情報処理安全確保支援士（SC、登録セキスペ）の科目B（旧・午後問題）は、記述式の4問から2問を選んで150分で解く試験です。
直前期にいちばん困るのは「残りの時間で、どの分野の過去問を解けばいいのか」だと思います。私も科目Bの対策中で、まさにここで迷いました。
そこで、IPAのサイトで公開されている資料だけを使って、出題傾向をAI（Claude）と一緒に分析しました。使ったのは次の資料です。
| 資料 | 分析に使ったこと |
|---|---|
| 過去問題（令和3年春〜令和7年秋の10回分・45問） | 各問の題材・分野 |
| 解答例に載っている「出題趣旨」 | IPAが何を問いたかったか |
| 採点講評 | 受験者がどこで点を落としたか |
| 試験要綱 Ver.5.6・シラバス Ver.2.1 | 出題範囲と、その中のどこがよく出るか |
| 情報セキュリティ10大脅威 2026 | 社会で注目されている脅威と、出題との対応 |
| 問題冊子の本文（画像のPDFをOCRで文字に起こしたもの・約430ページ） | 問題文のクセ、設問の問い方、頻出キーワード |
分野の分類は私の判断です。問題冊子のPDFは画像で作られているので、OCR（文字認識）で文字に起こして集計しました。読み取りの誤りがあり得るため、回数は目安として見てください。予想が当たることを保証するものではありませんが、勉強の優先順位を決める材料として使ってください。
この記事は、分野別の解説記事シリーズのハブ（入口）です。上位の分野から順に、過去問の「どの文章に着目すれば答えが出るか」を解説する記事を公開していきます。
結論：Web系は毎回出る。直前期は「Web＋もう1分野」を固める
先に結論です。
- 新形式（令和5年秋〜令和7年秋）の5回すべてで、Webアプリ・スマホアプリの脆弱性の問題が出ている（20問中8問）
- 令和7年の2回は、脆弱性管理（CVSS・EPSS・KEV・ASM）とサプライチェーン（SBOM）が新しく主題になった
- 10大脅威2026の1位「ランサム攻撃」は、問題文の設定としては3回登場しているが、問題全体の主題になったことはない。3位「AI」は一度も出ていない
- 設問の問い方が変わった。旧形式では1回に30か所前後あった「〇字以内で」の字数指定が、令和6年秋期・令和7年秋期では数か所に減り、「具体的に答えよ」「〇〇を含めて答えよ」が中心になった
- 採点講評で何度も指摘されているのは「本文の状況に即していない」「具体性がない」解答。知識より問題文の読み方で落としている人が多い
4問から2問を選べるので、全分野を均等にやる必要はありません。Web系をまず確実に取れるようにして、2問目をどの分野で取るかを決めておくのが、直前期の現実的な戦い方だと考えています。
科目Bの試験形式（IPA試験要綱より）
| 項目 | 内容 |
|---|---|
| 試験時間 | 150分 |
| 出題形式 | 記述式 |
| 出題数・解答数 | 4問出題、2問を選んで解答 |
| 配点 | 1問50点 × 2問 = 100点満点 |
| 基準点 | 60点 |
令和5年秋期から、それまでの午後I（3問中2問）・午後II（2問中1問）が統合されて今の形になりました。この記事で「新形式」と呼んでいるのは令和5年秋期以降の5回分（20問）、「旧形式」はその前の5回分（25問）です。
2026年度からはCBT方式になりました。CBTは受験期間が複数日にわたるので、全員にまったく同じ問題を出すとは考えにくく、複数の問題が用意されている可能性があります（IPAは公表していません）。だからこそ「どの回が出るか」より「どの分野が出やすいか」で準備しておく価値があると考えました。
出やすい分野ランキング（10回45問を分析）
各問の主題を8つの分野に分けて数えました。新形式のほうが今の試験に近いので、ランキングは新形式の出題数を2倍して旧形式と足した点数を基本にし、10大脅威2026の順位と直近の傾向で調整しています（5位の脆弱性管理は点数だけなら6位ですが、令和7年春期に2問続けて出たことと、10大脅威4位であることから1つ上げました）。
| 順位 | 分野 | 新形式（5回20問） | 旧形式（5回25問） | 10大脅威2026 | 直近の傾向 |
|---|---|---|---|---|---|
| 1 | Webアプリの脆弱性（XSS・CSRF・CSP・Webスキミング・脆弱性診断） | 5問 | 5問 | 4位 脆弱性 | 毎回出る |
| 2 | 認証・API・アプリ開発（OAuth・JWT・スマホアプリ・Javaのセキュアコーディング） | 3問 | 4問 | 4位 脆弱性 | 安定 |
