ITパスポート 合格ラボ

会社が何のために存在し、どんな形に組織を分け、どうやって人を育て、社会に対してどんな責任を負うのかが分かるようになる。

企業は「人（ヒト）・物（モノ）・金（カネ）・情報」という4つの経営資源を組み合わせて、商品やサービスを生み出し、利益を上げて存続していく組織です。何のために事業を行うのかを言葉にしたものが経営理念で、そこから中長期の経営戦略、部門ごとの計画へと落とし込まれていきます。

仕事の進め方の基本形がPDCAサイクルです。Plan（計画）→Do（実行）→Check（評価）→Act（改善）を繰り返し、少しずつ質を高めていきます。うまくいかなかった原因を確かめずに次の計画へ進むと改善が止まるため、CheckとActが特に重要とされます。

組織の形は、事業の性質に合わせて選びます。仕事の種類ごとに分ける職能別組織、製品や地域ごとに分けて利益責任まで持たせる事業部制組織、期間限定で人を集めるプロジェクト組織、縦横2つの指揮命令系統を持つマトリックス組織などがあります。経営層にはCEO（最高経営責任者）、CIO（最高情報責任者）、CFO（最高財務責任者）などの役割が置かれます。

人材面では、実際の仕事を通じて先輩が指導するOJTと、職場を離れて研修などで学ぶOff-JTを組み合わせて育成します。加えて、性別・年齢・国籍・障害の有無などの多様性を活かすダイバーシティマネジメント、仕事と生活の調和をめざすワークライフバランスも重視されています。

企業は利益だけでなく社会への責任も負います。これがCSR（企業の社会的責任）で、国連が採択した持続可能な開発目標SDGsへの取組みもその一つです。また、法令や社会規範を守るコンプライアンス、経営を監視して健全性を保つコーポレートガバナンス（企業統治）、そのための仕組みである内部統制も欠かせません。災害やシステム障害が起きても事業を止めない、あるいは早く復旧させるための計画がBCP（事業継続計画）で、それを策定・運用・改善していく活動全体をBCM（事業継続マネジメント）と呼びます。

経営資源

事業を行うために必要な元手のこと。ヒト（従業員）・モノ（設備や材料）・カネ（資金）・情報（データやノウハウ）の4つに分けて考えるのが基本で、これらをどう配分するかが経営の中心課題になる。

PDCAサイクル

Plan（計画）・Do（実行）・Check（評価）・Act（改善）の4段階を順に回して、仕事の質を継続的に高めていく考え方。1周して終わりではなく、Actの結果を次のPlanにつなげて何度も回すことに意味がある。

事業部制組織

製品別・地域別・顧客別などに組織を分け、それぞれの事業部に売上や利益の責任まで持たせる形。意思決定が速く現場に合わせやすい反面、事業部ごとに経理や人事が重複して非効率になりやすい。

マトリックス組織

職能別（技術・営業など）と事業別（製品Aなど）のように、縦と横の2つの所属を同時に持たせる組織形態。人材を柔軟に使える一方、上司が2人いるため指示が食い違うと混乱しやすい。

CIO（最高情報責任者）

Chief Information Officerの略で、企業の情報化戦略やIT投資の全体方針に責任を持つ経営層の役職。個々のシステムの運用担当ではなく、経営戦略と情報システムを結び付ける立場である。

OJT

On the Job Trainingの略で、実際の職場で仕事をしながら上司や先輩が指導する育成方法。仕事に直結した力が身につくが、指導者の力量に左右されやすく、体系的な知識は不足しがちである。

Off-JT

Off the Job Trainingの略で、職場を離れて集合研修やeラーニングなどで学ぶ育成方法。体系的な知識をまとめて習得できるが、学んだ内容が実務にすぐ結び付くとは限らない。

ダイバーシティマネジメント

性別・年齢・国籍・障害の有無・価値観などの多様性（ダイバーシティ）を受け入れ、その違いを組織の強みとして活かす経営の考え方。人材確保や新しい発想の獲得につながるとされる。

CSR（企業の社会的責任）

Corporate Social Responsibilityの略。企業は利益を追うだけでなく、環境保護・人権尊重・地域貢献など社会に対する責任も果たすべきだという考え方で、取組み状況は報告書として公開されることが多い。

SDGs（持続可能な開発目標）

2015年に国連で採択された、2030年までに達成をめざす国際的な目標。貧困や飢餓の解消、気候変動対策など17のゴールからなり、企業も事業を通じて貢献することが求められている。

コーポレートガバナンス（企業統治）

経営者が株主や社会の利益に反した行動をとらないよう、社外取締役や監査役などが経営を監視し、健全で透明な経営を保つ仕組み。不正の防止と企業価値の向上をねらいとする。

内部統制

業務が法令やルールに従って正しく行われるよう、社内に組み込む仕組みのこと。職務分掌（担当を分ける）や承認手続き、記録の保存などによって、不正や誤りを防ぎ早期に発見する。

BCP（事業継続計画）

地震・水害・大規模障害などが起きても重要な業務を止めない、あるいは目標時間内に復旧させるためにあらかじめ定めておく計画。代替拠点やバックアップ手順、連絡体制などを具体的に決めておく。

BCM（事業継続マネジメント）

BCPを作るだけで終わらせず、教育・訓練・点検・見直しまで含めて継続的に運用していくマネジメント活動。PDCAを回してBCPの実効性を高めていく点が特徴である。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類1：企業と法務　中分類1：企業活動

損益計算書と貸借対照表の読み方、損益分岐点の求め方、ROE・ROAなどの経営指標が計算できるようになる。

会社の成績表にあたるのが財務諸表です。代表的なものが、一定期間にどれだけもうけたかを表す損益計算書（P/L）、決算日時点でどんな財産と借金があるかを表す貸借対照表（B/S）、現金の出入りを表すキャッシュフロー計算書の3つです。

損益計算書では、売上高から順に費用を差し引いて5段階の利益を計算します。売上高−売上原価＝売上総利益（粗利）、そこから販売費及び一般管理費を引いて営業利益、さらに受取利息や支払利息などの本業以外の損益を加減して経常利益、特別損益を加減して税引前当期純利益、法人税等を引いて当期純利益となります。

貸借対照表は左右が必ず一致します。左側（借方）が資産、右側（貸方）が負債と純資産で、「資産＝負債＋純資産」が成り立ちます。資産は集めたお金をどう使っているか、負債と純資産はそのお金をどこから集めたかを表しています。

費用は、売上が変わっても金額が変わらない固定費（家賃・正社員の給与など）と、売上に比例して増える変動費（材料費・仕入原価など）に分けられます。売上高と費用がちょうど等しくなり、利益がゼロになる売上高が損益分岐点売上高です。変動費率＝変動費÷売上高とすると、損益分岐点売上高＝固定費÷(1−変動費率) で求められます。

経営の効率を測る指標には、自己資本（株主が出したお金）に対してどれだけ利益を上げたかを示すROE（自己資本利益率）＝当期純利益÷自己資本×100、総資産全体に対する効率を示すROA（総資産利益率）＝利益÷総資産×100 があります。安全性を見る指標としては、自己資本比率＝自己資本÷総資産×100 が使われ、高いほど借金に頼らない安定した会社といえます。

損益計算書（P/L）

1年間などの一定期間について、いくら売り上げ、いくら費用がかかり、結果いくらもうかったかを示す表。Profit and Loss statementの略で、会社の「もうける力」を見るために使う。

貸借対照表（B/S）

決算日という一時点で、会社がどんな資産を持ち、どれだけ借金（負債）と自分のお金（純資産）があるかを示す表。Balance Sheetの略で、左側の資産の合計と右側の負債＋純資産の合計は必ず一致する。

売上総利益

売上高から売上原価（仕入や製造にかかった費用）を差し引いた利益で、粗利（あらり）とも呼ぶ。商品そのものがどれだけもうかっているかを示し、販売活動の費用はまだ引かれていない。

営業利益

売上総利益から販売費及び一般管理費（広告費、事務員の給与、家賃など）を差し引いた利益。借入金の利息など本業以外の損益は含まないため、本業でどれだけ稼いだかを最もよく表す。

経常利益

営業利益に、受取利息や支払利息など本業以外で毎期発生する損益を加減した利益。臨時的な特別損益は含まないので、会社が普段どおりの活動で毎年どれだけ稼げるかを示す。

固定費

売上が増えても減っても金額がほとんど変わらない費用。事務所の家賃、正社員の基本給、設備の減価償却費などが該当し、売上が落ちても出ていくため、損益分岐点を押し上げる原因になる。

変動費

売上や生産量に比例して増減する費用。商品の仕入原価、原材料費、販売手数料などが該当する。売上高に占める変動費の割合を変動費率と呼び、損益分岐点の計算に使う。

損益分岐点売上高

売上高と総費用がちょうど等しくなり、利益も損失もゼロになる売上高のこと。固定費÷(1−変動費率) で求められ、この金額を超えた分だけ利益が出る。低いほど不況に強い会社といえる。

ROE（自己資本利益率）

当期純利益÷自己資本×100 で求める指標。株主が出したお金を使ってどれだけ効率よく利益を生んだかを示し、株主にとっての投資効率を測る代表的な指標として使われる。

ROA（総資産利益率）

利益÷総資産×100 で求める指標。借入金も含めた会社の全財産をどれだけ効率よく使って利益を上げたかを示し、資産の使い方のうまさを測る。

自己資本比率

自己資本÷総資産×100 で求める指標で、財産のうち返済不要な自分のお金がどれだけの割合かを示す。高いほど借金への依存が小さく、倒産しにくい安全な財務状態と判断される。

減価償却

建物や機械のように長年使う資産の購入額を、購入した年に全額費用にせず、使用できる年数（耐用年数）に分けて毎年少しずつ費用として計上する会計処理。定額法と定率法などの方法がある。

キャッシュフロー計算書

一定期間に現金がどれだけ入ってどれだけ出たかを、営業活動・投資活動・財務活動の3つに分けて示す表。利益が出ていても現金が足りずに倒産する「黒字倒産」を見抜くために使われる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類1：企業と法務　中分類1：企業活動（会計・財務）

QC七つ道具やABC分析、線形計画法、在庫管理の考え方を使って、業務の問題点を数字と図で見つけられるようになる。

業務改善の第一歩は、思い込みではなくデータで現状をつかむことです。そのための代表的な道具がQC七つ道具で、パレート図・特性要因図・散布図・ヒストグラム・管理図・チェックシート・層別（またはグラフ）の7つを指します。数値データを図にして、どこに問題があるかを見えるようにするのが目的です。

パレート図は、項目を件数や金額の大きい順に棒グラフで並べ、その累積比率を折れ線で重ねた図です。「上位の少数の項目が全体の大部分を占める」というパレートの法則にもとづき、優先して手を打つべき項目を見つけるのに使います。同じ考え方を在庫や商品の管理に応用したものがABC分析で、累積比率にもとづいて重要度をA・B・Cの3ランクに分け、Aランクを重点管理します。

特性要因図は、結果（特性）を魚の頭に、原因（要因）を骨のように書き出す図で、形から魚の骨図（フィッシュボーンチャート）とも呼ばれます。原因を「人・機械・材料・方法」などの大骨に整理し、そこから小骨へ掘り下げていきます。散布図は2つの項目の関係（相関）を、ヒストグラムはデータのばらつきの分布を、管理図は時系列の変化が管理限界内に収まっているかを見るために使います。

アイディアを出す場面では、批判をしない・自由奔放・質より量・便乗歓迎（結合改善）という4つの原則を守るブレーンストーミングが使われます。出た意見をカードに書いてグループ化し、関係を整理していく方法がKJ法です。

数値を使って最適な組合せを求める手法もあります。線形計画法は、原材料や作業時間などの制約条件を1次式で表し、利益を最大にする（あるいは費用を最小にする）生産量の組合せを求める手法です。在庫管理では、在庫が決められた量（発注点）まで減ったら毎回同じ量を発注する定量発注方式と、毎月末など決まった時期に必要量を計算して発注する定期発注方式があります。定量発注方式は事務が簡単で単価の安い品目に、定期発注方式は需要変動が大きく金額の大きい品目に向いています。

QC七つ道具

品質管理（Quality Control）で使う7つの図表のこと。パレート図・特性要因図・散布図・ヒストグラム・管理図・チェックシート・層別（またはグラフ）を指し、主に数値データを図にして問題点を見つけるために使う。

パレート図

項目を件数や金額の大きい順に棒グラフで並べ、その累積比率を折れ線で重ねた図。全体に大きく影響している項目が一目で分かるため、限られた時間や予算をどこに使うべきかを決める場面で使う。

ABC分析

商品や在庫を売上金額などの大きい順に並べ、累積比率にもとづいてA・B・Cの3つのランクに分ける手法。金額の大きいAランクを重点的に管理し、Cランクは簡便に扱うことで管理の手間を効率化する。

特性要因図

問題という結果（特性）に対して、その原因（要因）を骨のように枝分かれさせて書き出す図。魚の骨の形に似ることから魚の骨図やフィッシュボーンチャートとも呼ばれ、原因の抜け漏れを防ぐのに役立つ。

散布図

2つの項目を縦軸と横軸にとり、データを点で打った図。点が右上がりに集まれば正の相関、右下がりなら負の相関があると判断でき、2つの項目に関係があるかどうかを調べるのに使う。

ヒストグラム

データをいくつかの区間に区切り、各区間に入る個数を棒の高さで表した図。データがどのあたりに集まり、どれくらいばらついているか、規格から外れていないかといった分布の様子を見るために使う。

管理図

時間の経過に沿って測定値を打点し、上下の管理限界線と一緒に見る図。点が管理限界を超えたり一方に偏ったりしたときに、工程に異常な原因が生じたと判断して手を打つために使う。

ブレーンストーミング

複数人で自由にアイディアを出し合う会議手法。批判をしない、自由奔放な発言を歓迎する、質より量を重視する、他人の案に便乗して発展させる、という4原則を守ることで発想の幅を広げる。

KJ法

集めた意見や事実を1件ずつカードに書き、似たものどうしをグループにまとめ、関係を図にして整理していく発想整理の手法。ばらばらの情報から新しい構造や結論を見つけ出すために使う。

線形計画法

材料や作業時間などの制約条件と、利益や費用の目的を1次式（直線の式）で表し、目的が最大または最小になる組合せを求める数学的手法。製品の最適な生産量の決定などに使われる。

定量発注方式

在庫があらかじめ決めた量（発注点）まで減った時点で、毎回決まった量を発注する在庫管理の方法。発注のタイミングは需要により変わるが手続きが簡単なため、単価が安く需要が安定した品目に向く。

定期発注方式

毎月末など決まった時期ごとに、今後必要な量を予測して発注量を計算し発注する方法。発注のたびに量を計算する手間はかかるが、需要の変動に対応しやすく、単価が高い重要な品目に向く。

デシジョンツリー（決定木）

意思決定の分岐と、それぞれの場合に起こりうる結果を木の枝のように描いた図。各枝の確率と利益を掛けて期待値を計算し、どの案を選ぶのが有利かを比べるために使う。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類1：企業と法務　中分類1：企業活動（業務分析・データ利活用）

著作権と産業財産権（特許・実用新案・意匠・商標）の違い、権利がいつ生まれていつまで続くかを整理して答えられるようになる。

人が頭を使って生み出したものを保護する権利をまとめて知的財産権といいます。大きく分けると、表現そのものを守る著作権と、産業に役立つ技術やデザイン・目印を守る産業財産権（特許権・実用新案権・意匠権・商標権）があります。

著作権は、小説・音楽・絵画・写真・映画・プログラムなど、思想や感情を創作的に表現したものを保護します。大きな特徴は、作品を創作した時点で自動的に権利が発生し、登録や申請がいらない点です（無方式主義）。保護期間は原則として著作者の死後70年、法人など団体の名義で公表された著作物は公表後70年です。なお、プログラムを作るための「プログラム言語」「規約（インタフェースの取決め）」「解法（アルゴリズム）」そのものは著作権法の保護対象から除かれており、保護されるのは具体的に書かれたプログラムのほうです。

会社の従業員が仕事として作った著作物は、一定の条件（会社の発意にもとづき、職務上作成し、会社名義で公表され、契約や就業規則に別の定めがない）を満たすと、会社が著作者になります。これを職務著作（法人著作）といいます。

産業財産権はいずれも特許庁に出願し、登録されて初めて権利が発生します。特許権は自然法則を利用した高度な技術的アイディア（発明）を保護し、存続期間は出願日から20年です。実用新案権は物品の形状・構造・組合せに関する考案を保護し、実体的な審査を経ずに登録され、存続期間は出願日から10年です。意匠権は工業製品のデザインを保護し、存続期間は出願日から25年です。商標権は商品やサービスの目印となるマークや名称を保護し、存続期間は設定登録の日から10年ですが、更新登録を繰り返せば半永久的に持ち続けられます。

他人の営業秘密を盗む行為や、有名な商品表示によく似た表示を使って混同させる行為などは、不正競争防止法で規制されます。営業秘密として保護されるには、秘密として管理されていること（秘密管理性）、事業に有用な技術上または営業上の情報であること（有用性）、公然と知られていないこと（非公知性）の3つをすべて満たす必要があります。

知的財産権

人が創り出したアイディアや表現など、形のない財産を保護する権利の総称。著作権のほか、特許権・実用新案権・意匠権・商標権といった産業財産権、営業秘密の保護などが含まれる。

著作権

小説・音楽・絵画・写真・映画・プログラムなど、思想や感情を創作的に表現した著作物を保護する権利。創作した瞬間に自動的に発生し、登録や申請、著作権表示（丸C表記）は権利の発生に必要ない。

無方式主義

著作権が、登録や届出などの手続きを一切しなくても、著作物を創作した時点で自動的に発生するという原則。日本もこの原則を採用しているため、個人が撮った写真にも創作性があれば著作権が生じる。

著作者人格権

著作者の気持ちや名誉を守る権利で、公表するかどうかを決める公表権、名前の表示方法を決める氏名表示権、無断で内容を変えられない同一性保持権からなる。他人に譲渡することができない点が特徴である。

職務著作（法人著作）

会社の発意にもとづき従業員が職務として作成し、会社名義で公表された著作物について、契約や就業規則に別の定めがなければ会社が著作者になるという扱い。この場合の保護期間は公表後70年である。

産業財産権

特許権・実用新案権・意匠権・商標権の4つの総称。いずれも特許庁に出願して登録されることで権利が発生する点が、登録不要の著作権と大きく異なる。工業所有権と呼ばれることもある。

特許権

自然法則を利用した技術的思想の創作のうち高度なもの（発明）を保護する権利。出願日から20年間存続し、コンピュータを使った新しいビジネスの仕組みも、技術的な工夫があればビジネスモデル特許として認められうる。

実用新案権

物品の形状・構造・組合せに関する小さな工夫（考案）を保護する権利。中身の審査をせずに登録される無審査主義がとられており、存続期間は出願日から10年と特許権より短い。

意匠権

工業製品の形状・模様・色彩など、目で見て美しさを感じさせるデザインを保護する権利。存続期間は出願日から25年で、画面デザインや建築物の外観も保護の対象になりうる。

商標権

自社の商品やサービスを他社のものと区別するための文字・図形・記号などの目印を保護する権利。存続期間は設定登録の日から10年だが、更新登録を繰り返すことで半永久的に維持できる点が特徴である。

不正競争防止法

営業秘密の不正取得・使用、有名な商品表示と紛らわしい表示の使用、商品形態の模倣、原産地の偽装などを禁止する法律。登録がなくても保護される点で、産業財産権と役割が異なる。

営業秘密

不正競争防止法で保護される企業の秘密情報。秘密として管理されていること（秘密管理性）、事業に有用であること（有用性）、公然と知られていないこと（非公知性）の3要件をすべて満たす必要がある。

クロスライセンス

複数の企業が互いに自社の特許などの実施を許諾し合う契約。相手の特許を使えるようになるため、権利侵害の争いを避けつつ、それぞれの技術を組み合わせた製品開発を進めやすくなる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類1：企業と法務　中分類2：法務（知的財産権）／著作権法・特許法・実用新案法・意匠法・商標法・不正競争防止法

不正アクセス禁止法・個人情報保護法・刑法のコンピュータ関連犯罪・サイバーセキュリティ基本法が、それぞれ何を対象にしているか区別できるようになる。

情報セキュリティに関する法律は、対象がそれぞれ異なります。どの行為がどの法律に当たるかを区別できることが大切です。

不正アクセス禁止法は、他人のIDとパスワードを無断で使ってネットワーク経由でコンピュータにログインする行為（なりすまし）や、セキュリティホールを突いて侵入する行為を禁止しています。さらに、他人のIDやパスワードを本人に無断で第三者に提供する行為、不正に取得・保管する行為、フィッシングのようにだまして入力させる行為も禁止されています。ネットワークを介さず、目の前のパソコンを直接操作する場合は、この法律の対象にはなりません。

個人情報保護法は、生存する個人に関する情報のうち、氏名や生年月日などで特定の個人を識別できるもの、または個人識別符号（マイナンバー、旅券番号、指紋データなど）を含むものを個人情報として、その取扱いのルールを定めています。人種・信条・社会的身分・病歴・犯罪の経歴・犯罪被害の事実など、不当な差別や偏見が生じるおそれのある情報は要配慮個人情報とされ、取得には原則として本人の同意が必要で、オプトアウトによる第三者提供もできません。個人情報を第三者に提供するときは原則として本人の同意が必要です。特定の個人を識別できないように加工し、元に戻せないようにした匿名加工情報は、一定のルールのもとで本人の同意なく第三者に提供できます。監督機関として個人情報保護委員会が置かれています。

刑法にもコンピュータに関する犯罪の規定があります。コンピュータウイルスを正当な理由なく作成・提供・取得・保管する行為は不正指令電磁的記録に関する罪（いわゆるウイルス作成罪）に当たります。データを不正に書き換えて自分の財産上の利益を得る行為は電子計算機使用詐欺罪、コンピュータやデータを壊して業務を妨害する行為は電子計算機損壊等業務妨害罪、記録を勝手に書き換える行為は電磁的記録不正作出罪に当たります。

サイバーセキュリティ基本法は、国のサイバーセキュリティ政策の基本的な考え方と、国・地方公共団体・重要社会基盤事業者などの責務を定めた法律です。個別の犯罪を処罰する法律ではなく、国全体の体制と方針を整えるための法律である点が特徴です。

不正アクセス禁止法

他人のIDやパスワードを無断で使ってネットワーク経由でコンピュータを利用する行為などを禁止する法律。IDやパスワードを本人に無断で他人に教える行為（不正アクセス助長行為）も処罰の対象になる。

個人情報

生存する個人に関する情報で、氏名や生年月日などにより特定の個人を識別できるもの、または個人識別符号を含むもの。他の情報と照合することで容易に個人を識別できるものも個人情報に含まれる。

個人識別符号

それ単体で特定の個人を識別できる文字・番号・記号などで、指紋や顔の特徴を変換したデータ、マイナンバー、旅券番号、運転免許証番号などが該当する。これを含む情報は個人情報として扱われる。

要配慮個人情報

人種、信条、社会的身分、病歴、犯罪の経歴、犯罪被害の事実など、本人に対する不当な差別や偏見が生じるおそれのある情報。取得には原則として本人の同意が必要で、オプトアウトによる第三者提供は認められない。

匿名加工情報

特定の個人を識別できないよう個人情報を加工し、元の個人情報に復元できないようにした情報。定められた基準に従って加工し公表などの手続きを踏めば、本人の同意なく第三者に提供して分析などに活用できる。

仮名加工情報

他の情報と照合しない限り特定の個人を識別できないように個人情報を加工した情報。社内での分析などに使いやすくする一方、原則として第三者への提供は認められていない点が匿名加工情報と異なる。

個人情報保護委員会

個人情報の適正な取扱いを確保するために設置された国の機関。事業者に対する報告徴収・立入検査・指導・勧告・命令などを行い、個人情報保護法のガイドラインを示す役割を担う。

オプトアウト

本人の求めがあれば提供を停止することなどを事前に通知・公表したうえで、本人の個別の同意を得ずに個人データを第三者へ提供する方法。要配慮個人情報や不正取得した情報には利用できない。

不正指令電磁的記録に関する罪

正当な理由なくコンピュータウイルスを作成・提供・供用・取得・保管する行為を処罰する刑法の罪。いわゆるウイルス作成罪と呼ばれ、実際に感染被害が発生していなくても成立しうる。

電子計算機使用詐欺罪

コンピュータに虚偽の情報や不正な指令を与えてデータを作り、財産上不法の利益を得る行為を処罰する刑法の罪。他人のクレジットカード情報を悪用したネット決済などが典型例とされる。

電子計算機損壊等業務妨害罪

業務に使うコンピュータやデータを壊したり、虚偽の情報を与えたりして、その動作を妨げ業務を妨害する行為を処罰する刑法の罪。大量アクセスによりサーバを停止させる行為などが問題になる。

サイバーセキュリティ基本法

日本のサイバーセキュリティ政策の基本理念と、国・地方公共団体・重要社会基盤事業者・教育研究機関などの責務を定めた法律。特定の行為を処罰するのではなく、国全体の体制と方針を整えることを目的とする。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類1：企業と法務　中分類2：法務（セキュリティ関連法規）／不正アクセス禁止法・個人情報保護法・刑法・サイバーセキュリティ基本法

派遣と請負の違い、労働基準法の基本、2026年1月に施行された中小受託取引適正化法、そして標準化団体と主要な規格が区別できるようになる。

働き方に関する基本の法律が労働基準法です。労働時間の上限（原則1日8時間・週40時間）、休憩・休日、賃金の支払い方などの最低基準を定めています。法定労働時間を超えて働かせるには、労使協定（いわゆる36協定）を結んで労働基準監督署に届け出る必要があります。始業と終業の時刻を働く人自身が決められるフレックスタイム制や、実際の労働時間ではなくあらかじめ決めた時間働いたとみなす裁量労働制も定められています。

外部の人に仕事をしてもらう形には、労働者派遣と請負があります。この2つの最大の違いは指揮命令の関係です。労働者派遣では、派遣元と雇用契約を結んだ派遣労働者が、派遣先の指揮命令を受けて働きます。一方、請負では、注文者は請負業者の労働者に直接指示を出すことができず、指揮命令は請負業者が行い、請負業者は仕事の完成に対して責任を負います。契約は請負なのに実態は注文者が直接指示している状態を偽装請負といい、違法とされます。また、派遣された労働者をさらに別の会社へ派遣する二重派遣も禁止されています。

取引の公正さを守る法律もあります。従来の下請法は改正され、2026年1月1日から「中小受託取引適正化法」（略称：取適法）という名称になりました。あわせて「親事業者」は「委託事業者」、「下請事業者」は「中小受託事業者」という呼び方に改められています。改正では、受託側から協議の求めがあるのに一方的に代金を決める行為の禁止、支払手段としての手形払いの禁止、振込手数料を受託側に一方的に負担させることの制限などが加えられました。

そのほか、事業者どうしの公正な競争を守るのが独占禁止法（私的独占の禁止及び公正取引の確保に関する法律）で、カルテルや不公正な取引方法を禁止し、公正取引委員会が運用します。製造物責任法（PL法）は、製造物の欠陥によって生命・身体・財産に被害が生じた場合、製造業者に故意や過失がなくても損害賠償責任を負わせる法律です。訪問販売や電話勧誘販売などを規制し、一定期間内であれば無条件で契約を解除できるクーリングオフを定めているのが特定商取引法です。

製品やデータの形式をそろえる取組みが標準化です。国際的な標準を作る団体にはISO（国際標準化機構）、電気・電子分野のIEC（国際電気標準会議）、通信分野のITU（国際電気通信連合）があり、日本国内の産業標準がJIS（日本産業規格）です。学会が定める規格としてIEEE（米国電気電子学会、LANのIEEE 802シリーズなど）、Webの技術仕様を策定するW3Cがあります。マネジメントシステム規格では、品質のISO 9000シリーズ、環境のISO 14000シリーズ、情報セキュリティのISO/IEC 27000シリーズが代表的です。個人情報の保護については JIS Q 15001 があり、これに適合した体制を持つ事業者に付与されるのがプライバシーマークです。

労働基準法

労働時間・休憩・休日・賃金など、働く人を守るための最低限の基準を定めた法律。原則1日8時間・週40時間を超えて働かせるには労使協定（36協定）を結び、労働基準監督署へ届け出る必要がある。

36協定

労働基準法第36条にもとづき、法定労働時間を超える時間外労働や休日労働をさせるために、会社と労働者の過半数代表などが結ぶ協定。締結したうえで労働基準監督署に届け出て初めて有効になる。

裁量労働制

仕事の進め方を働く人の裁量に任せ、実際に働いた時間ではなく、あらかじめ労使で決めた時間を働いたものとみなす制度。研究開発など、成果と時間が比例しにくい業務を対象とする。

労働者派遣

派遣元と雇用契約を結んだ労働者が、派遣先の指揮命令を受けて働く形態。雇用主は派遣元だが、日々の作業指示は派遣先が出す点が特徴で、労働者派遣法によってルールが定められている。

請負

仕事を完成させることを約束し、その結果に対して報酬を受け取る契約。注文者は請負業者の労働者に直接指示を出すことができず、指揮命令は請負業者が行う。完成した成果物に対して責任を負う点が特徴である。

