CISSP の問題で誤った選択肢を外す方法

4つの選択肢のうち2つは、最初の読みで外せることがよくあります。絶対化した言い方、 存在しない用語、あるいは問われているのとは別の段階に属する答えです。以下の類型は、 2023年から2026年にかけて受験者が共有した138問の演習問題と、各選択肢を外した理由の 説明から再構成したものです。いずれも受験者の意見であり、ISC2 の公式な解答では ありません。また、設問の本文はここには再現していません。

一度の読みで2つの選択肢を外すにはどうしますか

中身を判断する前に、形式上の欠陥を探すことです。3つの信号があれば選択肢の半分を 外せることが多く、そのどれもが深い専門知識を必要としません。

1つ目は絶対化です。all、always、never を含む選択肢はほとんど常に誤りであり、 受験者の証言はこれを一次選別の除外規則にしています。理由は概念的なものです。 セキュリティはリスクを管理するのであって、なくすものではありません。完全な保証、 漏れのない網羅、例外のない禁止を約束する選択肢はこの原則と衝突しますし、現実の システムについての普遍的な主張は、たいてい反例で覆せます。通信路を保護するための 最小限の要件を問う設問は、したがって、無差別にすべてを暗号化するという選択肢を 機械的に外します。

この規則には2つの注意が伴います。すばやく外すために使うものであって、正解を 指し示すために使うものではありません。絶対化を理由に外した選択肢は、残る3つに ついて何も語りません。そして、受験者の証言自身が指摘する正当な例外があります。 とりわけ倫理上・法律上の義務のように、実際に程度の差を持たない義務も存在し、それを 絶対的な言い方で述べた選択肢は、その場合は正確です。

2つ目は、存在しない用語です。受験者の証言は、ある基本原則に非常に近い表現の上に 組み立てられていながら、CBK のどこにも見当たらない選択肢を記録しています。 もっともらしく響き、何にも結びついていません。

3つ目は、段階の取り違えです。設問が封じ込めを問うているのに通知を述べる選択肢、 検知を問うているのに対応を述べる選択肢は、それ自体としては正しく、ここでは 誤りです。これはむしろ、あの有名なマネージャーの標語について、受験者の証言が いまも認めている唯一の使い道です。

“I coach my study group that 'think like a manager' is a way to eliminate 2 out of the 4 answer choices.”

（私は勉強会で、「マネージャーのように考える」とは4つの選択肢のうち2つを外す ための方法だと教えています。）

4つ目の信号は、それ自体で自壊するものです。ベンダーが把握していない脆弱性に ベンダーのパッチを当てる、シグネチャを持たない攻撃をシグネチャで検知する、 といった選択肢です。

最も多いダミー選択肢はどれですか

受験者の証言からは、繰り返し現れるおよそ10の系統が見えてきます。名前をつけて しまえば、見分けるのは簡単です。

系統	どう現れるか	どう外すか
存在しない用語	既知の原則に近い表現で、CBK にはないもの	その用語がそのまま出典にあるか確かめる
絶対化	all、always、never	「最小限」「均衡のとれた」「期限を守って」と突き合わせる
主題を外した良い実践	真ではあるが、述べられたリスクを扱っていない	リスクを言い直し、それに答えているか確かめる
段階の取り違え	対応を問われて検知、封じ込めを問われて報告	選択肢を読む前に段階を名指しする
役割の範囲外	設問の人物に属さない行動	その人物の実際の権限を確かめる
条件への違反	技術的には優れているが、書かれた制約に反する	明示された条件をすべて読み直す
分類の反射	「まず方針」「まず人命」「エスカレーション」	設問がその決定水準を求めているか確かめる
不可能な選択肢	直せないものを直す、検知できないものを検知する	書かれた筋書きの中での実行可能性を検討する
分類の重複	同じ種類の2つの対策を、補い合うものとして示す	本当に異なる分類の数を数える
中身のない包括	求められた仕組みではなく、一般的な目的	目的と手段を区別する