| 3 | ネットワーク・リモートワーク（VPN・DDoS・無線LAN・DNS・FW） | 3問 | 3問 | 8位 リモートワーク／9位 DDoS | 安定 |
| 4 | サプライチェーン・クラウド（委託先・CI/CD・SBOM・クラウド移行） | 2問 | 5問 | 2位 サプライチェーン | 令和7年春に主題化 |
| 5 | 脆弱性管理・資産管理（CVSS・EPSS・KEV・ASM・パッチ配信） | 2問 | 1問 | 4位 脆弱性 | 令和7年春に2問 |
| 6 | インシデント対応・ログ解析（マルウェア・EDR・痕跡調査） | 1問 | 6問 | 5位 標的型 | 旧形式に多く、最近は少ない |
| 7 | マネジメント・リスクアセスメント（リスク評価・管理体制・委託先管理） | 2問 | 1問 | 2位・7位 | 新形式で問4に定着 |
| 8 | メール・暗号・PKI（DMARC・SPF・DKIM・鍵管理） | 2問 | 0問 | 10位 ビジネスメール詐欺 | 新形式で主題化 |
いくつか補足します。
- Webアプリ系は「1回に1問以上」が5回連続です。令和6年春期は4問中3問がWeb・アプリ開発系でした
- 旧形式で多かったインシデント対応は、新形式では主題として減りました。ただし、Web系やサプライチェーン系の問題の中で「インシデントが起きた」という設定で出てくることが多く、消えたわけではありません
- 脆弱性管理（5位）は数こそ少ないものの、令和7年春期の問2・問4が続けてこの分野でした。10大脅威でも上位なので、伸びている分野として扱っています
新形式20問の一覧
| 回 | 問1 | 問2 | 問3 | 問4 |
|---|---|---|---|---|
| 令和7年 秋期 | Web：XSSとCSP（従業員による攻撃） | 暗号：暗号資産交換業の鍵管理 | ネットワーク：リモートワークとVPN | マネジメント：サプライチェーンでの管理体制 |
| 令和7年 春期 | サプライチェーン：委託先管理・SBOM | 脆弱性管理：CVSSとEPSS | アプリ：スマホアプリの脆弱性 | 脆弱性管理：IT資産管理とASM |
| 令和6年 秋期 | インシデント：エンドポイントのログ解析 | メール：DMARC・SPF・DKIM | Web：ECサイトのWebスキミング | Web：セキュリティ診断 |
| 令和6年 春期 | API：JWTとAPIセキュリティ | ネットワーク：リモートワークとDDoS | Web：XSS・CSRF | アプリ：Java・RDBMSのセキュアコーディング |
| 令和5年 秋期 | Web：XSSのインシデント対応 | ネットワーク：無線LANとサーバ証明書 | クラウド：CIサービスのインシデント | マネジメント：委託先を含むリスクアセスメント |
※題材の要約は、各回の出題趣旨と採点講評をもとに私がまとめたものです。
ランサムウェアの出題はあった？
10大脅威では2016年から11年連続で選ばれ、2026年も1位の「ランサム攻撃による被害」。出題趣旨・解答例・採点講評には「ランサムウェア」という言葉は一度も出てきません。ところが、問題冊子の本文を文字に起こして調べると、3回登場していました。
| 回・問 | 問題文での登場のしかた | 問われたこと |
|---|---|---|
| 令和4年春期 午後I 問2 | NASのファイルが暗号化され、拡張子が変わり、英語の脅迫文が置かれていた。PCではなくNAS自体がランサムウェアに感染したと判断する | Web管理機能の脆弱性（パストラバーサル・OSコマンドインジェクション）を突かれた侵入経路と、その対策 |
| 令和5年秋期 問4 | ランサムウェアによる「二重の脅迫」が社会問題になったことをきっかけに、百貨店がリスクアセスメントを始める | 委託先（運送会社）を含めた情報資産のリスクの特定と対策 |
| 令和4年秋期 午後II 問1 | マルウェアの種類を選ぶ解答群の選択肢の一つ | マルウェアの動的解析 |
つまりランサムウェアは、問題の「きっかけ」や「起きた被害」として出てきて、実際に問われるのは侵入経路・脆弱性・リスク評価という形です。問題全体のテーマになったことはありません。
近い内容としては、令和7年秋期 問4でマルウェア被害からの復旧が問われました。採点講評では、攻撃を防ぐ手段ではなく「バックアップの取得など平常時に何を行うか」を書いてほしかったとしています。
10大脅威1位なのに主題になったことがない、ということは、CBTで新しく問題を作るなら題材にされやすい分野とも考えられます。過去問の出し方から見ると、ランサムウェアの問題で書くことになりそうなのは「侵入経路（機器の脆弱性・VPN）」「バックアップと復旧手順」「被害範囲の特定」です。上の令和4年春期 午後I 問2と令和7年秋期 問4は、ランサムウェア対策の練習問題として解いておく価値があります。
