【情報処理安全確保支援士・午後対策】150分2問選択の新制度を制する長文事例読解法と記述テンプレート

令和5年秋期試験より、従来の午後I（90分）・午後II（120分）が統合され、「午後試験（150分・全4問から2問選択）」へと一本化されました。1問あたりに使える時間は約70〜75分となり、旧午後Iよりも文章量・図表・ソースコードや通信ログの読解量が増加しているのが特徴です。 全4問は例年、以下の4大テーマからバランスよく出題されます。 1. 【Webアプリケーション・セキュアプログラミング】：SQLインジェクション、XSS、CSRF、認可制御不備、OpenID Connect / OAuth 2.0、パスキー（FIDO2）などの実装・設計上の脆弱性対策。 2. 【ネットワーク・クラウドインフラ防衛】：ゼロトラスト、FW/WAF/プロキシ設計、DNSセキュリティ（DNSSEC・オープンリゾルバ対策）、メール認証（SPF/DKIM/DMARC）、TLS 1.3通信解析。 3. 【インシデントレスポンス・CSIRT運用・マルウェア解析】：EDR/SIEMログ分析、ランサムウェア感染経路の特定、フォレンジック調査、サプライチェーン攻撃への封じ込めと復旧手順。 4. 【セキュア開発管理・リスクアセスメント・DevSecOps】：SBOM（ソフトウェア部品表）、CI/CDパイプラインの脆弱性管理、クラウド設定監査（CSPM）、委託先管理。 問題選択（開始直後の5分間）では、問題文の冒頭ではなく「設問文」と「図表・コードの有無」を先にスキャンしてください。プログラミング言語（Java/C++/JavaScript等）のコード読解が得意な方はWeb・セキュア開発問題を、インフラ・運用経験が豊富な方はネットワーク・インシデント対応問題を選択するのが鉄則です。

情報処理安全確保支援士の午後記述式で最も多い失点パターンは、「方向性は合っているのに、主語や対象パラメータ、技術的メカニズムが抜けていて部分点すら入らない」ケースです。IPAの採点講評では毎年のように『一般的な用語を書くだけでなく、本文中のシステム構成や仕様に即して具体的に記述してほしい』と指摘されています。 記述解答を組み立てる際は、必ず以下のテンプレート（型）に当てはめて文字数を調整してください。 ・【脆弱性・リスクを問われた場合】：「（攻撃者が）〜を細工・改ざんすることで、〜のチェックが回避され、〜が漏えい・不正実行されるから。」 ・【具体的な対策を問われた場合】：「（どの機器・プログラムで）〜に対して〜の検証を行い、一致しない場合は〜を拒否（破棄）する。」 ・【ログ・監査の着眼点を問われた場合】：「（どのログの）〜という項目と〜を突合し、〜の通信（アクセス）が存在しないことを確認する。」 常に『どこで（機器名・プログラム名）』『何を（ヘッダ名・パラメータ名・鍵の種類）』『どうするか（検証・暗号化・遮断）』の3要素が含まれているかを確認するだけで、得点率は飛躍的に向上します。