{q:'社員が業務で生成 AI サービスを使う際の主なセキュリティリスクはどれか。',choices:['AIが返した答えが長くなること','機密情報・個人情報をプロンプトに入力し外部サービスに送信してしまうこと'],answer:1,exp:'生成AIサービスに送ったプロンプトは外部に送信されます。機密情報・顧客データの入力は情報漏洩につながるため、組織のガイドラインで明示的に禁止する必要があります。'},
{q:'OWASP Top 10 for LLM Applications に含まれるリスクはどれか。',choices:['ネットワーク帯域の不足','プロンプトインジェクション・安全でないプラグイン設計・過剰権限エージェント'],answer:1,exp:'OWASP は LLM 特有のリスクとして、プロンプトインジェクション・機密情報漏洩・不適切な出力処理・過剰なエージェント自律性などを挙げています。'}
{q:'経営幹部（CEO・CFO等）を狙って多額の送金を指示するメール詐欺はどれか。',choices:['スミッシング','BEC（ビジネスメール詐欺）'],answer:1,exp:'BEC は CEO や取引先に成りすました偽メールで送金指示を出す詐欺。電話等での二重確認が有効な対策です。'},
{q:'マルウェアを仕込んだ USB メモリを駐車場等に放置して拾わせる攻撃はどれか。',choices:['プリテキスティング','ベイティング（Baiting）'],answer:1,exp:'ベイティングは物理的な囮デバイスを使う手法。「会社名のラベルが貼られた USB」などを好奇心から挿してしまうことを狙います。'},
{q:'RPO（Recovery Point Objective）の説明として正しいのはどれか。',choices:['システムの復旧完了までの目標時間','障害発生時に許容できるデータ損失の時点（どこまで遡れるか）'],answer:1,exp:'RPO はデータの「どこまで失ってよいか」という目標値。RPO=1時間なら最大1時間分のデータ損失を許容し、1時間おきのバックアップが必要です。'},
{q:'多層防護（Defense in Depth）を物理セキュリティに適用した場合の正しい例はどれか。',choices:['サーバ室だけを高度に保護する','外周フェンス→建物ゲート→受付認証→サーバ室の段階的な防護'],answer:1,exp:'多層防護は単一の防護が破られても次の層で食い止める考え方。物理セキュリティでも複数の防護層を設けることが原則です。'}
{q:'IoC（Indicators of Compromise）の具体例として正しいのはどれか。',choices:['攻撃者グループの動機と目的','マルウェアのハッシュ値・悪意ある通信先の IP アドレス'],answer:1,exp:'IoC は侵害が発生した「証拠」となる具体的な技術的指標です。SIEM にフィードすることでインシデントの検知・調査に活用されます。'},
{q:'脅威情報を機械可読形式で記述するための標準仕様はどれか。',choices:['CVSS','STIX（Structured Threat Information eXpression）'],answer:1,exp:'STIX は脅威アクター・攻撃キャンペーン・IoC などを構造化して記述するための標準形式です。TAXII プロトコルと組み合わせて組織間で自動共有されます。'},
{q:'社員が業務で生成 AI を使う際の主なセキュリティリスクはどれか。',choices:['機密情報・個人情報を AI のプロンプトに入力し外部に送信してしまうこと','AI が間違った答えを返すこと'],answer:0,exp:'生成 AI サービスに入力した情報は学習データになる可能性があります。機密情報・顧客データのプロンプトへの入力は組織のポリシーで禁止すべきです。'},
{q:'OWASP Top 10 for LLM Applications に記載されているリスクとして正しいのはどれか。',choices:['ネットワークの帯域不足','プロンプトインジェクション・安全でないプラグイン設計・過度のエージェント自律性'],answer:1,exp:'OWASP は LLM 固有のリスクとして、プロンプトインジェクション・機密情報漏洩・不適切な出力処理・過剰権限エージェントなどを挙げています。'}
{q:'OWASP Top 10 for LLM Applications に記載されているリスクとして正しいのはどれか。',choices:['ネットワークの帯域不足','プロンプトインジェクション・安全でないプラグイン設計・過度のエージェント自律性'],answer:1,exp:'OWASP は LLM 固有のリスクとして、プロンプトインジェクション・機密情報漏洩・不適切な出力処理・過剰なエージェント自律性などを挙げています。'}
],
s25:[
{q:'無線 LAN の暗号化方式のうち IV 再利用の脆弱性で解読可能なため使用が禁止されているのはどれか。',choices:['WPA2','WEP'],answer:1,exp:'WEP は RC4 暗号の初期化ベクタ（IV）が短く再利用されるため短時間で解読可能です。現在は使用禁止です。'},
{q:'正規 AP になりすまし端末の通信を傍受する攻撃を何と呼ぶか。',choices:['DNSハイジャック','Evil Twin（偽 AP / 悪意あるアクセスポイント）'],answer:1,exp:'Evil Twin は正規 AP と同じ SSID で偽 AP を立て、接続した端末の通信を中間者として傍受します。証明書検証や VPN で対策します。'}
{q:'幹部や取引先を騙り不正送金や情報窃取を狙うメール詐欺はどれか。',choices:['スミッシング','BEC（ビジネスメール詐欺）'],answer:1,exp:'BEC は CEO や取引先に成りすました偽メールで送金指示や機密情報を騙し取ります。電話等での二重確認が有効な対策です。'},
{q:'マルウェアを仕込んだ USB を置き去りにして拾わせる攻撃はどれか。',choices:['プリテキスティング','ベイティング（Baiting）'],answer:1,exp:'ベイティングは物理的な囮デバイスを使う手法。「会社名のラベルが貼られた USB」を好奇心から挿してしまうことを狙います。'},
{q:'RPO（Recovery Point Objective）の説明として正しいのはどれか。',choices:['システムの復旧完了までの目標時間','障害発生時に許容できるデータ損失の目標時点'],answer:1,exp:'RPO は「どこまで遡れるか」というデータ軸の目標値です。RPO=1時間なら最大1時間分のデータ損失を許容し、1時間おきのバックアップが必要です。'},
{q:'RTO（Recovery Time Objective）の説明として正しいのはどれか。',choices:['許容できるデータ損失の量（時間）','システムを復旧完了させるまでの目標時間'],answer:1,exp:'RTO は「何時間以内に復旧するか」という時間軸の目標値。RTO が短いほど高コストな構成（ホットサイト等）が必要になります。'},
{q:'多層防護（Defense in Depth）を物理セキュリティに適用した正しい例はどれか。',choices:['サーバ室だけを高度に保護する','外周フェンス→建物ゲート→受付認証→サーバ室の段階的な防護層'],answer:1,exp:'多層防護は単一の防護が破られても次の層で食い止める考え方。物理でも複数の防護層を設けることが基本です。'}
{q:'IoC（Indicators of Compromise）の具体例として正しいのはどれか。',choices:['攻撃者グループの動機と目的','マルウェアのハッシュ値・悪意ある通信先の IP アドレス'],answer:1,exp:'IoC は侵害が発生した「証拠」となる具体的な技術的指標。SIEM にフィードすることでインシデントの検知・調査に活用されます。'},
{q:'脅威情報を機械可読形式で記述する標準仕様はどれか。',choices:['CVSS','STIX（Structured Threat Information eXpression）'],answer:1,exp:'STIX は脅威アクター・攻撃キャンペーン・IoC などを構造化して記述するための標準形式。TAXII プロトコルと組み合わせて組織間で自動共有されます。'},
posimai