同じく、10大脅威2026で初めて選ばれた3位「AIの利用をめぐるサイバーリスク」も、科目Bではまだ出ていません。シラバス Ver.2.1 には「AI（生成AIを含む）」が明記されているので、出る可能性はあります。ただ、過去問で練習できないので、直前期に時間をかけすぎないほうがよいと私は判断しています。
シラバスで見る：よく出る項目、ほぼ出ない項目
試験要綱では、科目Bの出題範囲は次の4つの大項目に分かれています。新形式20問を主題で振り分けると、こうなりました。
| シラバスの大項目 | 新形式20問 |
|---|---|
| 1 情報セキュリティマネジメントの推進又は支援 | 2問 |
| 2 情報システムの企画・設計・開発・運用でのセキュリティ確保 | 7問 |
| 3 情報及び情報システムの利用におけるセキュリティ対策の適用 | 7問 |
| 4 情報セキュリティインシデント管理の推進又は支援 | 4問 |
シラバスの小項目（全30項目）で見ると、偏りがもっとはっきりします。1問に複数の小項目が関わるので、関係する問題の数で数えています。
| 小項目 | 関係した問題（新形式20問中） | 判定 |
|---|---|---|
| 2-5 セキュアプログラミング | 7問 | ◎ 最頻出 |
| 4-3 情報セキュリティインシデントへの対応 | 5問 | ◎ |
| 2-6 セキュリティテスト（脆弱性診断など） | 4問 | ○ |
| 3-1 暗号利用及び鍵管理 | 4問 | ○ |
| 3-5 ネットワーク及び機器のセキュリティ管理 | 4問 | ○ |
| 3-8 アカウント管理及びアクセス管理 | 4問 | ○ |
| 3-10 サプライチェーンの情報セキュリティ | 4問 | ○ |
| 3-6 脆弱性への対応 | 2問 | △（令和7年に増加） |
| 1-1 方針策定・1-5 監査・1-7 コミュニケーション・3-11 コンプライアンス（法令） | 主題では0問 | × 科目B向きではない |
方針策定・監査・法令といったマネジメント寄りの項目は、科目Aでは出ますが、科目Bの主題にはほぼなっていません。科目Bの勉強時間は、技術寄りの項目に寄せてよいと考えています。
10大脅威2026と出題の対応
出題趣旨の中で10大脅威に直接触れている問題が3問あります（令和4年春期 午後I 問3、令和4年秋期 午後I 問3、令和7年春期 問1）。IPA自身が10大脅威を意識して問題を作っていることが分かります。
| 順位 | 10大脅威2026［組織］ | 関係する過去問 | 出題状況 |
|---|---|---|---|
| 1 | ランサム攻撃による被害 | 令和4年春 午後I 問2、令和5年秋 問4（きっかけとして）、令和7年秋 問4（復旧） | △ 設定としては登場、主題としては未出題 |
| 2 | サプライチェーンや委託先を狙った攻撃 | 令和7年春 問1、令和7年秋 問4、令和5年秋 問3・問4 | ◎ |
| 3 | AIの利用をめぐるサイバーリスク | なし | × 未出題（2026年初選出） |
| 4 | システムの脆弱性を悪用した攻撃 | 令和7年春 問2・問4、令和6年秋 問4 ほかWeb系多数 | ◎ |
| 5 | 機密情報を狙った標的型攻撃 | 令和6年秋 問1 | ○ |
| 6 | 地政学的リスクに起因するサイバー攻撃 | なし | × |
| 7 | 内部不正による情報漏えい等 | 令和7年秋 問1（従業員による攻撃） | ○ |
| 8 | リモートワーク等の環境や仕組みを狙った攻撃 | 令和7年秋 問3、令和6年春 問2 | ◎ |
| 9 | DDoS攻撃 | 令和6年春 問2 | ○ |
| 10 | ビジネスメール詐欺 | 令和6年秋 問2（メールのなりすまし対策） | ○ |
採点講評で分かる「点を落とした場所」
採点講評で「正答率が低い」「やや低い」と書かれた設問を拾うと、同じ指摘が何度も出てきます。直前の復習リストとして使えます。
| 指摘の内容 | 出てきた回 | 対策 |
|---|---|---|
| XSSの種類（反射型・格納型・DOMベース）の取り違え | 令和5年秋 問1、令和6年秋 問3 | 3種類の違いを、攻撃の流れで説明できるようにする |
| CSP（Content Security Policy）の理解不足 | 令和7年秋 問1 | ディレクティブごとに「何を禁止するか」を押さえる |
