経営情報システムの学習指針 — 19年分の過去問から見えること

平成19年度〜令和7年度の全過去問を分析し、どの知識・思考法が必要かを体系的に整理した学習ロードマップ

このページの役割

19年分・約470問の分析から見える学習戦略

このページは、過去19年間の試験問題（約470問）を分析し、「何が出やすく、どう出て、どこで落ちやすいのか」 を整理した学習指針です。単なる重要度ランキングではなく、出題形式の傾向、最大の誤答パターン、技術トレンドの変化を踏まえた、戦略的な学習ロードマップを提供します。

試験の全体像

試験形式と問題数

時間: 60分

問題数: 25問（5肢択一）

配点: 100点（1問あたり4点）

及第点: 60点程度（約15問正答）

科目合格率: 約10〜20%（年度により変動）

2つの分野構成

分野	内容	試験での重点
第18章情報通信技術の基礎	コンピュータ、DB、ネットワーク、Web、クラウド、セキュリティ、AI	技術用語の正確な定義と相互関係
第19章経営情報管理	要件定義、開発手法、プロジェクト管理、運用管理、意思決定支援	企業実務の流れと選択基準

テーマ別の出題傾向（19年分・約470問を分析）

出題頻度の鉄板テーマ

年平均の出題問数と、その安定性を示します：

テーマ	年平均出題数	特徴	対応ページ
セキュリティ全般	2.5問	最高頻度、毎年ほぼ必出	情報セキュリティの基礎
データベース・SQL	2.3問	計算を含む、定義と仕組みが深い	データベースとSQL
システム開発	2.2問	開発モデルの比較、ガイドラインの理解	システム開発と共通フレーム
コンピュータ基礎	2.1問（減少傾向）	ハード、CPU、メモリ、ストレージ	コンピュータの基礎
Web・クラウド	2.0問（増加傾向）	SaaS/PaaS/IaaS の区別、クラウドセキュリティ	Web とクラウドの基礎
ネットワーク・通信	1.8問	TCP/IP、DNS、HTTP、プロトコル	ネットワークの基礎
プロジェクト管理	1.6問	PMBOK、WBS、EVM	プロジェクト管理の基礎
運用管理・監査	1.5問	ITIL、SLA、システム監査	IT運用管理と監査
統計・意思決定支援	1.4問	平均・分散・回帰、BI、OLAP	統計学の基礎
意思決定支援・調達	1.3問	BI、OLAP、RFP、SLA	外部資源活用と意思決定支援

顕著なトレンド：古い技術が減り、新技術が急増

コンピュータ基礎：5問/年 (H19) → 1問/年 (R6-R7) に激減
ハード、CPU、メモリ、ストレージの単純な定義問は、ほぼ出題されなくなった
基礎は「知ることが前提」になり、試験では複合論点へシフト

セキュリティ：新種の脅威（ランサムウェア、ゼロトラスト、サプライチェーンリスク）
クラウド・Web：IaaS/PaaS の境界、マルチテナント、クラウドセキュリティ
DX・経営IT：デジタルガバナンス、AI ガバナンス、DX推進体制

生成AI・LLM（R04〜）：プロンプト、ファインチューニング、バイアス、著作権
ランサムウェア対策（R05〜）：ゼロトラスト、EDR、バックアップ戦略
DX認定制度（R06〜）：デジタル人材、ガバナンス体制、投資判断
その他：ブロックチェーン、Web3（周辺論点）、AI倫理

出題形式の分類（K/T/L の軸）

問われることの4分類

分類	定義	出題割合	具体例
K1 定義・用語	「○○とは何か」を正確に説明できるか	60%	TCP/UDP の違い、SaaS の定義、正規化の段階
T1 正誤判定	与えられた文が正しいか誤りか（最頻出）	66%	「HTTP は暗号化される」は○か×か
T2 比較判定	複数の選択肢から「最も適切」を選ぶ	21%	開発モデル5つの中からこの状況に合うのは？
L1〜L4 難易度	問題の複雑さレベル	43%, 47%, 7%, 3%	L1 基本的な用語問 / L4 複数の脅威要因を総合判断

