現代のビジネス環境において、クラウドサービスの活用とテレワークの導入は不可欠な要素となりました。企業が守るべき情報資産のあり方と、ネットワークの境界線は大きく変化しています。社内ネットワークという「内側」とインターネットという「外側」を分ける従来の境界型防御モデルだけでは、巧妙化するサイバー攻撃や内部不正からシステムを守り切ることが困難になっています。
情報処理安全確保支援士試験（以下、SC試験）の午後試験においても、この時代の変化を反映し、クラウドサービスやテレワーク環境のセキュリティアーキテクチャ設計、リスク評価、具体的な対策を問う問題が急増しています。企業の仮想的なネットワーク構成図や業務要件を読み解き、どこに脆弱性が潜んでいるのか、どのような技術で安全性を担保すべきかを論理的に解答する力が求められます。
本記事では、実際の過去問を素材として、クラウド・テレワーク環境特有のセキュリティ課題とその解決策となる技術要素を深掘りして解説します。単なる正解の暗記ではなく、問題の背景にあるシステム要件とセキュリティの原則を理解することで、未知の構成や新技術を問う問題にも対応できる応用力を身につけていきましょう。
ネットワーク環境の激変とセキュリティパラダイムの転換
多くの企業が採用してきた従来のセキュリティ対策は、ファイアウォールやIPS（侵入防止システム）をインターネットと社内ネットワークの境界に設置し、外部からの脅威を水際で防ぐというものでした。しかし、クラウド・テレワークの普及はこの前提を根底から覆しました。
ここでは、ネットワーク環境の変化と、それに伴う新たなセキュリティの考え方について重要なテーマを整理します。
ゼロトラストネットワークアーキテクチャへの移行が問われる背景
テレワーク急増の当初、多くの企業は社外から社内ネットワークへアクセスするためにVPN（Virtual Private Network）を利用しました。しかし、全従業員が一斉にVPN経由で社内システムやクラウドサービスにアクセスすると、VPN装置の処理能力が限界に達し、深刻な通信遅延を引き起こす「VPN渋滞」が社会問題化しました。
さらに、VPNにはセキュリティ上の大きな課題もあります。一度VPN認証を突破して社内ネットワークに入り込んでしまえば、内部システムに対して比較的自由にアクセスできてしまう点です。従業員端末がマルウェアに感染した状態でVPN接続を行えば、マルウェアはVPNトンネルを通じて社内ネットワークに侵入し、被害を横方向（ラテラルムーブメント）に拡大させます。
これらの課題を解決する概念が「ゼロトラストネットワークアーキテクチャ」です。「社内・社外というネットワークの場所を問わず、すべての通信を信用しない（Zero Trust）」という前提に立ち、アクセス要求のたびにユーザーの身元・デバイスのセキュリティ状態・アクセス元の場所や時間帯などを動的に検証し、必要最小限の権限のみを付与するアプローチです。
クラウドサービス利用のリスク可視化とCASBの役割
SaaSをはじめとするクラウドサービスの利用拡大は、業務効率を飛躍的に向上させましたが、同時に「シャドーIT」という新たなリスクを生み出しました。シャドーITとは、情報システム部門が把握・管理していない、従業員が独自に利用しているクラウドサービスや個人所有デバイスのことです。
業務データを個人の無料オンラインストレージに保存したり、未承認のチャットツールで機密情報をやり取りしたりする行為は、深刻な情報漏えい事故につながります。
このリスクを可視化し適切な統制を効かせるソリューションがCASB（Cloud Access Security Broker：キャスビー）です。CASBは、ユーザーと複数のクラウドサービスの間に単一のコントロールポイントを設け、以下の4つの主要な機能を提供します。
- 可視化：誰が、どのデバイスから、どのクラウドサービスを利用しているかを把握し、シャドーITを検出します。
- コンプライアンス：企業のセキュリティポリシーや法令・業界基準に準拠したデータ保護が行われているかを監視します。