偽装請負

契約の形式は請負なのに、実際には注文者が相手の労働者に直接指示を出している状態。労働者派遣法などの規制を逃れる違法な行為とされ、指揮命令が誰から出ているかで判断される。

中小受託取引適正化法（取適法）

従来の下請法が改正され、2026年1月1日から用いられている法律の名称。従来の親事業者は委託事業者、下請事業者は中小受託事業者と呼ばれ、代金の一方的な決定の禁止や手形払いの禁止などが加えられた。

独占禁止法

正式名称は私的独占の禁止及び公正取引の確保に関する法律。企業どうしが 価格を申し合わせるカルテルや、不公正な取引方法などを禁止して公正な競争を守る法律で、公正取引委員会が運用する。

製造物責任法（PL法）

製造物の欠陥が原因で生命・身体・財産に被害が生じたとき、被害者が製造業者の故意や過失を証明しなくても損害賠償を請求できるとした法律。欠陥の存在と損害との因果関係を示せばよい点が特徴である。

特定商取引法

訪問販売、電話勧誘販売、通信販売、連鎖販売取引などを規制し、消費者トラブルを防ぐ法律。訪問販売などでは、書面を受け取ってから一定期間内であれば無条件で契約を解除できるクーリングオフが認められている。

標準化

製品の寸法や品質、データの形式、手順などを共通のルールとしてそろえること。互換性が高まり、部品の使い回しや相互接続ができるようになるほか、品質の確保や取引の効率化にもつながる。

ISO（国際標準化機構）

工業製品やマネジメントシステムなど幅広い分野の国際規格を定める機関。品質マネジメントのISO 9000シリーズ、環境マネジメントのISO 14000シリーズなどが代表的な規格である。

JIS（日本産業規格）

日本国内の鉱工業品やデータ、サービスなどについて定められた国家規格。国際規格との整合が図られており、ISO/IEC 27000シリーズに対応するJIS Q 27000のように、番号を対応させた規格が多い。

IEEE

米国電気電子学会のことで、電気・電子・情報分野の標準を定める学会。有線LANや無線LANの規格であるIEEE 802シリーズが広く知られており、通信機器の相互接続を支えている。

W3C

World Wide Web Consortiumの略で、HTMLやCSS、XMLなどWebに関する技術仕様を策定する国際的な団体。特定の企業に依存しない共通仕様を定めることで、Webの相互運用性を保っている。

JIS Q 15001とプライバシーマーク

JIS Q 15001は個人情報保護マネジメントシステムの要求事項を定めた日本の規格。この規格に適合した体制を整えていると審査で認められた事業者に付与される制度がプライバシーマーク（Pマーク）である。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類1：企業と法務　中分類2：法務（労働関連・取引関連法規、標準化）／労働基準法・労働者派遣法・中小受託取引適正化法（2026年1月1日施行）・独占禁止法・製造物責任法・特定商取引法

会社が「どこで・誰に・何を売って戦うか」を決めるときに使う代表的な分析手法を、名前と目的の対応で覚えられるようになります。

経営戦略とは、会社が限られたお金・人・モノをどこに集中させるかを決める大きな方針のことです。方針をいきなり思いつきで決めるとうまくいかないので、まず「自社の状態」と「自社を取り巻く環境」を整理します。この整理のやり方に名前を付けたものが分析手法で、ITパスポートでは手法の名前と「何を見る手法か」の対応がそのまま問われます。

代表的なのが SWOT分析・3C分析・PPM・4P です。SWOT分析は自社の内側（強み・弱み）と外側（機会・脅威）を4つのマスに並べます。3C分析は、顧客・競合という外部の要素と自社という内部の要素を突き合わせて、市場での自社の立ち位置を見ます。PPMは複数の製品や事業を「市場成長率」と「市場占有率（シェア）」の2軸のマスに置いて、どれにお金を投じ、どれをやめるかを判断します。4Pは商品をどう売るかを、製品・価格・流通・販促の4つの要素で組み立てるものです。

戦略の方向を決める道具もあります。コアコンピタンスは「他社がまねできない自社の中核の強み」で、そこに集中するのが基本の考え方です。成長マトリクス（アンゾフ）は、市場と製品をそれぞれ既存か新規かで組み合わせ、4つの成長の方向を示します。バリューチェーン分析は、調達から販売・サービスまでの活動を分解して、どこで価値が生まれ、どこにコストがかかっているかを見ます。経営資源が小さい会社は、大手が来ない狭い市場を狙うニッチ戦略をとることがあります。

SWOT分析

自社の強み(Strength)・弱み(Weakness)と、市場の機会(Opportunity)・脅威(Threat)の4つを整理する手法。強みと弱みは自社の内部環境、機会と脅威は競合や法改正などの外部環境を指す。

3C分析

顧客(Customer)・競合(Competitor)・自社(Company)の3つの視点から事業環境を分析する手法。市場に誰がいて、競合は何が強く、自社は何ができるのかを突き合わせて戦略を考える。

PPM

プロダクトポートフォリオマネジメントの略。市場成長率と市場占有率の2軸で製品や事業を「花形」「金のなる木」「問題児」「負け犬」に分け、投資と撤退の判断に使う手法。

4P

売り手の視点で販売の組み立てを考える4要素。Product(製品)・Price(価格)・Place(流通)・Promotion(販売促進)を指し、これらの組合せをマーケティングミックスという。

4C

4Pを買い手の視点に置き換えた4要素。Customer Value(顧客価値)・Cost(顧客が負担する費用)・Convenience(買いやすさ)・Communication(顧客との対話)を指す。

コアコンピタンス

他社が容易にまねできない、その企業の中核となる強みのこと。独自の製造技術や長年の顧客基盤などが該当し、経営資源をここに集中させるのが基本の戦略とされる。

成長マトリクス

アンゾフが示した成長戦略の分類。市場と製品を既存・新規で組み合わせ、市場浸透・市場開拓・新製品開発・多角化の4つの方向を示す。

バリューチェーン分析

購買・製造・出荷・販売・サービスといった一連の活動を分解し、どの活動で価値が生まれ、どの活動にコストがかかっているかを分析する手法。価値連鎖分析ともいう。

ニッチ戦略

大企業が参入しにくい特定の狭い市場（すきま市場）に経営資源を集中し、その中で優位を築く戦略。経営資源の限られた企業が採りやすい。

ベンチマーキング

自社の業務やサービスを、その分野で最も優れた他社の水準と比較し、差を明らかにして改善につなげる手法。比較の基準となる相手をベンチマークという。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類2：経営戦略　中分類3：経営戦略マネジメント（経営戦略手法、マーケティング）

他社と組んで事業を伸ばす手段と、業務のやり方そのものを作り直す考え方、そして CRM・SCM・ERP・SFA の役割の違いが分かるようになります。

会社が事業を大きくする方法は、自社だけで頑張ることだけではありません。他社を買ったり一緒になったりする M&A、独立性を保ったまま協力するアライアンス、製造だけを引き受ける OEM、逆に工場を持たず製造を外部に任せるファブレスなど、他社の力を借りる形がいくつもあります。自社の業務の一部を外部の専門企業に任せることをアウトソーシングといい、そのうち業務プロセスをまとめて委託する形を BPO と呼びます。

業務のやり方そのものを見直すのが BPR です。今のやり方を少しずつ改善するのではなく、「そもそもこの作業は必要か」というところまで戻って業務の流れを根本から設計し直します。BPR の結果として、一部の業務を BPO に出したり、システムを入れ替えたりします。

経営管理システムは名前が似ていて混同しやすいので、「誰の何を管理するか」で覚えます。CRM は顧客との関係、SCM は調達から販売までのモノの流れ、ERP は会計・人事・生産・販売といった社内の基幹業務全体、SFA は営業活動を対象にします。また、社員一人ひとりが持つ経験やノウハウを組織で共有して活用する取組みをナレッジマネジメントといいます。

M&A

Mergers and Acquisitions の略で、合併と買収のこと。他社を買収したり他社と合併したりして、技術や販路を短期間で手に入れ事業を拡大する手法。

アライアンス

複数の企業がそれぞれ独立性を保ったまま、技術や販路を持ち寄って協力関係を結ぶこと。企業提携ともいう。合併と違い、別々の会社のまま協力する点が特徴。

OEM

相手先ブランドによる製造のこと。受託した企業が製品を作り、発注元のブランド名を付けて供給する形態。発注側は設備投資なしに品揃えを増やせる。

ファブレス

自社では製造設備（工場）を持たず、企画・設計・販売に専念して製造は外部に委託する企業の形態。設備投資の負担を避けられる。

アウトソーシング

自社の業務の一部を外部の専門企業に委託すること。自社は得意な業務に集中でき、専門企業のノウハウも活用できる。

BPO

ビジネスプロセスアウトソーシングの略。経理や問合せ対応など、業務プロセスをひとまとまりで外部の専門企業に継続的に委託する形態。

BPR

ビジネスプロセスリエンジニアリングの略。既存の業務手順を前提とせず、業務の流れや組織を根本から設計し直して大幅な改善を狙う取組み。

CRM

顧客関係管理のこと。顧客の属性や購買履歴・問合せ履歴を一元管理して、一人ひとりに合った対応を行い、長く取引を続けてもらうことを狙う仕組み。

SCM

供給連鎖管理のこと。資材の調達から生産・物流・販売までの流れを、取引先も含めて全体で管理し、在庫の削減と納期の短縮を図る仕組み。

ERP

企業資源計画のこと。会計・人事・生産・販売などの基幹業務のデータを一つに統合して管理し、経営資源を全社最適の視点で活用する仕組み。その機能をまとめた製品をERPパッケージという。

SFA

営業支援システムのこと。商談の進み具合や訪問履歴を担当者間で共有し、案件の管理や次の行動の判断を助けて営業活動の質を高める仕組み。

ナレッジマネジメント

個人が経験の中で身に付けたノウハウ（暗黙知）を文書や事例として見える形（形式知）にし、組織全体で共有・活用して競争力を高める取組み。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類2：経営戦略　中分類3：経営戦略マネジメント（経営戦略手法、経営管理システム）

KGI・CSF・KPI の関係を筋道立てて説明でき、技術を事業に結び付けるときに現れる「魔の川・死の谷・ダーウィンの海・キャズム」を区別できるようになります。

立てた戦略が進んでいるかどうかは、数字で確かめないと分かりません。そこで、最終的に達成したい目標を数値で表した KGI（重要目標達成指標）を決め、それを達成するために特に重要な要因を CSF（重要成功要因）として洗い出し、その要因がうまくいっているかを測る中間の物差しとして KPI（重要業績評価指標）を置きます。「ゴール（KGI）→ 勝ち筋（CSF）→ 途中経過の物差し（KPI）」の順に並べて覚えると混同しません。

目標を財務の数字だけで見ると偏るため、財務・顧客・業務プロセス・学習と成長の4つの視点でバランスよく評価するバランススコアカード（BSC）という手法があります。ほかに、社員が上司と話し合って自ら目標を決め達成度で評価する MBO（目標による管理）、品質管理を製造部門だけでなく全社的な活動として続ける TQM（総合的品質管理）などがあります。

技術戦略マネジメント（MOT）は、技術を持っているだけで終わらせず、事業として稼げる形にするための考え方です。技術が事業になるまでには段階ごとに壁があり、研究から開発へ進む壁を魔の川、開発から事業化へ進む壁を死の谷、事業化した後に他社との競争を勝ち抜く壁をダーウィンの海と呼びます。また、新製品が新しもの好きの層から一般の多数派へ広がる際の大きな溝をキャズムといいます。いつどの技術を実用化するかを時間軸に沿って図にした計画が技術ロードマップです。

近年は、自社だけで開発を抱え込まず外部の知恵や技術を取り入れるオープンイノベーション、機能をAPIとして公開し他社サービスと組み合わせて価値を生むAPIエコノミー、利用者の困りごとの観察から発想するデザイン思考、最小限の試作品で早く仮説検証を回すリーンスタートアップといった進め方が重視されています。

KGI

重要目標達成指標のこと。「年間売上高を1億円にする」のように、最終的に達成すべきゴールを数値で表したもの。

CSF

重要成功要因のこと。目標を達成するうえで特に重要になる要因を明らかにしたもの。「リピート購入を増やすこと」のように、勝ち筋を言葉で示す。

KPI

重要業績評価指標のこと。KGIの達成に向けて、途中経過が順調かどうかを測る中間の物差し。「月間の新規会員数」「解約率」などを数値で設定する。

バランススコアカード

財務・顧客・業務プロセス・学習と成長の4つの視点から目標と指標を設定し、業績を偏りなく評価・管理する手法。BSCと略す。

MBO（目標による管理）

従業員が上司と話し合って自ら目標を設定し、その達成度で評価する管理手法。自主性を引き出す狙いがある。なお同じ略語で経営陣による自社買収（マネジメントバイアウト）を指す場合もある。

TQM

総合的品質管理のこと。品質を製造部門だけの責任とせず、営業や事務も含めた全社的な活動として継続的に改善していく経営手法。

MOT

技術経営のこと。企業が持つ技術を事業の成果に結び付けるために、研究開発への投資や事業化の進め方を経営の視点で管理する考え方。

技術ロードマップ

どの技術をいつまでにどの水準まで開発するかを、時間軸に沿って図で示した計画。関係者が開発の見通しを共有するために使う。

プロダクトイノベーション

これまでにない新しい製品やサービスを生み出す革新のこと。製品そのものの価値を変える点が特徴。

プロセスイノベーション

製造工程や業務の進め方を変えて、生産性や品質を大きく高める革新のこと。作るモノではなく作り方を変える点が特徴。

魔の川・死の谷・ダーウィンの海

技術が事業になるまでの三つの壁。研究から開発へ進む壁が魔の川、開発から事業化へ進む壁が死の谷、事業化した後に競争を勝ち抜き産業として定着するまでの壁がダーウィンの海。

キャズム

新しい製品が、新しもの好きの初期市場から一般の消費者が中心の主流市場へ広がるときに立ちはだかる深い溝のこと。ここを越えられずに消える製品が多い。

オープンイノベーション

自社だけで研究開発を抱え込まず、他社や大学、利用者など外部の技術やアイディアを積極的に取り入れて新しい価値を生み出す進め方。

APIエコノミー

自社サービスの機能をAPI（他のソフトウェアから呼び出すための接続口）として公開し、企業どうしが機能を組み合わせて新たなサービスと価値を生み出す経済圏のこと。

デザイン思考

利用者を観察して本当の困りごとを見つけ、試作と検証を繰り返しながら解決策を作り上げる発想法。見た目のデザインの話ではない点に注意する。

リーンスタートアップ

最小限の機能をもつ試作品を短期間で作って顧客の反応を確かめ、学びを基に改善または方向転換を繰り返す事業開発の進め方。無駄な作り込みを避けられる。

特許戦略

自社の技術を特許として権利化し、他社の模倣を防いだり、他社に使用を許諾して収益を得たりする経営上の戦略。あえて技術を公開して普及を促す判断もある。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類2：経営戦略　中分類3：経営戦略マネジメント（経営管理システム）／IPA「ITパスポート試験」シラバス Ver.6.5 大分類2：経営戦略　中分類4：技術戦略マネジメント

ECや電子マネーなどのe-ビジネスの形、工場で使われるCAD・MRP・かんばん方式などの仕組み、IoTを使った新しいサービスと働き方の変化を整理できるようになります。

インターネットを使った商取引を EC（電子商取引）といい、取引する相手の組合せで呼び分けます。企業どうしが BtoB、企業と消費者が BtoC、消費者どうしが CtoC です。フリマアプリは CtoC の代表例です。支払いの面では、あらかじめ入金して使う前払い方式などの電子マネーや、ITを使って金融サービスを新しくするフィンテック、インターネット上でやり取りされる暗号資産などがあります。

ネット販売ならではの現象や手法もあります。あまり売れない商品でも品揃えを増やせば、その合計が売上に大きく貢献するのがロングテールです。他人のサイトに広告を載せ、そこから商品が売れたら報酬を払う仕組みがアフィリエイト、実店舗とネットとアプリを統合してどこからでも同じように買えるようにするのがオムニチャネルです。ほかにも、遊休資産を貸し借りするシェアリングエコノミー、不特定多数から少額ずつ資金を集めるクラウドファンディングがあります。

工場で使われる仕組みも出題されます。設計をコンピュータで行うのが CAD、その設計データを使って製造を行うのが CAM、工場の自動化全般が FA です。部品表と生産計画から必要な資材の量を計算するのが MRP、少人数で製品を最初から最後まで組み立てるのがセル生産方式、必要なものを必要なときに必要なだけ作って在庫を減らすのがかんばん方式（ジャストインタイム）です。

IoT（モノがネットにつながる仕組み）が広がったことで、工場をデータで最適化するスマートファクトリー、センサやドローンを使うスマート農業、移動を一つのサービスとしてまとめる MaaS、現実の設備を仮想空間に再現して試すデジタルツインなどが生まれました。事務作業をソフトウェアのロボットに任せる RPA も普及しています。働き方の面では、会社以外の場所で働くテレワーク、私物端末を業務に使う BYOD、多様な人材を生かすダイバーシティ、仕事と生活の調和を図るワークライフバランスが重視されています。

EC（電子商取引）

インターネットなどを通じて商品やサービスを売買すること。企業間はBtoB、企業と消費者はBtoC、消費者どうしはCtoCと呼び分ける。

電子マネー

現金の代わりに使える電子的な決済手段。あらかじめ入金して使う前払い方式や、後日まとめて請求される後払い方式などがある。

フィンテック

金融(Finance)と技術(Technology)を組み合わせた造語。スマートフォン決済や自動家計簿、AIによる資産運用など、ITを使って金融サービスを新しくする動きを指す。

暗号資産

インターネット上でやり取りされる財産的価値で、法定通貨ではないもの。暗号技術とブロックチェーンで取引記録を守る。価格変動が大きい点に注意が必要。

ロングテール

販売数の少ない多品種の商品でも、品揃えを増やしてその売上を合計すると全体の売上に大きく貢献するという現象。在庫制約の小さいネット販売で顕著になる。

アフィリエイト

Webサイトやブログに掲載した広告を経由して商品が購入されたときに、そのサイトの運営者へ成果に応じた報酬が支払われる広告の仕組み。

オムニチャネル

実店舗・ネット通販・アプリなど複数の販売経路を統合し、どの経路からでも同じように注文・受取・返品ができるようにする販売のしかた。

シェアリングエコノミー

個人が持つ住宅・自動車・技能などの使っていない資産を、インターネット上の場を通じて他の人と貸し借り・共有する経済のしくみ。

クラウドファンディング

インターネットを通じて不特定多数の人から少額ずつ資金を集める仕組み。支援者に製品を返す購入型、寄付型、金銭的な見返りのある投資型などがある。

CAD／CAM

CADはコンピュータを使って設計・製図を行う仕組み。CAMはその設計データを基に工作機械を動かして製造を行う仕組みで、設計と製造をつないで作業を効率化する。

MRP

資材所要量計画のこと。生産計画と部品表から、いつ・どの部品が・いくつ必要かを計算し、発注や製造の指示につなげる仕組み。

セル生産方式

一人または少人数の作業者が、部品の取付けから組立て・検査までを担当する生産方式。多品種少量生産に向き、作業者の技能向上や動機付けにもつながる。

かんばん方式

後工程が使った分だけ前工程が作るように「かんばん」で指示し、必要なものを必要なときに必要なだけ生産する方式。ジャストインタイム生産方式ともいい、中間在庫を減らせる。

IoT

Internet of Things の略で「モノのインターネット」。家電・自動車・設備などにセンサと通信機能を組み込み、集めたデータを分析して制御やサービスに生かす仕組み。

デジタルツイン

現実の設備や製品の状態をセンサで集め、仮想空間上に同じものを再現する技術。実物を止めずに故障予測や改善のシミュレーションができる。

MaaS

電車・バス・タクシー・シェア自転車など複数の交通手段を一つのサービスとしてまとめ、検索から予約・決済までを一括で行えるようにする考え方。

RPA

ソフトウェアのロボットに、複数のシステム間のデータ転記や照合といった定型的な事務作業を代行させる仕組み。判断を伴わない繰返し作業に向く。

テレワーク

情報通信技術を使って、自宅やサテライトオフィスなど会社以外の場所で働く働き方。通勤負担の軽減や事業継続に役立つ一方、労務管理と情報セキュリティの対策が必要になる。

BYOD

Bring Your Own Device の略。従業員が個人所有のパソコンやスマートフォンを業務に使うこと。費用を抑えられる反面、情報漏えいや私物端末の管理に関する規程が必要になる。

ダイバーシティ

性別・年齢・国籍・障害の有無などが異なる多様な人材を受け入れ、それぞれの力を生かす考え方。多様な視点が新しい発想につながるとされる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類2：経営戦略　中分類5：ビジネスインダストリ（e-ビジネス、エンジニアリングシステム、IoTを利用したシステム、民生機器・産業機器）

生成AIで何ができて何ができないのかを理解し、業務で使うときに守るべきこと（情報漏えい・権利侵害・ハルシネーション・偏り）を判断できるようになります。

AI（人工知能）は、大量のデータから規則性を学び、分類や予測を行う技術です。近年広がっている生成AIは、学習した内容を基に、指示（プロンプト）に応じて文章・画像・プログラムなどを新しく作り出せる点が特徴です。検索のようにどこかにある正解を探して返しているのではなく、もっともらしい続きを組み立てて出力している、という点を押さえておくと、後で述べる注意点の理由が理解できます。

自社でAIを一から開発するには大量のデータと専門人材、計算資源が必要です。そこで多くの企業は、クラウド事業者が提供するAIの機能をAPIやサービスとして利用します（AIサービスの利用形態）。短期間・低コストで導入できる反面、入力したデータの取扱いや利用規約、サービス停止時の影響を確認する必要があります。

生成AIを業務で使うときの代表的な注意点は四つです。第一にハルシネーション。事実に基づかない内容をもっともらしく出力することがあるため、出力は人が必ず確認します。第二に情報漏えい。社外のサービスに顧客情報や社外秘の資料を入力すると、外部に渡ってしまうおそれがあります。第三に権利侵害。出力が既存の著作物に似ている場合があり、そのまま公開・販売すると著作権などを侵害するおそれがあります。第四に偏り（バイアス）。学習データに偏りがあると、特定の属性の人に不利な結果を出すことがあります。

こうした問題に備えて、AIを開発・利用する側が守るべき考え方が整理されています。内閣府が示した「人間中心のAI社会原則」では、人間の尊厳を尊重すること、公平性・説明責任・透明性を確保することなどが掲げられています。要点は、AIに任せきりにせず、最終的な判断と責任は人が担えるようにしておくことです。ディープフェイクのようにAIが悪用される例もあり、利用する側の倫理も問われます。

生成AI

大量のデータを学習し、利用者の指示に応じて文章・画像・音声・プログラムなどを新しく作り出すAI。ジェネレーティブAIともいう。

プロンプト

生成AIに与える指示文のこと。何をしてほしいか、条件、出力の形式などを具体的に書くほど、目的に近い出力が得られやすい。

プロンプトエンジニアリング

望む出力を得られるように、指示文の書き方（役割・条件・例の与え方など）を工夫する取組み。AIそのものを作り替えるのではなく、使い方を工夫する点が特徴。

ハルシネーション

生成AIが、事実に基づかない内容をもっともらしい文章として出力してしまう現象。存在しない出典や数値を作ることがあるため、出力の事実確認が欠かせない。

AIのバイアス

学習データの偏りや社会的な偏見が反映され、AIの判断が特定の属性の人に不利になること。採用や与信のように人に影響する用途では特に注意が必要。

ディープフェイク

AIを使って、実在の人物が話していない映像や音声を本物のように作り出したもの。詐欺や偽情報の拡散に悪用される危険がある。

人間中心のAI社会原則

内閣府が示した、AIを社会で使ううえでの基本的な考え方。人間の尊厳の尊重、公平性・説明責任・透明性の確保などを掲げ、AIに依存しきらず人が判断できる状態を保つことを求めている。

AIサービスの利用形態

自社でAIを開発せず、クラウド事業者が提供する学習済みのAI機能をAPIやアプリとして利用する形。導入は速いが、入力データの取扱いや利用規約の確認が必要になる。

AI倫理

AIを開発・利用する際に守るべき道徳的な考え方。差別を助長しない、利用していることを適切に知らせる、判断の根拠を説明できるようにする、といった配慮を含む。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類2：経営戦略（AI活用：AI利活用の原則と指針、生成AIの活用と留意点）／内閣府「人間中心のAI社会原則」

会社全体の視点でシステムのあるべき姿を決める「情報システム戦略」と、業務を図で見える化して改善する方法が分かります。

情報システム戦略とは、経営戦略を実現するために「どんな情報システムを、どういう順番で、いくらかけて用意するか」を全社の視点で決めた方針のことです。部署ごとに好き勝手にシステムを買うと、同じデータを何度も入力したり、部署間でデータがつながらなかったりします。これを部分最適といいます。情報システム戦略は逆に、会社全体で見て一番よい状態（全体最適）を目指します。策定するのは経営者やCIO（最高情報責任者）であり、システム部門だけの仕事ではありません。

全体最適を実現するための代表的な手法がEA（エンタープライズアーキテクチャ）です。EAでは組織の姿を、ビジネスアーキテクチャ（業務体系）、データアーキテクチャ（データ体系）、アプリケーションアーキテクチャ（適用処理体系）、テクノロジアーキテクチャ（技術体系）の4つの層に分けて整理します。そのうえで現状の姿（As-Is）とあるべき姿（To-Be）を描き、その差を埋める移行計画を作ります。

改善の前提として、いまの業務を図にして見える化（モデル化）します。業務の流れを表すならBPMNやUMLのアクティビティ図、データがどこからどこへ流れるかを表すならDFD（データフロー図）、どんなデータがあってどう関係するかを表すならE-R図を使います。見える化すると、ムダな手戻りや二重入力が目に見えるようになり、どこをITで置き換えるべきかが判断できます。

業務のやり方を根本から作り直すことをBPR（ビジネスプロセスリエンジニアリング）、いったん作った業務プロセスを継続的に回して少しずつ改善し続けることをBPM（ビジネスプロセスマネジメント）といいます。BPRが「一度きりの抜本改革」、BPMが「PDCAによる継続改善」と覚えると区別できます。

情報システム戦略

経営戦略を実現するために、会社全体でどんな情報システムを整えるかを決めた中長期の方針。個々の部署の都合ではなく全体最適の視点で作り、経営者やCIOが責任を持つ。

全体最適と部分最適

全体最適は会社全体で見て最も効率がよい状態。部分最適は個々の部署だけを見ればよいが、全社で見るとムダが生じている状態のこと。

CIO（最高情報責任者）

Chief Information Officerの略で、情報システムと情報化投資について全社の責任を持つ役員。経営戦略と情報システム戦略を結び付ける役割を担う。

EA（エンタープライズアーキテクチャ）

組織の業務とシステムを、ビジネス・データ・アプリケーション・テクノロジの4つの体系に分けて整理し、全体最適な姿へ計画的に近づける手法。

As-IsとTo-Be

As-Isは現状の姿、To-Beはあるべき理想の姿。両方を描いて差（ギャップ）を洗い出し、その差を埋める移行計画を作るのがEAの進め方。

BPMN

Business Process Model and Notationの略。業務の流れを、開始・作業・分岐・終了などの決まった記号で表す国際的な表記ルール。誰が読んでも同じ意味に読める。

DFD（データフロー図）

業務の中でデータがどこから来てどこへ行くかを、処理・データの流れ・データの保管場所・外部との出入口の4種類の記号で表した図。

E-R図

実体（人・商品など管理したいもの）と、その間の関連を線で結んで表す図。データベースの設計や、扱うデータの整理に使う。

UML

Unified Modeling Languageの略で、統一モデリング言語。クラス図やアクティビティ図など複数の図を組み合わせ、システムや業務を統一した記法で表す。

BPR

Business Process Reengineeringの略。既存のやり方にとらわれず、業務の流れそのものを根本から設計し直して、大幅な効率化や品質向上をねらう改革。

BPM

Business Process Managementの略。業務プロセスを継続的に分析・改善し、PDCAを回し続けて品質と効率を高めていく管理活動。

共通フレーム（SLCP-JCF）

システムの企画から要件定義・開発・運用・保守・廃棄までの作業と用語を共通化した日本のガイドライン。発注側と受注側の「言葉の食い違い」をなくすために使う。

情報システム化基本計画

情報システム戦略にもとづき、どのシステムをいつ、いくらで、どんな体制で作るかを中長期にまとめた全社の開発計画。個別システムの計画の上位に位置する。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類3：システム戦略　中分類6：システム戦略

SaaS・PaaS・IaaSの違いと、オンプレミス・ホスティング・ハウジングなどシステムの調達形態が区別できるようになります。

自社で機器を買って自社の建物や自社管理のデータセンタに置き、自分たちで運用する方式をオンプレミスといいます。初期投資が大きく調達に時間がかかりますが、自由に作り込め、資産として自社で持ちます。これに対しクラウドサービスは、インターネット経由で必要な分だけ借りる方式です。初期投資を抑えられ、利用量に応じた費用（従量制）で、増減も短時間で行えます。