出題形式の戦略的読み方

60%が「定義・用語」= 「根本的な理解」を問っている

つまり、「略語だけを丸暗記する」勉強法はほぼ機能しません。TCP とは何か、UDP とは何か、その違いは何か、どう使い分けるかを 説明できる レベルで整理することが合否の分かれ目です。

誤答パターンの分類（最大の敵を知る）

19年分の不正解を分析すると、5パターンに分かれます。Trap-D（類似概念混同）が45%で圧倒的です。

誤答パターン5分類

パターン	説明	出現率	具体例
Trap-D 類似概念混同	似た名前・似た役割の概念を混同する	45%	TCP vs UDP、共通鍵暗号 vs 公開鍵暗号、SaaS vs PaaS vs IaaS
Trap-B 条件見落とし	問題に「○○の場合」という条件があるのに見落とす	26%	「外部監査の場合」と「内部監査の場合」で答えが変わる
Trap-W 誤った比較	定義そのものは分かるが、選択肢の比較で誤る	15%	どれも正しいが、「最も適切」を見間違える
Trap-T 新型脅威の誤認	セキュリティの新しい脅威を古い枠で判断する	10%	ゼロトラストを「単なるVPN強化」と捉える
Trap-O その他	計算ミス、選択肢の読み間違い	4%	SQL で HAVING と WHERE を逆に適用

Trap-D（45%）への対策 — 類似概念の「違い」を表で整理

試験合格に必要な対策は、単なる定義ではなく「何が違うのか」を一覧化することです。以下は試験で繰り返し出される類似概念群です：

通信プロトコルの違い

項目	TCP	UDP
接続	接続ベース（事前に確立）	コネクションレス
信頼性	高（受信確認、再送）	低（送りっぱなし）
速度	遅い（確認手続き多い）	高速（オーバーヘッド小）
用途	メール、Web、ファイル転送	VoIP、動画ストリーミング、ゲーム

クラウドサービスの階層比較

層	IaaS	PaaS	SaaS
提供物	コンピュート、ストレージ、ネットワーク	開発・実行環境、DB、Middleware	完成したアプリケーション
ユーザー責任	OS、ミドルウェア、アプリ	アプリケーション	ほぼなし（ユーザー管理のみ）
例	AWS EC2、Azure VM	Heroku、Google App Engine	Salesforce、Microsoft 365
管理の手間	多い	中程度	最小限

暗号化技術の違い

項目	共通鍵暗号	公開鍵暗号
鍵の本数	1つ（同じ鍵で暗号化・復号化）	2つ（秘密鍵、公開鍵）
速度	高速	低速（複雑な計算）
鍵配送	安全な方法が必要（課題）	公開鍵は安全に配送可能
用途	データの大量暗号化、通信の中身	鍵交換、電子署名、認証
実装例	AES、DES	RSA、楕円曲線暗号

開発モデルの選択基準

項目	ウォーターフォール	アジャイル
要件確定	事前に確定（変更困難）	段階的に確定（変更容易）
向く状況	要件が明確で安定	要件が不確定、頻繁に変わる
向かない状況	新規、未確定、試行錯誤	大規模、多数チーム、統制必須
テスト	最後に集中	各スプリント終了時に実施
顧客関与	始めと終わり	継続的

試験での出題パターン

「TCP と UDP のどちらが信頼性が高いか」「IaaS と SaaS の違いは」といった 単純な定義問は減り、代わりに「○○のような状況では、TCP/UDP どちらを使うべきか」「この企業の要件には、IaaS/PaaS/SaaS のどれが最適か」という 選択基準を問う問題が増えています。