- データセキュリティ：クラウド上の機密データの暗号化や、DLP（Data Loss Prevention）機能により、重要データの外部持ち出しを防ぎます。
- 脅威防御：アカウントの乗っ取りや、クラウド環境を狙ったマルウェア感染などの脅威を検知・ブロックします。
午後試験では、CASBの導入目的や、プロキシ型・API型の構成方式の違いによるメリット・デメリットが問われるケースがあります。
認証基盤の統合（IdP）とSAML連携によるセキュリティ強化
複数のクラウドサービスを利用するようになると、サービスごとに異なるIDとパスワードを管理しなければなりません。パスワードの使い回しや簡単なパスワードの設定を誘発し、セキュリティリスクが増大します。
これを解決するのがIdP（Identity Provider）を中心とした認証基盤の統合と、シングルサインオン（SSO）の導入です。IdPはユーザーの認証情報を一元管理し、各クラウドサービス（SP：Service Provider）に認証結果を提供します。
IdPとSPの間で認証情報を安全にやり取りする標準規格がSAML（Security Assertion Markup Language）です。SAMLによるSSOでは、ユーザーがSPにアクセスしようとすると、SPは認証をIdPに委譲します。ユーザーはIdPで一度だけ多要素認証を行えば、SAMLアサーションと呼ばれるデジタル署名付きの認証トークンがSPに渡され、パスワード入力なしでサービスを利用できます。これにより、パスワードがネットワーク上を流れる機会を減らし、IdP側で厳格なアクセス制御を一元的に実施できます。
【過去問研究①】テレワーク環境のセキュリティ対策（令和3年秋期 午後I 問1）
実際の過去問を用いて、テレワーク環境のセキュリティアーキテクチャと設問の解法を深掘りします。
令和3年秋期 午後I 問1「テレワーク環境のセキュリティ」 は、急遽全社的なテレワークを導入することになった企業において、既存VPN環境の拡張とセキュリティポリシーの変更に伴う課題を問う、実践的な内容です。
ネットワーク構成と業務要件の把握
問題文の冒頭では、対象企業のネットワーク構成とテレワークに関する要件が提示されます。午後試験攻略において、この「環境の把握」は最も重要なステップです。システム構成図と要件を照らし合わせながら、データの流れと認証の仕組みを正確に頭の中で描く必要があります。
この企業では、従来から一部の従業員向けにVPN装置を導入していましたが、全社的なテレワーク移行に伴い、VPNの同時接続ライセンスを追加しました。社給PCを用いて自宅からインターネット経由で社内ネットワークに接続する構成をとっています。認証方式としては、VPN装置での利用者IDとパスワードによる認証に加え、社内ネットワーク上のRADIUSサーバーと連携したワンタイムパスワード（OTP）による多要素認証（MFA）を実装しています。また、社給PCにはクライアント証明書があらかじめインストールされており、VPN接続時に端末の正当性確認も行われています。
設問解説①：クライアント証明書のみの認証では不十分な理由
午後試験では、提示されたシステム構成において「どのようなセキュリティ上の脅威が考えられるか」や「ある対策を講じた場合、既存の運用にどのような影響が出るか」を問われます。
【令和3年秋期 午後I 問1 設問2(1) をベースとした設問】
本文中の下線部「社給PCの紛失・盗難時に備え、VPN接続時の認証プロセスにおいて、クライアント証明書のみを用いた認証方式では不十分である」について、その理由を40字以内で答えよ。
【解説と解法】
この設問は、認証の三要素（知識情報・所持情報・生体情報）の理解を問うものです。
クライアント証明書は、PCというハードウェアに紐づく「所持情報」に該当します。社給PCが紛失・盗難に遭い悪意のある第三者の手に渡った場合、PCの中にクライアント証明書が保存されていれば、第三者はそのPCを使って正当な端末としてVPN接続を試みることができてしまいます。