クラウドサービスは、どこまでを事業者が用意するかで3つに分かれます。IaaS（Infrastructure as a Service）はサーバやストレージ、ネットワークといった基盤だけを貸す形で、利用者がOSやミドルウェア、アプリケーションを自分で入れて管理します。PaaS（Platform as a Service）はOSやデータベース、開発実行環境までを事業者が用意し、利用者はアプリケーションとデータを担当します。SaaS（Software as a Service）は完成した業務アプリケーションそのものを貸す形で、利用者は設定とデータの管理だけを行います。自由度はIaaSが最も高く、運用の手間はSaaSが最も小さくなります。

似た用語として、事業者が用意したサーバを借りるのがホスティング（レンタルサーバ）、自社で購入したサーバを事業者の施設に置かせてもらい、電源・空調・回線・入退室管理を任せるのがハウジングです。「機器が誰のものか」で区別します。特定の業務アプリケーションをネットワーク経由で提供する事業者をASP（アプリケーションサービスプロバイダ）といい、SaaSの前身にあたる考え方です。

利用形態としては、不特定多数が共同で使うパブリッククラウド、自社専用に構築するプライベートクラウド、同じ業界など目的を共有する複数組織で使うコミュニティクラウド、これらを組み合わせるハイブリッドクラウドがあります。また、業務そのものを外部の専門企業にまとめて任せることをBPO（ビジネスプロセスアウトソーシング）といい、コールセンタや給与計算などでよく使われます。システムの機能を部品（サービス）として作り、組み合わせて業務システムを構築する考え方はSOA（サービス指向アーキテクチャ）と呼ばれます。

オンプレミス

サーバなどの機器を自社で購入・所有し、自社の責任で設置・運用する方式。自由に作り込めるが初期投資と運用の手間が大きい。クラウドと対比して使う言葉。

クラウドコンピューティング

ネットワーク経由で、必要なときに必要な量だけコンピュータ資源を借りて使う利用形態。使った分だけ支払う従量課金が一般的。

SaaS

Software as a Serviceの略。完成した業務ソフトをネットワーク経由で使うサービス。利用者は導入や更新の作業をせず、設定と自社データの管理だけを行う。

PaaS

Platform as a Serviceの略。OSやデータベース、開発実行環境までを事業者が用意し、利用者はその上で動くアプリケーションとデータを担当するサービス。

IaaS

Infrastructure as a Serviceの略。サーバ・ストレージ・ネットワークといった基盤だけを借り、OS以上は利用者が自分で導入・管理するサービス。自由度が最も高い。

ホスティング

事業者が所有するサーバを借りて使うサービス。レンタルサーバともいう。機器は事業者のもので、利用者は機器を買わない。

ハウジング

自社で購入したサーバなどの機器を、事業者のデータセンタに設置場所として借りたスペースへ置くサービス。電源・空調・回線・警備は事業者が提供する。

ASP

Application Service Providerの略。特定の業務アプリケーションをネットワーク経由で複数の顧客に提供する事業者、またはその形態。SaaSの前身にあたる。

パブリッククラウド

不特定多数の利用者が共同で使うクラウド。安価で導入が早い反面、資源を他社と共有するため個別の作り込みは制限される。

プライベートクラウド

自社専用に構築・占有するクラウド。セキュリティや独自要件に対応しやすいが、費用は高くなりやすい。

ハイブリッドクラウド

パブリッククラウドとプライベートクラウド（またはオンプレミス）を組み合わせて使う形態。機密データは自社側、負荷変動の大きい処理は外部側、といった使い分けができる。

SOA

Service Oriented Architectureの略で、サービス指向アーキテクチャ。業務機能を独立した部品（サービス）として作り、組み合わせてシステムを構築する設計思想。変更に強い。

BPO

Business Process Outsourcingの略。自社の業務プロセスを、企画・運営ごと外部の専門企業へまとめて委託すること。コールセンタや給与計算などが代表例。

ソリューションビジネス

顧客の経営課題や業務課題に対し、製品単体ではなくシステム・サービス・運用を組み合わせた解決策として提供するビジネスのこと。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類3：システム戦略　中分類6：システム戦略（ソリューションビジネス）

システム化計画から要件定義、RFI・RFPを使った調達までの流れと、機能要件と非機能要件の違いが分かります。

新しいシステムを作るときは、いきなり開発を始めません。まず経営課題を確認して大まかな方向を決めるシステム化構想を立て、次に対象業務・スケジュール・体制・概算費用・投資効果をまとめたシステム化計画を作ります。ここで費用対効果が見合わないと判断すれば、作らないという結論もあり得ます。

計画が承認されたら要件定義を行います。要件定義は「システムに何をしてほしいか」を決める工程で、主体は発注側（利用部門と経営）です。ベンダに丸投げしてはいけません。要件は3種類に分けて整理します。業務要件は新しい業務のあるべきやり方、機能要件はシステムが備えるべき機能（画面・帳票・処理・データ）、非機能要件は機能以外の品質条件（性能・応答時間、可用性、セキュリティ、拡張性、運用保守のしやすさ、移行のしやすさなど）です。「何ができるか」が機能要件、「どのくらいの品質で動くか」が非機能要件と考えると区別できます。

外部に発注する場合は調達を行います。最初にRFI（情報提供依頼書）を複数のベンダへ出し、実現できそうな技術や製品、概算費用などの情報を集めます。次にRFP（提案依頼書）で、要件・前提条件・納期・評価基準を示して具体的な提案を求めます。ベンダから提案書と見積書を受け取り、機能・価格・実績・体制などの基準で評価して発注先を選び、契約します。RFIは「情報を集める」、RFPは「提案してもらう」が目的です。

国や地方公共団体などが物品やサービスを調達するときは、グリーン購入法にもとづき、環境への負荷が少ない製品やサービスを優先的に選ぶグリーン購入が求められます。また、企画から要件定義、開発、運用、保守、廃棄までの一連の流れをソフトウェアライフサイクル（SLCP）といい、日本ではこれを共通の用語と作業単位で整理した共通フレームが、発注側と受注側の認識をそろえるために使われます。

システム化構想

経営課題を踏まえ、どの業務をどう変えるかという大きな方向性を決める最初の段階。具体的な機能ではなく目的と範囲を定める。

システム化計画

対象業務、スケジュール、体制、概算費用、期待できる効果、リスクなどをまとめた計画。投資に見合うかを判断する材料になる。

要件定義

システムに求めることを漏れなく整理して文書にする工程。決める責任は発注側（利用部門・経営）にあり、あいまいなまま進めると後の手戻りの最大原因になる。

業務要件

新しい業務をどう進めるかという、業務そのものに対する要求。誰がいつ何をするか、守るべき規則や制約などを定める。

機能要件

システムが備えるべき機能に関する要求。入力画面、検索、帳票出力、計算処理、扱うデータ項目など「何ができるか」を表す。

非機能要件

機能以外の品質に関する要求。応答時間や処理件数などの性能、稼働率（可用性）、セキュリティ、拡張性、運用・保守のしやすさ、移行方式などが該当する。

RFI（情報提供依頼書）

調達の初期に、実現方法や技術動向、概算費用などの情報提供をベンダへ依頼する文書。発注先を決める前の情報収集が目的。

RFP（提案依頼書）

要件や納期、予算の前提、評価基準を示して、具体的なシステム提案をベンダへ依頼する文書。これに対する回答が提案書となる。

提案書

RFPを受けたベンダが、実現方式・体制・スケジュール・費用などをまとめて提出する文書。発注側はこれを評価基準に従って比較する。

グリーン購入

製品やサービスを調達するとき、価格や品質だけでなく環境への負荷が少ないものを優先して選ぶこと。国等の機関にはグリーン購入法で取組が義務付けられている。

ソフトウェアライフサイクル（SLCP）

企画・要件定義・開発・運用・保守・廃棄という、ソフトウェアが生まれてから使われなくなるまでの一連の流れのこと。

調達

必要な製品・サービス・外部の開発力を、条件を決めて外部から手に入れる一連の活動。RFI、RFP、提案・見積の評価、契約という流れで進む。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類3：システム戦略　中分類7：システム企画／IPA「ITパスポート試験」シラバス Ver.6.5 大分類4：開発技術　中分類9：ソフトウェア開発管理技術（共通フレーム・SLCP）／国等による環境物品等の調達の推進等に関する法律（グリーン購入法）

デジタイゼーション・デジタライゼーション・DXの3段階の違いと、ビッグデータやオープンデータを使ったデータ駆動経営が分かります。

DX（デジタルトランスフォーメーション）とは、データとデジタル技術を活用して、製品・サービス・ビジネスモデル、さらには業務や組織、企業文化までを変革し、競争上の優位性を確立することをいいます。単にIT機器を導入することではなく、変革の結果として新しい価値を生み出す点が要点です。

DXに至る過程は3段階で説明されます。第1段階のデジタイゼーションは、紙の書類をスキャンしてPDFにするなど、アナログの情報や個々の作業をデジタルに置き換える局所的なデジタル化です。第2段階のデジタライゼーションは、申請から承認、支払までの業務プロセス全体をデジタルでつなぎ、新しいやり方や顧客価値を生み出す段階です。第3段階のDXは、その先で事業のあり方や組織そのものを変え、新しいビジネスモデルを作り出す段階を指します。

変革の土台になるのがデータの利活用です。勘や経験ではなくデータの分析結果にもとづいて意思決定する経営をデータ駆動経営といいます。扱う材料としては、量が多く、種類が多様で、発生や更新の速度が速いビッグデータ、国や自治体などが誰でも二次利用できる形で公開するオープンデータがあります。分析手法にはデータマイニング（大量のデータから隠れた規則性や相関を見つけ出す）、BI（社内に蓄積した業務データを集計・可視化し意思決定を支援する仕組み）などがあり、統計・IT・業務知識を併せ持ってこれらを担う専門人材をデータサイエンティストといいます。政策の分野で、証拠となるデータにもとづいて政策を立案することはEBPM（証拠に基づく政策立案）と呼ばれます。

推進上の課題もあります。長年の改修で複雑化・ブラックボックス化し、維持に費用と人手を取られる古いシステムをレガシーシステムといい、これを放置すると2025年以降に大きな経済損失が生じるという経済産業省のDXレポートの指摘が「2025年の崖」です。企業が自社の取組状況を自己診断するための経済産業省の指標がDX推進指標です。また、ITを使える人と使えない人の間に生じる情報や機会の格差をデジタルディバイド（情報格差）といい、その解消には情報リテラシー（情報を正しく集め、判断し、活用する力）の教育や、誰もが使いやすい設計が欠かせません。

DX（デジタルトランスフォーメーション）

データとデジタル技術を使って製品・サービス・ビジネスモデルや業務・組織・企業文化まで変革し、競争上の優位性を確立すること。IT導入そのものが目的ではない。

デジタイゼーション

紙をPDFにする、手作業をツールに置き換えるなど、アナログの情報や個々の作業をデジタルに変える局所的なデジタル化。DXの第1段階。

デジタライゼーション

業務プロセス全体をデジタルでつなぎ、新しい進め方や顧客価値を生み出す段階。個々の作業ではなく流れ全体を対象にする。DXの第2段階。

データ駆動経営

勘や経験、度胸だけに頼らず、収集したデータの分析結果にもとづいて意思決定を行う経営のやり方。

ビッグデータ

量が非常に多く、種類が多様（文章・画像・位置情報など）で、発生や更新の速度が速いデータの総称。従来の手作業や単純な集計では扱いきれない。

オープンデータ

国や自治体、企業などが、誰でも許可なく二次利用・再配布できる形式と条件で公開するデータ。機械判読しやすい形式での公開が推奨される。

データマイニング

大量のデータを統計や機械学習の手法で分析し、人が気付いていない規則性や相関関係を掘り出すこと。併売されやすい商品の発見などに使う。

BI（ビジネスインテリジェンス）

社内に蓄積された販売や在庫などの業務データを集計・可視化し、経営や現場の意思決定に役立てる仕組みやツール。

データサイエンティスト

統計・分析の知識、ITの技術、対象業務の知識を併せ持ち、データから価値ある知見を引き出して意思決定につなげる専門人材。

EBPM

Evidence Based Policy Makingの略で、証拠に基づく政策立案。思い込みではなく統計や実績データという証拠にもとづいて政策を立て、効果を検証する考え方。

デジタルディバイド

情報格差。ITを使える人・地域・国と、使えない人・地域・国との間に生じる、得られる情報や機会、収入などの格差のこと。

情報リテラシー

必要な情報を探し出し、内容の正しさを判断し、目的に合わせて整理・活用・発信できる能力のこと。

レガシーシステム

長年の改修で複雑化し、仕様が分からなくなった（ブラックボックス化した）古いシステム。維持費と技術者が取られ、新しい取組の妨げになる。

2025年の崖

経済産業省のDXレポートが示した警鐘で、レガシーシステムを刷新できないままだと2025年以降に大きな経済的損失が生じるとした問題提起。

DX推進指標

経済産業省が示した、企業が自社のDXの取組状況や成熟度を自己診断するための指標。経営者と現場が同じ物差しで現状を確認するために使う。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類1：企業と法務　中分類1：企業活動（社会におけるIT利活用の動向、業務分析・データ利活用）／IPA「ITパスポート試験」シラバス Ver.6.5 大分類3：システム戦略　中分類6：システム戦略（システム活用促進・評価）／経済産業省 DXレポート・DXレポート2・DX推進指標

システムが企画から運用・保守までどんな順番で作られるのか、工程ごとの役割をつかめます。

業務で使うシステムは、いきなりプログラムを書き始めるわけではありません。まず「何が必要か」を決め、次に「どう作るか」を決め、それから作って、確かめて、使い始めます。この一連の流れをシステム開発のプロセスといい、要件定義 → システム設計 → プログラミング → テスト → ソフトウェア受入れ → 運用・保守 の順に進みます。

最初の要件定義（ソフトウェア要件定義）では、利用者の業務を調べ、システムに必要な機能（機能要件）と、応答速度や稼働率などの品質・性能（非機能要件）を文書にまとめます。ここでの取り違えは後工程で大きな手戻りになるため、利用者と開発者が内容に合意することが何より大切です。

システム設計は二段構えです。外部設計（基本設計）では、画面のレイアウト、印刷する帳票、他システムとやり取りするデータの形式など、利用者から見える部分を決めます。内部設計（詳細設計）では、その仕様を実現するためにプログラムをどんな部品（モジュール）に分け、どんな手順で処理するかという内部の構造を決めます。機能を適切に分割し、部品どうしの結び付きを弱く、部品の中のまとまりを強くしておくと、修正やテストがしやすくなります。

設計が固まったらプログラミングで実際のプログラムを作り、テストで誤りを取り除きます。完成したソフトウェアは発注者が確認したうえで受け取り（ソフトウェア受入れ）、本番稼働後は障害対応や法改正・業務変更への対応として運用・保守が続きます。システムは作って終わりではなく、使われている間ずっと手入れが必要です。

要件定義

利用者の業務を調べて、システムに必要な機能や性能を決め、文書にまとめる最初の工程。ここで決めた内容が以降すべての工程の基準になる。

機能要件

システムが「何をできるか」を表す要求。例えば受注データを登録できる、月次の売上を集計できる、といった業務上の働きそのものを指す。

非機能要件

システムが「どのくらいの品質か」を表す要求。応答時間、同時に使える人数、稼働率、セキュリティ、保守のしやすさなど、機能以外の条件をいう。

外部設計（基本設計）

利用者から見える部分を決める設計工程。画面のレイアウト、帳票の様式、他システムとやり取りするデータの形式などを決め、利用者と確認する。

内部設計（詳細設計）

外部設計で決めた仕様を実現するために、プログラムの内部をどう作るかを決める設計工程。モジュールの分け方や処理手順を決める。利用者には直接見えない。

モジュール

プログラムを機能ごとに分けた部品のこと。小さくまとまった部品にしておくと、修正したときの影響が狭い範囲で済み、テストや他システムへの再利用もしやすくなる。

ユーザビリティ

使いやすさのこと。利用者が迷わず、少ない手間で目的を達成できるかを表す。分かりやすい表示や、入力ミスをその場で知らせる仕組みなどで高められる。

ソフトウェア受入れ

発注者が納入されたソフトウェアを運用テストなどで確認し、要求を満たしていれば正式に受け取る工程。検収ともいう。ここで合格すると本番稼働に移る。

運用・保守

本番稼働させて日々使えるようにするのが運用。障害の修正や、法改正・業務変更に合わせてソフトウェアを直すのが保守。開発費用より長い期間の費用がかかることも多い。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類4：開発技術　中分類8：システム開発技術

テストの4段階とV字モデル、ホワイトボックス／ブラックボックスの違い、レビューの種類を整理できます。

テストは小さい単位から大きい単位へ段階的に進めます。まずモジュール1本ごとに確かめる単体テスト、次に組み合わせてつなぎ目を確かめる結合テスト、続いて本番に近い環境でシステム全体を確かめるシステムテスト（総合テスト）、最後に利用者が実際の業務の流れで使えるかを確かめる運用テスト（受入テスト）です。前の段階を合格してから次に進むのが原則です。

この段階は開発の工程と1対1で対応しています。左側に要件定義 → 外部設計 → 内部設計 → プログラミングを下ろし、右側に単体テスト → 結合テスト → システムテスト → 運用テストを上げると、アルファベットのVの字になるのでV字モデルと呼びます。各テストは、向かい合う設計工程で決めたことが実現できているかを確かめる、という関係になっています。

テストケースの作り方には二つの立場があります。ホワイトボックステストはプログラムの内部構造を見て、命令や分岐がもれなく実行されるように経路を選ぶ方法で、主に単体テストで使います。ブラックボックステストは内部を見ずに仕様だけを頼りにする方法で、入力を意味のまとまりごとに分けて代表値を選ぶ同値分割や、条件の境目の値を選ぶ境界値分析が代表的です。

プログラムを修正すると、直していないところが壊れることがあります。これを見つけるため、修正後に既存の機能をもう一度確認するのが回帰テスト（リグレッションテスト）です。またテストの前に、成果物を人の目で確かめるレビューも欠かせません。作成者が説明して関係者が非公式に指摘し合うウォークスルー、進行役（モデレータ）を置き役割と手順を定めて行う公式なインスペクション、設計内容を関係者で検討するデザインレビュー、ソースコードを対象とするコードレビューなどがあります。

単体テスト

モジュールやプログラム1本ごとに、内部の処理が正しく動くかを確かめるテスト。ふつう作った本人（開発者）が行い、テストの最初の段階にあたる。

結合テスト

単体テストを終えたモジュールを組み合わせ、モジュールどうしのデータの受渡し（インタフェース）が正しいかを確かめるテスト。

システムテスト（総合テスト）

開発側が行う最終段階のテスト。本番に近い環境でシステム全体を対象に、機能だけでなく性能や大量アクセスへの耐性なども確かめる。

運用テスト（受入テスト）

利用者（発注者）が主体となり、実際の業務手順に沿って使ってみて、要求を満たしているかを確かめる最終テスト。合格すると受入れ（検収）となる。

V字モデル

開発工程とテスト工程の対応を表した図。要件定義↔運用テスト、外部設計↔システムテスト、内部設計↔結合テスト、プログラミング↔単体テストが向かい合う。

ホワイトボックステスト

プログラムの内部構造に着目し、命令や分岐が実行されるように経路を網羅してテストする方法。中身が見える箱にたとえた呼び名で、主に単体テストで使う。

ブラックボックステスト

内部構造は見ずに、仕様書の入力と出力の関係だけに着目してテストする方法。中身が見えない箱にたとえた呼び名で、結合テスト以降でよく使う。

同値分割・境界値分析

ブラックボックステストでテストケースを選ぶ考え方。同じ結果になる入力のまとまりから代表値を選ぶのが同値分割、条件の境目とその前後を選ぶのが境界値分析。

回帰テスト（リグレッションテスト）

プログラムを修正したあとに、修正前は正しく動いていた部分に不具合が生じていないかを確かめるテスト。修正の副作用を見つけるために行う。

ウォークスルー

作成者が中心となって関係者に成果物を説明し、その場で誤りを指摘し合う非公式なレビュー。少人数で気軽に行え、早い段階で欠陥を見つけられる。

インスペクション

進行役（モデレータ）が主催し、参加者の役割と手順をあらかじめ定めて行う公式なレビュー。記録を残し、欠陥の検出と対処の確認まで行う。

デザインレビュー／コードレビュー

デザインレビューは設計書の内容を関係者で検討して問題を早期に見つける活動。コードレビューは書かれたソースコードを他の人が読んで誤りや改善点を指摘する活動。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類4：開発技術　中分類8：システム開発技術

代表的な開発の進め方を比べ、案件に合ったモデルを選ぶ目を養います。

同じシステムでも、どういう手順で作るかにはいくつかの型があります。これを開発モデルといいます。もっとも古典的なウォーターフォールモデルは、要件定義から順に工程を進め、原則として前の工程には戻りません。各工程の成果物を承認してから次へ進むため進捗が管理しやすい反面、後の工程で仕様変更が出ると手戻りが大きくなります。

早い段階で認識のずれをなくす工夫がプロトタイピングモデルです。試作品（プロトタイプ）を作って利用者に操作してもらい、その評価をもとに要求を固めていきます。スパイラルモデルは、システムを部分に分け、設計・開発・評価という一連の作業を繰り返しながら、らせん状に完成度を高めていく考え方で、リスクの大きい部分から先に確かめられます。

アジャイル開発は、1〜4週間程度の短い反復（イテレーション、スクラムではスプリント）を繰り返し、反復ごとに動くソフトウェアを提供する進め方です。詳しい文書をそろえることより、動くものを早く出して利用者の意見を取り入れ、変化に対応することを重視します。要求が変わりやすい案件や、早く小さく出して試したい案件に向きます。

どちらが優れているというものではありません。要求が固まっていて品質の証跡が厳しく求められる大規模案件ではウォーターフォールが選ばれ、要求が定まらず素早く形にしたい案件ではアジャイルが選ばれます。そのほか、少人数のチームと開発支援ツールを活用して短期間で作り上げるRAD（Rapid Application Development）という手法もあります。

ウォーターフォールモデル

水が上から下へ落ちるように、工程を順番に1回ずつ進める開発モデル。前工程には戻らない前提で、各工程の成果物を承認して次へ進む。

プロトタイピングモデル

早い段階で試作品を作り、利用者に操作してもらった評価を要求に反映する開発モデル。認識のずれによる大きな手戻りを防げる。

スパイラルモデル

システムを部分に分け、設計・開発・評価の作業を繰り返しながら、らせんを描くように完成度を高めていく開発モデル。リスクの大きい部分から確かめられる。

アジャイル開発

短い反復を繰り返し、反復ごとに動くソフトウェアを提供する開発の考え方。アジャイルは「素早い」という意味で、変化への対応と利用者との協調を重んじる。

イテレーション

アジャイル開発で繰り返す一定期間の反復のこと。日本語では「反復」。1回の中で設計・実装・テストまで行い、動くソフトウェアを作り上げる。

RAD

Rapid Application Developmentの略で「高速アプリケーション開発」。少人数のチームと開発支援ツールを使い、短期間でシステムを作り上げる手法。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類4：開発技術　中分類9：ソフトウェア開発管理技術

スクラムの役割とイベント、XPの実践、DevOpsやCI/CDなど現場で使われる言葉を押さえます。

アジャイル開発を実際に進めるための代表的な進め方がスクラムです。スクラムでは役割を三つに分けます。プロダクトオーナーは、実現したい要求を優先順位を付けて並べたプロダクトバックログに責任を持ち、成果物の価値を最大にします。スクラムマスターは、スクラムが正しく実践されるよう支援し、チームの妨げになる問題を取り除きます（指揮命令する管理者ではありません）。開発チームは、スプリントで動くソフトウェアを作り、作業の分担を自分たちで決めます。

スクラムは1〜4週間程度の固定期間であるスプリントを繰り返します。スプリントの始めに何を作るかを決めるスプリントプランニング、毎日15分程度で進捗と問題を共有するデイリースクラム、終わりに成果物を関係者に見せて評価を受けるスプリントレビュー、進め方そのものを振り返るスプリントレトロスペクティブというイベントがあります。期間は延ばさず、間に合わない機能は次のスプリントに回すのが原則です。なお、スクラムの成果物は三つあり、実現したい要求を優先順位付きで並べたプロダクトバックログ、そのスプリントで実現する項目と作業計画をまとめたスプリントバックログ、スプリントの終わりに出来上がる動く成果物であるインクリメントをいいます。

XP（エクストリームプログラミング）はアジャイル開発の代表的な手法で、具体的な実践が定められています。2人1組で1台の端末を使い、一方が書き他方が確認するペアプログラミング、先にテストを書いてからそれを通す実装を行うテスト駆動開発、外から見た動作を変えずに内部構造を整理して読みやすくするリファクタリングなどです。

開発したものを素早く安全に届けるための考え方も広がっています。DevOpsは開発（Development）担当と運用（Operations）担当が協力し、自動化と継続的な改善によってリリースを速める文化・取組みです。CI/CDは、変更したソースコードを頻繁に統合してビルドとテストを自動実行する継続的インテグレーションと、その先のリリースまでを自動化する継続的デリバリを指します。このほか、既存のプログラムを解析して仕様や設計情報を導き出すリバースエンジニアリング、公開されている複数のサービスを組み合わせて新しいサービスを作るマッシュアップ、ソースコードをほとんど書かずにアプリを作るノーコード／ローコード開発も押さえておきましょう。

スクラム

アジャイル開発の代表的な進め方。短い期間（スプリント）の反復と、決められた役割・イベントによってチームで開発を進める枠組み。ラグビーの組み合いに由来する。

プロダクトオーナー

スクラムの役割の一つ。プロダクトバックログの中身と優先順位に責任を持ち、「何を作るか」を決めて成果物の価値を最大にする。

スクラムマスター

スクラムの役割の一つ。スクラムが正しく実践されるようチームを支援し、開発の妨げとなる問題を取り除く。作業を指示する管理者ではない。

開発チーム

スクラムの役割の一つ。スプリントの中で実際に動くソフトウェアを作る少人数のチーム。誰が何をするかは自分たちで決める（自己組織化）。シラバスや近年のスクラムガイドでは「開発者」とも呼ぶ。

スプリント

スクラムで繰り返す1〜4週間程度の固定期間の反復。期間は延長せず、終わりには動くソフトウェアができている状態を目指す。

プロダクトバックログ

実現したい要求や機能を優先順位を付けて並べた一覧。プロダクトオーナーが管理し、開発が進む中で随時見直される。

スプリントバックログ

そのスプリントで実現するプロダクトバックログ項目と、それを実現するための作業計画をまとめた一覧。開発チームが自分たちで作り、スプリントの途中でも見直す。

インクリメント

スプリントの終わりに出来上がる、実際に動く状態の成果物。過去のスプリントの成果に今回の成果を積み上げたものを指し、いつでも使える品質であることが求められる。

デイリースクラム

開発チームが毎日決まった時刻に15分程度行う短い会議。進捗と当日の予定、妨げになっている問題を共有し、遅れを早く見つける。

スプリントレビュー

スプリントの終わりに、できあがった成果物を関係者に見せて評価や意見をもらうイベント。得られた意見は次のスプリントの計画に反映する。

ペアプログラミング

XPの実践の一つ。2人1組で1台の端末を使い、一方がコードを書き、他方がその場で確認・助言する。書きながらレビューするので誤りを早く見つけられる。

テスト駆動開発（TDD）

先にテストコードを書き、それが通るように最小限の実装をしてから改善する、という短い流れを繰り返す開発手法。テストが仕様書の役割も果たす。

リファクタリング

外から見た動作を変えないまま、プログラムの内部構造を整理して読みやすく直すこと。機能追加ではなく、後の修正をしやすくするために行う。

DevOps

開発担当と運用担当が壁を作らず協力し、自動化と継続的な改善によって安全かつ迅速にリリースを繰り返す考え方・取組み。DevelopmentとOperationsを組み合わせた語。

CI/CD

継続的インテグレーション／継続的デリバリ。変更したコードを頻繁に統合してビルドとテストを自動実行し、さらにリリースまでの手順も自動化する仕組み。

リバースエンジニアリング

既存のソフトウェアや製品を解析して、その仕様や設計情報を導き出すこと。設計書が残っていない古いシステムを作り直すときなどに使われる。

マッシュアップ

公開されている複数のサービスやデータを組み合わせて、新しい一つのサービスを作ること。地図サービスと店舗情報を組み合わせた案内サイトなどが例。

ノーコード／ローコード

ソースコードをまったく書かずに（ノーコード）、またはごく少ないコードで（ローコード）、画面上で部品を組み合わせてアプリを作れる開発手法・ツール。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類4：開発技術　中分類9：ソフトウェア開発管理技術

プロジェクトの定義、関係者の役割、そして「どこまで作るか」を決めるスコープとWBSが分かるようになります。

プロジェクトとは、決められた期間の中で、これまでにない独自の成果物やサービスを作り出すための活動です。特徴は二つあります。一つは「有期性」で、必ず開始と終了があること。もう一つは「独自性」で、毎回中身が違うことです。毎日同じ手順を繰り返す定常業務（ルーチンワーク）とは、この二点で区別します。新しい販売システムを1年かけて作る、というのはプロジェクトですが、完成したシステムを毎日運用するのはプロジェクトではありません。

プロジェクトを成功させる責任を負う人がプロジェクトマネージャ（PM）です。PMは計画を立て、要員や予算を手配し、進み具合を確認し、問題が起きれば手を打ちます。目標は一般に品質（Quality）・コスト（Cost）・納期（Delivery）の三つで、頭文字をとってQCDと呼びます。この三つは互いに引っ張り合う関係にあり、納期を縮めれば費用が増えたり品質が落ちたりします。どれを優先するかを関係者と合意しておくことが大切です。

