基本情報技術者試験の科目Bでは、20問のうち4問が情報セキュリティの問題です。IPA（情報処理推進機構）が科目Bの形式で公開しているセキュリティ問題は、サンプル問題と令和5〜8年度の公開問題を合わせて9問あります。私たちがこの9問を1問ずつ読んだところ、どれも「A社」の業務やシステムの説明を読んで答える事例問題でした。
ただし、対策（管理策）を選ばせる問題は9問中2問だけです。残りは、誰が対処・承認するかの割り当て、起こりうるリスクの特定、ルールと現状の照合を問う問題でした。この記事では、IPAの公開資料をもとに9問の出どころと問われ方を一覧にし、勉強のしかたまで整理します（2026年10月時点）。この記事は基本情報技術者試験の対策アプリ「AIナビスタ」を運営する私たちが書いています。
結論：9問すべてが事例問題。ただし「対策を選ぶ」形は9問中2問
科目Bのセキュリティ問題は、長い状況説明を読んで1つの設問に答える形です。9問とも設問は1つだけで、問題文に図や表で会社の運用やルールが示されています。科目Aのように用語の意味を直接問う問題は、9問の中にはありませんでした。
一方で、何を答えさせるかは問題によって違います。私たちの整理では、9問は次の4つの型に分かれます。
| 問われ方の型（私たちの整理） | 該当する問題 | 数 |
|---|---|---|
| 役割・権限の割り当て（誰が対処・承認するか） | サンプル問題（6問）問6、サンプル問題（20問）問17・問19 | 3問 |
| リスクの特定（どんなリスクが生じるか） | 令和5年度 問6、サンプル問題（20問）問18 | 2問 |
| 対策・改善策の選択 | 令和6年度 問6、サンプル問題（20問）問20 | 2問 |
| ルール・要求事項との照合 | 令和7年度 問6、令和8年度 問6 | 2問 |
解答の形にも傾向があります。9問のうち6問は、複数の項目の答えを組み合わせた選択肢から選ぶ形でした。選択肢は最も少ない問題で4つ、最も多い問題で10あります。1つの項目だけ分かっていても正解できない形が多いので、組み合わせのすべての項目に根拠を持てるかどうかが問われます。
科目Bのセキュリティは20問中4問、評価に使うのは19問
科目Bは100分・20問の試験で、そのうちアルゴリズムとプログラミングが16問、情報セキュリティが4問です。これはIPAの試験要綱・シラバスのページで公開されている試験要綱（Ver.5.6・2026年10月の試験から適用）に書かれている出題数です。同じ要綱には、20問のうち評価に使うのは19問で、残りの1問は今後の出題のための評価に使うと書かれています。
| 項目 | 科目B（試験要綱 Ver.5.6） |
|---|---|
| 試験時間・問題数 | 100分・20問 |
| 分野別の出題数 | アルゴリズムとプログラミング16問・情報セキュリティ4問 |
| 評価に使う問題 | 20問のうち19問 |
| 合格基準 | 科目A・科目Bそれぞれ評価点600点以上（1,000点満点） |
| 採点方式 | IRT（項目応答理論）にもとづいて解答結果から評価点を算出 |
評価点はIRTで算出されるので、問題ごとの配点割合はありません。そのため「セキュリティの4問を全部取れば何点」とは言えません。試験要綱には、どの問題が評価に使われないかは書かれていないので、4問とも解く前提で準備するのが現実的です。
なお、2022年4月に公開されたサンプル問題（PDF）には、同年5月の追記で、分野別の出題割合を「アルゴリズムとプログラミング」8割、「情報セキュリティ」2割と想定していると書き加えられています。16問と4問は、この割合と同じです。
IPAが公開している科目Bのセキュリティ問題9問の一覧
IPAが科目Bの形式で公開しているセキュリティ問題は、次の9問です。サンプル問題は2022年の試験制度変更のお知らせのページに、令和5〜8年度の問題はSG・FE公開問題のページに掲載されています。題材と問われ方は、各問題冊子を読んで私たちが要約したものです。
| 出どころ | 題材（私たちの要約） | 問われ方 |
|---|---|---|
| サンプル問題（6問・2022年4月）問6 | PaaS上で動くECサイト。開発・運用は委託先が担当。脆弱性診断で3件の指摘 | 指摘ごとに対処する組織（自社・PaaS事業者・委託先）の組合せ |
