何が出るのか分からなくて対策しづらい」。情報セキュリティマネジメント試験を勉強している方から、よく聞く悩みです。科目Aのように用語を覚えれば解ける問題ではなく、長い文章を読んで判断する形式なので、不安になりやすいところです。
この記事では、公開されている令和5〜8年度の問題から科目Bの12問を取り上げ、どんな場面が出ているのかを集計します。そのうえで、場面が変わっても使える読み方の手順を整理します。問題文や選択肢は載せず、集計の結果だけを示します。
科目Bの基本：12問、ケーススタディで実践力を問う
まず、試験の形をIPA（独立行政法人 情報処理推進機構）の公式サイトで確認します（2026年10月15日確認）。
| 項目 | 内容 |
|---|---|
| 試験時間 | 120分（科目Aと科目Bを合わせて） |
| 出題数 | 科目Aが48問、科目Bが12問（合計60問） |
| 形式 | 科目Aは四肢択一、科目Bは多肢選択式 |
| 実施方式 | CBT方式で随時実施 |
| 採点 | IRT（Item Response Theory：項目応答理論）に基づいて評価点を算出。総合評価点が1,000点満点中600点以上で合格 |
IPAの出題内容のページでは、科目Bについて、業務の現場での具体的な取組みを題材にしたケーススタディで、情報セキュリティ管理の実践力を問うと説明されています。取組みの例として、情報資産管理、リスクアセスメント、IT利用における情報セキュリティの確保、委託先管理、情報セキュリティ教育・訓練が挙げられています。
科目Bは12問で、全体の2割です。ただし、1問ごとに本文を読む時間がかかるため、試験時間の使い方には大きく影響します。合否は科目ごとではなく、総合評価点で決まります。
なお、IPAの見直しの案内（2026年3月31日付）によると、試験時間と問題数（科目A 48問・科目B 12問）は新しい試験制度でも変わらず、科目Bは出題範囲の一部が変更される予定です。具体的な変更内容は、最新の案内をIPAのサイトで確認してください。
公開問題12問の「場面」を集計した
IPAは、令和5年度以降の問題と解答例を公開しています。今回は、令和5〜8年度の公開問題で科目Bにあたる各年度3問、合わせて12問を対象に、問題がどんな場面を扱っているかを分類しました。
| 場面の分類 | 問数 | 割合 |
|---|---|---|
| バックアップ・復旧 | 3問 | 25% |
| リスクアセスメント・情報資産の評価 | 2問 | 17% |
| マルウェア・不審な画面への対応 | 2問 | 17% |
| クラウド利用・アクセス管理 | 2問 | 17% |
| 個人情報の扱い（匿名加工情報） | 1問 | 8% |
| 入退管理（物理的セキュリティ） | 1問 | 8% |
| 文書管理ルール（機密区分・保管・廃棄） | 1問 | 8% |
| 合計 | 12問 | 100% |
割合は小数点以下を四捨五入しているため、合計が100%にならない場合があります。
読み方
- バックアップ・復旧は、4年度のうち3年度で1問ずつ出ています。毎年の定番といえる場面です
- リスクの評価、マルウェア対応、クラウド・アクセス管理は各2問で、これも繰り返し出ています
- 残りの3つは各1問ずつで、法令に絡む個人情報、物理的な入退管理、文書管理と、場面が分散しています
- 12問すべてが、IPAの案内にある「情報資産管理・リスクアセスメント・IT利用の確保・委託先管理・教育」といった実務の取組みの範囲に収まっています
対象は公開問題の12問だけで、サンプル数は多くありません。「この分野は出る・出ない」と決めつけるための数字ではなく、科目Bがどんな世界の話なのかをつかむ目安として読んでください。実際の試験では、ここにない場面が出ることも十分にあります。
場面は変わっても、問われ方には型がある
場面はさまざまですが、科目Bの問われ方は大きく次の5つに整理できます。授業（情報セキュリティマネジメント講座の「科目Bの解き方」）でも同じ整理をしています。
| 問われ方 | やること |
|---|---|
| 規程と行動の照合 | 規程に書かれたルールと、実際の行動を見比べて、沿っているかを判定する |
| 点検結果の合否 | 基準の数値や期限と、点検の記録を照らし合わせる |
| 対策の組合せ選択 | 問題の原因を突き止め、原因を断つ対策の組合せを選ぶ |
| 計算を伴う判断 | 周期や所要時間などの数字を本文から拾い、計算して判断する |