プロジェクトに関わる人や組織すべてをステークホルダ（利害関係者）といいます。開発メンバだけでなく、資金を出すプロジェクトオーナ（スポンサ）、発注した顧客、実際に使う利用者、協力会社、場合によっては近隣住民まで含みます。誰がステークホルダかを最初に洗い出し、それぞれが何を期待しているかをつかんでおかないと、完成間際になって「思っていたものと違う」と言われてしまいます。

「何を作り、何は作らないか」という範囲をスコープといいます。スコープを決めたら、その作業を大きな固まりから段階的に細かく分解した図であるWBS（Work Breakdown Structure：作業分解構成図）を作ります。WBSがあると作業の抜け漏れを防げ、一つひとつの作業に対して工数の見積りや担当者の割当てができるようになります。逆にスコープがあいまいなまま作業を進めると、要望が次々に追加されて範囲がずるずる膨らむスコープクリープに陥ります。

プロジェクトマネジメントの進め方は、JIS Q 21500（プロジェクトマネジメントの手引）やPMBOKといった知識体系に整理されています。作業の流れは「立ち上げ→計画→実行→管理（監視・コントロール）→終結」というプロセス群で表され、扱う領域は統合・ステークホルダ・スコープ・資源・時間（スケジュール）・コスト・リスク・品質・調達・コミュニケーションの10に分けられます。10領域のうち統合は、他の領域の計画をまとめ、変更要求を管理して全体の整合をとる、いわば司令塔の役割です。

プロジェクト

開始と終了が決まっており（有期性）、これまでにない独自の成果物やサービスを作り出す（独自性）活動のこと。毎日同じことを繰り返す定常業務とは区別されます。

プロジェクトマネージャ

プロジェクトの計画を立て、要員・予算・日程を調整しながら実行を指揮し、目標の達成に責任をもつ人。略してPMと呼びます。作業そのものを行うメンバとは役割が異なります。

ステークホルダ

プロジェクトに影響を与える、または影響を受ける利害関係者のこと。開発メンバ、スポンサ、顧客、利用者、協力会社などを幅広く含みます。

QCD

品質（Quality）・コスト（Cost）・納期（Delivery）の頭文字。プロジェクトの三大目標であり、片方を良くすると別の一方が悪化しやすい関係にあります。

スコープ

プロジェクトで作る成果物と、そのために必要な作業の範囲のこと。「何を作らないか」まで決めておくことで、後の食い違いを防ぎます。

WBS（作業分解構成図）

プロジェクトの作業を、大きな固まりから小さな作業へと階層的に分解して図にしたもの。作業の抜け漏れを防ぎ、見積りや担当割当ての土台になります。

スコープクリープ

正式な承認なしに要望や作業が少しずつ追加され、当初決めた範囲がじわじわ膨らんでいく状態。納期遅れやコスト超過の大きな原因になります。

プロジェクト憲章

プロジェクトの目的、成果物、期間、体制、PMの権限などをまとめ、プロジェクトの開始を正式に承認する文書。立ち上げの段階で作成します。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類5：プロジェクトマネジメント　中分類10：プロジェクトマネジメント（プロジェクトマネジメントの目的と考え方、スコープマネジメント）／JIS Q 21500 プロジェクトマネジメントの手引

アローダイアグラムでクリティカルパスと最短日数を求められるようになり、代表的な見積手法の違いも分かるようになります。

スケジュール（時間）のマネジメントでは、WBSで洗い出した作業に順序と所要期間を与え、いつ終わるかを見通します。よく使う図が二つあります。一つはガントチャートで、縦に作業、横に日付をとり、各作業の期間を横棒で表します。予定と実績を並べて描けるので、遅れが一目で分かります。もう一つがアローダイアグラム（PERT図）で、作業を矢線、作業の区切りを結合点（丸）で表し、作業の前後関係を表現します。区切りの節目となる重要な日付をマイルストーンと呼び、「基本設計完了」「テスト開始」などを設定して進み具合の目印にします。

アローダイアグラムの計算は難しくありません。まず、開始から終了までのすべての経路について所要日数を足し算します。プロジェクトはすべての経路が終わらないと完了しないため、全体の最短所要日数は「もっとも長い経路の日数」になります。この最も長い経路をクリティカルパスといいます。クリティカルパス上の作業が1日でも遅れると、プロジェクト全体が同じだけ遅れます。逆に、全体を短縮したいならクリティカルパス上の作業に人員を追加するなどの手を打つ必要があり、それ以外の作業をいくら早く終えても全体は縮みません。

クリティカルパス以外の経路には余裕（フロート、余裕日数）があります。余裕日数は「クリティカルパスの日数 − その経路の日数」で求められ、その分までなら遅れても全体の完了日に影響しません。また各作業には、それより前の作業がすべて終わる最も早い時点である最早開始日と、全体の完了日を遅らせずに開始できる限界の時点である最遅開始日があります。複数の作業が合流する結合点では、最早開始日は「合流してくる経路のうち最も遅いほう」に合わせる点に注意してください。最早開始日と最遅開始日が等しい作業は余裕がなく、クリティカルパス上にあります。

コストのマネジメントでは、まず作業量（工数）を見積り、それに単価をかけて費用を算出し、予算として管理します。代表的な見積手法は三つです。ファンクションポイント法は、入力・出力・照会・ファイルといった利用者から見た機能の数を数え、複雑さで重み付けしてソフトウェアの規模を数値化します。類推見積法は、過去の類似プロジェクトの実績を基準に規模の違いを補正して見積もる方法で、情報が少ない計画初期の概算に向きます。ボトムアップ見積法は、WBSで分解した作業一つひとつの工数を見積り、それを積み上げて全体を求める方法で、精度は高い代わりに作業が細かく洗い出せていることが前提です。

ガントチャート

縦軸に作業、横軸に日程をとり、各作業の開始から終了までを横棒で表した図。予定と実績を並べて描けるため、どの作業が遅れているかが一目で分かります。

アローダイアグラム（PERT図）

作業を矢線、作業の区切りを結合点で表し、作業の前後関係を示した図。全体の最短所要日数やクリティカルパスを求めるために使います。

クリティカルパス

アローダイアグラムで、開始から終了までの経路のうち所要日数が最も長い経路。この経路上の作業が遅れると、プロジェクト全体がそのまま遅れます。

最早開始日

その作業を最も早く開始できる時点。複数の作業が合流する場合は、合流してくるすべての作業が終わる時点（最も遅いほう）に合わせます。

最遅開始日

プロジェクト全体の完了日を遅らせないために、遅くともこの日には始めなければならないという限界の時点。最早開始日と一致する作業には余裕がありません。

マイルストーン

プロジェクトの節目となる重要な時点のこと。「要件定義完了」「総合テスト開始」など、進み具合を確認する目印として設定します。

ファンクションポイント法

入力・出力・照会・ファイルなど利用者から見た機能の数を数え、複雑さで重み付けしてソフトウェアの規模を見積もる手法。プログラムの書き方に左右されにくいのが長所です。

類推見積法

過去に行った似たプロジェクトの実績データを基に、規模の違いを補正して工数や費用を見積もる手法。情報が少ない計画初期の概算に向きます。

ボトムアップ見積法

WBSで分解した個々の作業ごとに工数を見積り、それらを積み上げて全体の見積りとする手法。精度は高いが、作業が細かく洗い出せていることが前提です。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類5：プロジェクトマネジメント　中分類10：プロジェクトマネジメント（時間（スケジュール）マネジメント、コストマネジメント）／JIS Q 21500 プロジェクトマネジメントの手引

リスク対応の4分類を具体例で見分けられるようになり、品質・調達・コミュニケーションの各活動の狙いが分かるようになります。

リスクとは、起こるかどうか分からないが、起きるとプロジェクトの目標に影響する事象のことです。リスクマネジメントは、まずどんなリスクがあるかを洗い出す「リスクの特定」、次に発生確率と影響の大きさを見積って優先順位を付ける「リスクの分析・評価」、そして優先度の高いものから手を打つ「リスクへの対応」という順で進めます。対応は一度決めて終わりではなく、プロジェクトの進行中も新たなリスクが出ていないかを継続して監視します。

マイナスのリスク（脅威）への対応は、回避・転嫁（移転）・軽減（低減）・受容（保有）の4つに分類されます。回避はリスクの原因そのものを取り除いてリスクにさらされない状態にすること、転嫁は保険や外部委託によって損失の負担を第三者に移すこと、軽減は発生確率や発生時の影響を小さくする手を打つこと、受容は対策をとらずに受け入れることです。受容は「何もしない」ように見えますが、対策費用が見込まれる損失を上回るときには合理的な選択であり、予備の費用や日数（コンティンジェンシ予備）を確保しておくのが一般的です。

品質マネジメントは、成果物とプロセスが求められる品質を満たすようにする活動です。まず品質目標と判定基準を定め（品質計画）、決めた手順どおりに作業が行われているかを確かめ（品質保証）、成果物をレビューやテストで検査して不具合を是正します（品質管理）。品質は最後にまとめて作り込むことはできず、各工程でレビューを重ねて早い段階で欠陥を見つけるほど、手戻りの費用が小さくて済みます。

調達マネジメントは、自分たちで用意しないものを外部から取得する活動です。候補を絞る前段階では、製品や技術の情報提供を求めるRFI（情報提供依頼書）を出します。次に、要求内容や前提条件を示して実現方法・費用の提案を求めるRFP（提案依頼書）を複数の候補企業に提示し、提出された提案書と見積書を評価して委託先を選び、契約を結びます。契約後は納期や品質が守られているかを管理します。

コミュニケーションマネジメントは、必要な情報を、必要な人に、適切な時期と形式で確実に届けるための活動です。誰にどの情報をどの頻度で伝えるかを計画し、定例会議、進捗報告書、議事録、プロジェクト管理ツールなどで情報を配布・共有します。プロジェクトの失敗原因の多くは、技術的な難しさよりも関係者間の認識のずれにあります。情報を共有する仕組みをあらかじめ決めておくことが、そのずれを防ぐ最大の対策です。

リスク

起こるかどうかは不確実だが、起きるとプロジェクトの目標（品質・コスト・納期など）に影響する事象のこと。悪い影響を脅威、良い影響を好機と呼びます。

リスクの特定

プロジェクトにどんなリスクがあるかを洗い出す作業。過去の事例やチェックリスト、メンバへの聞き取り、ブレーンストーミングなどを使って漏れなく挙げます。

リスクの分析・評価

洗い出したリスクについて、発生確率と発生したときの影響の大きさを見積り、どれから優先して対応するかの順位を付けること。

回避

リスク対応の一つ。リスクの原因そのものを取り除き、リスクにさらされない状態にすること。例：実績のない新技術の採用をやめる。

転嫁（移転）

リスク対応の一つ。リスクが現実になったときの損失の負担を、保険会社や外部委託先など第三者に移すこと。リスク自体が消えるわけではありません。

軽減（低減）

リスク対応の一つ。発生確率を下げる、あるいは発生したときの影響を小さくする手を打つこと。例：機器を二重化する、メンバへの教育を強化する。

受容（保有）

リスク対応の一つ。対策の費用が見込まれる損失に見合わない場合などに、あえて対策をとらずに受け入れること。予備の費用や日数を確保しておきます。

RFI（情報提供依頼書）

調達先の候補を絞る前段階で、どんな製品・技術・実績があるかの情報提供を求める文書。

RFP（提案依頼書）

調達にあたり、要求内容や前提条件を示して、実現方法・体制・費用の提案を求める文書。提出された提案書を比べて委託先を選びます。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類5：プロジェクトマネジメント　中分類10：プロジェクトマネジメント（リスクマネジメント、品質マネジメント、調達マネジメント、コミュニケーションマネジメント）／JIS Q 21500 プロジェクトマネジメントの手引

ITサービスを「作って終わり」にせず、使い続けられる状態に保つ仕組み（サービスマネジメント）の全体像が分かるようになります。

システムは完成した瞬間がゴールではありません。利用者が毎日そのシステムを使い、止まらず、遅くならず、困ったときに助けてもらえる状態を保って初めて価値が出ます。この「ITサービスを提供し続けるための管理活動」をITサービスマネジメントといいます。

ITサービスマネジメントのやり方をまとめた、世界で広く使われている手引き（ベストプラクティス集）がITIL（アイティル）です。ITILは法律でも資格試験の規格でもなく、うまくいっているやり方を集めた参考書のようなもので、これを土台に各企業が自社のルールを作ります。

提供する側と利用する側は、あらかじめ「どの程度のサービスを提供するか」を文書で約束します。これがSLA（サービスレベル合意書）です。稼働率99.5%以上、障害連絡から2時間以内に一次回答、といった測定できる数値で書くのがポイントです。SLAで決めた水準を守れているか測り、足りなければ改善する一連の活動をSLM（サービスレベル管理）と呼び、計画（Plan）→実行（Do）→評価（Check）→改善（Act）のPDCAサイクルで回します。

利用者からの問合せや障害連絡を受け付ける単一の窓口がサービスデスク（ヘルプデスク）です。窓口を一本化することで、利用者は「どこに聞けばいいか」で迷わなくなります。担当者が自分で解決できない案件を、より専門的な担当者や上位の責任者に引き継ぐことをエスカレーションといいます。

日常業務では、よくある質問と答えをまとめたFAQをWebに公開したり、自動で会話して回答するチャットボットを置いたりして、利用者が自分で解決できるようにします。これによりサービスデスクへの問合せ件数が減り、担当者は難しい案件に集中できます。

運用の中身は役割ごとに分かれています。インシデント管理はサービスの中断を一刻も早く復旧させること、問題管理はインシデントの根本原因を突き止めて取り除くこと、変更管理は変更の影響を評価して承認すること、リリース管理は承認された変更を本番環境へ確実に反映すること、構成管理は機器やソフトウェアの構成情報を正確に把握することを担当します。

サービスの品質を数値で支えるのが可用性管理と容量・能力管理（キャパシティ管理）です。可用性管理は「使いたいときに使える割合」を保つ活動で、稼働率は MTBF ÷（MTBF＋MTTR）で表されます。キャパシティ管理は現在と将来の利用量を予測し、処理能力や記憶容量が不足しないよう、かつ過剰投資にならないよう調整します。

ITサービスマネジメント

ITサービスを利用者の要求に合った品質で提供し続けるための管理活動全般のこと。システムを作ることではなく、動かし続けて価値を出すことに焦点を当てます。

ITIL（アイティル）

ITサービスマネジメントの成功事例をまとめた手引き書（ベストプラクティス集）。特定企業の製品でも法律でもなく、各社が自社ルールを作るときの参考にする教科書のような位置づけです。

SLA（サービスレベル合意書）

サービスを提供する側と利用する側が、提供するサービスの品質水準を数値で取り決めた合意文書。稼働率や復旧時間など、測定できる項目で書きます。

SLM（サービスレベル管理）

SLAで決めた水準を達成できているか継続的に測定・評価し、不足していれば改善する活動。PDCAサイクルを回してサービス品質を維持・向上させます。

サービスデスク

利用者からの問合せ・障害連絡・依頼を受け付ける単一の窓口。ヘルプデスクとも呼ばれ、受け付けた案件の記録と進捗管理も行います。

エスカレーション

サービスデスクの担当者が自分では解決できない案件を、専門技術者や上位の責任者に引き継いで対応してもらうこと。放置せず確実に解決へつなぐ仕組みです。

インシデント管理

サービスの停止や品質低下（インシデント）が起きたとき、原因究明より復旧を優先し、できるだけ早く通常のサービスへ戻す活動のこと。

問題管理

インシデントの根本原因を調査・特定し、それを取り除いて再発を防ぐ活動。急いで直すインシデント管理とは目的が異なり、時間をかけて恒久対策を打ちます。

変更管理

システムへの変更要求について影響やリスクを評価し、承認するかどうかを決める活動。無秩序な変更による障害を防ぎます。

リリース管理

承認された変更を、本番環境へ計画的・確実に反映して稼働させる活動。展開手順や切り戻し手順の準備も含みます。

構成管理

ハードウェア・ソフトウェア・文書などの構成品目とその関係を記録し、常に正確な最新情報を維持する活動。変更の影響範囲を調べる土台になります。

可用性管理

利用者が使いたいときにサービスを使える状態（可用性）を、合意した水準に保つ活動。稼働率はMTBF÷（MTBF＋MTTR）で求めます。

容量・能力管理（キャパシティ管理）

現在と将来の利用量を予測し、処理能力や記憶容量が不足も過剰にもならないよう調整する活動。費用対効果を考えて資源を用意します。

FAQ

Frequently Asked Questionsの略で「よくある質問と回答集」のこと。利用者が自分で答えを探せるようにして問合せ件数を減らします。

チャットボット

文字による会話形式で、利用者の質問に自動で回答するプログラム。24時間対応でき、定型的な問合せをサービスデスクの代わりに処理します。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類6：サービスマネジメント　中分類11：サービスマネジメント

毎日の運用作業（監視・バックアップ・ジョブ実行）と、新システムへの切替え方法が分かるようになります。

システム運用管理とは、システムを安定して動かし続けるための日々の作業のことです。稼働状況の監視、資源（CPU・メモリ・ディスク）の使用状況の記録、利用者アカウントの管理、ログの取得と保管、定期的なバックアップなどが含まれます。異常を早く見つけて手を打つことが目的です。

バックアップとは、データが壊れたり消えたりしたときに元に戻せるよう、別の媒体に複製を取っておくことです。取り方には3つの方式があります。フルバックアップは全データを毎回丸ごと複製します。差分バックアップは「直前のフルバックアップ以降に変更された分」を毎回まとめて複製します。増分バックアップは「直前のバックアップ（フルでも増分でもよい）以降に変更された分」だけを複製します。

3方式の違いは復元（リストア）の手順に表れます。フルだけならその1本を戻せば終わりです。差分方式なら「フル1本＋最新の差分1本」の2本で復元できます。増分方式なら「フル1本＋その後に取ったすべての増分」を古い順に適用する必要があります。つまり増分はバックアップにかかる時間と容量が最も小さい代わりに、復元に最も手間と時間がかかります。

ジョブとは、コンピュータに実行させる仕事のひとまとまりのことです。夜間の売上集計やバックアップのように、決まった順序・決まった時刻で自動実行させたい処理をまとめて管理する仕組みをジョブ管理といい、それを担うソフトウェアをジョブスケジューラと呼びます。前の処理が正常終了したら次を動かす、異常終了したら管理者へ通知する、といった制御を行います。

システム移行とは、古いシステムから新しいシステムへ切り替えることです。代表的な方式に、一斉移行（ある日を境に全体を一度に切り替える）、段階移行（部門や機能ごとに少しずつ切り替える）、並行運用（一定期間、新旧を同時に動かして結果を突き合わせる）があります。一斉移行は切替えが早く費用も抑えられますが、失敗したときの影響が全体に及びます。並行運用は安全性が高い一方、二重の運用コストがかかります。移行の際は、万一に備えて元に戻す手順（切り戻し）も用意しておきます。

システム運用管理

システムを安定稼働させるための日常業務のこと。稼働監視、資源の使用状況管理、ログ管理、バックアップ、利用者管理などを継続的に行います。

バックアップ

データが壊れたり消えたりしたときに復元できるよう、別の媒体に複製を保存しておくこと。またはその複製データそのもの。

フルバックアップ

対象データすべてを毎回まるごと複製する方式。取得に時間と容量がかかりますが、復元はその1本を戻すだけで済み最も簡単です。

差分バックアップ

直前のフルバックアップ以降に変更されたデータをまとめて複製する方式。復元にはフル1本と最新の差分1本の計2本があれば足ります。

増分バックアップ

直前のバックアップ（フルまたは増分）以降に変更されたデータだけを複製する方式。取得は最速ですが、復元にはフルとその後すべての増分が必要です。

リストア（復元）

バックアップしておいたデータを元の場所に書き戻して、使える状態に戻す作業のこと。

ジョブ

コンピュータに実行させる処理のひとまとまり。夜間の集計処理や帳票出力など、人手を介さず自動実行させる単位として扱います。

ジョブ管理／ジョブスケジューラ

複数のジョブの実行順序や実行時刻を定義し、自動で起動・監視する仕組み、およびそれを行うソフトウェア。異常終了時の通知や後続の停止も制御します。

システム移行

現行システムから新システムへ業務を切り替えること。データの移し替えや利用者教育、切り戻し手順の準備も含みます。

一斉移行

決めた日時に全体を一度に新システムへ切り替える方式。短期間で移行でき費用も抑えられますが、問題が起きたときの影響が全社に及びます。

並行運用

一定期間、新旧のシステムを同時に稼働させて結果を照合しながら移行する方式。安全性は高いが人手と費用が二重にかかります。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類6：サービスマネジメント　中分類11：サービスマネジメント（サービスマネジメントシステムの運用）

コンピュータを置く建物・電源・空調・入退室といった「設備面」の守り方が分かるようになります。

ファシリティマネジメントとは、建物や設備といった施設（ファシリティ）を、安全で効率よく使える状態に保つ管理活動のことです。どんなに優れたソフトウェアでも、停電したり、地震で機器が倒れたり、部外者に持ち去られたりすればサービスは止まります。設備面の備えもITサービスを支える重要な要素です。

電源対策の代表がUPS（無停電電源装置）です。UPSは内部にバッテリを持ち、停電した瞬間に電力の供給を肩代わりします。ただし内蔵バッテリで動ける時間は数分から数十分程度なので、UPSの目的は「長時間動かし続けること」ではなく「安全にデータを保存してシステムを正常終了させる（あるいは自家発電に切り替える）時間を稼ぐこと」です。長時間の停電に備えるには、燃料で発電する自家発電装置を併用します。落雷などで起こる瞬間的な異常高電圧（サージ）から機器を守るには、サージ防護（サージプロテクタ・避雷器）を用います。

地震対策には、建物や装置と地面の間に免震装置を入れて揺れそのものを伝えにくくする免震と、柱や機器を補強して揺れに耐えられるようにする耐震があります。サーバラックの固定や転倒防止もこれに含まれます。

盗難対策としては、ノートPCなどを机に固定するセキュリティワイヤ（ワイヤロックの一種）が代表的です。部屋への出入りを管理するのが入退室管理で、ICカードや生体認証で本人確認を行い、入退室の記録を残します。共連れ（正規の利用者の後ろについて認証を受けずに入室すること）を防ぐため、入室記録のない人の退室を認めないアンチパスバックや、一人ずつしか通れないゲートを併用します。

空調管理も欠かせません。コンピュータ室は発熱量が大きく、温度が上がりすぎると機器が故障しやすくなり、湿度が低すぎると静電気が発生します。適切な温度・湿度を保つことが安定稼働につながります。

近年重視されているのがグリーンITです。これは、省電力なIT機器の採用や仮想化による機器の集約、テレワークによる移動の削減などを通じて、IT機器の製造・使用・廃棄に伴う環境負荷を減らそうという考え方です。

ファシリティマネジメント

建物・電源・空調・セキュリティ設備といった施設を、安全かつ経済的に使える状態に維持・改善する管理活動のこと。

UPS（無停電電源装置）

バッテリを内蔵し、停電した瞬間から短時間だけ電力を供給し続ける装置。安全にデータを保存してシステムを終了させる時間を確保するのが主な目的です。

自家発電装置

燃料を使って自前で発電する設備。UPSでは足りない長時間の停電に備え、UPSが電力を供給している間に起動して引き継ぎます。

サージ防護

落雷などによって電源線や通信線に生じる瞬間的な異常高電圧（サージ）を機器に流さないようにする対策。避雷器やサージプロテクタを用います。

免震

建物や装置と地面の間に揺れを吸収する装置を入れて、地震の揺れ自体を伝わりにくくする構造。装置に伝わる揺れを小さくします。

耐震

柱や壁、ラックなどを補強して、地震の揺れに壊れずに耐えられるようにする構造。サーバラックの床固定などが該当します。

セキュリティワイヤ

ノートPCなどをワイヤで机や柱につないで固定し、持ち去られるのを防ぐ盗難対策器具のこと。

入退室管理

ICカードや生体認証で本人を確認して部屋への出入りを制限し、いつ誰が入退室したかを記録する仕組み。

共連れ（ともづれ）

認証を受けた人の後ろについて、認証せずに一緒に入室してしまう不正行為。アンチパスバックや一人ずつ通るゲートで防ぎます。

アンチパスバック

入室の記録がない人の退室（またはその逆）を認めない入退室管理の仕組み。共連れによる不正入室を検知・抑止します。

グリーンIT

省電力機器の採用や仮想化による機器の集約などにより、IT機器の製造・使用・廃棄に伴う環境への負荷を減らそうとする取組みのこと。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類6：サービスマネジメント　中分類11：サービスマネジメント（ファシリティマネジメント）

情報システムが安全かつ有効に使われているかを独立した立場の監査人が点検する「システム監査」の手順と考え方が分かるようになります。

システム監査とは、情報システムが安全に・有効に・効率よく使われているかどうかを、独立した立場の監査人が点検・評価し、問題があれば改善を助言する活動です。目的は組織を罰することではなく、情報システムに関わるリスクを適切にコントロールできている状態を確かめ、経営に役立てることにあります。

システム監査は決まった流れで進みます。監査計画の策定（何をいつどこまで調べるかを決める）→予備調査（対象部門の資料を集めて全体像をつかむ）→本調査（実際に証拠を集めて確かめる）→評価・結論（集めた証拠から判断を下す）→監査報告（監査報告書を作り、依頼者である経営者へ報告する）→フォローアップ（改善が実行されているか後日確認する）の順です。

システム監査人に最も強く求められるのが独立性と客観性です。監査人は被監査部門から独立していなければならず、自分が開発や運用に関与したシステムを監査することはできません。また、監査人が行うのは事実の確認と改善の助言であり、改善策そのものを実施するのは被監査部門の責任です。監査人が自ら改善作業をしてしまうと、次の監査で自分の仕事を評価することになり独立性が失われます。フォローアップも「改善したか確認する」までであって、代わりに直してあげることではありません。

監査の結論は、必ず客観的な証拠に基づかなければなりません。この証拠となる記録が監査証跡です。処理の実行ログ、入力伝票、承認記録、変更履歴など、いつ誰が何をしたかを後から追跡できる記録を指します。監査証跡が残るようにシステムを作っておく性質を可監査性といいます。監査結果は監査報告書にまとめられ、監査の依頼者（一般に経営者）に提出されます。

監査で確かめる対象のひとつが内部統制です。内部統制とは、業務が法令やルールに従って正しく行われるように、組織の中に組み込んでおく仕組みのことです。代表的な考え方が職務分掌で、ひとりの担当者に権限を集中させず、作業する人と承認する人を分ける、記録する人と現物を管理する人を分ける、といった具合に役割を分離します。互いにチェックが働く状態（相互けん制）を作ることで、不正や誤りが起きにくくなります。

組織全体としてITの活用を方向づけ、統制する経営者の責任をITガバナンスといいます。経営戦略に沿ってIT投資を決め、その運用を監視し、必要なら是正する仕組みを整えることが求められます。これらの活動もPDCAサイクルで継続的に見直していきます。

システム監査

情報システムが安全・有効・効率的に運用されているかを、独立した立場の監査人が点検・評価し、改善を助言する活動のこと。

システム監査人

システム監査を実施する人。被監査部門から独立した立場でなければならず、自分が関与したシステムを監査することはできません。

独立性・客観性

監査人が被監査部門と利害関係を持たず、事実と証拠だけに基づいて公正に判断できる状態のこと。監査結果の信頼性の土台になります。

監査計画

監査の目的・対象範囲・実施時期・体制などをあらかじめ定めた計画。システム監査はこの策定から始まります。

予備調査

本格的な調査の前に、被監査部門の業務内容や資料を確認して全体像を把握する段階。ここで重点的に調べる箇所を絞り込みます。

本調査

予備調査で絞り込んだ点について、記録の閲覧・担当者への質問・現場の観察などにより実際に証拠を集めて確かめる段階。

監査証跡

いつ誰がどんな処理を行ったかを後から追跡できる記録のこと。処理ログ、承認記録、変更履歴などが該当し、監査の判断の裏付けになります。

可監査性

システムに監査証跡が適切に残り、後から検証・追跡できるようになっている性質のこと。設計段階から確保しておく必要があります。

監査報告書

監査の結果と指摘事項、改善の助言をまとめて監査の依頼者（一般に経営者）に提出する文書のこと。

フォローアップ

監査報告で指摘した事項について、被監査部門が改善を実行しているかを後日確認する活動。監査人が改善作業を代行することではありません。

内部統制

業務が法令やルールに従って適正に行われるよう、組織の中に組み込んでおく仕組みのこと。経営者が整備・運用する責任を負います。

職務分掌

ひとりに権限が集中しないよう、業務の役割と責任を複数の担当者に分けること。作業者と承認者を分けるのが典型例です。

相互けん制

職務を分けた担当者どうしが互いの業務をチェックし合う状態のこと。単独では不正や誤りを完結できなくなるため抑止力になります。

ITガバナンス

経営戦略に沿ってIT活用の方向づけを行い、その実行を監視・是正する経営者の責任と仕組みのこと。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類6：サービスマネジメント　中分類11：サービスマネジメント

