Claudeで情報セキュリティマネジメント試験を勉強する — 事例問題を自社の規程に置き換える
情報セキュリティマネジメント試験は規程と運用を問う試験です。科目Bの事例を自社の規程に置き換え、穴を見つけるまでをClaudeに手伝わせる手順と、規程を渡すときのマスキングを説明します。
情報セキュリティマネジメント試験の勉強にClaudeを使うなら、用語の暗記より「事例を自社の規程に置き換える」使い方が向いています。この試験は技術の深さではなく、組織が定めた規程を理解して運用する力を問うからです。事例の登場人物を自分の部門に差し替えると、読んだだけでは通り過ぎる論点が自分の問題になります。
用語カードを作る使い方はITパスポートの用語をClaudeでカード化する方法に、擬似言語の練習は基本情報技術者の科目Bにあります。ここでは、運用と規程が中心のこの試験に絞ります。
試験が想定する受験者は「利用部門の情報セキュリティリーダー」
対象者は、情報システムの利用部門にあって、組織が定めた情報セキュリティ諸規程の目的と内容を理解し、情報セキュリティが確保された状況を維持・改善する人です。システム部門の技術者ではありません。営業・総務・人事・経理など、部門を問わず必要な人材です。
業務と役割には、次のような項目が並びます。
- 部門の情報資産を特定し、リスクアセスメントを行ってリスク対応策をまとめる
- 業務の外部委託で、対策の要求事項を契約で明確にし、実施状況を確認する
- 内部不正などのインシデントを未然に防ぐため、メンバーの意識とコンプライアンスを高める
- インシデントの発生やそのおそれがあるとき、諸規程や法令・ガイドラインに基づいて対処する
- 意見や問題点を担当部署に提起する
最後の「提起する」まで役割に含まれている点が、この記事の組み立ての出発点です。規程を読んで正解を選ぶだけでなく、規程に穴があれば声を上げる立場です。事例問題を自社に置き換える勉強法は、この役割にそのまま対応します。
科目Aと科目Bで、Claudeに任せる範囲を変える
試験時間は120分で、科目A・科目Bを合わせて60問です。形式は科目Aが四択、科目Bが多肢選択式です。合格基準は総合評価点が1,000点満点中600点以上で、採点はIRT(項目応答理論)に基づきます。受験手数料は7,500円(税込)で、CBT方式により年間を通じて随時受けられます。
科目ごとの問数や時間配分は、試験案内のページに記載がなく、60問・120分の合計だけが示されています。配分は決まっていないものとして、120分を通しで解く練習をします。公開問題を解くときも科目Aから順に時間を測り、事例の読解に時間を残せているかを確かめます。
| 科目 | 出題内容 | Claudeの使いどころ |
|---|---|---|
| 科目A | 出題内容情報セキュリティの考え方、管理の実践規範、各種対策、関連法規。ネットワークや経営管理などの関連分野も含む | Claudeの使いどころ紛らわしい用語の区別、法規の目的の確認。任せないのは法令の最新の条文の確認 |
| 科目B | 出題内容情報資産管理、リスクアセスメント、IT利用時の対策、委託先管理、教育・訓練などのケーススタディ | Claudeの使いどころ事例の構造分解と、自社の規程への置き換え。任せないのは選択肢の正誤の最終判定 |
科目Aの知識は、カード化や一問一答で足ります。差が出やすいのは科目Bで、「身近な事例をベースにした実践的な出題」です。題材には、内部不正の防止、標的型攻撃対策、クラウドサービスの安全な利用、関連法規の制定・改正への対応が並びます。
出題の根拠は、ISO/IEC 27000規格群(国内規格はJIS Q 27000規格群)と、公的なガイドラインである「組織における内部不正防止ガイドライン」が求める管理策や対策です。事例の正解は、この2つに沿った管理策になります。
事例を自社の規程に置き換える4つの手順
事例問題を自社の問題にする流れ
- 1
規程を持ち込める形にする
そのまま貼らず、固有名詞をマスクします。
- 2
事例を構造に分解させる