| サーバ証明書の検証・PKIの理解不足 | 令和5年秋 問2、令和7年春 問3 | 証明書の検証で何を確認するかを具体的に書けるようにする |
| SPF・DKIMの仕組みの理解不足 | 令和6年秋 問2 | SPFとDKIMがそれぞれ何を判定対象にするかを区別する |
| CVSSの評価指標・EPSSの使い方 | 令和7年春 問2 | 指標の意味と、優先度判断での使い分けを押さえる |
| 設問の聞き方とずれた解答（開発プロセスを問われて運用の対策を書く、復旧を問われて防御を書く） | 令和7年秋 問1・問4 | 設問文の「何を」「どの段階で」にマーカーを引いてから書く |
| 本文の状況に即していない・抽象的な解答 | 令和5年秋 問4、令和6年春 問3、令和7年春 問1・問3 ほか | 問題文の固有名詞（サーバ名・機能名）を使って書く |
特に最後の2つは、ほぼ毎回のように書かれています。知識があっても、問題文の状況に合わせて書けていないことで点を落としている受験者が多い、ということです。
問題文と設問のクセ（問題冊子を文字に起こして分析）
問題冊子の本文（10回分・約430ページ）をOCRで文字に起こして、設問の問い方を回ごとに数えました。分野とは別に、答え方のクセがはっきり変わってきています。
クセ1：字数指定が激減し、「具体的に答えよ」が中心になった
| 回 | 「〇字以内」 | 「具体的に」 | 「解答群」 |
|---|---|---|---|
| 令和3年 春期（旧形式） | 30 | 16 | 23 |
| 令和3年 秋期（旧形式） | 38 | 15 | 10 |
| 令和4年 春期（旧形式） | 34 | 6 | 33 |
| 令和4年 秋期（旧形式） | 28 | 11 | 20 |
| 令和5年 春期（旧形式） | 26 | 8 | 13 |
| 令和5年 秋期 | 19 | 2 | 10 |
| 令和6年 春期 | 14 | 14 | 6 |
| 令和6年 秋期 | 2 | 9 | 6 |
| 令和7年 春期 | 18 | 19 | 9 |
| 令和7年 秋期 | 3 | 10 | 8 |
※問題冊子の中で、その言葉が出てきた回数（OCRのため目安）。旧形式は1回5問、新形式は1回4問です。
旧形式では1回に30か所前後あった「〇字以内で答えよ」が、令和6年秋期と令和7年秋期では数か所しかありません。代わりに増えたのが、字数の指定がない「〇〇の内容を、具体的に答えよ」という問い方です。選択肢から選ぶ「解答群」も減っています。
字数の上限がないと、短すぎて要素が足りない答えや、逆に問われていないことまで書いて的を外す答えが出やすくなります。採点講評で「具体性に欠ける」「本文の状況に即していない」という指摘が増えているのは、この変化とも合っています。字数が決まっていなくても、IPAの解答例の長さ（多くは1〜2文）を目安に書く練習をしておくと安心です。
なお、CBTの科目Bでは解答をキーボードで入力します。試験会社（CBT-Solutions）の操作説明によると、記述式の解答欄には入力した文字数と上限の文字数が表示され、上限は設問ごとに違います。設問文に字数の指定がなくても、解答欄の上限が答えの長さの目安になります。
クセ2：「〇〇を含めて」「できるだけ〇〇なもの」と条件が付く
新形式では、答えに入れるべき要素や、答えを選ぶ基準を設問の中で指定するものが目立ちます。
| 回・問 | 設問の条件（要約） |
|---|---|
| 令和6年秋期 問2 | SPFとDKIMで認証に失敗する理由を、サービスへの登録内容と仕様を含めて答える |
| 令和7年秋期 問4 | 対策を、導入箇所を含めて答える。できるだけ効果が高いもの、効果が同じなら業務への影響が少ないものを答える |
| 令和7年秋期 問4 | できるだけ起こる可能性が高いものを、攻撃の発端を含めて答える |
| 令和6年秋期 問1 | アカウント名を、表の注記に従って答える |
条件を1つでも落とすと減点されると考えたほうがよいです。設問を読んだら、条件にマーカーを引き、書き終わったら全部入っているかを確認するのが、直前期にできるいちばん効果の高い対策だと思います。
CBTでも、科目Bの画面では問題文に赤・青・黄の3色のマーカーを引けます（CBT-Solutionsの操作説明より）。ただし、問題を別画面で開いた場合と元の画面とでマーカーは同期されないので、引く画面を決めておくと迷いません。紙の試験と同じ感覚で使えるよう、CBT-Solutionsの体験版（チュートリアル）で一度触っておくと安心です。
クセ3：設問は本文の〔小見出し〕ごとに並んでいる