コンピュータが数や文字を0と1だけで扱う仕組みと、AND・OR・NOTなどの論理演算の考え方が分かります。

私たちが普段使う数は0から9までの10種類の数字を使う10進数です。これに対しコンピュータは、電気が「流れている／流れていない」という2つの状態しか区別できないため、0と1の2種類だけを使う2進数で情報を扱います。2進数の1桁分の情報量を1ビットといい、8ビットをまとめたものを1バイトと呼びます。1バイトでは2の8乗＝256通りの状態を表せます。

2進数の各桁には右から順に1、2、4、8、16…という重み（2のべき乗）が付いています。たとえば2進数1011は、8×1＋4×0＋2×1＋1×1＝11となり、10進数の11を表します。逆に10進数を2進数に直すときは、2で割った余りを下から順に並べます。45なら45÷2＝22余り1、22÷2＝11余り0、11÷2＝5余り1、5÷2＝2余り1、2÷2＝1余り0、1÷2＝0余り1となり、余りを逆順に読んで101101です。

2進数は桁数が長くなって読みにくいため、実務では16進数がよく使われます。16進数は0〜9とA〜Fの16種類で1桁を表し、2進数のちょうど4桁分が16進数の1桁に対応します。そのため2進数11010110は、4桁ずつ区切って1101（＝D）と0110（＝6）に分け、D6と書き換えられます。この対応さえ覚えておけば、変換は暗算でできます。

負の数は「2の補数」という方法で表します。8ビットで−5を表すには、まず5（00000101）の0と1をすべて反転して11111010とし、これに1を足して11111011とします。2の補数を使うと、引き算を足し算の回路だけで計算できるという利点があります。なお最上位の1桁は符号を表し、1なら負の数です。

論理演算は、0を「偽」、1を「真」とみなして行う演算です。両方が1のときだけ1になるのが論理積（AND）、どちらか一方でも1なら1になるのが論理和（OR）、0と1を入れ替えるのが否定（NOT）、2つの値が異なるときだけ1になるのが排他的論理和（XOR）です。入力の全組合せと結果を一覧にした表を真理値表といいます。

論理演算の重要な性質にド・モルガンの法則があります。「AかつBの否定」は「Aの否定 または Bの否定」に等しく、「AまたはBの否定」は「Aの否定 かつ Bの否定」に等しい、というものです。集合で考えると分かりやすく、複数の条件を丸で表して重なりを描いた図をベン図といいます。ベン図では、集合Aと集合Bの少なくとも一方に含まれる要素の個数は、Aの個数＋Bの個数−両方に含まれる個数で求められます。

ビット

コンピュータが扱う情報の最小単位で、0か1のどちらか1つを表す。nビットあれば2のn乗通りの状態を区別できる。8ビットで256通りになる。

バイト

8ビットをひとまとめにした単位。半角英数字1文字がちょうど1バイトで表せるため、データ量を数えるときの基本単位として使われる。

基数変換

同じ数を2進数・10進数・16進数など別の表し方に書き換えること。10進数から2進数へは2で割った余りを逆順に並べる方法が基本。

16進数

0〜9とA〜Fの16種類で1桁を表す数の書き方。2進数4桁がちょうど16進数1桁に対応するので、長い2進数を短く読みやすく書ける。

2の補数

負の数を2進数で表す方法。元の数の0と1をすべて反転し、1を足して作る。引き算を足し算の回路だけで処理できるのでコンピュータで広く使われる。

論理積（AND）

2つの入力がともに1のときだけ結果が1になる演算。「AかつB」に当たる。特定のビットだけ取り出す（マスクする）用途にも使われる。

論理和（OR）

2つの入力のどちらか一方でも1なら結果が1になる演算。「AまたはB」に当たる。両方0のときだけ結果が0になる。

否定（NOT）

入力が1なら0、0なら1に反転させる演算。「Aでない」に当たる。入力は1つだけである点が他の論理演算と違う。

排他的論理和（XOR）

2つの入力の値が異なるときだけ結果が1になる演算。同じ値なら0になる。同じ値で2回演算すると元に戻るため、簡易な暗号化などにも使われる。

真理値表

入力の取り得る組合せをすべて並べ、それぞれに対する演算結果を書き出した表。論理式が正しいかどうかを確かめるときに使う。

ド・モルガンの法則

「AかつBの否定」は「Aの否定またはBの否定」に等しく、「AまたはBの否定」は「Aの否定かつBの否定」に等しいという法則。条件式を書き換えるときに役立つ。

ベン図

集合を丸で描き、重なり具合で「かつ」「または」「でない」の関係を目で見て分かるようにした図。条件の重なりや漏れを整理するのに使う。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類7：基礎理論　中分類13：基礎理論（離散数学）

確率や期待値の求め方、平均・中央値・標準偏差といった統計の読み方、K・M・Gなどの単位の意味が分かります。

確率は、あることが起こる見込みを0から1までの数で表したものです。起こり得る場合が同じ確からしさで全部でn通りあり、そのうち目的の場合がm通りなら、確率はm÷nです。たとえば大小2個のさいころを投げて目の和が7になる場合は（1,6）（2,5）（3,4）（4,3）（5,2）（6,1）の6通り、全体は6×6＝36通りなので、確率は6÷36＝6分の1です。

期待値は、金額などの値が確率に応じて平均するといくらになるかを表す数です。「値×その確率」をすべて足して求めます。たとえば100本のくじに5000円が1本、1000円が5本、残り94本がはずれ（0円）なら、期待値は（5000×1＋1000×5）÷100＝100円です。期待値は、くじや保険、投資などの損得をならして比べるときに使います。

並べ方の数え方には順列と組合せがあります。順列は順番を区別して並べる数え方で、4人を1列に並べるなら4×3×2×1＝24通りです。組合せは順番を区別せずに選ぶ数え方で、6人から2人の代表を選ぶなら（6×5）÷（2×1）＝15通りです。「並べる」なら順列、「選ぶだけ」なら組合せ、と見分けます。

データ全体の特徴を1つの値で表したものを代表値といいます。すべての値を足して個数で割った平均値、大きさ順に並べたときの真ん中の値である中央値、最も多く現れる値である最頻値の3つが基本です。10、20、20、30、120という5個のデータでは、平均値は40ですが中央値は20です。極端に大きい値（外れ値）があると平均値は引きずられるため、そのようなときは中央値の方が実感に近くなります。

データのばらつきを表すのが分散と標準偏差です。各データと平均値の差を2乗して平均したものが分散、その平方根が標準偏差です。値が大きいほどばらつきが大きいことを意味します。多くの自然現象や測定値は、平均値を中心に左右対称の釣り鐘形になる正規分布に近い形で分布します。

2つの量の関係を見るときは相関係数を使います。−1から＋1までの値をとり、＋1に近いほど一方が増えれば他方も増える正の相関、−1に近いほど一方が増えれば他方が減る負の相関、0に近いほど関係が薄いことを示します。相関があっても原因と結果の関係（因果関係）があるとは限らない点に注意が必要です。また、ある変数の値から別の変数の値を予測する式を求める手法を回帰分析といいます。

数値を扱うときは丸めと単位にも注意します。四捨五入は4以下を切り捨て5以上を切り上げる方法、切上げは端数があれば必ず上げる方法、切捨ては端数を捨てる方法です。単位に付ける接頭語は、大きい方がK（キロ、10の3乗）、M（メガ、10の6乗）、G（ギガ、10の9乗）、T（テラ、10の12乗）、小さい方がm（ミリ、10のマイナス3乗）、μ（マイクロ、10のマイナス6乗）、n（ナノ、10のマイナス9乗）、p（ピコ、10のマイナス12乗）です。

確率

あることが起こる見込みを0〜1の数で表したもの。同じ確からしさで起こる全n通りのうち目的がm通りなら m÷n で求める。1に近いほど起こりやすい。

期待値

値とその確率を掛けたものをすべて足した平均的な値。くじの当たり金額のように、何度も繰り返したときに1回あたりいくらになるかを表す。

順列

順番を区別して並べる場合の数。異なるn個からr個を取り出して並べる数え方で、4人を1列に並べるなら4×3×2×1＝24通りとなる。

組合せ

順番を区別せずに選ぶ場合の数。6人から2人を選ぶなら（6×5）÷（2×1）＝15通り。同じ顔ぶれなら並び順が違っても1通りと数える。

平均値

すべての値の合計を個数で割った代表値。計算しやすい反面、極端に大きい値や小さい値があると、そちらに引っ張られてしまう。

中央値

データを大きさ順に並べたときのちょうど真ん中の値。個数が偶数のときは中央2つの平均をとる。外れ値の影響を受けにくい。

最頻値

データの中で最も多く現れる値。アンケートの回答のように数値でないデータにも使える代表値。

分散

各データと平均値の差を2乗して平均した値。ばらつきの大きさを表し、値が大きいほどデータが平均から離れて散らばっている。

標準偏差

分散の平方根。元のデータと同じ単位でばらつきを表せるので実務で使いやすい。値が小さいほどデータが平均値の近くに集まっている。

正規分布

平均値を中心に左右対称の釣り鐘形になる分布。身長や測定誤差など多くのデータがこの形に近くなり、統計的な推定の基礎になっている。

相関係数

2つの量の関係の強さを−1〜＋1で表した値。＋1に近いと一方が増えれば他方も増え、−1に近いと一方が増えれば他方は減る。0に近いと関係が薄い。

回帰分析

ある変数の値から別の変数の値を予測する式（回帰式）を、実データに最もよく当てはまるように求める手法。売上予測などに使われる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類7：基礎理論　中分類13：基礎理論（応用数学）

文字が数値として扱われる仕組みと、音や画像をデジタルデータに変える手順・データ量の計算ができるようになります。

コンピュータは0と1しか扱えないため、文字にも1つずつ番号を割り当てて数値として記憶します。この文字と番号の対応表を文字コードといいます。代表的なものにASCII、シフトJIS、EUC-JP、Unicode、UTF-8があります。送る側と受け取る側で違う文字コードを使うと、文字が正しく表示されない文字化けが起こります。

ASCIIは7ビットで英数字や記号など128種類を表すもっとも基本的な文字コードで、日本語は表せません。シフトJISは日本語の漢字やかなを表すために日本で作られた文字コードです。Unicodeは世界中の文字に共通の番号を割り当てることを目指した文字コード体系で、その番号を実際のバイト列にする代表的な方式がUTF-8です。UTF-8は1文字を1〜4バイトの可変長で表し、英数字はASCIIと同じ1バイトになるので互換性が高く、Webで最も広く使われています。日本語の多くの文字はUTF-8では1文字3バイトになります。

音声や画像のように連続的に変化するアナログの情報をデジタルデータに変えることをデジタル化（A/D変換）といいます。手順は、標本化（サンプリング）→量子化→符号化の3段階です。標本化は一定の時間間隔で波の高さを読み取ること、量子化は読み取った値を決められた段階の数値に置き換えること、符号化はその数値を2進数のビット列にすることです。

1秒間に標本化する回数をサンプリング周波数といい、単位はHz（ヘルツ）です。標本化定理により、元の信号に含まれる最高周波数の2倍を超える周波数で標本化すれば、元の波形を復元できます。20kHzまでの音を記録するには最低40kHzのサンプリング周波数が必要になる、という形で出題されます。量子化ビット数を大きくするほど音の強弱を細かく表せますが、その分データ量は増えます。

デジタル化されたデータの量は掛け算で求められます。音声なら「サンプリング周波数×量子化ビット数×チャネル数×秒数」でビット数が出るので、8で割ればバイト数になります。画像なら「横のピクセル数×縦のピクセル数×1ピクセルあたりのビット数」です。1ピクセルを赤・緑・青それぞれ8ビットで表す24ビットフルカラーなら、1ピクセルは3バイトです。

情報量の考え方も大切です。nビットあれば2のn乗通りの状態を区別できるので、区別したい種類の数を上回る最小のビット数が必要なビット数になります。50種類の記号を区別するなら、2の5乗＝32では足りず、2の6乗＝64で足りるので6ビット必要です。

文字コード

文字1つ1つに番号を割り当てた対応表。コンピュータは文字そのものではなくこの番号を記憶している。送受信で種類が食い違うと文字化けが起こる。

ASCII

7ビットで英数字・記号など128種類の文字を表す、最も基本的な文字コード。アメリカで作られたもので、日本語の漢字やかなは表せない。

シフトJIS

日本語の漢字・ひらがな・カタカナを表すために日本で作られた文字コード。Windowsの日本語環境で長く使われてきた。

Unicode

世界中の文字に世界共通の番号を割り当てることを目指した文字コード体系。日本語・英語・中国語などを1つの文書に混ぜて扱える。

UTF-8

Unicodeの番号を実際のバイト列に表す方式の一つ。1文字を1〜4バイトの可変長で表し、英数字はASCIIと同じ1バイトになる。Webで最も広く使われる。

標本化（サンプリング）

アナログの波を一定の時間間隔で区切り、その時点の値を読み取ること。1秒間に読み取る回数をサンプリング周波数といい、単位はHzで表す。

量子化

標本化で読み取った値を、あらかじめ決めた段階の数値に当てはめること。段階の細かさを表すのが量子化ビット数で、大きいほど原音に忠実になる。

符号化

量子化した数値を0と1のビット列に置き換えること。デジタル化の最後の段階で、ここで初めてコンピュータが扱えるデータになる。

標本化定理

元の信号に含まれる最高周波数の2倍を超える周波数で標本化すれば元の波形を復元できる、という定理。必要なサンプリング周波数を決める根拠になる。

画素（ピクセル）

デジタル画像を構成する最小の点。横と縦の画素数が多いほど細かい画像になる。1画素の色を何ビットで表すかによってデータ量が変わる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類7：基礎理論　中分類13：基礎理論（情報に関する理論）

機械学習の3つの学習方法の違いと、ディープラーニング・過学習など試験に出る用語が説明できるようになります。

AI（人工知能）は、人が行うような認識・判断・推論をコンピュータに行わせる技術の総称です。その中心にあるのが機械学習で、人がルールを1つ1つ書くのではなく、大量のデータからコンピュータ自身に規則性を見つけさせる方法です。機械学習は学習のさせ方によって、教師あり学習・教師なし学習・強化学習の3つに大きく分けられます。

教師あり学習は、入力データと正解（ラベル）の組を大量に与えて、入力から正解を言い当てられるようにする方法です。過去のメールに「迷惑メール」「通常メール」の印を付けて学習させ、新着メールを判定させるのが典型例です。結果が「はい／いいえ」や「A・B・C」のような区分なら分類、売上金額や気温のような連続した数値なら回帰と呼びます。

教師なし学習は、正解を与えずにデータそのものの構造や傾向を見つけさせる方法です。購買履歴から似た傾向の顧客を自動的にグループ分けするクラスタリングが代表例です。正解がないので「何が正しいか」ではなく「どんなまとまりがあるか」を発見するのに向いています。

強化学習は、ある状態で取った行動に対して報酬（良い結果ならプラス、悪い結果ならマイナス）を与え、試行錯誤を繰り返しながら報酬の合計が最大になる行動の選び方を学ばせる方法です。囲碁や将棋のAI、ロボットの歩行制御、自動運転などに使われます。

ニューラルネットワークは、人の脳の神経細胞のつながりをまねた仕組みで、入力層・中間層・出力層からなります。この中間層を何層も深く重ねたものがディープラーニング（深層学習）です。従来は人が指定していた「どこに注目すべきか」という特徴を、大量のデータから自動的に取り出せる点が大きな特徴で、画像認識や音声認識、生成AIの土台になっています。

機械学習では、手元のデータを訓練データ（学習用）とテストデータ（評価用）に分けて使います。学習に使っていないテストデータで精度を測ることで、未知のデータにどれだけ通用するかを確かめられるからです。訓練データに合わせ込みすぎて、訓練データでは高い精度なのに未知のデータでは精度が落ちてしまう現象を過学習（オーバーフィッティング）といいます。また、学習データに偏りがあると判断にも偏り（バイアス）が生じるため、データの選び方には注意が必要です。

AI（人工知能）

人が行うような認識・判断・推論をコンピュータに行わせる技術の総称。現在の中心は、データから規則性を学ばせる機械学習である。

機械学習

人がルールを書くのではなく、大量のデータからコンピュータ自身に規則性を見つけさせる技術。学習のさせ方で教師あり・教師なし・強化の3つに分かれる。

教師あり学習

入力データと正解ラベルの組を与えて、入力から正解を予測できるようにする学習方法。迷惑メール判定や売上予測に使われる。

教師なし学習

正解を与えず、データ自体の構造や似たもの同士のまとまりを見つけさせる学習方法。顧客のグループ分け（クラスタリング）が代表例。

強化学習

行動の結果に報酬を与え、報酬の合計が最大になる行動の選び方を試行錯誤で学ばせる学習方法。囲碁AIやロボット制御、自動運転に使われる。

ニューラルネットワーク

人の脳の神経細胞のつながりをまねた仕組み。入力層・中間層・出力層があり、つながりの重みを調整することで学習を行う。

ディープラーニング（深層学習）

ニューラルネットワークの中間層を何層も深く重ねた手法。注目すべき特徴を人が指定しなくてもデータから自動的に取り出せる点が大きな特徴。

過学習（オーバーフィッティング）

訓練データに合わせ込みすぎて、訓練データでは高精度なのに未知のデータでは精度が落ちてしまう現象。データを増やす、モデルを簡単にするなどで抑える。

訓練データとテストデータ

手元のデータを学習用と評価用に分けたもの。学習に使っていないテストデータで測ることで、未知のデータへの実力を正しく評価できる。

クラスタリング

正解を与えずに、似た特徴を持つデータどうしを自動でグループにまとめる手法。教師なし学習の代表例で、顧客分析などに使われる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類7：基礎理論　中分類13：基礎理論（情報に関する理論・AI）

処理の手順を表す流れ図の読み方、探索・整列などの基本アルゴリズム、データ構造とデータ形式の違いが分かります。

アルゴリズムとは、問題を解くための手順を、誰が実行しても同じ結果になるように順序立てて示したものです。アルゴリズムを図で表したものが流れ図（フローチャート）で、処理は長方形、判断（条件分岐）はひし形、開始と終了は角丸の図形、データの入出力は平行四辺形で表し、矢印で流れをつなぎます。アルゴリズムは、順次（上から順に実行）、選択（条件で分かれる）、繰返し（条件が成り立つ間続ける）の3つの基本構造の組合せで作られます。

プログラムでは、値を入れておく箱を変数といい、変数に値を入れることを代入といいます。同じ種類のデータを番号（添字）で並べて管理する仕組みが配列で、たとえば配列の3番目の要素、というように位置を指定して直接読み書きできます。よく使う処理をひとまとまりにして名前を付け、必要なときに呼び出せるようにしたものが関数（手続き）で、同じ処理を何度も書かずに済み、修正も1か所で済みます。

探索は目的のデータを探し出す処理です。線形探索は先頭から1件ずつ順に照合する方法で、事前の準備は要りませんがデータが多いと時間がかかります。n件の中に必ず目的のデータがある場合、平均の比較回数は（n＋1）÷2回です。二分探索は、あらかじめ整列されたデータの真ん中と比べて、探す範囲を毎回半分に狭めていく方法で、比較のたびに候補が半分になるため非常に速くなります。1000件なら最大10回程度の比較で見つかります。ただし、データが整列済みであることが前提です。

整列（ソート）はデータを大小の順に並べ替える処理です。バブルソートは隣り合う要素を比較して順序が逆なら交換する処理を繰り返す方法で、仕組みが単純です。ほかに、未整列部分から最小値を選んで先頭に置く選択ソート、要素を既に整列した部分の適切な位置に挿入する挿入ソートなどがあります。

データ構造にはそれぞれ得意な使い方があります。スタックは最後に入れたデータを最初に取り出す後入れ先出し（LIFO）の構造で、入れる操作をプッシュ、取り出す操作をポップといいます。キューは最初に入れたデータを最初に取り出す先入れ先出し（FIFO）の構造で、順番待ちの行列と同じ考え方です。リストは各要素が次の要素の位置情報を持つ構造で、途中への挿入や削除を要素の移動なしに行えます。木構造は要素が枝分かれしてつながる構造で、組織図やフォルダの階層のように親子関係のあるデータを表すのに適しています。

プログラム言語には、読みやすく機械学習やデータ分析でよく使われるPython、業務システムで広く使われるJava、OSや組込み機器など機械に近い制御に強いC、Webページに動きを付けるJavaScript、統計解析やグラフ描画に強いRなどがあります。一方、文書の構造や見た目をタグで指示する言語をマークアップ言語といい、Webページを記述するHTML、利用者が独自にタグを定義してデータの意味や構造を表せるXMLがあります。データをやり取りする形式としては、値をカンマで区切って表形式のデータを表すCSV、項目名と値の組を波括弧で囲んで入れ子構造を表せるJSON、タグで構造を表すXMLがよく使われます。

アルゴリズム

問題を解くための手順を、誰が実行しても同じ結果になるように順序立てて示したもの。同じ結果でも手順の良し悪しで処理時間が大きく変わる。

流れ図（フローチャート）

処理の手順を図で表したもの。処理は長方形、条件分岐はひし形、開始・終了は角丸の図形で表し、矢印で流れをつなぐ。

変数

値を入れておく名前付きの箱。プログラムの途中で中身を入れ替えられる。値を入れる操作を代入という。

配列

同じ種類のデータを番号（添字）で並べて管理する仕組み。位置を指定して直接読み書きできるが、途中への挿入・削除は後ろの要素をずらす必要がある。

関数（手続き）

よく使う処理をひとまとまりにして名前を付け、必要なときに呼び出せるようにしたもの。同じ処理を何度も書かずに済み、修正も1か所で済む。

線形探索

先頭から1件ずつ順に照合して目的のデータを探す方法。整列していなくても使えるが、n件なら平均で（n＋1）÷2回の比較が必要になる。

二分探索

整列済みのデータの真ん中と比較し、探す範囲を毎回半分に狭めていく探索方法。非常に速いが、データが整列済みであることが前提となる。

バブルソート

隣り合う要素を比較し順序が逆なら交換する処理を繰り返して並べ替える方法。仕組みが単純で分かりやすいが、件数が多いと時間がかかる。

スタック

最後に入れたデータを最初に取り出す後入れ先出し（LIFO）のデータ構造。入れる操作をプッシュ、取り出す操作をポップという。

キュー

最初に入れたデータを最初に取り出す先入れ先出し（FIFO）のデータ構造。順番待ちの行列と同じ考え方で、処理の待ち行列などに使う。

木構造

要素が枝分かれしてつながるデータ構造。フォルダの階層や組織図のように、親子関係のあるデータを表すのに適している。

マークアップ言語

文書の構造や見た目をタグで指示する言語。Webページを表すHTML、独自のタグを定義してデータの意味を表せるXMLが代表例。

JSON

項目名と値の組を波括弧で囲み、入れ子構造も表せる軽量なデータ記述形式。Webアプリケーションのデータ交換で広く使われる。

CSV

値をカンマで区切り、改行で1行分を表す表形式のデータ形式。表計算ソフトやデータベースとのやり取りに使われる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類7：基礎理論　中分類14：アルゴリズムとプログラミング

コンピュータの頭脳であるCPUが何をしているのか、性能を決めるクロック周波数やコア数の意味が分かるようになります。

コンピュータは大きく、演算・制御を行う装置（CPU）、データを覚えておく装置（記憶装置）、人や外部とやり取りする装置（入力装置・出力装置）に分けられます。この中でCPU（Central Processing Unit、中央処理装置）はプロセッサとも呼ばれ、プログラムの命令を1つずつ読み取って解釈し、計算や他の装置への指示を行う「頭脳」にあたります。

CPUは主記憶（メモリ）に置かれた命令を、決まった手順で繰り返し処理します。手順は「命令の取出し（フェッチ）→ 命令の解読（デコード）→ 対象データの読出し → 命令の実行 → 結果の格納」という流れで、これを高速に繰り返すことで処理が進みます。命令やデータをやり取りする通り道をバスといい、CPUと主記憶の間を行き来します。

CPUの性能を表す代表的な指標がクロック周波数です。CPUは一定のリズム（クロック信号）に合わせて動作しており、その1秒あたりの回数がクロック周波数で、単位はHz（ヘルツ）です。1GHz（ギガヘルツ）は1秒間に10億回のリズムを刻むことを意味します。同じ設計のCPUなら、クロック周波数が高いほど処理は速くなります。ただし設計の異なるCPU同士では、1つの命令に必要なクロック数が違うため、周波数だけで速さを比べることはできません。

近年のCPUは、演算を行う中核部分（コア）を1個のCPUの中に複数持つマルチコアプロセッサが主流です。コアが2個ならデュアルコア、4個ならクアッドコアと呼びます。コアが増えると複数の処理を同時並行で分担できるため、クロック周波数を上げすぎずに性能と消費電力のバランスを取れます。ただし、1本の処理を分割できないプログラムでは、コアを増やしても速くならない点に注意が必要です。

また、画面表示のための膨大な計算を専門に行うGPU（Graphics Processing Unit）があります。GPUは単純な計算を大量に同時実行することが得意で、この性質を生かして3D映像だけでなく、AI（機械学習）の計算や科学技術計算にも使われています。

CPU（中央処理装置）

プログラムの命令を読み取って解釈し、演算と他装置への制御を行う装置。プロセッサともいう。コンピュータの頭脳にあたり、処理速度を大きく左右する。

クロック周波数

CPUが動作の歩調を合わせるために刻むリズムの、1秒あたりの回数。単位はHzで、1GHzは1秒間に10億回。同じ設計のCPUなら高いほど速い。

コア

CPUの中で実際に演算を行う中核部分。1つのCPUにコアを複数載せたものがマルチコアプロセッサで、2個はデュアルコア、4個はクアッドコアと呼ばれる。

マルチコアプロセッサ

1個のCPUの中に複数のコアを持つプロセッサ。複数の処理を同時並行で分担できるため、消費電力を抑えたまま処理能力を高められる。

GPU

画像や映像を描くための計算を専門に行う装置。単純な計算を大量に同時に行うことが得意で、AIの学習処理や科学技術計算にも活用される。

命令の実行手順

CPUが1つの命令を処理する流れ。命令の取出し→命令の解読→対象データの読出し→命令の実行→結果の格納、という順で繰り返される。

バス

CPU・主記憶・入出力装置の間でデータや命令をやり取りする通り道。道幅（一度に運べるビット数）が広いほど多くのデータを一度に運べる。

Hz（ヘルツ）

1秒間に繰り返す回数を表す単位。1kHzは千回、1MHzは百万回、1GHzは十億回。クロック周波数の表記に使われる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類8：コンピュータシステム　中分類15：コンピュータ構成要素（プロセッサ）

RAMとROMの違い、キャッシュメモリの役目、そして記憶装置が速さと容量で段階に分かれている理由が分かります。

プログラムやデータを覚えておく装置を記憶装置といい、大きく主記憶装置（メインメモリ）と補助記憶装置に分けられます。主記憶はCPUが直接読み書きできる作業机のような場所で、実行中のプログラムとデータが置かれます。補助記憶はSSDやハードディスク（HDD）などで、電源を切っても内容が残り、大量のデータを長く保管する引き出しの役目をします。

半導体メモリはRAMとROMに分かれます。RAM（Random Access Memory）は読み書きが自由にできる代わりに、電源を切ると内容が消える揮発性メモリで、主記憶に使われます。RAMにはDRAMとSRAMがあり、DRAMは構造が単純で安く大容量にできますが、記憶内容を保つために一定時間ごとに書き直すリフレッシュ動作が必要です。SRAMはリフレッシュが不要で高速ですが、高価で大容量にしにくいため、キャッシュメモリなど小容量で速さが要る場所に使われます。

ROM（Read Only Memory）は電源を切っても内容が消えない不揮発性メモリです。製造時に内容を書き込んで以後変更できないマスクROMと、利用者が書き込めるPROMがあります。PROMの中でも、電気的に内容を消して何度も書き換えられるものがEEPROMで、これをブロック単位でまとめて消去できるようにして大容量・低価格にしたものがフラッシュメモリです。USBメモリ、SDカード、SSDはフラッシュメモリを利用した装置です。

CPUは主記憶より圧倒的に速く動くため、主記憶を読みに行くたびに待たされてしまいます。そこでCPUと主記憶の間に、小容量で非常に高速なキャッシュメモリを置き、よく使うデータをここに写しておきます。目的のデータがキャッシュにある割合をヒット率といい、ヒット率が高いほど平均の待ち時間（実効アクセス時間）が短くなります。

こうして記憶装置は、速いが小容量で高価なものから、遅いが大容量で安価なものへと段階的に並びます。これを記憶階層といい、上からレジスタ（CPU内部）→ キャッシュメモリ → 主記憶 → 補助記憶の順です。上に行くほど高速・小容量・高価、下に行くほど低速・大容量・安価という関係になっています。