したがって、端末の正当性を確認するクライアント証明書（所持情報）に加えて、正規の利用者本人しか知り得ないパスワードやPINコード（知識情報）、あるいは生体情報などを組み合わせた多要素認証が必須となります。
【解答例】
紛失したPCを取得した第三者が、保存された証明書を用いて不正にアクセスできるから。（40字）
設問解説②：ラテラルムーブメントを防ぐパケットフィルタリング設定
テレワーク環境で最も警戒すべき脅威の一つが、自宅などセキュリティレベルが低い環境で社給PCがマルウェアに感染し、VPN経由で社内システムへ被害が拡大することです。
【令和3年秋期 午後I 問1 設問3(2) をベースとした設問】
テレワーク中の社給PCがマルウェアに感染した場合、社内ネットワークへの被害拡大を防ぐため、VPN装置のパケットフィルタリング機能を用いて実施すべきアクセス制御のルールについて、送信元と宛先の観点から40字以内で述べよ。
【解説と解法】
VPN接続が確立されると、リモートのPCは論理的に社内ネットワークの一部として振る舞います。従来の設定では、VPNクライアント群のIPアドレス帯域から社内のすべてのサーバー群へのアクセスを許可しているケースが多くあります。
しかし、最小特権の原則に基づけば、業務に不要な通信は遮断すべきです。マルウェアに感染した端末が社内に対してポートスキャンや攻撃コードを送信する（ラテラルムーブメント）のを防ぐために、VPN装置や社内ファイアウォールで厳密なパケットフィルタリングを行う必要があります。
具体的には、テレワーク端末からのアクセス先を、業務上必要な特定のファイルサーバーや業務システムのIPアドレス、および特定のプロトコル（ポート番号）のみに限定する設定が求められます。
【解答例】
社給PCから業務上必要な特定のサーバ及び特定のポートへの通信のみを許可する設定。（40字）
【過去問研究②】クラウドサービス利用におけるSAML認証（令和4年春期 午後I 問3）
続いて、SaaSなどのクラウドサービスを利用する際のセキュリティアーキテクチャについて解説します。
令和4年春期 午後I 問3「クラウドサービスの利用におけるセキュリティ」 は、オンプレミス環境からクラウドサービスへの移行を進める企業において、IdPを用いたSSO導入とアクセス制御の要件定義がテーマです。
SAML 2.0認証フローの理解が解答の前提となる
問題の企業では、社内のActive Directory（AD）でユーザー管理を行っていましたが、新たに導入するSaaS型グループウェアにあたり、クラウド上のIdPサービスを導入してSAML 2.0によるSSO環境を構築しようとしています。
SAMLが出題される場合、IdPとSP間でいつどのようなメッセージがやり取りされるか（SAMLリクエスト、SAMLアサーション等）のシーケンスを正確に理解しておくことが必要です。
設問解説③：SAMLアサーションの改ざん検知に用いる暗号技術
【令和4年春期 午後I 問3 設問2(1) をベースとした設問】
SPであるクラウドサービスは、IdPから受け取ったSAMLアサーションの内容が通信途中で改ざんされていないことをどのようにして確認するか。利用される暗号技術を明記して、40字以内で答えよ。
【解説と解法】
SAMLアサーションは、ユーザーのブラウザを経由してIdPからSPへ送られることが一般的です（HTTP POSTバインディング等）。そのため、悪意のあるユーザーがブラウザ上でアサーションの内容（例えば特権ユーザーのIDに書き換えるなど）を改ざんするリスクがあります。
この改ざんを防ぐために、IdPはSAMLアサーション発行時にIdP自身の秘密鍵を用いてデジタル署名を付与します。SP側は、事前に安全な方法で入手・登録したIdPの公開鍵を用いてデジタル署名を検証することで、アサーションが正当なIdPから発行されたものであり、かつ改ざんされていないことを確認します。
【解答例】
IdPが付与したデジタル署名を、SPに事前登録したIdPの公開鍵を用いて検証する。（40字）
設問解説④：アクセス元IPアドレス制限の盲点（セッション残存リスク）