新形式の多くの問題で、「設問2〔インシデントの発生とその調査〕について答えよ」のように、設問が本文の小見出しに対応しています。1問あたり6〜11ページある長い問題文を頭から全部読む前に、設問を先に見て、どの小見出しの範囲に根拠があるかを押さえてから読むと、時間を節約できます。
クセ4：下線部と、図表の空欄が中心
設問のほとんどは、次の2つの形です。
- 本文中の下線①について、その理由・内容・方法を答える
- 表1中の空欄aに入れる適切な字句を答える（表の中の字句を使う、英字で答えるなどの指定が付くことがある）
空欄の答えは、本文や表の中にある言葉をそのまま使うものが少なくありません。答えを書く前に、問題文の中に使える言葉がないかを探す習慣をつけると、採点講評で指摘される「本文の状況に即していない」答えを避けられます。
クセ5：登録セキスペが「助言する人」として登場する
多くの問題で、情報処理安全確保支援士（登録セキスペ）がコンサルタントや社内の担当者として登場し、会話の中で助言します。会話の中の「〜という点が気になります」「〜も確認しておきましょう」といった発言が、設問のヒントになっていることがよくあります。会話文は読み飛ばさないようにしてください。
クセ6：コードは「書く」より「読む」。ただし毎回どこかに出る
プログラムのコード（HTML・JavaScript・Java・スクリプトなど）が問題文に載っている問題と、解答例でコードや決まった書式を書かせている問題を数えました。
| 新形式（5回20問） | 旧形式（5回25問） | |
|---|---|---|
| 問題文にコードが載っている問題 | 7問（5回すべてに1問以上） | 4問 |
| 解答でコード・書式を書かせた問題 | 2問 | 4問 |
※HTTPリクエストやDNSレコード（SPF・DMARCなど）だけの問題は数えていません。
新形式で、問題文にコードが載っていたのは次の7問です。
| 回・問 | 載っていたコード | 解答で書かせたもの |
|---|---|---|
| 令和7年秋期 問1 | 画面のHTMLとスクリプト | なし（XSSを仕込んだ入力値を、HTMLから抜き出して答える） |
| 令和7年春期 問3 | キャンペーンページのECMAScript | なし（読み取り） |
| 令和6年秋期 問3 | 決済画面のHTMLソース | なし（「4〜15行目の処理内容を具体的に」答える） |
| 令和6年春期 問1 | 作成した検証コード | 攻撃文字列を検知する正規表現 |
| 令和6年春期 問4 | JavaのUserDataクラス | throw new RuntimeException(e)、finally、修正後のコードは解答群から選択 |
| 令和5年秋期 問1 | ページのHTMLとスクリプト | なし（「6〜20行目の処理内容を60字以内で」答える） |
| 令和5年秋期 問3 | ビルドスクリプトのコマンド | なし（読み取り） |
旧形式では、令和5年春期 午後I 問1（JavaのSQL：WHERE head.order_no = ? と PreparedStatement の行）と、令和4年春期 午後I 問1（SQLの条件）で、コードの空欄を埋めさせています。
まとめると、次のようになります。
- 問題文にコードが載る問題は毎回1問以上ある。Web系を選ぶなら、HTMLとJavaScriptを読む力は必要
- 一方で、コードを書かせるのは新形式20問中2問だけ（令和6年春期 問1・問4）。それも1行か1語で、正規表現や例外処理（
throw・finally）、旧形式ではプレースホルダを使ったSQLなど、定番の書き方に限られる - 令和6年春期 問4のように、「ソースコード又は具体的な処理内容のいずれかで」答えてよい設問もある。Javaに自信がなくても、処理の意味が分かれば点になる
- 「〇行目の処理内容を答えよ」「空欄に入れる行番号を答えよ」という、コードを日本語で説明する・場所を指す問い方が多い
プログラミングが苦手な人は、コードが載っている問題を避けて選ぶこともできます。ただ、Web系は毎回出る分野なので、HTMLとJavaScriptを「何をしているか日本語で説明できる」レベルで読めるようにしておくと、選べる問題の幅が広がります。
過去10回のコード問題を1問ずつ、答えと問題文の根拠まで解説した記事も書きました。→ 科目Bのコード問題を全部解説した記事
問題文に出てきた公的資料・ガイドライン
問題文の中で、実在のガイドラインや資料が名前付きで使われていることがあります。新形式で出てきたものはIPA関連の資料が中心です。
| 回・問 | 問題文に出てきた資料 | どう使われたか |
|---|---|---|