主記憶装置（メインメモリ）

CPUが直接読み書きできる記憶装置。実行中のプログラムとデータが置かれる。電源を切ると内容が消えるRAMが使われる。

補助記憶装置

SSDやハードディスクなど、電源を切っても内容が残り、大量のデータを長期間保管する装置。主記憶より低速だが大容量で安価。

RAM

自由に読み書きできるが、電源を切ると内容が消える揮発性の半導体メモリ。主記憶に使われる。DRAMとSRAMの2種類がある。

DRAM

安価で大容量にできるRAM。記憶内容が自然に失われるため、一定時間ごとに書き直すリフレッシュ動作が必要。主記憶に使われる。

SRAM

リフレッシュが不要で高速なRAM。高価で大容量にしにくいため、キャッシュメモリなど小容量で速さが求められる用途に使われる。

ROM

電源を切っても内容が消えない不揮発性メモリ。基本は読出し専用で、機器の起動プログラムなど書き換えないデータの保存に使われる。

マスクROM

製造の段階で内容を書き込んでしまい、以後は書き換えられないROM。大量生産に向き、単価が安い。

PROM

利用者が内容を書き込めるROMの総称。電気的に消して何度も書き換えられるEEPROMや、その一種のフラッシュメモリが含まれる。

フラッシュメモリ

電気的にブロック単位で消去・書換えができる不揮発性メモリ。USBメモリ、SDカード、SSDに使われている。

キャッシュメモリ

CPUと主記憶の速度差を埋めるために両者の間に置く、小容量で高速なメモリ。よく使うデータを写しておき、待ち時間を減らす。

ヒット率

CPUが必要としたデータがキャッシュメモリの中に見つかる割合。ヒット率が高いほど平均の読出し時間（実効アクセス時間）が短くなる。

記憶階層

記憶装置を速度・容量・価格の関係で段階的に並べた考え方。上ほど高速・小容量・高価、下ほど低速・大容量・安価になる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類8：コンピュータシステム　中分類15：コンピュータ構成要素（メモリ）

USBやHDMI、BluetoothやNFCといったつなぎ方の違いと、IoT機器やディスプレイなどハードウェアの基礎が分かります。

コンピュータと周辺機器をつなぐ規格を入出力インタフェースといいます。ケーブルでつなぐ有線インタフェースの代表がUSBで、プリンタ・キーボード・外付けSSDなど幅広い機器を1種類の端子で接続でき、電源を入れたまま抜き差しできるホットプラグや、接続した機器を自動的に認識するプラグアンドプレイに対応しています。またUSBはケーブルを通じて機器へ電力を供給（バスパワー）できます。USB Type-Cは上下の区別なく挿せる形状の端子です。

映像と音声をまとめてデジタル信号で送るのがHDMIで、パソコンとディスプレイやテレビの接続に使われます。IEEE1394はビデオ機器などの接続に用いられた高速な有線インタフェースです。無線でつなぐ規格では、Bluetoothが数メートル程度の範囲でマウス・イヤホン・スマートフォンなどを接続する近距離無線通信であるのに対し、NFCは数センチメートルまで近づけて通信する規格で、交通系ICカードや電子マネー、スマートフォンのかざす決済に使われます。

周辺機器をつないだだけでは使えず、その機器を制御するための専用ソフトウェアが必要です。これをデバイスドライバといい、OSと周辺機器の間を仲立ちします。プラグアンドプレイに対応した機器では、接続時にOSが機器を認識して適切なデバイスドライバを自動的に組み込みます。

ハードウェアには、汎用のパソコンやサーバのほか、機器の中に組み込まれて特定の働きだけを行う組込みシステムがあります。家電・自動車・産業機器などに広く使われ、これらがネットワークにつながるとIoT（Internet of Things、モノのインターネット）デバイスになります。IoTデバイスでは、温度・明るさ・加速度・位置などの状態を電気信号として捉えるセンサと、モータやバルブのように電気信号を動きに変えて対象を動かすアクチュエータが重要な役割を果たします。

入力装置にはキーボード、マウス、タッチパネル、イメージスキャナ、バーコードリーダなどがあり、出力装置にはディスプレイやプリンタがあります。ディスプレイでは、背面のバックライトで光らせる液晶ディスプレイと、画素そのものが発光するためバックライトが不要で薄型化しやすく黒の表現に優れる有機ELディスプレイが使われます。プリンタの一種である3Dプリンタは、樹脂などの材料を層状に積み重ねて立体物を造形する装置で、試作品づくりなどに使われます。バッテリーで動く機器では、使っていない部分への電力供給を止めるなどの省電力の工夫も重要です。

入出力インタフェース

コンピュータと周辺機器をつなぐための決まりごと（規格）。端子の形、信号の送り方、速度などが定められており、規格が合わないと接続できない。

USB

多くの周辺機器を1種類の端子で接続できる有線インタフェース。電源を入れたまま抜き差しでき、ケーブルを通じて機器に電力を供給することもできる。

HDMI

映像と音声をまとめて1本のケーブルでデジタル伝送する規格。パソコンとディスプレイ、テレビとレコーダの接続などに使われる。

Bluetooth

数メートル程度の距離で機器同士を無線接続する規格。マウス、キーボード、イヤホン、スマートフォンなどの接続に使われる。

NFC

数センチメートルまで近づけて通信する近距離無線通信規格。交通系ICカードや電子マネー、スマートフォンをかざす決済などに使われる。

IEEE1394

ビデオ機器や外付け記憶装置の接続に使われた高速な有線インタフェース規格。電源を入れたままの抜き差しにも対応する。

デバイスドライバ

周辺機器を動かすための専用ソフトウェア。OSと機器の間を仲立ちし、これが組み込まれていないと接続しても機器を使えない。

プラグアンドプレイ

周辺機器を接続すると、OSが自動的に機器を認識して必要な設定やデバイスドライバの組込みを行う仕組み。利用者の手間を減らす。

組込みシステム

家電・自動車・産業機器などの中に組み込まれ、特定の働きだけを行うコンピュータシステム。省電力や高い信頼性が求められる。

IoTデバイス

ネットワークにつながって情報をやり取りするモノ（機器）。センサで状態を集め、離れた場所から状況を把握したり機器を動かしたりできる。

センサ

温度・明るさ・加速度・位置などの状態を測って電気信号に変える部品。IoTでは現実世界の情報を集める入口の役目をする。

アクチュエータ

電気信号を受けて物を動かす部品。モータやバルブなどがあり、センサが集めた情報にもとづいて現実世界に働きかける出口の役目をする。

有機ELディスプレイ

画素そのものが発光する表示装置。バックライトが不要なため薄くでき、光らせないことで黒を表現できるのでコントラストが高い。

3Dプリンタ

樹脂などの材料を薄い層として何度も積み重ね、立体物を造形する装置。試作品や少量の部品を短時間で作るのに使われる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類8：コンピュータシステム　中分類15：コンピュータ構成要素（入出力デバイス）／IPA「ITパスポート試験」シラバス Ver.6.5 大分類8：コンピュータシステム　中分類18：ハードウェア

クライアントサーバや仮想化、NAS・SAN、エッジコンピューティングといった構成の違いと、ディスクを束ねるRAIDが分かります。

複数のコンピュータを組み合わせて1つの仕事をさせる形をシステム構成といいます。代表的なのがクライアントサーバシステムで、サービスを提供する側のサーバと、それを利用する側のクライアントに役割を分けます。これに対し、すべての機器が対等な立場で直接データをやり取りする形をピアツーピア（P2P）といいます。

クライアント側の端末に記憶装置やアプリケーションをほとんど持たせず、処理とデータをサーバ側にまとめる方式をシンクライアントといいます。端末が盗まれても中にデータがないため情報漏えいのリスクを下げられます。これを発展させ、サーバ上で利用者ごとの仮想的なデスクトップ環境を動かし、端末には画面だけを転送する仕組みがVDI（仮想デスクトップ基盤）です。

仮想化は、1台の物理的なコンピュータの上で複数の仮想的なコンピュータ（仮想マシン）を動かす技術です。サーバの台数を減らして設置場所や電力を節約でき、必要に応じて構成を素早く変更できます。一方、複数のコンピュータを1台のように連携させて処理能力や信頼性を高める構成をクラスタといい、世界中に散らばったコンピュータの余力を集めて巨大な計算を行う方式をグリッドコンピューティングといいます。

データを保存する装置のつなぎ方にも種類があります。NASはネットワークに直接つないで複数のコンピュータから共有できるファイルサーバ専用機で、導入が手軽です。SANは記憶装置専用の高速なネットワークを別に用意してサーバと接続する方式で、大規模なシステムに向きます。また、利用者や機器のすぐ近くに処理装置を置き、そこでデータを処理してから必要な分だけをクラウドに送る方式をエッジコンピューティングといい、通信量を減らし応答を速くできます。

複数の磁気ディスクをまとめて1台のように扱い、性能や信頼性を高める技術がRAIDです。RAID0（ストライピング）はデータを複数のディスクに分散して同時に読み書きするため高速ですが、冗長性がなく1台故障するとデータを失います。RAID1（ミラーリング）は同じデータを2台に書き込むため1台故障してもデータが残りますが、使える容量は全体の半分になります。RAID5はデータと誤り訂正用のパリティを3台以上のディスクに分散して記録し、1台が故障しても残りのディスクから内容を復元できる、容量効率と信頼性のバランスがよい方式です。

クライアントサーバシステム

サービスを提供するサーバと、それを利用するクライアントに役割を分けたシステム構成。処理を分担でき、管理をサーバ側に集約しやすい。

ピアツーピア（P2P）

参加するすべてのコンピュータが対等な立場で、直接データをやり取りする構成。中心となるサーバを置かない点がクライアントサーバと異なる。

シンクライアント

端末側に記憶装置やアプリケーションをほとんど持たせず、処理とデータをサーバに集約する方式。端末紛失時の情報漏えいリスクを下げられる。

VDI（仮想デスクトップ基盤）

サーバ上で利用者ごとの仮想デスクトップ環境を動かし、手元の端末には画面だけを転送する仕組み。どの端末からも同じ環境を使える。

仮想化

1台の物理的なコンピュータの上で、複数の仮想的なコンピュータを同時に動かす技術。機器の台数・設置場所・電力を削減できる。

クラスタ

複数のコンピュータを高速につないで1台のように動かす構成。処理を分担して性能を上げたり、1台止まっても処理を続けたりできる。

グリッドコンピューティング

ネットワーク上に散らばった多数のコンピュータの空き時間を集めて、1つの大きな計算を行う方式。科学技術計算などに使われる。

NAS

ネットワークに直接つないで使う、ファイル共有専用の記憶装置。複数のコンピュータから同じファイルを読み書きでき、導入が手軽。

SAN

サーバと記憶装置を結ぶ専用の高速ネットワーク。大量のデータを高速にやり取りでき、大規模システムの記憶装置統合に使われる。

エッジコンピューティング

利用者や機器の近くに処理装置を置き、そこでデータを処理してから必要な分だけをクラウドへ送る方式。通信量を減らし応答を速くできる。

RAID

複数の磁気ディスクをまとめて1台のように扱い、速度や信頼性を高める技術。分散して速くするRAID0、二重化するRAID1などの方式がある。

ストライピング（RAID0）

データを複数のディスクに分けて同時に読み書きし、速度を上げる方式。予備の情報を持たないため、1台でも故障するとデータを失う。

ミラーリング（RAID1）

同じデータを2台のディスクに同時に書き込む方式。1台が故障してももう1台で運転を続けられるが、使える容量は全体の半分になる。

パリティ

誤りを見つけたり元のデータを復元したりするために付ける検査用の情報。RAID5ではこれを各ディスクに分散して記録している。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類8：コンピュータシステム　中分類16：システム構成要素（システムの構成）

止まらないシステムを作る考え方と、稼働率・MTBF・MTTRなど性能や信頼性を数値で測る方法が分かります。

システムを止めないための工夫を信頼性設計といいます。同じ構成のシステムを2組用意し、常に両方を動かして結果を突き合わせながら処理を続けるのがデュアルシステムです。一方が故障してももう一方で処理を続けられ、結果の照合によって誤りにも気付けますが、費用は高くなります。これに対しデュプレックスシステムは、主系（現用系）で本番処理を行い、従系（待機系）は普段は別の処理をしたり待機したりしておき、主系の故障時に切り替える方式です。待機系に電源を入れて同じ状態を保ち即座に切り替えられるようにするのがホットスタンバイ、待機系を止めておき故障時に起動して切り替えるのがコールドスタンバイで、コールドスタンバイは費用が安い代わりに切替えに時間がかかります。

故障への向き合い方にもいくつかの考え方があります。フォールトトレラントは、装置を多重化しておき一部が故障してもシステム全体としては正常な機能を保ち続ける設計です。フェールセーフは、故障したときに安全な側へ倒す設計で、信号機が故障したら赤を表示する、ストーブが倒れたら火が消えるといった例があります。フェールソフトは、故障した部分を切り離して機能や性能を落としてでも処理を続ける設計で、この縮小運転の状態をフォールバック（縮退運転）といいます。フールプルーフは、利用者が誤った操作をしても危険や故障につながらないようにする設計で、ふたを閉めないと運転しない洗濯機や、数値しか入力できない入力欄などが該当します。

システムの信頼性は数値でも評価します。MTBF（平均故障間隔）は、故障が直ってから次に故障するまでの平均時間で、大きいほど故障しにくいことを表します。MTTR（平均修理時間）は、故障してから復旧するまでの平均時間で、小さいほど早く直ることを表します。この2つから、システムが使える状態にある時間の割合である稼働率（可用性）を、稼働率＝MTBF÷（MTBF＋MTTR）で求められます。

複数の装置を組み合わせたときの稼働率も計算できます。すべての装置が動いていないと使えない直列（直列接続）の場合、全体の稼働率は各装置の稼働率の積、つまりA×Bになります。どちらか一方が動いていれば使える並列（並列接続）の場合は、両方が同時に止まる確率を1から引いて、1−(1−A)×(1−B)で求めます。直列にすると稼働率は必ず下がり、並列にすると必ず上がるのが特徴です。組合せが複雑なときは、並列部分をまとめて1つの装置とみなしてから直列の計算をします。

性能の評価では、一定時間に処理できる仕事の量を表すスループット、利用者が指示を出してから最初の応答が返り始めるまでのレスポンスタイム（応答時間）、指示を出してからすべての結果を受け取り終えるまでのターンアラウンドタイムを使い分けます。異なるシステムの性能を同じ条件のプログラムで測って比べる方法をベンチマークといいます。費用の面では、導入時にかかる初期コストと、運用・保守・電力などで使い続ける間にかかる運用コストを合計したTCO（総所有費用）で判断します。

デュアルシステム

同じ構成の2組を常に同時に動かし、結果を突き合わせながら処理する方式。片方が故障しても処理を続けられ、誤りにも気付けるが費用は高い。

デュプレックスシステム

主系で本番処理を行い、従系は待機させておいて故障時に切り替える方式。常時2組を動かすデュアルシステムより費用を抑えられる。

ホットスタンバイ

待機系に電源を入れていつでも代わりを務められる状態にしておく方式。切替えが速いが、待機中も装置を動かすため費用がかかる。

コールドスタンバイ

待機系を停止させておき、主系の故障時に起動して切り替える方式。費用は安いが、起動と切替えに時間がかかる。

フォールトトレラント

装置を多重化しておき、一部が故障してもシステム全体は正常な機能を保ち続けるようにする設計の考え方。

フェールセーフ

故障が起きたときに、被害が出ない安全な状態へ倒す設計。信号機が故障時に赤を表示する、ストーブが倒れると消火する、といった例がある。

フェールソフト

故障した部分を切り離し、機能や性能を落としてでも処理を続ける設計。この縮小した運転状態をフォールバック（縮退運転）という。

フールプルーフ

利用者が誤った操作をしても、危険や故障につながらないようにする設計。ふたを閉めないと動かない機器や、数値しか入力できない欄などが例。

MTBF（平均故障間隔）

修理が終わってから次に故障するまでの平均時間。値が大きいほど故障しにくく、信頼性が高いことを表す。

MTTR（平均修理時間）

故障してから復旧するまでにかかる平均時間。値が小さいほど早く直る、つまり保守しやすいことを表す。

稼働率（可用性）

全体の時間のうち、システムが使える状態にある時間の割合。MTBF÷（MTBF＋MTTR）で求める。1に近いほど止まりにくい。

スループット

一定時間に処理できる仕事の量。1時間あたりの処理件数などで表し、大きいほど処理能力が高い。

レスポンスタイム（応答時間）

利用者が指示を出してから、最初の応答が返り始めるまでの時間。すべての結果が返り終わるまでを測るターンアラウンドタイムとは異なる。

ターンアラウンドタイム

利用者が処理を依頼してから、すべての結果を受け取り終えるまでの時間。レスポンスタイムより長くなる。

ベンチマーク

同じ条件のプログラムを実行させて性能を測り、異なるシステム同士を比較する方法。またその評価用プログラムのこと。

TCO（総所有費用）

導入時にかかる初期コストと、運用・保守・電力などで使い続ける間にかかる運用コストを合計した費用。導入判断はこの合計で行う。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類8：コンピュータシステム　中分類16：システム構成要素（システムの信頼性設計・システムの評価指標）

OSの役割、ファイルの置き場所の指定方法、OSSの考え方、そして表計算の相対参照と絶対参照が分かります。

ソフトウェアは、コンピュータ全体を管理する基本ソフトウェア（OS）と、目的の仕事を行う応用ソフトウェア（アプリケーションソフトウェア）に分けられます。OS（Operating System）は、CPUや主記憶といったハードウェアの資源を管理し、アプリケーションが動く土台を提供します。主な役割にはタスク管理（どのプログラムにいつCPUを使わせるかの割当て）、記憶管理、ファイル管理、入出力管理、利用者の管理などがあります。代表的なOSにWindows、macOS、Linux、Android、iOSがあります。

ファイルはディレクトリ（フォルダ）で階層的に整理されます。最上位のディレクトリをルートディレクトリ、いま作業しているディレクトリをカレントディレクトリといいます。ファイルの位置を表す書き方がパスで、ルートから順にたどって書くのが絶対パス、カレントディレクトリを起点に書くのが相対パスです。相対パスでは、カレントディレクトリを「.」、1つ上の親ディレクトリを「..」で表します。また、機器の故障や誤操作に備えて、データを別の媒体に複製して保管しておくことをバックアップといい、複製を本体とは別の場所に保管しておくと災害時にも役立ちます。

ソースコード（人が書いたプログラムの元の文）が公開され、誰でも利用・改良・再配布できるソフトウェアをOSS（オープンソースソフトウェア）といいます。OSであるLinux、WebサーバソフトウェアのApache HTTP Server、データベース管理システムのMySQL、WebブラウザのFirefoxなどが代表例です。OSSは無償で入手できるものが多いものの、「無償であること」が条件ではなく、利用条件はライセンスで定められています。ライセンスには、改変したものを再配布する際に同じライセンスで公開することを求めるものもあるため、業務で使うときは条件の確認が必要です。また、公開されていても著作権は放棄されていません。

ファイルには用途に応じた形式があります。文字だけの表データをコンマで区切って並べるCSV、作成した環境が違っても同じ見た目で表示・印刷できるPDF、複数のファイルをまとめて容量を小さくするZIP、写真に向き圧縮によって元に戻せない部分が出るJPEG、圧縮しても劣化せず背景を透明にできるPNG、色数は少ないが簡単な動きを表現できるGIF、音声用のMP3、動画用のMP4などがあります。

オフィスツールのうち表計算ソフトでは、セルに式を入れて計算します。式を他のセルに複写すると、参照するセルの位置が複写した方向・距離のぶんだけずれます。これが相対参照です。ずらしたくない参照には、列名や行番号の前に「$」を付けます。これが絶対参照で、$を付けた部分は複写しても変わりません。列だけ、行だけを固定する複合参照もできます。合計を求める関数、平均を求める関数、条件に合うものだけを数えたり合計したりする条件付きの関数などを組み合わせ、結果を棒グラフ・折れ線グラフ・円グラフなどで表現します。

OS（基本ソフトウェア）

ハードウェアの資源を管理し、アプリケーションが動く土台を提供するソフトウェア。タスク管理、記憶管理、ファイル管理、入出力管理などを行う。

タスク管理

複数のプログラムに対して、どれにいつCPUを使わせるかを割り当てて管理するOSの働き。これにより複数の処理を同時に進めているように見せられる。

ルートディレクトリ

ファイルの階層構造の最上位にあるディレクトリ。すべてのディレクトリやファイルはここからたどって到達できる。

カレントディレクトリ

いま作業の対象になっているディレクトリ。相対パスはここを起点として書き、「.」で表す。

絶対パス

ルートディレクトリを起点として、目的のファイルまでの道順をすべて書き並べた指定方法。カレントディレクトリがどこでも同じ場所を指す。

相対パス

カレントディレクトリを起点として、目的のファイルまでの道順を書く指定方法。1つ上の親ディレクトリは「..」で表す。

バックアップ

機器の故障、誤操作、災害などに備えて、データを別の媒体に複製して保管しておくこと。複製を別の場所に置くと災害時にも復旧できる。

OSS（オープンソースソフトウェア）

ソースコードが公開され、誰でも利用・改良・再配布できるソフトウェア。無償のものが多いが、無償であることが条件ではなく、著作権も放棄されていない。

CSV

表のデータを1行1件、項目をコンマで区切って並べた文字だけの形式。ソフトが違ってもデータを受け渡ししやすい。

PDF

作成した環境が異なっても、同じ見た目で表示・印刷できる文書ファイル形式。契約書やカタログの配布などに使われる。

相対参照

表計算で、式を他のセルに複写すると参照先が複写した方向と距離のぶんだけずれる参照方法。「A1」のように$を付けずに書く。

絶対参照

表計算で、式を複写しても参照先が変わらない参照方法。列名や行番号の前に$を付けて「$A$1」のように書く。消費税率など共通の値を参照するときに使う。

複合参照

列だけ、または行だけを固定する参照方法。「$A1」は列Aだけを固定し行はずれ、「A$1」は行1だけを固定し列はずれる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類8：コンピュータシステム　中分類17：ソフトウェア

情報を「伝わる形」に整える考え方と、誰もが使えるようにするための配慮が分かります。

同じ内容でも、並べ方や見せ方を変えるだけで分かりやすさは大きく変わります。情報を受け手に正しく伝わる形に整理して表現することを情報デザインといいます。文字を飾ることではなく、何をどの順番で、どのまとまりで見せるかを決める作業だと考えてください。

見せ方の基本として、近接（関連するものを近づけてまとまりに見せる）、整列（位置や端をそろえる）、反復（同じ体裁を繰り返して統一感を出す）、対比（重要なものとそうでないものの差を大きくする）という考え方があります。また、内容を意味のまとまりごとに分け、見出しを付けて階層をつくる構造化を行うと、読み手は必要な情報にすぐたどり着けます。

利用者は多様です。年齢や身体の状態、使っている機器や周囲の環境が違っても、できるだけ多くの人が使えるように最初から設計する考え方をユニバーサルデザインといいます。これに対し、すでにある障壁を後から取り除く考え方がバリアフリーです。製品やサービスを高齢者や障害のある人を含めて誰もが利用できる度合いをアクセシビリティ（利用しやすさ）といい、特にWebページについてのものをWebアクセシビリティと呼びます。日本ではJIS X 8341-3が指針となっています。

具体的な配慮としては、画像に代替テキスト（alt）を付けて音声読み上げでも内容が分かるようにする、文字の大きさを利用者が変えられるようにする、背景色と文字色の明度差（コントラスト）を十分に取る、といったものがあります。色の見え方には個人差があるため、色の違いだけで情報を区別せず、模様・線の種類・文字ラベルも併用するのがカラーユニバーサルデザインです。言葉が分からなくても意味が伝わるよう単純な絵で表したピクトグラム（非常口や車椅子の図記号など）も、情報デザインの代表例です。

利用者に「ここを押せばよい」「ここは回せる」と気付かせる手掛かりをシグニファイアといいます。押せそうに見える立体的なボタン、引き手の付いた扉などがこれに当たります。もともとアフォーダンスは、物や環境がその使い手に対して与える行為の可能性を指す言葉で、シグニファイアはそれを利用者に気付かせる目印だ、と整理すると混乱しません。

情報デザイン

伝えたい情報を、受け手に正しく分かりやすく届くように整理し、表現の仕方を決めること。並び順・まとまり・見出し・図表の使い方などを設計する。

構造化

情報を意味のまとまりごとに分け、見出しを付けて階層や順序を与えること。読み手が全体像をつかみやすく、必要な部分を探しやすくなる。

ユニバーサルデザイン

年齢・能力・体格・置かれた状況にかかわらず、できるだけ多くの人がそのまま使えるように、はじめから考えて作るという設計の考え方。

バリアフリー

高齢者や障害のある人にとっての障壁（バリア）を後から取り除く考え方。段差にスロープを付けるなど、既存の不便を解消する方向の対策をいう。

アクセシビリティ

高齢者や障害のある人を含め、どんな人でもその製品・サービス・情報を利用できる度合い。Webページを対象にしたものをWebアクセシビリティという。

ユーザビリティ

利用者が迷わず、少ない手間で目的を達成できるかという使いやすさの度合い。誰でも使えるかを問うアクセシビリティとは着目点が異なる。

代替テキスト（alt）

画像の内容を文字で説明したもの。音声読み上げソフトを使う人や、画像が表示されない環境の人にも情報が伝わるようにするために付ける。

カラーユニバーサルデザイン

色の見え方の個人差に配慮した配色の工夫。色の違いだけで区別させず、模様・線の種類・文字ラベルを併用し、明度差も十分に取る。

ピクトグラム

非常口や車椅子のマークのように、意味を単純な絵記号で表したもの。言葉が読めない人や外国語の話者にも意味が伝わる。案内用図記号はJIS Z 8210に定められている。

インフォグラフィックス

数値や手順などの情報を、図表・地図・イラストを組み合わせて直感的に分かるように表現したもの。長い文章より短時間で内容をつかめる。

シグニファイア

その物をどう操作すればよいかを利用者に気付かせる手掛かり。押せそうな立体的ボタン、扉の引き手、指でなぞる方向を示す矢印などが該当する。

アフォーダンス

物や環境が、使い手に対して与える「こうできる」という行為の可能性のこと。取っ手のある扉は「握って引く」ことをアフォードしている、と表現する。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素／IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類19：情報デザイン（情報デザイン）／JIS X 8341-3／JIS Z 8210

画面の部品の使い分けと、入力ミスをその場で見つける仕組みが分かります。

人とコンピュータが情報をやり取りする接点をヒューマンインタフェースといいます。画面上のアイコンやボタンをマウスや指で操作する方式をGUI、文字のコマンドを打ち込んで操作する方式をCUIと呼びます。近年は音声で問いかけて音声で答えるVUI（音声ユーザインタフェース）や、身振り・視線・表情など言葉以外の手段を使うノンバーバルインタフェースも広がっています。

画面設計では、GUI部品を目的に合わせて選ぶことが大切です。ラジオボタンは並んだ選択肢から必ず一つだけを選ばせるとき、チェックボックスは当てはまるものを複数選ばせるとき（一つも選ばないこともできる）に使います。プルダウンメニュー（ドロップダウンリスト）は選択肢が多いときに場所を取らずに一つを選ばせる部品、テキストボックスは氏名や自由記述のように決まった選択肢がない入力に使います。入力欄は業務の流れと同じ順番に並べ、関連する項目はまとめて配置します。帳票設計では、紙に印刷したときに読みやすいよう、見出し・明細・合計の位置をそろえ、余白や罫線で区切りを示します。

利用者が製品やサービスを通じて得る体験の全体をUX（ユーザエクスペリエンス）といい、そのうち利用者が直接触れる画面や操作部分の作りをUI（ユーザインタフェース）といいます。UIはUXを形づくる要素の一つで、両者は同じものではありません。

入力されたデータが正しいかどうかを、処理の前に機械的に確かめる仕組みが入力チェック（データチェック）です。数字であるべき欄に文字が入っていないかを見るニューメリックチェック、郵便番号のように決められた桁数や記号の並びになっているかを見るフォーマットチェック、値が決められた上限・下限に収まっているかを見る範囲チェック、同じデータが二重に入力されていないかを見る重複チェック、データが決められた順番に並んでいるかを見るシーケンスチェック、マスタファイルに登録されているかを照らし合わせる照合チェックなどがあります。

コードの打ち間違いを見つける工夫がチェックディジットです。コードの各桁から決められた計算をして求めた数字をコードの末尾に付けておき、入力されたコードから同じ計算をやり直して一致するかを見ます。一致しなければ、どこかの桁を打ち間違えたと分かります。入力チェックは誤りを早い段階で見つけるためのもので、通ったからといって内容が業務的に正しいことまで保証するものではない点に注意してください。

ヒューマンインタフェース

人とコンピュータが情報をやり取りするための接点。画面表示、キーボードやマウスの操作、音声のやり取りなど、人が直接触れる部分すべてを指す。

GUI

画面上のアイコンやボタン、ウィンドウを指し示して操作する方式。文字コマンドを覚えなくても直感的に使えるのが利点。日本語では図形利用者インタフェースという。

CUI

文字で命令（コマンド）を打ち込んで操作する方式。覚えることは多いが、決まった作業をまとめて自動実行させやすいという利点がある。

VUI

音声で入力し、音声で応答を受け取るインタフェース。スマートスピーカや自動車の音声操作が代表例で、手や目がふさがっていても使える。

ノンバーバルインタフェース

言葉以外の手段でやり取りするインタフェース。身振り、視線の動き、表情、姿勢などをコンピュータが読み取って操作に結び付ける。

ラジオボタン

並んだ選択肢のうち必ず一つだけが選ばれるGUI部品。別の項目を選ぶと前の選択は自動的に外れる。性別や希望日など、一つに決まる項目に使う。

チェックボックス

項目ごとに独立してオン・オフできるGUI部品。複数選んでもよく、一つも選ばなくてもよい。「当てはまるものをすべて選ぶ」設問に向く。

プルダウンメニュー

普段は1行だけ表示され、開くと選択肢の一覧が現れて一つを選べる部品。都道府県のように選択肢が多いときに画面の場所を節約できる。

テキストボックス

利用者が自由に文字を打ち込む入力欄。選択肢を用意できない氏名や意見の記入に使うが、表記が揺れやすいため入力チェックが重要になる。

UX（ユーザエクスペリエンス）

製品やサービスを使う過程と、その前後を通じて利用者が得る体験の全体。使いやすさだけでなく、満足感や安心感といった印象も含む。

UI（ユーザインタフェース）

利用者が直接目にし、操作する部分。画面のレイアウト、ボタンやメニューの配置と見た目など。UXを形づくる要素の一つ。

チェックディジット

コードの各桁から計算して求めた検査用の数字を、コードの末尾に付けておく方法。入力値から計算し直して一致するかを見て、打ち間違いを検出する。

照合チェック

入力された値がマスタファイルなど別に用意した正しいデータの中に存在するかを照らし合わせる検査。存在しないコードの入力を防げる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素／IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類19：情報デザイン（インタフェース設計）