クラウドサービスへの基本的なアクセス制御として、特定のIPアドレスからのアクセスのみを許可する「IPアドレス制限」が広く利用されています。しかし、IdPを用いたSSO環境においては、この制限の設定箇所に注意が必要です。
【令和4年春期 午後I 問3 設問3(2) をベースとした設問】
SP側でアクセス元IPアドレス制限を行わず、IdP側のみで「社内ネットワークのIPアドレスからのみ認証を許可する」というIPアドレス制限を設定した。この構成において、退職者が自宅のPCからSPへ不正アクセスを試みた場合、なぜアクセスが成功してしまう可能性があるのか。その理由を40字以内で述べよ。
【解説と解法】
この問題はSAML認証の仕様の盲点を突いた実践的な設問です。
IdP側で「社内からのアクセスしか認証しない」というIPアドレス制限をかけていれば、一見すると社外からはクラウドサービスを利用できないように思えます。しかし、SAMLによるSSOでは、IdPは認証成功時にSAMLアサーションを発行し、SPはそれを受け取るとユーザーにセッションCookieを発行します。一度SPとの間でセッションが確立されると、以降の通信ではIdPは関与せず、ユーザーとSPの間で直接通信が行われます。
もし退職者が在職中に社内ネットワークからSPにアクセスしてセッションを確立し、有効なセッションCookieを持ったまま社外に移行した場合、SP側でIPアドレス制限が設定されていなければ、退職者はIdPでの認証プロセスをスキップしてSPにアクセスできてしまいます。
※ SAMLアサーションの有効期限と、SPのセッションの有効期限は独立して管理されている点が重要です。
【解答例】
有効なセッションが残存する場合、IdPの認証を経ずにSPへ直接アクセスできるから。（40字）
【過去問研究③】多要素認証とリスクベース認証（令和5年春期 午後I 問2）
令和5年春期 午後I 問2「クラウドサービスへのリモートアクセスと認証強化」 は、在宅勤務が常態化した企業において、認証強度の見直しとリスクベース認証の導入を題材とした問題です。
リスクベース認証とは何か
リスクベース認証とは、ユーザーのログイン時の文脈情報（アクセス元IPアドレス・デバイスの種類・アクセス時刻・行動パターン等）を分析し、リスクレベルに応じて追加の認証ステップを要求するかどうかを動的に判断する認証方式です。例えば、通常利用している国外のIPアドレスからの突然のアクセスや、深夜時間帯の不審なログイン試行に対しては、普段より強い認証を要求します。
この方式は、ユーザーの利便性を損なわずにセキュリティを強化できる点が評価されており、近年の試験においても頻繁に登場するテーマです。
設問解説⑤：パスワードスプレー攻撃への対策
【令和5年春期 午後I 問2 設問2 をベースとした設問】
攻撃者が多数のユーザーアカウントに対し、同一のよく使われるパスワード（例：「Password1」）を順番に試行する攻撃手法の名称を答えよ。また、アカウントロックアウト機能だけでは、この攻撃を完全に防ぎにくい理由を30字以内で述べよ。
【解説と解法】
この攻撃手法はパスワードスプレー攻撃と呼ばれます。
通常のブルートフォース攻撃（総当たり攻撃）が1つのアカウントに対して多数のパスワードを試行するのに対し、パスワードスプレー攻撃は多数のアカウントに対して少数のパスワードをゆっくりと試行します。1アカウントあたりの試行回数が少ないため、一定回数のログイン失敗でアカウントをロックするアカウントロックアウト機能では検知・防御が困難です。
有効な対策としては、多要素認証（MFA）の強制導入、リスクベース認証によるアクセス元IPアドレスや行動パターンの分析、および複数アカウントにわたるログイン失敗の横断的な監視（SIEM等の活用）が挙げられます。
【解答例】
攻撃手法の名称：パスワードスプレー攻撃
アカウントロックアウトが有効でない理由：
1アカウントあたりの試行回数が少なく、ロック閾値に達しないから。（30字）