思考法の5類型（試験での判断方法）

試験問題を解く際に求められる5つの思考法を整理します。

1. 定義確認 — 「用語の正式名称と役割」を述べられるか

出現率: 60% | 難度: L1-L2

例：「TCP/IP とは」「オブジェクト指向とは」「RAID とは」

学習法：

用語ごとに「正式名称」「役割」「企業での使われ方」の3点セットで整理

例：「TCP = Transmission Control Protocol = 信頼性が必要な通信（Web、メール）で用いられ、受信確認と再送を行う」

2. 比較判定 — 「複数の概念を区別し、状況に応じて選び分ける」

出現率: 21% | 難度: L2-L3

例：「この企業の状況では、ウォーターフォール/アジャイル/DevOps のどれが適切か」

学習法：

表で「メリット×デメリット」「使い分けの基準」を一度に整理

問題で「△△という条件がある」と書かれたら、その条件が「どのモデルに有利か」で判断

3. 因果関係の理解 — 「なぜそうなるのか」の理由を追える

出現率: 中程度 | 難度: L2-L3

例：「なぜ正規化は更新異常を防ぐのか」「ゼロトラストではなぜ境界防御では足りないのか」

学習法：

現象→原因→対策の一連のロジックをストーリーで理解

孤立した定義ではなく「なぜそれが生まれたのか」の背景を読む

4. トレンド判断 — 「古い技術と新技術を区別する」

出現率: 中程度だが重要 | 難度: L2-L3

例：「VPN の時代 → ゼロトラストの時代」「集約型DB → 分散クラウドDB」

学習法：

過去20年の技術変化の「流れ」を追う

ハード減 → セキュリティ増という全体傾向を把握

古い選択肢（VPN 専存、境界防御のみ）には注意

5. 脅威・リスク識別 — 「何が危険で、どう対策するか」

出現率: 中程度だが難度高 | 難度: L3-L4

例：「ランサムウェアへの対策」「サプライチェーン攻撃」「AI 生成物のバイアス」

学習法：

脅威の「原因」「影響」「対策」を三点セットで整理

セキュリティ10大脅威（IPA最新版）は必読

計算問題の実態（7%のみ）

経営情報システムは 計算科目ではありません。約470問のうち、計算を含む問題は約33問（7%）のみです。

出現する計算タイプ

タイプ	出現率	難度	例
SQL計算（COUNT、SUM、平均）	3%	L1-L2	「顧客ごとの受注合計」「条件に合う行数」
統計計算（平均、分散、相関）	2.5%	L1-L2	「平均値を求めよ」「分散を計算せよ」
システム計算（容量、速度）	1%	L1-L2	「CPU速度」「ストレージ容量」
金額計算（EVM、投資評価）	0.5%	L2-L3	「ROI計算」「プロジェクト予算」

計算問題への対策

暗記ではなく理解：公式の背景（なぜその式か）を理解

単位に注意：秒とミリ秒、KB と MB などの変換ミス

選択肢から逆算：精密計算より「オーダーが合っているか」で判定

学習の優先順位（合格戦略）

Tier 1：最優先（これに出ない年がない）

全受験生が必ず 80%以上得点すべき領域です。

IT基礎技術の根幹

TCP/IP と通信プロトコル

TCP vs UDP、DNS、HTTP/HTTPS の動作原理
LAN / WAN / VPN、DHCP が配る情報、ARP / ping / traceroute の役割
ポート番号（80, 443, 25）
対応ページ：ネットワークの基礎

暗号と認証

共通鍵 vs 公開鍵、電子署名、PKI、SSL/TLS
デジタル証明書、ハッシュ関数
対応ページ：情報セキュリティの基礎

データベースの構造と正規化

主キー、外部キー、JOIN の動作
マスタデータとトランザクションデータの違い
第1〜第3正規形、更新異常
対応ページ：データベースとSQL

SQL の読み取り（計算なし）

SELECT、WHERE、GROUP BY、HAVING の役割
AND / OR / NOT の優先順位、JOIN と UNION の違い
LEFT OUTER JOIN でなぜ「左側のすべての行が表示」されるか
対応ページ：データベースとSQL