| 令和7年秋期 問4 | 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver 3.0」 | 「重要10項目」の指示4・5・8に沿って、子会社の対策を助言する |
| 令和7年春期 問2 | IPA「TLS暗号設定ガイドライン」（CRYPTREC作成） | 鍵交換のビットセキュリティの基準と照らし合わせる |
| 令和7年春期 問2 | IPA「脆弱性対応におけるリスク評価手法のまとめ」 | CVSSとEPSSを使った対応優先度の判断 |
| 令和6年春期 問4 | CRYPTREC暗号リスト（電子政府推奨暗号リスト） | パスワードの保存に使うハッシュ関数 |
| 令和6年春期 問3（出題趣旨） | IPA「安全なウェブサイトの作り方」 | Webサイトの脆弱性と対策 |
旧形式でも、CRYPTREC暗号リスト（令和5年春期 午後II 問2）、NIST SP800-61（令和3年春期 午後II 問1）、経済産業省の身元確認手法の報告書（令和4年春期 午後I 問3）などが出ています。資料の中身を覚えておく必要はありませんが、問題文に「〇〇ガイドラインでは〜」と書いてあれば、その記述が答えの根拠になると考えて読むのがコツです。
問題文・解答例・採点講評によく出るキーワード
問題冊子・解答例・採点講評を合わせて、主な技術用語が10回中何回出てきたかを数えました（OCRのため目安）。
| 区分 | キーワード |
|---|---|
| ほぼ毎回出る（8回以上） | DNS、ファイアウォール、プロキシ、TLS、セッション、脆弱性診断、マルウェア、クラウド、スマートフォン |
| よく出る（6〜7回） | 多要素認証、XSS、VPN、SaaS、SSH、API、ハッシュ、Cookie、JavaScript |
| 新形式で初めて出た | サプライチェーン、SBOM、EPSS、KEVカタログ、DMARC、JWT、HSM、サブドメイン |
| 旧形式にはあったが新形式では出ていない | OAuth、C&Cサーバ、ソルト、IoT、OSS、フォレンジック |
| 一度も出ていない | 生成AI・プロンプト（LLM） |
DNS・ファイアウォール・プロキシは、主題がWebでも脆弱性管理でも、ほぼ必ず問題文の構成図に出てきます。ネットワーク構成図を読む力は、どの分野を選んでも必要ということです。
重点的に解くべき過去問（分野別）
ランキングの上位から、優先して解きたい過去問をまとめました。迷ったら、上の行から順に解いてください。
| 分野 | まず解く | 余裕があれば |
|---|---|---|
| 1 Webアプリの脆弱性 | 令和7年秋 問1、令和6年秋 問3 | 令和5年秋 問1、令和6年春 問3、令和6年秋 問4 |
| 2 認証・API・アプリ開発 | 令和6年春 問1、令和7年春 問3 | 令和6年春 問4、令和3年春 午後I 問1（OAuth） |
| 3 ネットワーク・リモートワーク | 令和7年秋 問3、令和6年春 問2 | 令和5年秋 問2 |
| 4 サプライチェーン・クラウド | 令和7年春 問1、令和5年秋 問3 | 令和7年秋 問4 |
| 5 脆弱性管理・資産管理 | 令和7年春 問2、令和7年春 問4 | 令和3年春 午後I 問3（パッチ配信） |
| 6 インシデント対応・ログ解析 | 令和6年秋 問1 | 令和5年春 午後I 問2 |
| 7 マネジメント | 令和5年秋 問4 | 令和7年秋 問4 |
| 8 メール・暗号・PKI | 令和6年秋 問2 | 令和7年秋 問2 |
リンクはIPAの問題冊子PDFの、その問題の最初のページに飛びます（ブラウザによっては1ページ目が開きます）。解答例・採点講評は、この記事の後半の「過去問リンク集」から開けます。
残り時間別の使い方
| 残り時間 | やること |
|---|---|
| 1週間ある | 分野1〜5の「まず解く」を1日1〜2問。解いたら採点講評を読み、外した設問だけ解き直す |
| 3日しかない | 分野1と、自分が2問目に選ぶ予定の分野の「まず解く」だけ。新しい分野には手を出さない |
| 前日 | 上の「点を落とした場所」の表と、これまでに解き直した設問の見直しだけ |
私自身は、過去問を時間を計って解き、IPAの解答例と採点講評で答え合わせをしてから、外した設問だけを解き直しています。解き直すときは、解答例を写すのではなく「問題文のどこに根拠があったか」を書き込むようにしています。
分野別の解説記事（シリーズ）
上位の分野から順に、過去問を使って「なぜその答えになるのか」「問題文のどこに着目すればいいか」を解説する記事を公開していきます。公開したものからリンクを追加します。