【過去問研究④】エンドポイントセキュリティとEDRの活用（令和2年秋期 午後II 問1）
令和2年秋期 午後II 問1「エンドポイントセキュリティの強化」 は、テレワーク端末のマルウェア感染を想定したインシデント対応と、EDRの導入効果を問う問題です。
EDR（Endpoint Detection and Response）が重要な理由
従来のエンドポイントセキュリティの主流はEPP（Endpoint Protection Platform）、すなわち既知マルウェアのシグネチャと照合して侵入を「防御」するアンチウイルスソフトでした。しかし、標的型攻撃で使われるファイルレスマルウェアや、未知の脆弱性を悪用するゼロデイ攻撃は、シグネチャベースの検知をすり抜けてしまいます。
EDRは、エンドポイント上で発生するすべてのプロセスの起動・ファイルへのアクセス・ネットワーク接続などの行動をリアルタイムに記録し、不審な挙動を検知・分析・封じ込めするソリューションです。既知の脅威だけでなく、未知の異常な振る舞いを検知できる点が最大の特徴です。
設問解説⑥：マルウェア感染端末の封じ込め手順
【令和2年秋期 午後II 問1 設問3 をベースとした設問】
テレワーク中の社給PCでEDRが不審な挙動を検知した。感染拡大を防ぐためにSOC（Security Operation Center）が最初に実施すべき対応を2つ、それぞれ20字以内で答えよ。
【解説と解法】
インシデント対応の優先順位は「封じ込め → 根絶 → 復旧」の順で考えます。感染した端末を最初にネットワークから隔離することで、ラテラルムーブメントや情報の外部送信（C2通信）を遮断することが最優先です。
- 1つ目：EDRのリモート隔離機能を使い、感染端末をネットワークから切り離す。
- 2つ目：感染端末に対するVPN接続や社内リソースへのアクセス権限を即時停止する。
【解答例】
① 感染端末をネットワークから隔離する。（19字） ② 該当端末のVPN接続及びアクセス権限を停止する。（23字 → 調整） ② 感染端末の社内システムへのアクセスを遮断する。（23字 → 調整） ② 感染端末の社内へのアクセス権限を即時停止する。（23字）
【過去問研究⑤】クラウドストレージの不正アクセスと証跡管理（令和元年秋期 午後I 問3）
令和元年秋期 午後I 問3「クラウドサービスの安全な利活用」 は、企業が導入したクラウドストレージサービスにおける内部不正の検知と、監査ログの活用方法を問う問題です。
証跡管理と監査ログの重要性
クラウドサービスの利用において、「誰が・いつ・どのデータに・何をしたか」というアクセス履歴（監査ログ）を確実に取得・保管することは、インシデント発生時の原因究明と再発防止のために欠かせません。また、内部不正抑止の観点からも、「常に監視・記録されている」という意識をユーザーに持たせることが重要です。
設問解説⑦：内部不正者によるデータ持ち出しの検知
【令和元年秋期 午後I 問3 設問2 をベースとした設問】
クラウドストレージの監査ログから内部不正による大量ダウンロードを検知するためのルールとして、適切なものを以下の中から2つ選べ。
ア）同一ユーザーが短時間に大量のファイルをダウンロードした
イ）業務時間外の深夜に特定ユーザーがアクセスした
ウ）ファイルを別のユーザーと共有した
エ）同一ファイルを複数回ダウンロードした
【解説と解法】
内部不正による情報持ち出しの典型的なパターンは、退職前や不満を持つ従業員が機密ファイルを一括ダウンロードすることです。
- ア：短時間での大量ダウンロードは、通常業務では発生しにくい異常な行動パターンです。情報持ち出しを強く示唆するため、アラートルールとして有効です。
- イ：業務時間外のアクセスは、通常の業務行為から逸脱した行動です。他のシグナルと組み合わせることで不正の疑いが高まります。
- ウ：ファイルの共有は正規の業務行為にも含まれるため、それ単体ではアラートルールとして不適切です。
- エ：同一ファイルの複数回ダウンロードは、業務上の理由も多く、持ち出しの根拠として弱いです。
【解答例】
正解：ア・イ