企業情報管理の基本フロー

要件定義と開発モデル

ウォーターフォール vs アジャイルの選択基準
共通フレーム2013（IPA標準）
対応ページ：システム開発と共通フレーム

プロジェクト管理の枠組み

WBS、マイルストーン、ワークパッケージ、ベースライン
スケジュール管理、リスク管理
PMBOK の考え方
対応ページ：プロジェクト管理の基礎

ITIL と運用管理

インシデント管理、問題管理、変更管理、リリース管理
SLA とサービスレベルの決定
対応ページ：IT運用管理と監査

セキュリティ対策の基本

機密性・完全性・可用性（CIA）
アクセス制御、暗号化、バックアップ
ISMS 認証の要件
対応ページ：情報セキュリティの基礎

Tier 2：次に固める（出題率が中程度だが、大問を落とさない）

Tier 1 の60%以上を得点した後、次のテーマで加点を狙う領域です。

クラウドサービスと仮想化

IaaS/PaaS/SaaS の階層化、責任分界点
マルチテナント、スケーラビリティ
対応ページ：Web とクラウドの基礎

RAID とストレージ管理

RAID 0, 1, 5, 6 の冗長性と速度トレードオフ
バックアップ戦略（フル、差分、増分）
対応ページ：コンピュータの基礎

コンピュータ基礎の取りこぼしやすい語彙

スタック / キュー / LIFO / FIFO、BIOS / ファームウェア / ドライバ
レスポンスタイム、ターンアラウンドタイム、スループット
対応ページ：コンピュータの基礎

SQL の実践的読み取り

複合条件、サブクエリ、集約関数の組み合わせ
対応ページ：データベースとSQL

IPアドレスとサブネット

IPv4 の記法、クラス A/B/C
サブネットマスク、ネットワークアドレス
対応ページ：ネットワークの基礎

ビジネスインテリジェンス（BI）

OLAP、OLTP の違い
データウェアハウス、データマート、データレイク
対応ページ：外部資源活用と意思決定支援

統計学の基礎

平均、分散、標準偏差、相関係数
回帰分析、仮説検定の基本概念
対応ページ：統計学の基礎

Tier 3：後半に仕上げる（得点上限を上げる）

Tier 1, 2 を60%以上得点した後、難度の高い問題に対応する領域です。

AI・機械学習の基本

教師あり学習、教師なし学習の違い
ニューラルネットワーク、ディープラーニング
生成AI、プロンプト、ファインチューニング
対応ページ：AI と機械学習の基礎

最新セキュリティ脅威

ランサムウェア、ゼロトラスト、EDR
サプライチェーン攻撃、内部脅威
対応ページ：情報セキュリティガイドラインと関連法規

DX・デジタルガバナンス

デジタルガバナンス・コード 3.0
AI ガバナンス、データ倫理
DX 認定制度
対応ページ：IT 戦略と DX

システム監査と IT 統制

監査の種類、COSO フレームワーク
IT 統制の観点
対応ページ：IT運用管理と監査

ブロックチェーン、Web3 などの周辺技術

分散台帳、スマートコントラクト
出題頻度は低いが、将来の傾向
対応ページ：Web とクラウドの基礎（周辺論点）

技術トレンドの変化（H19→R7の20年史）

ハードウェア中心→セキュリティ・クラウド中心へ

試験の出題テーマは、企業 IT の関心事を反映します。過去20年の変化を理解することで、今後の出題予測も立てやすくなります。

コンピュータハード絶頂期

主役: CPU, メモリ, ストレージ, RAID などハード技術
出題数: コンピュータ基礎 4-5問/年
背景: オンプレミス中心、社内 IT インフラ管理が最大の課題
トレンド: 仮想化（VMware）の登場
合格者の学習: ハード用語の暗記競争