| サンプル問題セット（20問・2022年12月）問17 | 問6と同じECサイトの事例。指摘の中身と並び順が違う | 指摘ごとに対処する組織の組合せ |
| サンプル問題セット 問18 | 客先に常駐する社員に、私物のPCからのVPN接続（BYOD）を許可するかの検討 | 増える、または新たに生じるリスクを5つの候補から2つ選ぶ |
| サンプル問題セット 問19 | 受注管理業務のうち、受注内容の入力作業を他社（B社）に委託し、承認は自社に残す | 操作権限（閲覧・入力・承認）の表の空欄に入る利用者の組合せ |
| サンプル問題セット 問20 | ファイアウォールの運用で、ルールを編集した担当者が自分で承認している | 「職務が適切に分離されていない」という監査の指摘への改善策 |
| 令和5年度 公開問題 問6 | 人事業務の委託先候補が使う複合機のスキャン機能。送信メールの設定が初期状態のまま | 対策が必要と評価した情報セキュリティリスクを選ぶ |
| 令和6年度 公開問題 問6 | テレワークで、クラウドサービスに社外から直接つなげるようにする設定変更 | 不正アクセスのリスクを下げるために依頼する対策を選ぶ |
| 令和7年度 公開問題 問6 | ファイルサーバの磁気テープによるバックアップ運用と、目標復旧時点（RPO）・目標復旧時間（RTO） | 内部監査への回答の空欄（復元すべき時点・リストアにかかる時間・計画書の承認者）の組合せ |
| 令和8年度 公開問題 問6 | 各部署が使うクラウドサービスのログ管理ルール | 現在の運用のうち、ログのアクセス管理のルールに違反しているものの組合せ |
各年度の公開問題は、実際の試験20問のうち6問だけが公開されています。令和5〜8年度とも、問1〜問5がアルゴリズムとプログラミング、問6がセキュリティという構成です。サンプル問題セット（20問）では、問17〜問20の4問がセキュリティで、本番と同じ4問の割合になっています。
サンプル問題（6問）の問6と、サンプル問題セットの問17は、同じECサイトの事例を使っています。違うのは指摘事項の中身と並びで、問17ではクロスサイトスクリプティングの指摘が入っています。どの組織が対処するかを判断する根拠（PaaSの部分か、委託契約で委託先が対処するWebアプリケーションの部分か）は2問とも同じです。1問目で根拠を確かめたら、2問目は答えを見ずに同じ根拠で説明できるかの確認に使えます。
IPAが公開しているのは問題冊子と解答例（正解の記号）で、解説はありません。問題を問題集や社内の教材などに使うときは、IPAの案内に従って「出典：令和8年度 基本情報技術者試験 科目B 公開問題 問6」のように出典を明記します。
9問から見える4つの問われ方（私たちの整理）
上の4つの型ごとに、どこで判断が分かれるかをまとめます。型の名前と分け方は私たちの整理で、IPAが示した分類ではありません。
役割・権限の割り当て：契約や方針の一文が根拠になる
ECサイトの2問は、クラウド事業者・委託先・自社のうち、誰がその脆弱性に対処するかを答えさせます。根拠は、問題文にある「どのサービスを使っているか」と「委託契約で何を委託先が実施するとしているか」の記述です。2022年4月のサンプル問題の出題趣旨にも、委託先などとの適切な責任共有の在り方を判断する能力を問うと書かれています。
受注管理システムの問題（問19）は、入力した人とは別の人が承認するという方針を、委託先の担当者を含めた権限表に落とし込む問題です。一般論として正しいかではなく、問題文の方針や契約に合っているかで判断する。これが、この型の共通点です。
リスクの特定：何が変わったかを先に押さえる
令和5年度の問6とサンプル問題セットの問18は、運用を変えたとき、または初期設定のまま使ったときに、どんなリスクが生じるかを選ばせます。選択肢には、ありそうに見えても問題文の状況からは生じないリスクが混ざります。「変更の前後で何が変わるのか」「攻撃者が何を知ることができるのか」を先に書き出すと、選択肢を絞りやすくなります。
対策・改善策の選択：指摘されたリスクに直接効くか