| 回 | 分野 | 使う過去問（予定） |
|---|---|---|
| 1 | Webアプリの脆弱性（XSS・CSP・CSRF） | 令和5年秋 問1、令和6年春 問3、令和6年秋 問3、令和7年秋 問1 |
| 2 | 認証・API・スマホアプリ（JWT・セッション固定・アクセスキー） | 令和6年春 問1、令和6年秋 問4、令和7年春 問3 |
| 3 | ネットワーク・リモートワーク（VPN・DDoS・無線LAN） | 令和7年秋 問3、令和6年春 問2、令和5年秋 問2 |
| 4 | サプライチェーン・クラウド（委託先・SBOM・CI/CD） | 令和7年春 問1、令和5年秋 問3、令和7年秋 問4 |
| 5 | 脆弱性管理・資産管理（CVSS・EPSS・KEV・ASM） | 令和7年春 問2、令和7年春 問4 |
| 6 | インシデント対応・ログ解析（RDP・C&C・FTP） | 令和6年秋 問1、令和5年春 午後I 問2 |
| 番外編 | コード問題を全部解説（Java・SQL・正規表現・HTML/JavaScript） | 10回分のコード問題12問 |
過去問リンク集（IPA公式PDF）
IPAが公開している過去問題・解答例・採点講評へのリンクです。解答例のPDFの各問の冒頭に「出題趣旨」が載っています。
新形式（4問中2問選択・150分）
| 回 | 問題冊子 | 解答例（出題趣旨つき） | 採点講評 |
|---|---|---|---|
| 令和7年 秋期 | 問題 | 解答例・出題趣旨 | 採点講評 |
| 令和7年 春期 | 問題 | 解答例・出題趣旨 | 採点講評 |
| 令和6年 秋期 | 問題 | 解答例・出題趣旨 | 採点講評 |
| 令和6年 春期 | 問題 | 解答例・出題趣旨 | 採点講評 |
| 令和5年 秋期 | 問題 | 解答例・出題趣旨 | 採点講評 |
旧形式（午後I・午後II）
| 回 | 問題冊子 | 解答例（出題趣旨つき） | 採点講評 |
|---|---|---|---|
| 令和5年 春期 | 午後I 問題・午後II 問題 | 午後I 解答例・午後II 解答例 | 午後I 講評・午後II 講評 |
| 令和4年 秋期 | 午後I 問題・午後II 問題 | 午後I 解答例・午後II 解答例 | 午後I 講評・午後II 講評 |
| 令和4年 春期 | 午後I 問題・午後II 問題 | 午後I 解答例・午後II 解答例 | 午後I 講評・午後II 講評 |
| 令和3年 秋期 | 午後I 問題・午後II 問題 | 午後I 解答例・午後II 解答例 | 午後I 講評・午後II 講評 |
| 令和3年 春期 | 午後I 問題・午後II 問題 | 午後I 解答例・午後II 解答例 | 午後I 講評・午後II 講評 |
それより前の回は、IPAの過去問題のページから開けます。
一緒に使いたいIPAの資料
| 資料 | 使いどころ |
|---|---|
| 試験要綱・シラバス | 科目Bの出題範囲（4つの大項目）と、シラバスの細目の確認 |
| 情報セキュリティ10大脅威 2026 | 解説書［組織編］で、各脅威の手口と対策をまとめて確認できる |
| 安全なウェブサイトの作り方 | 令和6年春期 問3の出題趣旨で名前が挙がっている。Web系の対策を確認するのに使える |
私が科目Bで使っている教材
科目Bの対策は、次の2冊とUdemyの講座を組み合わせています。
『こう書く！セキスペ 情報処理安全確保支援士 第2版』（村山直紀・マイナビ出版）
記述式の答え方を専門に扱った本です。この記事で書いた「設問の条件を全部入れる」「本文の言葉を使って書く」といった書き方の型を、過去問を使って身につけられます。字数指定が減って「具体的に答えよ」が増えた今の科目Bでは、特に役に立つと感じています。
『2026 情報処理安全確保支援士「専門知識＋科目B」の重点対策』（アイテック）
分野ごとの専門知識の整理と、科目Bの過去問解説がまとまった本です。上のランキングで自分が選ぶ2分野を決めたら、その分野の知識をこの本で補強しています。
過去問の解説動画には、Udemyの講座を使っています。科目Bの過去問解説（令和7年秋・令和7年春・令和6年秋）と、XSS・CSRF・SPF/DKIM・無線LANなどを短く解説する「小問題解説」が入っていて、上のランキングの上位分野をひととおり見直せます。
令和8年度対応｜参考書の著者が教える 情報処理安全確保支援士 科目A・科目B対策（Udemy）
講座の内容を見る
スキマ時間に耳で復習できるよう、聞き流し用の一問一答動画も作りました。私が運営しているYouTubeチャンネル「スキマ時間の資格ドリル」で、科目Bの記述で書く用語と、攻撃ごとの基本の対策を、問い→答え→ひとこと補足の順に読み上げています。