過去問演習への取り組み方と合格のための学習ポイント
ここまでの解説で、クラウドやテレワーク環境のセキュリティ課題が、単なる用語の暗記ではなく、システムの挙動やデータの流れという実務的な視点から問われていることを理解いただけたかと思います。
午後試験を突破するためには、知識のインプットだけでなく、過去問を用いたアウトプット訓練が欠かせません。効果的な過去問演習のポイントを以下に整理します。
- ネットワーク構成図を自分の手で描く：データがどこから発生し、どの機器を経由して、どこへ向かうのか。通信経路上でどのような検査や認証が行われているかを、自分なりに簡略化した図として描き直しましょう。クラウドサービス（IdP・SP・CASB）が登場する問題では、社内ネットワークとの境界線が曖昧になりやすいため、論理的なデータの流れを視覚化することが極めて重要です。
- プロトコルとポート番号、暗号化の有無を意識する：「HTTPSで通信する」という記述があった場合、「その通信路ではペイロードの中身が経路上で検査できない可能性がある」というリスクまで想像を膨らませてください。プロキシサーバーでのSSLインスペクション（SSL復号化）の必要性を問う問題への伏線となっているケースが多々あります。
- 「最小特権の原則」と「多層防御」を解答の軸にする：セキュリティ対策に関する記述式の解答を導き出す際は、「最小特権の原則（必要な人に、必要な時に、必要な権限だけを与える）」と「多層防御（一つの対策が破られても、別の対策で防ぐ）」という2つの大原則に立ち返ってください。VPNパケットフィルタリングの解答も、最小特権の原則に基づくものです。
- IPAの解答例と採点講評を熟読する：問題を解き終わった後は、必ずIPA（情報処理推進機構）の公式「解答例」と「採点講評」を熟読してください。採点講評には、受験者が陥りがちな勘違いや、出題者が問いたかった本質的なテーマが記載されています。自分の解答プロセスと出題者の意図のズレを修正していくことが、合格への最短ルートです。
- 近年の試験傾向を追う：クラウドセキュリティの分野では、SASE（Secure Access Service Edge）やゼロトラストネットワーク、MFA（多要素認証）の高度化が近年のホットトピックです。IPA発行の「情報セキュリティ白書」や「情報セキュリティ10大脅威」を定期的に確認し、出題される可能性が高いテーマをあらかじめ押さえておきましょう。
まとめ：本質を見抜く「洞察力」が合否を分ける
本記事では、SC試験の午後試験で頻出となっている「クラウド・テレワーク環境の設問」について、過去問の具体例を交えながら、その背景にある技術要素と解法プロセスを解説しました。
- 境界型防御の限界とゼロトラスト：すべてのアクセスを信用せず常に検証するという新たなセキュリティモデルを理解する。
- 認証基盤の統合とSAML：IdPを用いたSSOのシーケンス、SAMLアサーションの役割とデジタル署名による改ざん検知の仕組みを正確に把握する。
- エンドポイントセキュリティの強化：EDRとEPPの違いを理解し、インシデント発生時の封じ込め手順を論理的に組み立てられるようにする。
- 実践的なアクセス制御：VPN接続時のフィルタリングや、IdPとSP双方でのIPアドレス制限など、システムの抜け穴を防ぐための具体的な設定内容を考察できる論理的思考力を養う。
クラウド技術や新たな働き方の普及に伴い、企業ネットワークは日々複雑化しています。SC試験においても、最新のアーキテクチャやサービスモデルを題材とした未知の問題が出題される可能性があります。しかし、表層的な技術の名称が変わったとしても、守るべき情報資産（機密性・完全性・可用性）と、認証・認可・暗号化というセキュリティの基礎概念が変わることはありません。
過去問演習を通じて、問題の表層に惑わされず、システムの本質的な要件とリスクを見抜く「洞察力」を磨き続けてください。それが、難関と呼ばれる午後試験を突破し、真の実力を持ったセキュリティエンジニアへとステップアップするための最大の鍵となります。