「情報処理安全確保支援士（SC）の午前IIは、過去問の再出題が多い」
支援士の勉強を始めてから、この言葉を何度も見ました。私も受験宣言の記事で、教材の順番に過去問道場を組み込んでいます。
でも、いざ勉強計画を立てようとして困りました。「多い」とは、どのくらいなのか。過去問は何年分やればいいのか。 これに数字で答えている記事が、見つからなかったのです。
ないなら、自分で調べるしかありません。
IPAが公開している過去問PDFを平成21年春から令和7年秋まで33回分ダウンロードし、825問すべてを突き合わせました。 その結果を全部公開します。
私は2026年11月にこの試験を受けます。気になったので調べてみました。
結論：再出題率は35.5%。同じ問題が最多8回出ていました
先に結果を書きます。
| 調べた設問 | 825問（33回分・全問） |
| ユニークな設問 | 532問 |
| 再出題率 | 35.5% |
| 同じ問題が複数回出たグループ | 178件 |
同じ問題が何回出ているかの内訳です。
| 出題回数 | 件数 |
|---|---|
| 2回 | 113件 |
| 3回 | 38件 |
| 4回 | 14件 |
| 5回 | 7件 |
| 6回 | 3件 |
| 7回 | 2件 |
| 8回 | 1件 |
「多い」というのは、3問に1問という意味でした。
過去問は何年分やるべきか——答えは「5年、余裕があれば10年」
いちばん知りたかったのはこれです。
直近6回（令和5年春〜令和7年秋）の全150問について、それ以前の何年前に同じ問題が出ていたかを調べました。
| さかのぼる年数 | 解く問題数 | 25問中カバーできる数 | 取り返せる再出題のうち |
|---|---|---|---|
| 3年分（6回） | 150問 | 6.7問 | 65% |
| 5年分（10回） | 250問 | 8.7問 | 84% |
| 7年分（14回） | 350問 | 9.5問 | 92% |
| 10年分（20回） | 500問 | 10.2問 | 98% |
| 12年分（24回） | 600問 | 10.3問 | 100% |
| 17年分（全部） | 825問 | 10.3問 | 100% |
12年より前を解いても、1問も増えません。
追加1年あたりの取り分を見ると、もっとはっきりします
| 区間 | 追加で解く問題 | 増える正解 | 1問取るのに解く数 |
|---|---|---|---|
| 0〜3年 | 150問 | 6.7問 | 22問 |
| 3〜5年 | 100問 | 2.0問 | 50問 |
| 5〜7年 | 100問 | 0.8問 | 125問 |
| 7〜10年 | 150問 | 0.7問 | 214問 |
| 10〜12年 | 100問 | 0.1問 | 1,000問 |
再出題の間隔は中央値2.2年、平均3.2年でした。5年分でその大半が入ります。
時間がない人は5年、確保できる人は10年
5年分（10回・250問）が最低ラインです。25問中8.7問が「見たことのある問題」になります。合格ラインは60%＝15問なので、残り6〜7問を知識で取れば届く計算です。
時間が取れるなら10年分（20回・500問）。 取り返せる再出題の98%をここで取り切れます。そして12年より前は解かなくていい。 データが明確にそう言っています。
ただし、正直に書いておきます。5年→10年で増えるのは1.5問だけです。そのために250問を追加で解くことになるので、再出題を当てる効率だけで見れば割に合いません。
それでも10年分を勧めるのは、別の理由です。残り6割は初見の問題であり、過去問演習の価値は再出題を当てることだけではないからです。時間があるなら演習量そのものが効きます。「10年やれば再出題がもっと当たる」わけではない、という点だけは誤解しないでください。
16年間で8回出た問題
最多出題は、これでした。
SQLインジェクション対策について、Webアプリケーションの実装における対策と実装以外の対策の組合せとして、適切なものはどれか
平成21年秋 → 平成24年春 → 平成25年秋 → 平成27年春 → 平成28年秋 → 平成30年春 → 令和元年秋 → 令和5年春
16年間で8回。 表現は少しずつ変わっていますが、問われている中身は同じです。
5回以上出題された問題を並べます。
| 回数 | 設問 | 出題歴 |
|---|---|---|
| 8 | SQLインジェクション対策の組合せ | H21秋→H24春→H25秋→H27春→H28秋→H30春→R01秋→R05春 |
| 7 | DKIMの説明 | H22春→H23秋→H25春→H26秋→H30春→R01秋→R05春 |