音声・静止画・動画の圧縮とファイル形式の違い、VR・AR・MRの区別が分かります。

文字・音声・静止画・動画などを組み合わせて扱う技術をマルチメディア技術といいます。これらのデータはそのままでは容量が大きいため、圧縮して保存・伝送します。圧縮には二種類あり、展開すると元のデータと完全に一致するものを可逆圧縮、人が気付きにくい情報を捨てて圧縮率を高めるものを非可逆圧縮といいます。文書やプログラムのように1文字でも変わってはいけないデータには可逆圧縮を、写真や音楽のように多少の劣化が許されるデータには非可逆圧縮を使います。非可逆圧縮したデータは、展開しても捨てられた情報は戻りません。

静止画では、写真に向くJPEGが非可逆圧縮、256色までを扱いアニメーションや透過にも対応するGIFと、フルカラーで透過も扱えるPNGが可逆圧縮です。BMPは基本的に圧縮せず、点ごとの色情報をそのまま保存します。音声ではMP3やAACが非可逆圧縮の代表で、CDに近い音質を大幅に小さな容量で保存できます。動画ではMPEGという一連の規格が使われ、MP4は映像・音声・字幕などをまとめて収める入れ物（コンテナ）の形式です。作成した環境が違っても同じ見た目で表示・印刷できる電子文書の形式がPDFで、国際規格ISO 32000として標準化されています。

インターネットで動画や音声を視聴するときによく使われるのがストリーミングです。データを受信しながら並行して再生するため、ファイル全体の受信を待たずに視聴を始められます。全体を保存してから再生するダウンロード再生と比べると、待ち時間が短い代わりに、通信が不安定になると再生が途切れることがあります。

マルチメディアの応用として、コンピュータで画像や映像を作り出す技術をCG（コンピュータグラフィックス）といいます。VR（仮想現実）は現実の風景を遮り、コンピュータが作った仮想空間の中にいるように感じさせる技術です。AR（拡張現実）はカメラで写した現実の風景に情報や画像を重ねて表示し、現実を補強します。MR（複合現実）は現実の空間と仮想の物体を融合させ、仮想の物体を回り込んで見たり手で動かしたりできるようにする技術で、現実と仮想が互いに影響し合う点が特徴です。多人数が同時に参加して活動できるインターネット上の仮想空間はメタバースと呼ばれます。

映像の精細さは画素数で表します。4Kは横方向の画素数が約4,000（3,840×2,160画素）、8Kはその縦横2倍の7,680×4,320画素です。画素数が増えるほど細部まで表現できますが、データ量も大きくなるため、高い圧縮技術と通信速度が必要になります。

可逆圧縮

圧縮したデータを展開すると、元のデータと完全に同じものに戻せる方式。1ビットも変わってはいけない文書やプログラムの保存に使う。

非可逆圧縮

人が気付きにくい情報を捨てることで容量を大きく減らす方式。展開しても捨てた情報は戻らないが、写真や音楽では実用上ほとんど気にならない。

JPEG

写真などのフルカラー静止画に使われる非可逆圧縮の形式。圧縮率を上げるほど容量は小さくなるが、輪郭などに劣化（ノイズ）が現れる。

GIF

扱える色数が256色までの可逆圧縮の静止画形式。背景の透過や、複数コマを並べた簡単なアニメーションを1ファイルで表現できる。

PNG

フルカラーを扱える可逆圧縮の静止画形式。透過の指定が細かくでき、図やスクリーンショットなど輪郭がはっきりした画像に向く。

BMP

画像を点（画素）ごとの色情報のまま保存する形式で、基本的に圧縮しない。画質の劣化はないがファイルは非常に大きくなる。

MP3

音声を非可逆圧縮する代表的な形式。人間に聞こえにくい音を省くことで、元の音声データを大幅に小さくできる。

MP4

映像・音声・字幕などをひとまとめに収める動画ファイルの形式（コンテナ）。中身の映像はMPEGの規格で圧縮されていることが多い。

PDF

作った環境と違うパソコンで開いても、文字や図の配置が崩れず同じ見た目で表示・印刷できる電子文書の形式。国際規格ISO 32000。

ストリーミング

データを受信しながら並行して再生する方式。ファイル全体の受信を待たずに視聴を始められるので、待ち時間が短い。

VR（仮想現実）

現実の視界を遮り、コンピュータが作った仮想空間の中にいるかのように感じさせる技術。専用のゴーグルを使うことが多い。

AR（拡張現実）

カメラで写した現実の風景に、案内や説明、キャラクタなどの情報を重ねて表示し、現実の見え方を補強する技術。

MR（複合現実）

現実の空間と仮想の物体を融合させ、仮想の物体を回り込んで見たり手で動かしたりできるようにする技術。現実と仮想が互いに影響し合う。

メタバース

多くの人が同時に参加し、分身（アバタ）を通じて交流や経済活動を行えるインターネット上の仮想空間。

4K・8K

映像の精細さを表す呼び方。4Kは横約4,000画素（3,840×2,160）、8Kはその縦横2倍の7,680×4,320画素で、細部まで表現できる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素／IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類20：情報メディア（マルチメディア技術・マルチメディア応用）／ISO 32000

表でデータを持つ仕組みと、主キー・外部キー・正規化・射影／選択／結合が分かります。

たくさんのデータを整理してためておき、必要なときに取り出せるようにしたものがデータベースです。データベースを管理し、複数の利用者が安全に使えるようにするソフトウェアをDBMS（データベース管理システム）といいます。DBMSは、同時に更新しても矛盾が起きないようにする制御、利用者ごとのアクセス権による機密保護、障害が起きたときの復旧といった機能をまとめて引き受けます。

現在最も広く使われているのが関係データベース（リレーショナルデータベース）で、データを行と列からなる表の形で管理します。1行が1件のデータ（レコード、組）、1列が項目（フィールド、属性）に当たります。データベースの構造の定義をスキーマといい、利用者から見た見え方、全体の論理的な構造、記憶装置への格納方法をそれぞれ分けて定義する考え方があります。こうしておくと、記憶装置を入れ替えても利用者側のプログラムを直さずに済みます。

表の中の行を一つに特定するための列（または列の組）を主キーといいます。主キーは表の中で値が重複してはならず、空値（NULL）にすることもできません。行を一意に識別できる候補が複数あるとき、そのそれぞれを候補キーといい、その中から選んだものが主キーになります。ほかの表の主キーを参照する列を外部キーといい、参照先に存在しない値を登録できないという決まり（参照整合性）が保たれます。これにより、存在しない商品コードの受注データが紛れ込むことを防げます。検索を速くするために列に付ける索引がインデックスで、探す手間は減りますが、更新のたびに索引も直す必要がある点は覚えておきましょう。

データの構造を設計するときは、実体（エンティティ）と実体どうしの関連（リレーションシップ）を図にしたE-R図を使います。そのうえで正規化を行い、同じデータが複数の場所に重複して持たれる状態を解消します。重複があると、片方だけ直して食い違う更新時異常が起きます。正規化は表を適切に分割し、こうした矛盾を防ぐための設計手法です。

関係データベースからデータを取り出す基本操作が関係演算です。必要な列だけを取り出すのが射影、条件に合う行だけを取り出すのが選択、二つの表を共通する列の値でつなぎ合わせて一つの表にするのが結合です。実務ではSQLという言語でこれらを指示し、条件はANDやORで組み合わせ、結果を特定の列で昇順・降順に並べ替えることもできます。「列を絞る＝射影」「行を絞る＝選択」「表をつなぐ＝結合」と覚えておくと、問題文がどの操作を指しているか迷いません。

DBMS

データベースを管理するソフトウェア。同時更新の制御、アクセス権による機密保護、障害からの復旧などを引き受け、利用者は表の操作に専念できる。

関係データベース

データを行と列からなる表の形で管理するデータベース。1行が1件のデータ、1列が項目に当たり、表どうしを共通の列でつないで使う。

スキーマ

データベースの構造をどう定義するかを表したもの。利用者から見た見え方、全体の論理構造、記憶装置への格納方法を分けて定義する考え方がある。

主キー

表の中の1行を一つに特定するための列（または列の組）。値が重複してはならず、空値（NULL）にもできない。会員番号や社員番号などが使われる。

候補キー

行を一意に識別できる列（または列の組）のうち、主キーになり得るもの。複数ある場合はその中から一つを選んで主キーとする。

外部キー

ほかの表の主キーを参照するための列。参照先に存在しない値は登録できず、これによって表どうしのつじつま（参照整合性）が保たれる。

参照整合性

外部キーの値が必ず参照先の表に存在している状態を保つこと。存在しないコードの登録や、参照されている行の勝手な削除が防がれる。

正規化

同じデータが複数の場所に重複して持たれないよう表を分割する設計手法。更新したときに一方だけ古いままになる矛盾（更新時異常）を防ぐ。

E-R図

データの構造を、実体（エンティティ）と実体どうしの関連（リレーションシップ）で表した図。1対1、1対多、多対多といった関連の型も示す。

インデックス

列に付ける索引。目的の行を探す時間を短縮できるが、データを更新するたびに索引も作り直す必要があるため、更新は少し遅くなる。

射影

表から必要な列だけを取り出す関係演算。縦に切り出すイメージ。列の数が減り、行の数はそのまま（重複行をまとめる場合はある）。

選択

表から条件に合う行だけを取り出す関係演算。横に切り出すイメージ。行の数が減り、列の構成はそのまま変わらない。

結合

二つの表を、共通する列の値が一致する行どうしでつなぎ合わせ、一つの表にする関係演算。分割して持っていたデータをまとめて見られる。

SQL

関係データベースを操作するための言語。どの表からどの列を、どんな条件で取り出すかを書いて指示し、並べ替えや集計も指定できる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素／IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類21：データベース（データベース方式・データベース設計・データ操作）

同時更新と障害からデータを守る仕組み、ためたデータを活かす技術が分かります。

銀行の振込のように「A口座から引き落とす」「B口座に入金する」という複数の処理が、まとめて成功するか、まとめて取り消されるかのどちらかでなければならない一区切りの処理をトランザクションといいます。すべて成功したときに更新を確定させることをコミット、途中で異常が起きて開始前の状態に戻すことをロールバックといいます。

トランザクションが守るべき性質はACID特性と呼ばれます。原子性（Atomicity）はすべて実行されるか全く実行されないかのどちらかであること、一貫性（Consistency）は処理の前後でデータの整合が保たれること、独立性（Isolation）は同時に動く他のトランザクションから影響を受けないこと、耐久性（Durability）は確定した結果が障害が起きても失われないことです。

複数の利用者が同じデータを同時に更新すると、一方の更新が消えてしまうおそれがあります。これを防ぐのが排他制御で、更新中のデータにロックをかけて他の処理を待たせます。ただし、二つのトランザクションが互いに相手の持つデータのロック解除を待ち合うと、どちらも永久に進めなくなります。この状態がデッドロックです。

障害に備えて、DBMSは更新の記録をジャーナル（ログ）として残します。トランザクションが途中で失敗したときは、更新前ログを使って開始前の状態に戻すロールバックを行います。ディスクの故障などでデータベース自体が壊れた場合は、あらかじめ取っておいたバックアップを復元したうえで、更新後ログを使ってバックアップ取得後の更新を順に再現し、障害の直前まで進めます。これがロールフォワードです。「戻すのがロールバック、進めるのがロールフォワード」と覚えましょう。

たまったデータは、分析して経営や業務に活かせます。日々の業務データを分析用に時系列で蓄積したものがデータウェアハウス、そこから特定の部門や目的に合わせて必要な部分だけを切り出した小規模なものがデータマートです。文書・画像・ログなど形式の異なるデータを加工しないまま大量にためておく場所をデータレイクといいます。蓄積したデータを分析して意思決定に役立てる仕組みをBI（ビジネスインテリジェンス）、大量のデータから今まで気付かなかった規則性や相関を見つけ出す手法をデータマイニングといいます。

扱う対象が広がるにつれ、量が多く、種類が多様で、発生や更新の速さも大きいビッグデータを活用する動きが進んでいます。統計や情報技術を使って価値ある知見を引き出す学問・実務がデータサイエンスであり、それを担う人材がデータサイエンティストです。国や自治体などが誰でも二次利用できる形で公開したデータをオープンデータといい、機械が処理しやすい形式で提供されることが求められます。また、表形式に収まらない多様で大量のデータを扱うために、関係データベースとは異なる構造を採るNoSQLと呼ばれるデータベースも使われています。

トランザクション

まとめて成功するか、まとめて取り消されるかのどちらかでなければならない、一区切りの処理のまとまり。振込の出金と入金がその典型例。

コミット

トランザクションの処理がすべて正常に終わったとき、更新内容を確定させること。確定後の結果は障害が起きても失われないようにされる。

ロールバック

トランザクションの途中で異常が起きたとき、更新前ログを使ってそのトランザクションの更新をすべて取り消し、開始前の状態に戻すこと。

ロールフォワード

ディスク故障などでデータベースが壊れたとき、バックアップを復元し、更新後ログで以降の更新を再現して障害直前の状態まで進める復旧処理。

ACID特性

トランザクションが備えるべき四つの性質。原子性・一貫性・独立性・耐久性の頭文字を並べたもの。

排他制御

同じデータを同時に更新して矛盾が起きるのを防ぐ仕組み。先に処理を始めた方がロックをかけ、他の処理はロックが外れるまで待つ。

デッドロック

二つ以上のトランザクションが互いに相手の持つデータのロック解除を待ち合い、どちらも先へ進めなくなった状態。片方を強制終了させて解消する。

ジャーナル（ログ）

データベースへの更新の記録。更新前の値を残した更新前ログはロールバックに、更新後の値を残した更新後ログはロールフォワードに使う。

データウェアハウス

業務で発生したデータを分析のために時系列でためておくデータベース。過去との比較や傾向の把握に使い、原則としてためたデータは書き換えない。

データマート

データウェアハウスから、特定の部門や目的に必要な部分だけを切り出した小規模なデータの集まり。目的が絞られている分、扱いやすい。

データレイク

文書・画像・音声・ログなど形式の異なるデータを、加工しないまま大量にためておく場所。必要になった時点で加工して分析する。

BI（ビジネスインテリジェンス）

蓄積したデータを集計・分析し、グラフや一覧で見せて経営や業務の意思決定に役立てる仕組み。

データマイニング

大量のデータを統計や機械学習の手法で分析し、人が気付いていなかった規則性や相関関係を掘り起こすこと。

ビッグデータ

量が非常に多く、種類も多様で、発生・更新の速さも大きいデータの総称。従来の方法では扱いきれないため、専用の基盤と分析技術が使われる。

オープンデータ

国や自治体、企業が、誰でも許可なく二次利用できる形で公開したデータ。機械が処理しやすい形式で提供されることが求められる。

NoSQL

関係データベースとは異なる構造でデータを扱うデータベースの総称。キーと値の組など柔軟な形式で、大量・多様なデータを高速に扱える。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素／IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類21：データベース（トランザクション処理・データ利活用）

LANとWANの違い、無線LANの決まりごと、ハブやルータの役割、そして回線速度からデータの転送時間を計算する方法が分かるようになります。

複数のコンピュータや機器をつないで、データをやり取りできるようにした仕組みをネットワークといいます。つなぐ範囲によって呼び名が変わり、同じ建物や同じ敷地内など限られた範囲をつなぐものをLAN（ローカルエリアネットワーク＝構内通信網）、本社と支社のように離れた拠点どうしを電気通信事業者の回線を借りてつなぐものをWAN（ワイドエリアネットワーク＝広域通信網）といいます。世界中のネットワークを相互に接続したものがインターネットで、家庭や会社をインターネットにつなぐ接続サービスを提供する事業者をISP（インターネットサービスプロバイダ）、光ファイバなどの回線そのものを提供する事業者を回線事業者といいます。

LANのつなぎ方には、LANケーブルを使う有線LANと、電波を使う無線LANがあります。有線LANで広く使われている規格がイーサネットです。無線LANの規格はIEEE802.11のシリーズとして定められており、この規格に適合していると認められた製品にはWi-Fiというブランド名が付けられます。無線LANでは、電波を出す親機であるアクセスポイントにSSIDという名前（最大32文字）を付け、利用者はそのSSIDを選んで接続します。電波は壁や距離で弱くなるため、複数のアクセスポイントを網の目のように連携させて広い範囲をカバーするメッシュWi-Fiという方式もあります。無線は電波が届く範囲なら誰でも受信できてしまうので、WPA2やWPA3といった暗号化の設定が欠かせません。

ネットワークを組み立てる機器にはそれぞれ役割があります。パソコンをLANにつなぐ部品がNIC（LANアダプタ）で、製造時に世界で重複しないMACアドレスが割り当てられています。信号を増幅して届く距離を延ばすのがリピータ、受け取った信号をすべてのポートに流すのがリピータハブです。これに対しスイッチングハブ（L2スイッチ）は、MACアドレスを見て宛先の機器がつながっているポートにだけデータを流すため、無駄な通信が減ります。さらにルータは、IPアドレスを見て異なるネットワークどうしをつなぎ、相手までの経路を選んでデータを送り出します。通信手順そのものが違うネットワークどうしを変換してつなぐ機器はゲートウェイと呼ばれます。

ネットワークでは、送りたいデータをそのまま一続きで流すのではなく、パケットと呼ばれる小さなかたまりに分割し、宛先などの情報を付けて送ります。これをパケット交換方式といいます。1本の回線を多数の利用者で分け合って効率よく使えること、途中で一部が壊れてもその部分だけ送り直せばよいことが利点です。

屋外のモバイル通信も試験範囲です。5Gは第5世代の移動通信システムで、高速大容量・低遅延・多数同時接続を特徴とします。LPWAは省電力で広い範囲に届く通信方式で、速度は遅いものの電池が長持ちするためIoT機器の見守りや検針に向きます。スマートフォンを中継役にしてパソコンなどをインターネットにつなぐ機能がテザリング、複数の周波数帯をまとめて使い通信を高速化する技術がキャリアアグリゲーションです。自社では通信設備を持たず、通信事業者から設備を借りて携帯電話サービスを提供する事業者をMVNO（仮想移動体通信事業者）といいます。また、ネットワークの構成や経路をソフトウェアで柔軟に設定・変更できるようにする技術をSDNといいます。

回線速度と転送時間の計算は頻出です。回線速度はbps（ビット/秒）で表され、1バイト＝8ビットなので、バイト単位のデータ量は8倍してビットに直します。また回線は表示どおりの速度が丸ごと使えるわけではなく、実際に使える割合を伝送効率といいます。基本の式は「転送時間＝データ量（ビット）÷（回線速度×伝送効率）」です。単位の1Mバイトを1,000,000バイトとするか1,024×1,024バイトとするかで答えが変わるため、必ず問題文の指定に従って計算します。

LAN

同じ建物や敷地内など、限られた範囲にある機器をつないだネットワーク。会社の一つのフロアや家庭内のネットワークがこれにあたる。構内通信網ともいう。

WAN

電気通信事業者の回線を利用して、本社と支社のように地理的に離れたLANどうしをつないだネットワーク。広域通信網ともいう。

ISP

インターネットサービスプロバイダの略。利用者の回線をインターネットに接続する事業者。接続に必要なIPアドレスの割り当てやメールアドレスの提供も行う。

IEEE802.11

無線LANの通信方法を定めた規格の集まり。この規格に適合し相互接続が確認された製品にはWi-Fiというブランド名が使われる。

SSID

無線LANのアクセスポイントに付ける、最大32文字のネットワーク名。近くに複数の電波があるとき、利用者はこの名前を選んで接続先を指定する。

アクセスポイント

無線LANの親機。電波で機器とやり取りし、そのデータを有線LAN側へ受け渡す。無線の入口と出口の役割を持つ。

NIC（LANアダプタ）

コンピュータをLANに接続するための部品。製造時に世界で重複しない48ビットのMACアドレスが割り当てられている。

スイッチングハブ

MACアドレスを見て、宛先の機器がつながっているポートにだけデータを流すハブ。全ポートに流すリピータハブより無駄な通信が少ない。L2スイッチともいう。

ルータ

異なるネットワークどうしをつなぐ機器。パケットの宛先IPアドレスを見て、どの経路へ送れば相手に届くかを判断して転送する。

ゲートウェイ

通信手順（プロトコル）そのものが異なるネットワークどうしを、変換しながらつなぐ機器や仕組み。OSI基本参照モデルの上位層まで見て中継する。

パケット交換方式

データをパケットという小さなかたまりに分けて送る方式。1本の回線を多数の利用者で分け合え、壊れた部分だけ送り直せる。

伝送効率

回線の表示速度のうち、実際にデータの送信に使える割合。制御用の情報や再送などで目減りするため、転送時間の計算では回線速度に掛けて使う。

LPWA

省電力で広い範囲に届く無線通信方式。通信速度は遅いが電池が数年もつため、離れた場所のセンサなどIoT機器の通信に使われる。

テザリング

スマートフォンなどを中継役にして、パソコンやタブレットを携帯電話回線経由でインターネットに接続する機能。

MVNO

自社では通信設備を持たず、携帯電話事業者から設備を借りて通信サービスを提供する事業者。設備投資が不要なため低価格のサービスを出しやすい。

SDN

ネットワークの構成や通信経路を、機器を一つずつ設定するのではなくソフトウェアからまとめて制御できるようにする技術。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類22：ネットワーク（ネットワーク方式）／無線LAN規格 IEEE 802.11

機器どうしが会話するための共通ルールであるプロトコルと、住所にあたるIPアドレスの仕組み、そしてOSI基本参照モデルの7層が分かるようになります。

違うメーカーのコンピュータどうしでも通信できるのは、やり取りの手順があらかじめ共通のルールとして決められているからです。このルールをプロトコル（通信規約）といいます。インターネットで標準的に使われているプロトコルの集まりがTCP/IPです。このうちIPは、パケットに宛先と送り主のIPアドレスを付けて、相手のネットワークまで届ける役割を持ちます。TCPは、届いたパケットの抜けや順番の乱れを確認して送り直させ、データを確実に相手へ渡す役割を持ちます。速さを優先し確認を省くUDPというプロトコルもあり、音声や映像の配信に使われます。

IPアドレスはネットワーク上の住所にあたる番号です。従来から使われているIPv4は32ビットで、192.168.1.10 のように0〜255の数字4つで表します。接続する機器が増えて足りなくなったため、128ビットに拡張したIPv6が使われるようになりました。IPアドレスにはインターネット上で重複しないように割り当てられるグローバルIPアドレスと、組織内のLANの中だけで自由に使えるプライベートIPアドレスがあります。プライベートIPアドレスの機器がインターネットと通信するときは、ルータなどがグローバルIPアドレスに置き換えます。この変換の仕組みがNATです。

IPアドレスとよく比較されるのがMACアドレスです。MACアドレスはNICに製造時に割り当てられる48ビットの番号で、原則として変わりません。一方IPアドレスは、どのネットワークにつないだかによって変わります。MACアドレスは同じネットワークの中で隣の機器へ渡すときに使い、IPアドレスは離れたネットワークまでの経路選びに使う、と覚えると整理できます。

人がIPアドレスの数字を覚えるのは大変なので、www.example.co.jp のような分かりやすい名前（ドメイン名を含むホスト名）が使われます。この名前をIPアドレスに変換する仕組みがDNSです。これに対しDHCPは、ネットワークにつないだ機器へIPアドレス・サブネットマスク・デフォルトゲートウェイなどの設定を自動で配る仕組みです。名前を住所に変換するのがDNS、住所そのものを配るのがDHCPという違いを押さえましょう。ほかに、機器の時計を正しい時刻に合わせるNTPもあります。Webページの場所を示す文字列がURLで、通信方法、サーバ名、ファイルの場所を組み合わせて書きます。

1台のサーバは複数のサービスを同時に提供できます。どのサービス宛ての通信かを見分けるための番号がポート番号です。代表的なものにHTTPの80番、HTTPSの443番、SMTPの25番、POP3の110番があります。HTTPはWebページをやり取りするプロトコルで、これに暗号化を組み合わせて盗聴や改ざんを防ぐのがHTTPSです。ファイルを転送するFTP、メールを送るSMTP、メールを受け取るPOP3やIMAP4も、それぞれ役割が決まっています。

通信の役割を7つの階層に整理して考える国際的な指針がOSI基本参照モデルです。下から順に、物理層、データリンク層、ネットワーク層、トランスポート層、セション層、プレゼンテーション層、アプリケーション層と並びます。ネットワーク機器がどの層まで見て動くかもこのモデルで説明され、リピータやリピータハブは物理層、ブリッジやスイッチングハブはデータリンク層、ルータはネットワーク層、ゲートウェイはトランスポート層より上位まで扱います。

プロトコル

通信をするときの手順や形式について、あらかじめ決めておく共通のルール。これがそろっていれば、違うメーカーの機器どうしでも通信できる。

TCP/IP

インターネットで標準的に使われるプロトコルの集まり。IPが相手のネットワークまで届ける役割、TCPが抜けや順序を直して確実に渡す役割を担う。

IPアドレス

ネットワーク上の機器を識別する住所にあたる番号。IPv4は32ビットで0〜255の数字4つ、IPv6は128ビットで表す。

グローバルIPアドレス

インターネット上で重複しないように管理・割り当てされるIPアドレス。インターネットと直接通信する機器にはこれが必要になる。

プライベートIPアドレス

組織内のLANの中だけで自由に割り当ててよいIPアドレス。範囲はRFC 1918で定められており、そのままではインターネット上で通信できない。

NAT

プライベートIPアドレスとグローバルIPアドレスを相互に変換する仕組み。少ないグローバルIPアドレスで、社内の多くの機器がインターネットを利用できる。

MACアドレス

NIC（LANアダプタ）に製造時に割り当てられる48ビットの識別番号。世界で重複せず、原則として変わらない点がIPアドレスと異なる。

DNS

www.example.co.jp のようなドメイン名を含む名前と、IPアドレスを相互に変換する仕組み。これが動かないと、名前でWebサイトへつながらなくなる。

DHCP

ネットワークに接続した機器へ、IPアドレスやサブネットマスク、デフォルトゲートウェイなどの設定を自動的に配る仕組み。手作業の設定ミスを防げる。

ポート番号

1台のサーバが提供する複数のサービスのうち、どれ宛ての通信かを見分ける番号。HTTPは80番、HTTPSは443番などが決められている。

HTTPS

Webサーバとブラウザのやり取りであるHTTPに暗号化を組み合わせ、通信内容の盗聴や改ざんを防ぐプロトコル。URLはhttps://で始まる。

デフォルトゲートウェイ

自分のネットワークの外へ出るときに、まずデータを渡す出口の機器（多くはルータ）のIPアドレス。これが誤っていると外部と通信できない。

OSI基本参照モデル

通信の役割を7つの階層に分けて整理した国際的な指針。下から物理層、データリンク層、ネットワーク層、トランスポート層、セション層、プレゼンテーション層、アプリケーション層。

NTP

ネットワークを通じて機器の時計を正しい時刻に合わせるプロトコル。記録の時刻をそろえるため、ログの調査や認証の仕組みで重要になる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類22：ネットワーク（通信プロトコル）／OSI基本参照モデル ISO／IEC 7498-1、プライベートアドレス RFC 1918

電子メールが届く仕組みとTo・Cc・Bccの使い分け、Webの仕組み、VPNやIP電話といったネットワーク活用の技術が分かるようになります。

電子メールは、送る側と受け取る側で使うプロトコルが違います。送信者のメールソフトから自分のメールサーバへ送るとき、またメールサーバどうしが受け渡すときに使うのがSMTPです。届いたメールを自分の端末で読むときに使うのがPOP3とIMAP4で、POP3はメールを端末にダウンロードして手元で管理し、IMAP4はメールをサーバに置いたまま読みます。パソコンとスマートフォンなど複数の端末から同じ状態で読みたい場合はIMAP4が向いています。メールアドレスは「利用者名＠ドメイン名」の形で、＠より後ろがどのメールサーバかを表します。

宛先の欄は3種類あります。Toは用件の主たる相手、Ccは参考として内容を知らせたい相手で、どちらもアドレスが他の受信者に見えます。Bccに入れたアドレスは他の受信者には表示されません。取引先など互いに面識のない多数の相手へ一斉送信するときにToやCcを使うと、アドレスが全員に知られて情報漏えいになるため、必ずBccを使います。決まったメンバー全員へ一つのアドレスで配信できる仕組みがメーリングリストです。写真や文書はファイルを添付して送れますが、容量が大きいと相手のメールボックスを圧迫するため、オンラインストレージのリンクを共有する方法もよく使われます。