資産・脅威・管理策・関係者を表にします。
- 3
自社の規程に当てはめる
同じ事件が起きたら、どの条項が働くかを確かめます。
- 4
当てはまらなかった箇所を記録する
穴と判断した箇所を、提起用のメモに残します。
手順1: 規程を渡す前にマスクする
自社の情報セキュリティ規程は、それ自体が機密にあたることがあります。担当者名、取引先名、システム名、拠点の所在、数値の閾値をプレースホルダに置き換えてから渡します。置換表は手元に残し、Claudeには渡しません。どのプランでどこまで入力してよいかはClaudeに機密情報を入力しても安全かで整理しています。
規程が手元にない、または渡せない場合は、公開されているガイドラインで代用できます。生成AIの利用ルールを含む組み立て方は中小企業の情報セキュリティ対策ガイドラインに生成AIの項を足すが扱っています。
手順2: 事例を資産・脅威・管理策に分解させる
IPAの公開問題の科目Bの事例を1問貼り、答えを出させる前に構造だけを出させます。プロンプトは次のような形です。
次の事例を、表で分解してください。答えは出さないでください。
列: 守る対象の情報資産 / 想定される脅威 / すでにある管理策 /
足りない管理策 / 登場する役割(部門・担当)
事例:
(問題文を貼る)答えを先に出させないのは、自分で選択肢を判断する練習を残すためです。表ができたら、自分の答えを書いてから選択肢の根拠を照らし合わせます。
分解の出来上がりは、たとえば次のような形です。事例は「委託先の担当者が、持ち出した顧客リストを私物のクラウドに保存して漏えいした」という架空の想定で書いています。
| 項目 | 分解の例 |
|---|---|
| 守る対象の情報資産 | 分解の例顧客リスト(委託業務で預けたデータ) |
| 想定される脅威 | 分解の例委託先担当者による内部不正、私物クラウドへの持ち出し |
| すでにある管理策 | 分解の例委託契約書の秘密保持条項 |
| 足りない管理策 | 分解の例持ち出し手段の制限、委託先への監査、利用者の権限管理 |
| 登場する役割 | 分解の例委託元の担当部門、委託先の担当者、委託先の管理者 |
「足りない管理策」の列が、選択肢を選ぶ手がかりになります。Claudeが出した列が事例の記述から外れていないか、問題文と見比べて確かめます。
手順3: 同じ事件が自社で起きたらを尋ねる
分解した表を使って、マスク済みの自社規程に当てはめます。例えば、事例が委託先からの情報漏えいなら、自社の規程が委託先に何を求めているかを確かめます。
上の表の事例が、次の自社規程(マスク済み)の下で起きたと仮定します。
- 規程のどの条項が、この事件の予防または対処に働くか
- 条項が存在しない、または曖昧な点はどこか
- 規程の文言のうち、担当者の判断に委ねられている箇所はどこか
条項番号を引用し、規程に書かれていないことは推測せず
「記載なし」と答えてください。
(規程の該当章を貼る)プロンプトの最後の指示が肝です。「記載なし」と言わせないと、Claudeは規程に書かれていない運用を、もっともらしく補ってしまいます。その補いが自社の実態と合っているかを、Claudeは知りません。
返ってくる答えは、たとえば次の形になります。条項番号は例です。
| 論点 | 規程の条項 | 判定 |
|---|---|---|
| 委託先への秘密保持の要求 | 規程の条項第8条(委託先管理) | 判定契約に含めると定めている |
| 委託先での持ち出し制限 | 規程の条項記載なし | 判定穴の候補 |
| 委託先の実施状況の確認 | 規程の条項第8条3項「必要に応じて」 | 判定頻度が担当者の判断に委ねられている |
題材ごとに、突き合わせる規程の章はおおよそ決まります。
| 科目Bの題材 | 突き合わせる自社規程の章 |
|---|---|
| 情報資産管理 | 突き合わせる自社規程の章情報資産の分類・取り扱い |
| 委託先管理 | 突き合わせる自社規程の章委託契約・委託先の監督 |
