情報セキュリティマネジメント試験 — 管理者向けセキュリティ
情報セキュリティマネジメント試験とは
情報セキュリティマネジメント試験（略称「SG」）は、経済産業省認定・IPA実施の国家試験で、情報処理技術者試験「レベル2」に相当する。FEと同じレベルだが、対象者が異なる：FEがエンジニア志望向けであるのに対し、SGは非エンジニアの管理職・業務担当者（一般利用者や部門管理者）が情報セキュリティを管理する立場で必要な知識を問う。
The Information Security Management Exam (SG) is a METI-certified, IPA-administered national exam at "Level 2" of the Information Processing Engineer Examinations. It is the same level as FE but targets a different audience: while FE targets aspiring engineers, SG asks for the knowledge needed by non-technical managers and business operators (general users and departmental managers) when they manage information security from their position.
試験形式と科目構成
SGはFEと同様に科目A・科目Bの2部構成である。科目Aは四肢択一式で全48問、試験時間60分。出題範囲は情報セキュリティの基本・管理・技術・関連法令が中心で、一部テクノロジ系の基礎（ネットワーク・データベース）も出題される。科目Bは長文読解式で全12問、試験時間90分。実務シナリオ（インシデント対応・内部不正・サプライチェーン攻撃など）に基づいた事例問題が出題される。
SG, like FE, consists of Subject A and Subject B. Subject A is four-choice multiple choice with 48 questions in 60 minutes. The scope centers on information security basics, management, technology, and related laws, with some basic Technology-domain content (network, database) also asked. Subject B is long-form reading comprehension with 12 questions in 90 minutes. Case problems based on practical scenarios (incident response, internal fraud, supply chain attacks) are asked.
合格基準は科目A・科目Bそれぞれ600点/1000点以上。受験料は税込7,500円。合格率は公表データで約50%前後と、国家資格としては比較的高い合格率を維持している。これは「管理職・業務担当者が挑戦しやすい難易度」を意識的に設計した結果である。
The passing criteria require 600/1000 or higher on each of Subject A and Subject B. The fee is 7,500 yen including tax. The published pass rate is about 50%, relatively high for a national qualification. This results from consciously designing for "a difficulty level easy for managers and business operators to challenge."
出題範囲：4つの領域
SGの出題範囲は大きく4つに分けられる。第1の「情報セキュリティの基本」では、CIA三要素（機密性・完全性・可用性）、真正性・責任・否認防止・信頼性を加えた7要素、脅威（人為的・自然的）と脆弱性の関係、情報資産とリスクの関係を扱う。
SG's scope is divided into four major areas. Area 1, "Information Security Basics," covers the CIA triad (Confidentiality, Integrity, Availability), the seven elements adding authenticity, accountability, non-repudiation, and reliability, the relationship between threats (human-caused/natural) and vulnerabilities, and the relationship between information assets and risk.
第2の「関連法令」では、個人情報保護法（2022年改正・漏えい報告義務化）、不正アクセス禁止法（ID/パスワードの盗用・助長行為）、不正競争防止法（営業秘密の3要件）、著作権法、サイバーセキュリティ基本法など企業が遵守すべき法令を理解する。「個人情報」「要配慮個人情報」「匿名加工情報」の定義は頻出。
Area 2, "Related Laws," covers laws enterprises must comply with: Personal Information Protection Act (2022 amendment, mandatory leakage reporting), Unauthorized Access Prohibition Act (theft of IDs/passwords and abetting acts), Unfair Competition Prevention Act (the three trade-secret requirements), Copyright Act, Basic Cybersecurity Act, etc. Definitions of "personal information," "special care-required personal information," and "anonymously processed information" are frequently asked.
第3の領域：情報セキュリティ管理（ISMS・リスク評価）
情報セキュリティマネジメントシステム（ISMS、ISO/IEC 27001準拠）の全体像を理解する。情報セキュリティ方針、資産管理、アクセス制御、物理的・環境的セキュリティ、インシデント管理、事業継続管理（BCP/BCM）など管理策の体系を把握する。PDCAサイクル（Plan-Do-Check-Act）による継続改善も頻出。
Understand the overall picture of the Information Security Management System (ISMS, ISO/IEC 27001 compliant). Grasp the framework of control measures: information security policy, asset management, access control, physical/environmental security, incident management, business continuity management (BCP/BCM). Continuous improvement via the PDCA cycle (Plan-Do-Check-Act) is also frequent.
リスク評価の手順は次の通り。（1）資産特定：守るべき情報資産を洗い出す。（2）脅威・脆弱性特定：各資産に対する脅威（マルウェア・内部不正・自然災害）と脆弱性（未パッチ・弱い認証）を列挙。（3）リスク分析：発生頻度と影響度からリスク値を算出。（4）リスク評価：許容できるリスクか判断。（5）リスク対応：低減・回避・移転（保険）・受容の4つの選択肢から選ぶ。
The risk assessment procedure is: (1) Asset identification: list out information assets to protect. (2) Threat/vulnerability identification: enumerate threats (malware, insider fraud, natural disasters) and vulnerabilities (unpatched, weak authentication) for each asset. (3) Risk analysis: calculate risk value from occurrence frequency and impact degree. (4) Risk evaluation: judge whether the risk is acceptable. (5) Risk response: choose from four options — reduce, avoid, transfer (insurance), or accept.
第4の領域：技術要素（認証・暗号・マルウェア対策）
SGはマネジメント寄りの試験だが、基本技術も出題される。認証では多要素認証（MFA・2FA）、生体認証、シングルサインオン（SSO）、公開鍵基盤（PKI）と電子証明書。暗号では共通鍵（AES）と公開鍵（RSA・楕円曲線）、ハッシュ（SHA-256）、電子署名の仕組みを理解。マルウェア対策ではウイルス・ワーム・トロイの木馬・ランサムウェア・スパイウェアの特徴を区別し、各種対策（パターンマッチング・振る舞い検知・サンドボックス）を把握する。
SG is a management-oriented exam, but basic technology is also asked. In Authentication: multi-factor authentication (MFA/2FA), biometric authentication, single sign-on (SSO), public-key infrastructure (PKI), and digital certificates. In Cryptography: understand symmetric-key (AES), public-key (RSA, elliptic curve), hash (SHA-256), and digital signature mechanisms. In Malware Countermeasures: distinguish characteristics of viruses, worms, Trojan horses, ransomware, and spyware, and grasp various countermeasures (pattern matching, behavioral detection, sandboxing).
学習リソース・次のステップ
標準学習時間は初学者で約100〜200時間。「情報セキュリティマネジメント試験過去問道場」「公式教科書」「市販テキスト」が標準リソース。SG合格後は、管理職志向であればAP（午後でセキュリティ＋サービスマネジメント＋システム監査を選択）、技術志向であればFE→情報処理安全確保支援士（SC、レベル4）が次の目標となる。
Standard study hours are about 100–200 for beginners. The "SG Past Question Dojo," official textbooks, and commercial texts are standard resources. After passing SG, those with managerial orientation can target AP (selecting security + service management + system audit in the afternoon); those with technical orientation should target FE → Registered Information Security Specialist (SC, Level 4).