ひとつの系統には、もう一言添える価値があります。最も洗練された系統、役割の 範囲外です。ある設問は、回答者をセキュリティの専門家の立場に置き、申請者の 区分より上に格付けされた文書への閲覧要求を突きつけます。技術的に実行できる 選択肢が2つあります。文書を格付けし直す、閲覧権限の水準を上げる。そして どちらも誤りです。いずれもその役割に属さないからです。このダミー選択肢が 試しているのはアクセス制御ではなく、責任の所在です。

別の問いに答えている選択肢をどう見分けますか

求められていることを短い一文に言い直し、そのうえで各選択肢をその一文だけと 突き合わせることです。的を外した選択肢は、真であるがゆえに、しばしば最も 魅力的に見えます。

受験者の証言に出てくる明快な例が、外部の取引先への機微なデータの送付に ついてのものです。設問に書かれたリスクは、転送中の傍受です。ある選択肢は 分類とラベル付けの強化を提案します。優れた実践ではありますが、傍受には 何の効果もなく、しかも設問がデータを機微だと述べている以上、すでに 満たされています。別の選択肢は保管の保護を提案します。別の問いに対する 良い答えです。転送中のデータを扱っているのは1つだけです。

同じ罠が動詞にも当てはまります。露出を避ける方法を問う設問は、それを 減らす方法を問う設問と同じ選択肢を求めてはいません。監視と教育は減らし、 避けるのはデータの最小化だけです。

すばやいテストは、設問の最後の一文に選択肢を入れて読み直すことです。 できあがった文が真であっても、提起された問題をもう語っていないなら、その 選択肢はダミーです。

2つの答えがどちらも成り立つときはどうしますか

これは例外ではなく通常の状態です。そして時間の勝ち負けが決まる場所でも あります。この種の見極めが、使える時間の大半を消費するからです。 試験の時間配分を ご覧ください。

まず、明示された条件に違反していないことを確かめます。これは最も信頼でき、 最も見落とされる決め手です。最も安い費用、最小限の要件、期限の遵守、経常費用を 生じないこと。中身では優れていても、書かれた条件に反する選択肢は誤りです。

次に、2つの投影テストを当てます。1つ目は反転です。選択肢を否定形で述べ直し、 それでもなおそれを選ぶかどうかを自分に問います。ホスティング拠点の選定に ついての設問では、「受容可能なリスク水準」の選択肢を反転させるだけで、この 条件が他のすべてを支配していることが分かります。2つ目は排他性です。

“Assume the other good answers will never be done — what if this is the only action taken?”

（他の良い答えは決して実行されないと仮定してください。これが唯一とられる 行動だとしたら、どうなりますか。）

そのうえで最後に、本当に最後の手段としてのみ、管理者の思考から受け継いだ 優先規則に頼ります。優先順位の階層、人・プロセス・技術という順序です。その 完全な定式と観測された頻度は、 マネージャー思考についての記事に あります。これらの規則は真理ではなく、裁定者です。残った2つの選択肢が設問の すべての条件を等しく満たしているときにしか働きませんし、それはまれです。

最も包括的な答えが常に正解ですか

いいえ。そしてこれがこの記事で最も重要な点です。この規則は、受験者の証言の なかで魅力的な形をとって流通しています。

“If answer A looks right but answer A is a step in Answer C, choose answer C.”

（選択肢 A が正しく見えても、A が選択肢 C の一段階にすぎないなら、C を 選びなさい。）

これはある特定の配置では実際に機能します。広い選択肢が、誤ったものを何も 付け加えずに狭い選択肢を含んでいるときです。受験者の証言はサービスアカウントに ついての例を挙げています。そこでは「不要な権限を取り除く」という選択肢が、 「対話型ログオンを無効にする」という選択肢を包含しています。後者は数ある権限の うちのひとつにすぎないからです。

しかし同じ規則は、少なくとも3つの配置で誤りを生みますし、それは記録に 残っています。

広い選択肢の中の一語がそれを誤りにしているとき、この規則は破綻します。 ある組織がパッチの適用前に待つ理由を説明する設問では、最も包括的な選択肢が 事業への影響の低減を持ち出します。他のすべてを含む目的です。しかしそれが 言及しているのは導入作業の影響であり、待つことはこの影響を何も変えません。 保守作業の時間枠は同じだからです。待つことで得られるのは、パッチの欠陥が よそで見つかることです。