科目Aの対策や、私の学習計画・教材の全体は支援士に挑戦する記事に書いています。
まとめ
- 新形式5回すべてでWebアプリ・スマホアプリの脆弱性が出ている。まずここを確実に取れるようにする
- 令和7年は脆弱性管理（CVSS・EPSS・KEV・ASM）とサプライチェーン（SBOM）が主題になった。10大脅威でも2位・4位で、伸びている分野
- 10大脅威1位のランサムウェアは、問題文の設定として3回登場したが主題としては未出題。「侵入経路」「バックアップと復旧」「被害範囲の特定」を書けるようにしておく。3位のAIは一度も出ていない
- 字数指定が減り、「具体的に答えよ」「〇〇を含めて答えよ」が中心に。設問の条件にマーカーを引き、全部入れたかを確認してから次へ進む
- シラバスの小項目ではセキュアプログラミングが最頻出。方針・監査・法令は科目Bではほぼ出ない
- 採点講評でいちばん多い指摘は「本文の状況に即していない」「具体性がない」。問題文の固有名詞を使って書く
科目A-2の対策はCBT受験報告と問題予想の記事と午前IIの再出題率を16年分調べた記事にまとめています。
関連記事
- 【受験結果84点】情報処理安全確保支援士 科目A-2の問題予想と新規問題対策
- 情報処理安全確保支援士の午前IIは3分の1が過去問の再出題でした
- 支援士の午前IIを過去問道場で8回分解いた正答率を全部公開
- 情報処理安全確保支援士（登録セキスペ）に挑戦します【学習計画・教材】
- 【2026年度】IPA情報処理技術者試験の大変革まとめ
参考にした情報
- IPA 過去問題（令和3年春期〜令和7年秋期の午後問題・解答例・採点講評）
- IPA 試験要綱・シラバス（試験要綱 Ver.5.6、情報処理安全確保支援士試験 シラバス Ver.2.1）
- IPA 情報セキュリティ10大脅威 2026
- IPA 応用情報技術者試験、高度試験及び情報処理安全確保支援士試験におけるCBT方式での実施について
CBTの画面操作（マーカー・解答欄の文字数表示）だけは、試験を運営するCBT-Solutionsの資料を参照しました。
- CBT-Solutions 令和8年度前期試験 応用情報技術者試験及び高度試験（SC含む）（科目B群の操作説明・チュートリアル）
よくある質問（FAQ）
Q1. 情報処理安全確保支援士の科目Bで、いちばん出やすい分野は何ですか？
Webアプリケーションの脆弱性（XSS・CSRF・CSPなど）です。令和5年秋期以降の新形式5回では、すべての回でWebアプリかスマホアプリの脆弱性を主題にした問題が出ており、20問中8問を占めています。
Q2. 科目Bでランサムウェアの問題は出ていますか？
問題全体のテーマになったことはありませんが、問題文の設定としては登場しています。令和4年春期 午後I 問2ではNASがランサムウェアに感染した事例の侵入経路が、令和5年秋期 問4ではランサムウェアの「二重の脅迫」をきっかけにしたリスクアセスメントが問われました。令和7年秋期 問4では、マルウェア被害からの復旧（バックアップの取得など）が問われています。
Q3. 科目Bの過去問は何回分解けばいいですか？
全部を解く必要はありません。4問から2問を選ぶ試験なので、令和5年秋期以降の新形式5回分を中心に、自分が選ぶ予定の2分野を重点的に解くのが効率的です。時間があれば、旧形式（令和3年春期〜令和5年春期）の同じ分野の問題を追加します。
Q4. 科目Bの採点基準はどこで確認できますか？
IPAの過去問題のページで、各回の「解答例」と「採点講評」が公開されています。解答例には各問の出題趣旨と解答の要点、採点講評には正答率が低かった設問とよくあった誤答が書かれています。過去問道場などのサイトには科目Bの採点機能がないことが多いので、自己採点にはこの2つを使います。
Q5. 2026年度のCBT方式で、科目Bの形式は変わりましたか？
IPAは、CBT方式でも出題形式（記述式）は変わらないとしています。試験要綱 Ver.5.6では、科目Bは150分・4問出題で2問解答、1問50点の100点満点で、基準点は60点です。
Q6. プログラミングができなくても、科目Bは解けますか？
解けます。新形式（令和5年秋期〜令和7年秋期）の20問のうち、問題文にコードが載っている問題は7問ありますが、解答でコードや書式を書かせたのは2問だけで、それも1行か1語程度です。「ソースコード又は具体的な処理内容のいずれかで」答えてよい設問もあります。ただし、Web系の問題を選ぶなら、HTMLとJavaScriptが何をしているかを読み取る力は必要です。