Webは、ブラウザがWebサーバにHTTPやHTTPSで要求を出し、返ってきたHTMLなどのファイルを表示する仕組みです。Webサーバがブラウザに一時的に保存させ、次の訪問時に送り返させる小さなデータをcookieといい、ログイン状態の維持や買い物かごの保持に使われます。専門知識がなくてもWebページを作成・更新・管理できる仕組みがCMS、キーワードから目的のページを探す仕組みが検索エンジンです。検索結果の上位に表示されやすくなるようページを工夫することをSEO（検索エンジン最適化）といいます。サイトの更新情報を決まった形式で配信し、まとめて読めるようにする仕組みがRSSです。

ネットワークはさまざまなサービスの土台になっています。音声をデジタルデータに変えIPネットワークで送る技術がVoIPで、これを使った電話がIP電話です。映像と音声をやり取りするWeb会議、予定表や掲示板を共有して共同作業を助けるグループウェア、インターネット上にファイルを保存して複数の端末や人と共有するオンラインストレージ、利用者どうしがつながり情報を発信するSNSも広く使われます。インターネットのような公衆の回線の上に、暗号化と認証によって仮想的な専用線を作り、拠点間や在宅勤務者と社内ネットワークを安全につなぐ技術がVPNです。

つながらないというトラブルでは、いきなり結論を決めつけず範囲を絞り込むことが大切です。1台だけつながらないなら、その端末のケーブルや無線の接続、IPアドレスなどの設定を確認します。社内の全員がつながらないなら、共通して使っている機器（ルータやスイッチ）や回線、ISP側の障害を疑います。特定のサイトだけ見えないなら、そのサイト側の問題やDNSの不調を疑います。このように、症状が及ぶ範囲から原因のある場所を推測していきます。

SMTP

電子メールを送るためのプロトコル。送信者のメールソフトから自分のメールサーバへ送るとき、メールサーバどうしが受け渡すときに使われる。

POP3

メールサーバから自分の端末へメールを取り出して読むためのプロトコル。受信後は端末側で管理するため、その端末でしか読めなくなることがある。

IMAP4

メールをサーバに置いたまま読むためのプロトコル。既読やフォルダ分けの状態もサーバで管理されるので、複数の端末から同じ状態で読める。

Bcc

メールの宛先欄の一つ。ここに入れたアドレスは他の受信者に表示されない。面識のない多数の相手へ一斉送信するときに使い、アドレスの漏えいを防ぐ。

Cc

メールの宛先欄の一つ。参考として内容を知らせたい相手を入れる。アドレスは他の受信者にも見える。対応の主担当はToに入れる。

メーリングリスト

登録したメンバー全員へ、一つのアドレス宛てに送るだけでメールを配信できる仕組み。部署やプロジェクトの連絡に使われる。

cookie

Webサーバがブラウザに保存させ、次のアクセス時に送り返させる小さなデータ。ログイン状態の維持や買い物かごの保持に使われる。

CMS

コンテンツ管理システム。HTMLの専門知識がなくても、入力画面からWebページの作成・更新・管理ができる仕組み。

SEO

検索エンジン最適化。検索結果の上位に自社のページが表示されやすくなるよう、内容や構成を工夫する取組み。

RSS

Webサイトの更新情報（見出し・日付・リンクなど）を決まった形式で配信する仕組み。専用のソフトで複数サイトの更新をまとめて確認できる。

VoIP

音声をデジタルデータに変換し、IPネットワークでやり取りする技術。これを利用した電話がIP電話で、通話料を抑えやすい。

VPN

インターネットなどの公衆の回線の上に、暗号化と認証によって仮想的な専用線を作る技術。拠点間や在宅勤務者と社内ネットワークを安全につなぐ。

オンラインストレージ

インターネット上にファイルを保存できるサービス。複数の端末や複数の人でファイルを共有でき、大きな添付ファイルの代わりにも使われる。

グループウェア

予定表、掲示板、文書共有、ワークフローなどを備え、組織内の情報共有と共同作業を支援するソフトウェア。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類22：ネットワーク（ネットワーク応用）

情報セキュリティで守るべき3つの性質（機密性・完全性・可用性）と、それを脅かすマルウェアや攻撃手法の見分け方が分かります。

情報セキュリティとは、組織が持つ情報を「見られてはいけない人に見られない」「勝手に書き換えられない」「使いたいときに使える」状態に保つことです。この3つをそれぞれ機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）といい、頭文字をとって情報セキュリティの3要素、またはCIAと呼びます。機密性が損なわれる例は顧客名簿の流出、完全性が損なわれる例はWebページの改ざんや金額データの書き換え、可用性が損なわれる例は攻撃や機器故障でサーバが使えなくなることです。

JIS Q 27000では、この3要素に加えて4つの性質も挙げています。真正性（なりすましでなく本人・本物であること）、責任追跡性（誰がいつ何をしたかを後から追えること）、否認防止（あとから「やっていない」と言い逃れできないこと）、信頼性（システムが意図したとおりに動くこと）の4つです。合わせて7要素と覚えます。

情報セキュリティの世界では、原因側を脅威、こちら側の弱点を脆弱性と呼び、その組合せで実際に損害が起きる可能性をリスクといいます。脅威には、攻撃者やマルウェアなどの技術的脅威、地震や停電などの物理的脅威、操作ミスや持ち出しなどの人的脅威があります。脆弱性は、修正プログラムを当てていないソフトウェアの欠陥（セキュリティホール）だけでなく、施錠されていない書庫や、教育不足の従業員も含みます。

マルウェアは悪意のあるソフトウェアの総称です。ほかのファイルに寄生して増える狭義のコンピュータウイルス、単独で自己増殖してネットワークを広がるワーム、便利なソフトを装って侵入し裏で悪さをするトロイの木馬、ファイルを勝手に暗号化して元に戻す代わりに金銭を要求するランサムウェア、利用者の情報をこっそり集めて送信するスパイウェア、攻撃者の遠隔命令で動く手先となるボットなどがあります。

人をだます手口も重要です。技術ではなく人の心理や行動の隙を突いて情報を得る手口をソーシャルエンジニアリングといい、電話で担当者になりすます、肩越しに画面をのぞく（ショルダハッキング）、ごみ箱をあさる（スキャベンジング）などが該当します。特定の組織だけを狙う標的型攻撃、偽サイトへ誘導する フィッシング、取引先や役員になりすまして送金させるビジネスメール詐欺（BEC）も、入口は人です。

内部の人間による情報の持ち出しを内部不正といいます。米国の研究者クレッシーが示した不正のトライアングルでは、機会（やろうと思えばできる状況）・動機（借金などの事情）・正当化（これくらいいいはずだという言い訳）の3条件がそろうと不正が起きやすいとされ、対策では特に「機会」をなくすことが重視されます。また、会社が許可していない私物端末やクラウドサービスを業務で使うことをシャドーITといい、管理の目が届かないため大きなリスクになります。

情報セキュリティ

情報を、見せてよい人だけに見せ、正しい内容のまま保ち、必要なときに使えるように保つこと。機密性・完全性・可用性の3つを維持することと定義されている。

機密性

許可された人だけが情報にアクセスできる性質。アクセス権の設定や暗号化で守る。名簿が外部に流出した場合は機密性が損なわれたことになる。

完全性

情報が正確で、勝手に書き換えられたり壊されたりしていない性質。Webページの改ざんや、金額データの不正な書換えは完全性が損なわれた状態である。

可用性

使いたいときにいつでも情報やシステムを使える性質。DDoS攻撃や停電、機器故障でサーバが止まってサービスが使えなくなるのは可用性が損なわれた状態。

真正性

利用者や情報が「本人・本物である」と確かめられる性質。なりすましを防ぐことにあたり、パスワードやディジタル署名で確保する。

責任追跡性

誰がいつどの操作をしたかを、あとから追跡できる性質。利用者ごとのIDの付与とアクセスログの取得・保存によって確保する。

否認防止

ある行為を行った本人が、あとから「自分はやっていない」と否定できないようにする性質。ディジタル署名やログの保全によって確保する。

脅威と脆弱性

脅威は情報を危険にさらす原因（攻撃者、マルウェア、災害、操作ミスなど）。脆弱性はそれを許してしまう弱点（未修正の欠陥、施錠していない部屋、教育不足など）。

マルウェア

利用者に害を与える目的で作られたソフトウェアの総称。ウイルス、ワーム、トロイの木馬、ランサムウェア、スパイウェア、ボットなどをまとめて指す。

ワーム

ほかのプログラムに寄生せず、単独で自分の複製を作ってネットワーク経由で次々に感染を広げるマルウェア。感染拡大の速さが特徴。

トロイの木馬

便利なソフトウェアやファイルを装って利用者自身にインストールさせ、裏で情報の窃取や遠隔操作を行うマルウェア。自己増殖しない点がワームと異なる。

ランサムウェア

パソコン内のファイルを勝手に暗号化して使えなくし、元に戻すことと引換えに身代金を要求するマルウェア。バックアップの分離保管が有効な備えになる。

ボット

感染した機器を攻撃者の遠隔命令どおりに動かすマルウェア。多数のボットをまとめた集団（ボットネット）はDDoS攻撃や迷惑メールの送信に悪用される。

ソーシャルエンジニアリング

技術的な手段ではなく、人の心理や不注意につけ込んで情報を盗む手口。電話でのなりすまし、のぞき見（ショルダハッキング）、ごみあさりなどがある。

標的型攻撃

不特定多数ではなく、特定の企業や官公庁だけを狙う攻撃。業務に関係がありそうなメールで信用させ、添付ファイルやリンクからマルウェアに感染させる。

ビジネスメール詐欺（BEC）

取引先や自社の経営者になりすました偽メールで担当者をだまし、攻撃者の口座へ送金させる詐欺。電話など別の手段での確認が有効な対策となる。

SQLインジェクション

Webの入力欄にデータベースへの命令文（SQL）を紛れ込ませ、本来見えないデータを盗んだり書き換えたりする攻撃。入力値の検査で防ぐ。

クロスサイトスクリプティング（XSS）

掲示板などの投稿欄に不正なスクリプトを埋め込み、そのページを見た人のブラウザ上で勝手に実行させる攻撃。入力・出力時の無害化（エスケープ）で防ぐ。

DoS攻撃・DDoS攻撃

大量の要求を送りつけてサーバを応答できなくする攻撃。多数の乗っ取り端末から一斉に行うものをDDoS攻撃という。可用性を直接おびやかす。

ゼロデイ攻撃

脆弱性が見つかってから修正プログラムが提供されるまでの、対策がない期間を狙う攻撃。パッチが当てられないため、多層防御や不要機能の停止で被害を抑える。

パスワードリスト攻撃

どこかのサイトから流出したIDとパスワードの一覧を使い、別のサイトへログインを試みる攻撃。パスワードの使い回しをやめることが最大の対策。

ブルートフォース攻撃

総当たり攻撃ともいい、考えられる文字の組合せを片端から試してパスワードを破る手口。長く複雑なパスワードとアカウントロックが有効。

不正のトライアングル

内部不正は「機会」「動機」「正当化」の3条件がそろったときに起きやすいという考え方。対策では、まず不正ができる機会をなくすことが重視される。

シャドーIT

会社が把握・許可していない私物端末や無料クラウドサービスを、従業員が勝手に業務で使うこと。管理が及ばず、情報漏えいの温床になる。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類23：セキュリティ／JIS Q 27000（情報セキュリティマネジメントシステム－用語）

リスクを洗い出して対応方針を決める手順と、組織としてセキュリティを回す仕組み（ポリシ・ISMS・CSIRT）が分かります。

セキュリティ対策は、思いついたものから買いそろえるのではなく、リスクマネジメントの考え方に沿って進めます。まずリスクアセスメントを行い、リスク特定（どんな危険があるか洗い出す）、リスク分析（起きる可能性と被害の大きさを見積もる）、リスク評価（あらかじめ決めた基準と比べて対応が必要か判断する）の順で整理します。そのうえでリスク対応を決めます。

リスク対応は4つに分類されます。リスク回避は、危険のもとになる業務や仕組みそのものをやめること。リスク移転（リスク共有）は、保険をかけたり外部に委託したりして、損失の負担を他者と分け合うこと。リスク低減（リスク軽減）は、対策を打って発生の可能性や被害の大きさを小さくすること。リスク保有（リスク受容）は、被害が小さいなどの理由で、対策せずに受け入れると決めることです。すべてのリスクをゼロにはできないため、費用と効果を見て組み合わせます。

組織の方針は情報セキュリティポリシとして文書化します。ふつうは3階層で作り、最上位が基本方針（なぜ・何を守るのかという経営者の宣言）、次が対策基準（守るべきルールや基準を分野ごとに定めたもの）、最下位が実施手順（具体的な操作や作業の手順書）です。上位ほど変わりにくく、下位ほど現場に近い内容になります。

この一連の活動を継続的に回す仕組みがISMS（情報セキュリティマネジメントシステム）で、要求事項はJIS Q 27001（ISO/IEC 27001）に定められています。計画（Plan）・実行（Do）・点検（Check）・改善（Act）のPDCAを回して、対策を作りっぱなしにしないことが要点です。第三者機関の審査に合格するとISMS認証を取得できます。個人情報の取扱いについてはJIS Q 15001にもとづくプライバシーマークがあり、こちらは個人情報に特化した認定制度である点が違います。

体制としては、経営者を中心とした情報セキュリティ委員会が方針を決め、CSIRT（シーサート）が事故発生時の受付・原因調査・復旧・関係先への連絡といったインシデント対応を担当します。SOCは、ネットワークや機器のログを24時間監視して攻撃の兆候をいち早く見つける専門組織で、「見つける」のがSOC、「対応する」のがCSIRTと役割が分かれます。定めたルールが守られているかを独立した立場で点検するのが情報セキュリティ監査です。

リスクマネジメント

組織にとっての危険を洗い出し、評価して、対応方針を決め、継続的に見直していく一連の管理活動。対策の優先順位を決めるための土台になる。

リスクアセスメント

リスク特定・リスク分析・リスク評価の3つからなる作業。どんなリスクがあり、どれくらい大きく、対応が必要かどうかを判断するところまでを指す。

リスク回避

リスクの原因となる活動そのものをやめて、危険をなくす対応。例えば、事故が心配な機能を提供しない、扱いの難しい個人情報を最初から集めない、など。

リスク移転（リスク共有）

保険への加入や業務の外部委託によって、損失の負担を他者と分け合う対応。リスクそのものが消えるわけではない点に注意する。

リスク低減（リスク軽減）

対策を実施して、リスクが起こる可能性や起きたときの被害を小さくする対応。暗号化、バックアップ、社員教育などが該当する。

リスク保有（リスク受容）

被害が小さい、対策費用のほうが高いなどの理由で、あえて対策せずリスクを受け入れると決めること。何もしないのではなく「決めて受け入れる」点が重要。

情報セキュリティポリシ

組織のセキュリティに関する方針とルールをまとめた文書。基本方針・対策基準・実施手順の3階層で作るのが一般的で、最上位は経営者が承認する。

基本方針

情報セキュリティポリシの最上位文書。何を、なぜ守るのかという組織の考え方と経営者の意思を示すもので、社外にも公開されることが多い。

対策基準

基本方針を実現するために、守るべきルールや基準を分野ごとに定めた文書。「何をしなければならないか」を示し、具体的な操作手順までは書かない。

実施手順

対策基準を現場で実行するための具体的な手順書やマニュアル。担当者が見ながら作業できるレベルまで細かく書かれる。

ISMS

情報セキュリティマネジメントシステムの略。組織が方針を定め、対策を実行し、点検して改善するPDCAの仕組み全体のこと。要求事項はJIS Q 27001。

JIS Q 27001

ISMSの要求事項を定めた日本産業規格（国際規格ISO/IEC 27001に対応）。この規格に基づく審査に合格すると、第三者からISMS認証を受けられる。

CSIRT

コンピュータセキュリティに関する事故が起きたときに、報告を受け付け、原因を調べ、復旧と情報連携を行う専門チーム。企業内に設ける場合が多い。

SOC

セキュリティオペレーションセンターの略。機器やネットワークのログを常時監視して攻撃の兆候を検知する組織。検知はSOC、対応はCSIRTと役割が分かれる。

情報セキュリティ監査

定めたポリシや基準が守られ、有効に機能しているかを、被監査部門から独立した立場で点検し、意見を述べる活動。助言型と保証型がある。

プライバシーマーク

JIS Q 15001に基づき、個人情報を適切に扱う体制が整っている事業者に付与される認定制度。対象が個人情報に絞られている点がISMS認証と異なる。

情報セキュリティ委員会

経営層を含む組織横断の会議体で、セキュリティ方針の決定、予算や体制の承認、重大事故時の判断などを担う。特定の部署任せにしないための仕組み。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類23：セキュリティ／JIS Q 27001（ISMS要求事項）／JIS Q 15001（個人情報保護マネジメントシステム）

セキュリティ対策を人的・技術的・物理的の3つに分けて整理し、ファイアウォールや多要素認証など代表的な仕組みが分かります。

セキュリティ対策は、人的対策・技術的対策・物理的対策の3つに分けて考えると整理しやすくなります。どれか1つだけでは守れないため、複数を重ねる多層防御が基本になります。

人的対策の中心は教育と権限管理です。定期的な研修や標的型メールの訓練で気づく力を育てます。権限は必要最小限にとどめる（必要最小権限の原則）、担当者が辞めたり異動したりしたらすぐアカウントを削除・停止する、パスワードを使い回さない、といった運用が欠かせません。従業員との秘密保持契約（NDA）や、机上に書類を放置しないルールづくりも人的対策に含まれます。

技術的対策では、まず出入口を守ります。ファイアウォールは通信の宛先や種類を見て、許可した通信だけを通す仕組みです。外部に公開するWebサーバやメールサーバは、社内LANとインターネットのどちらからも隔離したDMZ（非武装地帯）に置き、公開サーバが乗っ取られても社内に被害が及ばないようにします。WAFはWebアプリケーションへの通信内容を検査してSQLインジェクションなどを防ぐ専用の仕組み、IDSは不正の兆候を検知して知らせる仕組み、IPSは検知に加えて通信の遮断まで行う仕組みです。

端末側ではウイルス対策ソフトを導入し、パターンファイル（定義ファイル）とOS・ソフトウェアの修正プログラム（パッチ）を常に最新に保ちます。社外から持ち込まれた端末をいきなり社内LANにつながせず、検査用のネットワークに隔離して安全を確認してから接続させる仕組みを検疫ネットワークといいます。スマートフォンやタブレットを会社が一括管理し、紛失時に遠隔ロックやデータ消去を行う仕組みがMDMです。

本人確認（認証）では、知識（パスワード）・所持（ICカードやスマートフォン）・生体（指紋や虹彩）という性質の異なる要素を2つ以上組み合わせる多要素認証が有効です。一度しか使えないワンタイムパスワードや、1回のログインで複数のサービスを使えるようにするシングルサインオン、機械による自動入力を防ぐCAPTCHAもよく使われます。生体認証では、本人なのに拒否してしまう割合を本人拒否率（FRR）、他人を本人と誤って受け入れる割合を他人受入率（FAR）といい、判定を厳しくするとFRRが上がりFARは下がるという逆の関係にあります。

物理的対策では、サーバ室の施錠とICカードによる入退室管理、共連れの防止、監視カメラ、パソコンを机に固定するセキュリティケーブルなどを使います。離席時に書類を片付けるクリアデスク、画面をロックするクリアスクリーンも重要です。ICカードなどが分解・解析されにくいように作られている性質を耐タンパ性といいます。近年は、社内ネットワークだからといって信用せず、通信のたびに本人確認と権限確認を行うゼロトラストという考え方が広まっています。

多層防御

入口・内部・出口など複数の段階に異なる対策を重ねる考え方。1つの対策が破られても次の対策で被害を食い止められるようにする。

必要最小権限の原則

利用者には業務に必要な最小限のアクセス権だけを与えるという原則。異動や退職の際は速やかに権限を見直し、不要なアカウントは削除する。

ファイアウォール

内部ネットワークと外部の境界に置き、あらかじめ決めた条件に合う通信だけを通して、それ以外を遮断する仕組み。防火壁が名前の由来。

DMZ

非武装地帯。外部に公開するサーバを、インターネットとも社内LANとも切り離した区画に置く構成。公開サーバが侵入されても社内への被害を抑えられる。

WAF

Webアプリケーションファイアウォールの略。通信の中身を検査し、SQLインジェクションやクロスサイトスクリプティングなどWeb特有の攻撃を防ぐ。

IDSとIPS

IDSは不正な通信の兆候を検知して管理者に知らせる仕組み。IPSは検知に加えてその通信の遮断まで自動で行う仕組みで、「防ぐ」ところまで担う。

パターンファイル

ウイルス対策ソフトが持つ、既知のマルウェアの特徴を集めた定義ファイル。新種に対応するため常に最新へ更新する必要がある。

ペネトレーションテスト

侵入テスト。専門家が実際に攻撃者と同じ手口で侵入を試み、システムに突破できる弱点がないかを確かめる検査。

多要素認証

知識（パスワード）・所持（ICカード、スマートフォン）・生体（指紋など）のうち、種類の異なる要素を2つ以上組み合わせて本人確認する方式。

ワンタイムパスワード

一定時間または1回限りしか使えない使い捨てのパスワード。盗み見られても再利用できないため、パスワードの使い回しや盗聴に強い。

シングルサインオン（SSO）

一度の認証で、連携している複数のシステムを追加のログインなしに使える仕組み。利便性は上がるが、その1つの認証情報が漏れたときの影響は大きい。

本人拒否率（FRR）

生体認証で、正しい本人であるのに誤って拒否してしまう割合。判定を厳しくすると高くなり、利用者にとっては使いにくくなる。

他人受入率（FAR）

生体認証で、他人を誤って本人と認めてしまう割合。判定を緩くすると高くなり、安全性が下がる。FRRとは一方を下げると他方が上がる関係にある。

CAPTCHA

ゆがんだ文字や画像選択の課題を出し、操作しているのが人間かプログラムかを判別する仕組み。自動プログラムによる大量登録やログイン試行を防ぐ。

MDM

モバイルデバイス管理の略。業務で使うスマートフォンやタブレットの設定を一括管理し、紛失時に遠隔ロックやデータ消去を行える仕組み。

検疫ネットワーク

持ち込まれた端末をいったん検査専用のネットワークに隔離し、修正プログラムやウイルス対策の状態を確認してから社内LANへの接続を許す仕組み。

ゼロトラスト

社内ネットワークだからという理由で信用せず、アクセスのたびに利用者と端末を確認して必要な権限だけを与える考え方。境界だけを守る発想からの転換。

クリアデスク・クリアスクリーン

離席時に机の上の書類や記憶媒体を片付けること（クリアデスク）と、画面をロックして内容を見せないこと（クリアスクリーン）。のぞき見や持ち去りを防ぐ。

耐タンパ性

ICカードや機器が、内部を分解・解析されたり、不正に読み出されたりしにくい性質。破壊を検知して内部情報を消す仕組みなどで実現する。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類23：セキュリティ（情報セキュリティ対策・情報セキュリティ実装技術）

共通鍵暗号と公開鍵暗号の違い、そして「どの鍵で暗号化し、どの鍵で復号するのか」が確実に判断できるようになります。

暗号化とは、決められた手順と鍵を使って、そのままでは読める文（平文）を読めない形（暗号文）に変えることです。元に戻すことを復号といいます。暗号方式は、使う鍵の仕組みによって共通鍵暗号方式と公開鍵暗号方式に大きく分かれます。

共通鍵暗号方式は、暗号化と復号に同じ1つの鍵（共通鍵）を使う方式です。処理が速く大量のデータ向きですが、鍵を相手に安全に届けなければならないという鍵配送問題があります。また、n人が互いに通信するにはn(n-1)/2個の鍵が必要になり、人数が増えると鍵の管理が急に大変になります。代表的な方式はAESです。

公開鍵暗号方式は、対になった2つの鍵、すなわち誰に配ってもよい公開鍵と、本人だけが持つ秘密鍵を使う方式です。片方の鍵で暗号化したものは、もう片方の鍵でしか復号できません。鍵を配る必要がないので鍵配送問題が起きにくく、1人が1対の鍵を持てばよいので鍵の総数も少なくて済みます。ただし処理が遅いという弱点があります。代表的な方式はRSAです。

ここが試験で最もよく問われるところです。内容を他人に読まれないようにする目的（機密性）で送る場合は、送信者は受信者の公開鍵で暗号化し、受信者は自分の秘密鍵で復号します。受信者の秘密鍵は受信者しか持っていないので、ほかの誰にも読めません。一方、ディジタル署名は目的が逆で、送信者は自分の秘密鍵で署名を作り、受信者は送信者の公開鍵で検証します。送信者の公開鍵で正しく検証できたということは、対になる秘密鍵を持つ本人が作った証拠になり、なりすましの防止（真正性）と否認防止につながります。

実際のディジタル署名では、まず送信者が文書全体からハッシュ関数でハッシュ値（メッセージダイジェスト）を求めます。ハッシュ値は元の文書が少しでも変わるとまったく違う値になり、ハッシュ値から元の文書を復元することはできません。この値を送信者の秘密鍵で暗号化したものが署名です。受信者は、送信者の公開鍵で署名から取り出したハッシュ値と、受け取った文書から自分で計算したハッシュ値を比べ、一致すれば改ざんされておらず本人が送ったと確認できます。なお署名は文書自体を秘密にするものではないため、内容を隠したいときは別に暗号化が必要です。

その公開鍵が本当に本人のものかを保証するのが、認証局（CA）とディジタル証明書からなる公開鍵基盤（PKI）です。認証局は申請者を確認したうえで、公開鍵と持ち主の情報を結び付けた証明書を発行します。この仕組みを使い、Webブラウザとサーバの通信を暗号化するのがSSL/TLSで、TLSを使うWeb通信がHTTPS（URLがhttps://で始まる）です。TLSでは、最初に公開鍵暗号方式で共通鍵を安全に受け渡し、本文のやり取りは速い共通鍵暗号方式で行うハイブリッド暗号方式が使われています。無線LANでは通信の暗号化にWPA2やWPA3を使い、より新しく安全なのはWPA3です。

平文と暗号文

平文はそのまま読める元のデータ、暗号文は鍵と手順によって読めない形に変換されたデータ。暗号文を元に戻す操作を復号という。

共通鍵暗号方式

暗号化と復号に同じ鍵を使う方式。処理が速い反面、鍵を相手へ安全に渡す必要があり（鍵配送問題）、人数が増えると必要な鍵の数が急増する。

公開鍵暗号方式

公開鍵と秘密鍵という対の鍵を使い、片方で暗号化したものはもう片方でしか復号できない方式。鍵配送問題が起きにくいが、処理は共通鍵方式より遅い。

公開鍵

誰に知られてもよい、広く配ってよい鍵。他人がその人あてに暗号文を作るときや、その人のディジタル署名を検証するときに使う。

秘密鍵

本人だけが持ち、絶対に他人に渡してはいけない鍵。自分あての暗号文を復号するときや、自分のディジタル署名を作るときに使う。

ハイブリッド暗号方式

本文は速い共通鍵暗号で暗号化し、その共通鍵だけを受信者の公開鍵で暗号化して渡す方式。速さと鍵配送のしやすさを両立でき、TLSで使われている。

ハッシュ関数

データから決まった長さの値（ハッシュ値）を求める関数。元データが少しでも違えば値が大きく変わり、値から元データは復元できない。改ざん検出に使う。

ディジタル署名

文書のハッシュ値を送信者の秘密鍵で暗号化したもの。受信者は送信者の公開鍵で検証し、本人が作成したことと改ざんされていないことを確認できる。

公開鍵基盤（PKI）

公開鍵が確かに本人のものだと保証するための、認証局・ディジタル証明書・運用ルールからなる社会的な仕組み。

認証局（CA）

申請者の実在を確認したうえでディジタル証明書を発行・失効させる第三者機関。証明書には認証局自身のディジタル署名が付けられる。

ディジタル証明書

公開鍵と、その持ち主の情報を結び付けて認証局が発行する電子的な証明書。これにより、通信相手の公開鍵が本物かどうかを確かめられる。

SSL/TLS

インターネット上の通信を暗号化し、通信相手を確認するための仕組み。現在使われているのはTLSで、SSLはその旧称として今も併記される。

HTTPS

TLSによって暗号化されたWeb通信。URLがhttps://で始まり、盗聴や改ざん、偽サイトへの誘導を防ぐ。ブラウザは証明書の正当性も確認する。

WPA2・WPA3

無線LANの通信を暗号化して盗聴や不正接続を防ぐ規格。WPA3のほうが新しく安全性が高い。暗号化しない運用は、電波を傍受されると内容が丸見えになる。

S/MIME

電子メールの暗号化とディジタル署名を行う方式。公開鍵暗号とディジタル証明書を利用し、盗み見となりすまし・改ざんの両方に対応する。

出典：IPA「ITパスポート試験」シラバス Ver.6.5 大分類9：技術要素　中分類23：セキュリティ（情報セキュリティ実装技術・暗号技術・認証技術）