令和6年度の問6とサンプル問題セットの問20は、指摘されたリスクを下げる対策を選ばせます。選択肢には、セキュリティ対策としては正しくても、指摘された問題には効かないものが並びます。たとえば「職務が適切に分離されていない」という指摘に対しては、認証を強くする対策は答えになりません。どの指摘に対する対策かを設問文で確かめてから選ぶのが、この型の基本です。
ルール・要求事項との照合：条件を1つずつ当てはめる
令和8年度の問6は、ログ管理のルールと現在の運用を突き合わせ、特定のルールに違反しているものだけを選ばせます。ほかのルールに違反している運用も表に混ざっているので、どのルールについて聞かれているかを取り違えると誤答になります。令和7年度の問6は、RPO（目標復旧時点）という要求事項から、障害のときに少なくともどの時点のデータまで戻せばよいかを数え、フルバックアップと増分バックアップそれぞれからのリストアにかかる平均時間を足して、リストアの所要時間を出す問題です。空欄の1つは計画書の承認者で、役割の割り当ての要素も含んでいます。フルバックアップと増分バックアップの曜日・時刻を先に表に書き出してから数えると、曜日の取り違えを防げます。
出題範囲のどの項目が出ているか
試験要綱は、科目Bの情報セキュリティの出題範囲を「情報セキュリティの確保に関すること」として、情報セキュリティ要求事項の提示、マルウェアからの保護、バックアップ、ログ取得及び監視、情報の転送における情報セキュリティの維持、脆弱性管理、利用者アクセスの管理、運用状況の点検などを挙げています。9問がどの項目に近いかを、私たちの判断で対応づけると次のようになります。
| 試験要綱の項目 | 近い問題（私たちの対応づけ） |
|---|---|
| 脆弱性管理 | サンプル問題（6問）問6、サンプル問題セット 問17 |
| 利用者アクセスの管理 | サンプル問題セット 問19・問20、令和6年度 問6 |
| マルウェアからの保護 | サンプル問題セット 問18 |
| 情報の転送における情報セキュリティの維持 | 令和5年度 問6 |
| バックアップ | 令和7年度 問6 |
| ログ取得及び監視 | 令和8年度 問6 |
1つの問題が複数の項目にまたがることもあるので、この表は目安です。題材には、委託先の管理、クラウドサービス、テレワークなど、組織の運用の場面が多く選ばれていました。
科目Aのセキュリティ分野とのつながり
科目Bのセキュリティ問題は、科目Aで学ぶ用語を前提にしています。9問の問題文には、2要素認証、クロスサイトスクリプティング、VPN、フィッシング、RPO・RTO、ISMS、職務の分離といった語が、意味の説明なしで出てきます。用語の意味があいまいだと、状況を読むだけで時間がかかります。
試験要綱では、科目Aの出題範囲のうちセキュリティの中分類が、情報セキュリティ、情報セキュリティ管理、セキュリティ技術評価、情報セキュリティ対策、セキュリティ実装技術の5つの小分類に分かれています。私たちが9問の題材と照らし合わせたところ、重なりが多かったのは情報セキュリティ管理（リスクアセスメント、管理策など）と情報セキュリティ対策（アカウント管理、ログ管理、アクセス制御など）の用語例でした。クロスサイトスクリプティングや多要素認証は、小分類の情報セキュリティに含まれています。
科目Aと科目Bの違いは、知識を問うか、技能を問うかです。たとえば科目Aでは「2要素認証とは何か」を知っていれば答えられますが、科目Bでは「この状況で2要素認証がどのリスクに効くか」を判断します。科目Aで用語を固めてから、科目Bで状況にあてはめる練習をする順番が組みやすいはずです。
2027年度以降のシラバス案でも、同じ範囲が続く予定
IPAが2026年9月30日に掲載した新試験制度のシラバス案（基本情報技術者試験 Ver.0.1）でも、科目Bの出題範囲の5番目に「情報セキュリティの確保に関すること」があります。シラバス案では、この項目が2つの小項目に分けられ、それぞれに目標とする技能の例が書かれました。
| 小項目（シラバス案 Ver.0.1） | 技能の例として書かれている内容（要約） |
|---|---|
| 5-1 情報セキュリティ要求事項の提示 | 利用者アクセスの管理、データの暗号化、入退管理、機器の持込み・持出しの管理などの目的と仕組みを理解し、担当するシステムに必要な要求事項として示す |