| 7 | Smurf攻撃の特徴 | H25春→H26秋→H28春→H29秋→H31春→R03春→R04秋 |
| 6 | X.509におけるCRLの運用 | H23特別→H27春→H28秋→H30春→R01秋→R03秋 |
| 6 | サイドチャネル攻撃の説明 | H25春→H27春→H29春→H31春→R02/10→R03春 |
| 6 | ハッシュ関数の衝突発見困難性 | H26秋→H28春→H29秋→H31春→R03春→R05春 |
| 5 | DNSSECの説明 | H22秋→H24秋→H26秋→R01秋→R05秋 |
| 5 | JVNで採用されているCVE識別子の説明 | H25秋→H27春→H29春→H30秋→R03春 |
| 5 | ダイナミックパケットフィルタリングの特徴 | H24秋→H26春→H28秋→H30春→R01秋 |
| 5 | タイミング攻撃の対策 | H24春→H25秋→H28秋→R05春→R07春 |
| 5 | PKIを構成するOCSPを利用する目的 | H26秋→H28春→H29秋→H31春→R03春 |
| 5 | CRYPTREC暗号リストの説明 | H27春→H31春→R01秋→R05春→R07秋 |
| 5 | DNSSECで実現できること | H27春→H28秋→H30春→R02/10→R04春 |
この13問だけは、確実に押さえる価値があります。
「よく出る用語」と「使い回される用語」は別物でした
これは調べてみて初めて気づいたことです。
設問文から技術用語を抜き出し、延べ出題数とユニークな問題数を分けて数えました。その比率を「再出題倍率」と呼ぶことにします。
| 用語 | 延べ出題 | ユニーク問題 | 再出題倍率 |
|---|---|---|---|
| インジェクション | 9 | 2 | 4.5倍 |
| DNSSEC | 12 | 3 | 4.0倍 |
| CRYPTREC | 10 | 3 | 3.3倍 |
| サイドチャネル | 13 | 4 | 3.2倍 |
| ハッシュ | 9 | 3 | 3.0倍 |
| Smurf | 9 | 3 | 3.0倍 |
| タイミング | 10 | 4 | 2.5倍 |
| ファイアウォール | 23 | 10 | 2.3倍 |
| スパムメール | 13 | 6 | 2.2倍 |
| OP25B | 10 | 5 | 2.0倍 |
| プロトコル | 36 | 27 | 1.3倍 |
| アドレス | 24 | 18 | 1.3倍 |
プロトコルは36回も出ていますが、ほぼ毎回違う問題です。 過去問を解いても、次に同じものは出ません。
一方DNSSECは12回出て、実質3問しかありません。 3問覚えれば、その論点はほぼ制圧できます。
「頻出だから対策する」では効率が悪い。 倍率の高い用語こそ、過去問を数問押さえるだけで得点になります。逆に倍率の低い用語は、暗記ではなく理解で対応するしかありません。
分野は問番で固定されていました
825問を問番ごとに分類したところ、はっきりした構造が出ました。
| 問番 | 分野 |
|---|---|
| 問1〜16 | セキュリティ |
| 問17〜20 | ネットワーク |
| 問21〜25 | その他（データベース、開発技術、開発管理、サービスマネジメント、システム監査） |
IPAが公表している出題範囲どおりですが、出題順まで固定されていることが実データで確認できました。
つまり問21〜25の5問は、セキュリティの勉強をいくらしても取れません。 逆にここは範囲が広い割に配点が5問なので、深追いは禁物です。応用情報レベルの知識で十分だと判断しました。
私はこの結果を受けて、こう変えます
調べる前の私の計画は「過去問道場をひたすら回す」でした。それをやめます。
- 過去問は5年分（令和3年〜令和7年）を軸にする。 余裕ができたら平成28年まで広げる。それより前は解かない
- 再出題倍率の高い用語（DNSSEC、CRYPTREC、サイドチャネル、ハッシュ、Smurf、OCSP）から先に潰す。 5回以上出題の13問は最優先
- 問21〜25の非セキュリティ分野は、応用情報の知識で受け流す。 新規の教材は増やさない
- 残り6割の初見問題には、体系的な教材で備える。 過去問だけでは届かないことが、この分析ではっきりしました
4番目のために使うのが、当初から計画に入れていたアイテックの対策書です。過去問演習が「すでに出た論点を拾う」作業だとすれば、こちらはまだ出ていない論点を埋める役割になります。今回の分析で、その役割分担がはっきりしました。
