学習ガイド：未履修から Security+ 合格まで

このページは「セキュリティを一度も勉強したことがない」人向けの出発点です。先に読んで、仕組みをイメージできるようになってから問題を解くと、間違えたときに「なぜ」が分かります。

試験の概要（SY0-701）

おすすめの進め方

問題の読み方のコツ

• 「最も適切（BEST）」「最初にすべき（FIRST）」「最も可能性が高い（MOST likely）」に注目する。複数の選択肢が正しそうでも、問われているのは優先順位です。
• シナリオの「制約」を拾う。「コストをかけずに」「既存システムを変更せずに」「可用性を落とさずに」などの一言が答えを決めます。
• 用語は英語でも覚える。日本語訳が揺れている用語（例: Non-repudiation = 否認防止）は、英語の方が確実です。
• 消去法を使う。4 択のうち 2 つは明らかに違うことが多いので、残り 2 つの違いに集中します。

一般的なセキュリティ概念 General Security Concepts

このドメインでは、セキュリティの「ものの見方」を身につけます。守るための対策をどう分類するか、何を守るのか（CIA）、信用しないことを前提にする考え方（ゼロトラスト）、変更を安全に進める手順、そして暗号技術の基本を学びます。他のドメインすべての土台になる内容です。

脅威・脆弱性・緩和策 Threats, Vulnerabilities & Mitigations

このドメインでは「誰が（脅威アクター）」「どこから（脅威ベクター）」「どの弱点を突いて（脆弱性）」攻撃してくるのか、そして攻撃をどう見抜き（指標）、どう防ぐか（緩和策）を学びます。試験では具体的なシナリオを読んで、攻撃者の種類や攻撃手法の名前、最も適切な対策を選ぶ問題が多く出ます。用語の意味だけでなく「状況から判断する」練習をしましょう。

セキュリティアーキテクチャ Security Architecture

このドメインでは、クラウドや仮想化などの「システムの作り方」がセキュリティにどう影響するか、ネットワーク機器をどこに置けば安全か、データをどう守るか、そして障害や災害からどう復旧するかを学びます。個々の技術の名前を覚えるだけでなく、「なぜその選択が安全なのか」を説明できることが目標です。試験では「ある状況に最も適した構成はどれか」という形で問われます。

セキュリティ運用 Security Operations

ドメイン4は、日々の現場でセキュリティを「回し続ける」ための知識を扱います。機器の設定を固める方法、資産や脆弱性の管理、ログの監視、ID とアクセスの管理、自動化、そしてインシデントが起きたときの対応までを学びます。出題比率は全ドメイン中で最大の 28% なので、シナリオ問題で「次に何をすべきか」を判断できるようになることが目標です。

プログラム管理と監督 Program Management & Oversight

このドメインでは、技術ではなく「組織としてセキュリティをどう運営するか」を学びます。ポリシーなどの文書体系、リスクの見積もり方、取引先の管理、法令遵守、監査やテスト、そして従業員教育まで、経営と現場をつなぐ仕組みが対象です。計算問題と用語の使い分けが出題の中心になります。