| 手順の穴埋め | 手順の前後の流れから、抜けている作業を補う |
どの型でも、本文の中に答えの材料が全部そろっていることは共通です。外から特別な知識を持ち込むのではなく、本文の事実を基準に当てはめる力が試されます。
本文から答えを出す4ステップ
では、実際にどう読めばよいのでしょうか。手順を4つに分けて説明します。
ステップ1：設問を先に読む
本文を頭から読み始めると、何を探しているのか分からないまま情報だけが増えていきます。先に設問を読んで、何を答えるのかを決めておきます。空欄に入る語句を選ぶのか、対策の組合せを選ぶのか、ルールに合っているかを判定するのか。ここが決まれば、本文のどこを重点的に読むかも決まります。
ステップ2：判断のものさし（基準）を取り出す
次に、規程や表からものさしになる部分を探します。「持ち出すときは申請する」といったルールの一文、守るべき期限、基準になる数値などです。本文のすべてを覚える必要はありません。基準になる行だけを手元に取り出せば足ります。
ステップ3：事実を基準に当てはめる
本文に書かれた事実を、ステップ2で取り出した基準に照らして判定します。ここで大事なのは、自分の常識ではなく本文の規程で決めることです。実務では当たり前のやり方でも、その会社の規程に書かれていなければ判断の根拠になりません。逆に、規程に書いてあるなら、それが正しい判断です。
ステップ4：空欄が複数なら、決まる所から絞る
組合せを選ぶ問題では、選択肢が10個ほど並ぶことがあります。1つずつ検討すると時間が足りません。確実に判断できる空欄を1つ先に決め、その値を含まない組合せを消していきます。残った候補は数個に減るので、それだけを見比べて答えを決めます。
答える立場は、技術者ではなく「利用部門で情報セキュリティを守るリーダー」です。最新・高機能な対策を選ぶのではなく、規程や手順に沿い、部門で実行できることを選びます。本文にない仕組みを持ち出す案は、避けるのが基本です。
集計から見える、場面別の準備
集計で多かった場面は、科目Aの知識と直結しています。場面を読み取る土台として、次の論点を押さえておくと、本文の理解が速くなります。
| 科目Bの場面 | 土台になる科目Aの論点 | 関連する記事 |
|---|---|---|
| バックアップ・復旧 | 事業継続、バックアップの方式、復旧の目標（RPO・RTO） | RPOとRTOの違い |
| リスクアセスメント | リスクの算出、しきい値、リスク対応の4種類 | リスク対応の4つの方法 |
| マルウェア・不審な画面への対応 | マルウェアの種類、メール・Webの脅威、人的な脅威 | 脅威・脆弱性・リスクの関係 |
| クラウド利用・アクセス管理 | 利用者認証、アクセス制御、クラウド利用時の管理 | 講座の該当授業 |
| 個人情報・文書管理・入退管理 | 個人情報保護法、情報資産の分類、物理的セキュリティ | 講座の該当授業 |
科目Aで何がよく出るかは、科目Aでよく出る分野ランキングで整理しています。科目Aの学習と科目Bの対策は別々ではなく、科目Aの知識があるほど、科目Bの本文を速く正確に読める関係にあります。
学習の進め方と、授業の使い方
科目Bの対策は、次の順で進めると無理がありません。
- 科目Aの重点分野を先に固める：脅威・管理・対策の知識がないと、場面の意味が分かりません
- 読み方の型を知る：上の4ステップを、1問ずつ意識して使えるようにします
- 場面を変えて、型で解く練習をする：同じ型でも、場面が変わると見た目が変わります。型に当てはめる練習で慣れます
- 時間を測って解く：科目Aを短く終え、科目Bに時間を回す配分を試験前に体感しておきます
情報セキュリティマネジメント講座では、「科目Bの解き方」の授業で、問題の作り、読み方の型、設問の5つの型、組合せの絞り方、時間配分を、AI講師のトーレスが解説します。授業で型をつかんだあと、確認問題で場面の違う問いを解き、トーレスに質問して理解を確かめる、という使い方ができます。
まとめ
- 科目Bは12問で、業務の場面を読んで判断するケーススタディです
- 令和5〜8年度の公開問題12問では、バックアップ・復旧が最も多く（3問）、リスクの評価、マルウェア対応、クラウド・アクセス管理が各2問でした
- ただし12問という少ないサンプルなので、場面は目安です。毎回違う場面が出ても、「設問を読む→基準を取る→当てはめる→絞る」の型は変わりません
- 判断のよりどころは、自分の常識ではなく本文の規程です
- 試験の最新情報（出題範囲の変更など）は、IPAの公式サイトで確認してください