『2026 情報処理安全確保支援士「専門知識＋科目B」の重点対策』
そして、これがこの分析でいちばん効いた結論です。再出題率は41.3%で頭打ちでした。全17年分を解いても、直近の試験の6割は初見です。
「支援士は過去問だけで受かる」という言説をよく見ますが、このデータはそれを支持しません。 過去問で取れるのは最大10問、合格に必要な15問には5問足りません。過去問は必要条件であって、十分条件ではない。
参考にさせていただいたサイト
分析に使ったのはIPAが公開している過去問題PDFですが、分野の分類にあたっては過去問道場を参考にさせていただきました。無料でこれだけの演習環境を公開してくださっていることに、あらためて感謝します。私自身、日々の演習でお世話になっています。
→ 情報処理安全確保支援士過去問道場（無料）
まとめ
- 情報処理安全確保支援士の午前II（科目A-2）は、16年825問中35.5%が過去問の再出題
- 過去問は5年分（250問）が最低ラインで25問中8.7問。時間が取れるなら10年分（500問）で10.2問
- 12年より前は解かなくていい。 1問も増えない
- 5回以上出題された13問は最優先。SQLインジェクション対策は16年で8回出ている
- 頻出用語と使い回される用語は別物。 DNSSECは12回出て実質3問、プロトコルは36回出て27問
- 問1〜16セキュリティ／問17〜20ネットワーク／問21〜25その他と出題順が固定されている
- ただし再出題率は41.3%で頭打ち。過去問は必要条件であって十分条件ではない
私自身、この分析をやるまでは「過去問を回せばなんとかなる」と思っていました。数字を出してみたら、それでは5問足りないと分かった。 調べてよかったと思っています。
結果は11月の試験後に、合否どちらでも報告します。
関連記事
- 情報処理安全確保支援士（登録セキスペ）に挑戦します【学習計画・教材】（この記事の本編）
- 【2026年度】IPA情報処理技術者試験の大変革まとめ（午前II＝科目A-2という名称変更の背景）
- 【2026年度・最新】IPA高度試験・支援士の日程が発表
- 応用情報技術者試験の勉強法（午前I免除の前提になる試験）
- 忘却曲線×復習サイクルで13資格に合格した話（過去問の回し方）
- AIで開発と勉強はどれだけ速くなるか（AI活用の実践編）
よくある質問（FAQ）
Q1. 情報処理安全確保支援士の午前IIは、過去問は何年分やればいいですか？
最低5年分（10回・250問）、時間が取れるなら10年分（20回・500問）です。5年分で25問中8.7問、10年分で10.2問が「見たことのある問題」になります。12年より前まで解いても再出題は1問も増えないため、17年分すべてを解く必要はありません。
Q2. 過去問だけで午前IIは突破できますか？
できません。再出題率は最大でも41.3%で頭打ちになるため、過去問で取れるのは25問中およそ10問です。合格ラインの15問には5問足りません。過去問は必要条件であって十分条件ではなく、初見の6割に備える体系的な学習が別途必要です。
Q3. どの論点から優先して勉強すればいいですか？
5回以上出題されている13問（SQLインジェクション対策、DKIM、Smurf攻撃、X.509のCRL、サイドチャネル攻撃、ハッシュ関数の衝突発見困難性、DNSSEC、ダイナミックパケットフィルタリング、タイミング攻撃、OCSP、CRYPTREC暗号リスト、CVE識別子）が最優先です。あわせてDNSSEC・CRYPTREC・サイドチャネルのように、少数の問題が繰り返される論点から潰すのが効率的です。
Q4. 午前IIは何問中何問正解すれば合格ですか？
25問中15問（60%）です。本記事の分析では、過去問5年分で8.7問、10年分で10.2問をカバーできる計算になります。残りを知識で取る前提で計画を立てる必要があります。
Q5. 再出題率35.5%という数字はどうやって出したのですか？
IPA公開の過去問PDF33回分（平成21年春〜令和7年秋）をOCRして825問すべてを抽出し、設問文から定型句を除いた主題部分を文字3-gramのJaccard係数で比較して、類似度0.65以上を同一問題として集計しました。閾値は候補ペア141件を目視で確認して決めています。閾値を0.95まで厳しくすると21.7%になります。
Q6. 問21〜25の非セキュリティ分野はどう対策すればいいですか？
データベース、開発技術、開発管理、サービスマネジメント、システム監査から出題されますが、5問しかありません。範囲の広さに対して配点が小さいため、新規の教材を増やさず、応用情報技術者試験レベルの知識で対応するのが現実的だと考えています。