設問が目的ではなく仕組みを求めているときにも、この規則は破綻します。 ダウンロードされたソフトウェアによるリスクの低減についての設問では、最も 一般的な選択肢は正しいと判断されつつ、期待される評価の仕組みを述べた選択肢に 比べて具体性が足りないとされています。

最後に、包括的な選択肢が、見かけとは別のものを述べているときにも破綻します。 受験者の証言に3回現れる、セキュリティガバナンスを定義する設問では、事業目標 との整合を語る選択肢が最も広く見えます。そしてまさにその選択肢を、模範解答は 退けます。それが文書化された枠組みを述べているからです。

選ぶ前に選択肢をどう検証しますか

短い確認表を、選ぼうとしている選択肢にだけ当てます。5つの確認で足り、 どれも数秒で済みます。選択肢の一語一語は正確ですか。用語がひとつ誤っている だけで無効になることを踏まえてください。その選択肢は、設問にないもの——予算、 サービス水準、暗黙の構成——を前提にしていませんか。設問の人物の権限の内側に 収まっていますか。明示された条件をすべて、忘れられがちな2つ目の条件も含めて 守っていますか。述べられた問題を扱っていますか、それとも隣接する別の問題を 扱っていますか。

これが受験者の証言が勧める復習のやり方であり、Cybridia が体系化したものです。 4,298問のそれぞれについて、解説は誤答の一つひとつがなぜ誤りなのかを 述べています。外した3つの理由を言えることは、受験者の証言が認める唯一の 進捗指標です。正答率よりはるかに信頼できます。その予測力の限界については、 模擬試験の得点についての基準で 述べたとおりです。教材を選ぶ基準もここから直接導かれます。模範解答を説明しない 問題集は役に立ちません。それが CISSP 教材の比較で 用いている物差しです。

なぜ双子のような設問が逆の答えになるのですか

判断を分ける条件が変わっているからです。しばしば、たった一語で変わります。 こうした対を見つけた受験者は、まず問題集が一貫していないのだと結論づけますが、 それはめったに当たりません。

最も分かりやすい対は、帯域の消費についてのものです。第一の筋書きでは、飽和は 業務時間外に、サービス業の企業で起きており、回答者はセキュリティ責任者です。 期待される答えは、利用規程と監視の組み合わせです。どの通信が原因なのかを示す ものがまだ何もなく、回線を太くすることは浪費に報いることになるからです。第二の 筋書きでは、飽和はピーク時に、システムの停止が人の安全に関わる施設で起きて います。期待される答えは容量の増強です。判断を分ける条件が2つ異なります。 時間帯と、何が懸かっているかです。

第二の対は、同じ書籍の同じ章から取られたもので、物理的な入退室管理についての 2つの設問を対比させます。一方では、バッジに追加された暗証番号は、保持者の 本人性を保証するには不十分だと判断されます。設問が本人性の最良の保証を明示的に 求めているからです。もう一方では、同じ組み合わせが選ばれます。設問が経常費用を 生じないという制約を加えており、それが人手に依存するあらゆる解決策を外すから です。どちらの模範解答も一貫しています。異なるのは条件だけです。

この教訓は結論として使えます。受験者の証言は、まったく別の例でこれを述べて います。モバイル端末の管理についての設問で、管理者としての反射が、それ自体では 何も暗号化しない端末管理の仕組みを指し示してしまう例です。

“Why are you 'thinking like a manager'? Just. Answer. The. Question.”

（なぜ「マネージャーのように考えて」いるのですか。ただ、設問に、答えなさい。）

そこから最後の指示が出てきます。一問ごとにそれだけを真空に置いて扱い、前の 問題との一貫性を探さないことです。この消去に先立つ設問の読み方については、 解答の手順を、 そして食い違っているのが模範解答そのものである場合については、 問題集の間を裁定するを ご覧ください。