| 内部不正の防止 | 突き合わせる自社規程の章アクセス権限・ログ・退職時の手続き |
| 教育・訓練 | 突き合わせる自社規程の章研修計画・インシデント報告の手順 |
| クラウドサービスの利用 | 突き合わせる自社規程の章外部サービスの利用許可・設定の管理 |
章の名前は会社ごとに違うので、目次を見て近い章を選びます。対応する章そのものが無い題材は、章が無いこと自体が最初の「記載なし」になります。たとえばクラウドサービスの項が無い規程なら、そこが最初の穴です。
手順4: 穴を記録して、提起の練習にする
「記載なし」と返ってきた箇所は、勉強の成果であり、実務の材料でもあります。担当部署への提起文を書く練習として、短く下書きさせます。
「記載なし」と判断した点について、担当部署への相談メモを書いてください。
現状 / 想定されるリスク / 確認したいこと の3点、各2文以内。
断定せず、確認の依頼として書いてください。手順3の例なら、メモは次のようになります。
現状: 委託先での顧客データの持ち出し制限は、規程に記載がありません。委託先の実施状況の確認も、頻度が担当者の判断に任されています。 想定されるリスク: 委託先担当者による持ち出しが起きても、気づく手段と対処の根拠が規程にありません。 確認したいこと: 委託契約に持ち出し制限と確認の頻度を盛り込む必要があるか、ご相談させてください。
出てきた文面は、事実関係と宛先を自分で直してから使います。規程の条項番号が正しく引かれているかも、原本で確認します。
役割に「意見・問題点の提起」が含まれる試験ですから、メモを書く練習は試験の想定する行動と一致します。
公開問題を使うときの確認事項
公表されている試験問題は、法令に特別の定めがある場合を除き、許諾も使用料も要りません。ダウンロードして使うこともできます。ただし留意点があるため、使う前に「試験に関するよくある質問」の「その他」で確認します。
公開問題は問題冊子と解答例が公表されているため、次の流れが組めます。
- 問題冊子から科目Bの事例を1問選ぶ
- 構造の分解までをClaudeに出させる
- 自分で選択肢を選ぶ
- IPAの解答例と照らし合わせる
- 外れた理由を、Claudeに「選択肢ごとにどの管理策と対応するか」で説明させる
正誤の基準は解答例です。Claudeの解説が解答例と食い違ったら、解答例を優先します。解説の筋道は参考にしても、正解の判定をClaudeに任せない運用が安全です。
落とし穴
自社の現状を正解にしてしまう
事例を自社に置き換える勉強法には、自社のやり方に引きずられる危険があります。試験が正解とするのは、ISO/IEC 27000規格群や内部不正防止ガイドラインが求める管理策です。自社の規程が緩い、または独自の運用をしている場合、置き換えで「うちはこうだから」と答えると不正解になります。自社に当てはめるのは理解を確かめる段階だけにして、選択肢を選ぶときは試験の想定に戻ります。
法令の改正は、Claudeの知識ではなくシラバスで確かめる
科目Aの関連法規は、制定や改正が出題に反映されます。IPAのシラバスは更新されており、情報セキュリティマネジメント試験のシラバスはVer.4.1が2025年4月17日に掲載されました。注記によると、このバージョンで「プロバイダ責任制限法」が削除され、「情報流通プラットフォーム対処法」が追加されています。
古い参考書や過去の解説に旧法名が残っていると、新しい出題範囲とずれます。Claudeに法令を質問するときは、シラバスの該当箇所を一緒に貼り、「この範囲に限って説明してください」と頼みます。法改正の細部は、Claudeの答えを試験前にシラバスと照合します。
学習の進め方のまとめ
この勉強法の成果は、合格点より先に「記載なし」のメモに現れます。科目Bの事例を自社に置き換えて見つかった穴は、試験が終わっても規程の見直しに使える資料です。規程の穴探しは受験後も続く業務になり、そのとき試験で身につけた分解の手順がそのまま使えます。日程に追われず、事例を1問ずつ自社の規程と見比べる使い方が、随時受験できるこの試験には合います。