| 5-2 マルウェアからの保護、バックアップ、ログ取得及び監視など | 組織内の規程に従ってマルウェア対策やパッチ適用を行う、バックアップを取得しログを記録・分析する、運用状況を点検してセキュリティが確保されているかを確かめる |
IPAは2026年3月に公表した見直しの検討状況で、基本情報技術者試験は2027年度以降も継続し、科目Bは100分・20問とする案を示しています。科目Bの出題範囲の一部変更は表記の変更などで、試験で問う知識・技能の範囲そのものに変更はないとしています。シラバス案は公表時点の検討状況で、今後変わる場合があります。
現行の試験は、2026年12月27日までの試験開催日のあと一時休止する予定で（会場によってはそれより前に終わる場合があります）、再開時期は2026年10月時点で発表されていません。日程の詳細は基本情報技術者試験はいつまで受けられるかにまとめています。
9問を使った勉強方法
基本情報の科目Bとして公開されているセキュリティ問題は9問しかないので、数をこなすより、1問から得られることを増やす使い方が向いています。私たちがすすめる順番は次のとおりです。
- 科目Aのセキュリティ用語を先に固める … 問題文に出てくる用語で手が止まらない状態にしておく
- 時間を計って1問解く … 1問あたり5分を目安に、途中で解答例を見ずに解き切る
- 答えの根拠を問題文の中で指す … 正解の選択肢について「問題文のどの一文から言えるか」を書き出す
- 不正解の選択肢がなぜ違うかを説明する … 一般論としては正しいが状況に合わない、別の指摘への対策になっている、などの理由を言葉にする
- 型ごとに見直す … 上の4つの型のどれだったかを記録し、自分が間違えやすい型を把握する
私たちが9問を読んだ範囲では、正解の根拠は用語の知識よりも、問題文の契約・方針・ルールの一文にあることがほとんどでした。そのため、長い問題文から条件を1つ拾い漏らすと、知識があっても誤答になります。問題文を読むときは、契約・方針・ルールが書かれた一文と、設問の指示（「ルール3に違反しているもの」など）を分けて確かめると、条件の拾い漏らしを減らせます。科目Bのアルゴリズムの問題を含めた公開問題全体の使い方は、科目Bの公開問題50問の記事で整理しています。
AIナビスタでの扱い
ここからは自社アプリの話です。アプリ「AIナビスタ」の基本情報技術者対策では、この記事で取り上げた9問を、出典を明記して収録しています。IPAから公認・監修・提携を受けたアプリではありません。
9問は、科目B対策の「情報セキュリティ」のレッスンにまとめ、「脆弱性診断と責任分界」「テレワークとBYODのアクセス制御」「ログ管理とバックアップ運用」「最小権限と職務分掌」の4つのテーマに分けています。9問すべてにテキスト解説と解説動画があります。テーマの分け方は私たちの整理で、試験の分類ではありません。
アプリ全体では、IPA公開の試験問題1,699問を収録し、そのすべてに解説動画を付けています。科目Bは、IPAが公開している公開問題・サンプル問題の50問に、オリジナルの予想模試20問を加えています。わからない用語は、その場でAIに質問できます。
ダウンロードは無料で、無料のまま一部の問題に挑戦できます。すべての問題への挑戦、解説動画の見放題、AIへの質問し放題、予想模試はプレミアムプランで使え、料金は月額¥3,900で、最初の3日間は無料で試せます。
まとめ
- 科目Bは100分・20問で、情報セキュリティは4問。アルゴリズムとプログラミングは16問。評価に使うのは20問のうち19問（試験要綱 Ver.5.6）
- IPAが科目Bの形式で公開しているセキュリティ問題は、サンプル問題（6問）の問6、サンプル問題セット（20問）の問17〜20、令和5〜8年度の公開問題の各問6の9問
- 9問とも事例を読んで1つの設問に答える形。私たちの整理では、役割の割り当て・リスクの特定・対策の選択・ルールとの照合の4つの型に分かれ、対策を選ぶ問題は2問だけ
- 9問中6問は組み合わせの選択肢から選ぶ形で、すべての項目に根拠が要る
- 問題文には科目Aのセキュリティ用語が説明なしで出てくる。科目Aで用語を固めてから取り組むと読みやすい
- 2027年度以降のシラバス案（Ver.0.1）でも、科目Bの情報セキュリティの範囲は続く予定
9問は少なく見えますが、1問ずつ根拠と誤答の理由まで説明できるようにすれば、本番の4問に向けた練習になります。