インターネット・Web の急速な統合

主役: HTTP, HTML, JavaScript, Web セキュリティ, クラウド初期
出題数: Web 1.5-2問/年、ネットワーク 1.5-2問/年
背景: モバイル化、SaaS の普及が始まる
トレンド: IaaS/PaaS の区別、AWS, Azure の登場
新出題: SSL/TLS, HTTPS の詳細化

セキュリティの本格化と DX の前夜

主役: 暗号化, 認証, 情報セキュリティ10大脅威, クラウド設計
出題数: セキュリティ 2-2.5問/年（安定化），コンピュータ基礎 1-1.5問/年（激減）
背景: 標的型攻撃増加，GDPR など規制強化，クラウドシフト本格化
トレンド: ゼロトラスト concept の準備期
新出題: クラウドセキュリティ, 多要素認証（MFA）

AI・DX・新脅威の時代

主役: 生成AI, ランサムウェア, ゼロトラスト, DX推進体制, DX認定制度
出題数: セキュリティ 2.5問/年（維持），AI・新技術 1-1.5問/年（急増）
背景: ChatGPT 登場（R4後半・2022年11月），脅威の高度化，DX 認定新基準適用（R6）
トレンド: 境界防御では足りない（ゼロトラスト），生成AI の使い方・倫理
新出題: 生成AI のバイアス，プロンプトインジェクション，ランサムウェア対策，AI ガバナンス
削減: ハード定義問，古い開発手法（ウォーターフォールのみ）

トレンド変化の学習への含意

技術の陳腐化リスク

「コンピュータ基礎」「ハード知識」を深掘りしすぎて、セキュリティやクラウドの準備不足で落ちる受験生が多いです。逆に、「AI が新技術だから」と深追いしすぎて、基礎（暗号、DB、TCP/IP）を忘れる受験生も多い。

戦略: Tier 1（基礎）を絶対化し、Tier 2（準頻出）も手厚く、Tier 3（新技術）は「背景理解」程度に止める。

コンピュータの基礎 — CPU, メモリ, ストレージに加え、スタック / キュー、BIOS / ファームウェア / ドライバ、性能指標まで押さえる
ネットワークの基礎 — TCP/IP, DNS, HTTP/HTTPS に加え、LAN / WAN / VPN、DHCP / ARP / ping / traceroute を区別する
データベースとSQL — 表の設計、正規化、マスタ / トランザクション、SQL の条件式の読み方を押さえる
情報セキュリティの基礎 — 暗号化, 認証, CIA の概念

Week 2: 経営情報管理（第19章）

経営情報管理ホームページで概観

各テーマを順に読む：

システム開発と共通フレーム — 要件定義、開発モデル
プロジェクト管理の基礎 — マイルストーン / 成果物 / ワークパッケージ / WBS辞書、ベースライン、バーンダウン / EVM
IT運用管理と監査 — ITIL, SLA

Week 3: 統合理解と類似概念の整理

各セクションで出てきた 類似概念の表 を手書きノートに転記

TCP vs UDP、LAN vs WAN vs VPN、共通鍵 vs 公開鍵、IaaS vs PaaS vs SaaS、マスタ vs トランザクション、スタック vs キューなど

過去問マッピングで「出題問題」を一通り解く（正答率60%程度を目標）

Step 2：強化フェーズ（Tier 2）— 2週間

目標: 類似概念の「違い」を確実にし、70点台安定を目指す

Trap-D（類似概念混同）のパターンをすべて把握：

情報セキュリティの基礎で、暗号化手法の詳細（DES/AES/RSA など）
Web とクラウドの基礎で、クラウド責任分界点の詳細
ネットワークの基礎で、LAN / WAN / VPN と DHCP / ARP / ping / traceroute
データベースとSQL で、AND / OR / NOT、JOIN / UNION、DWH / データマート / データレイク
プロジェクト管理の基礎で、マイルストーン / ワークパッケージ / ベースライン / EVM

計算問題（SQL, 統計）の対策：

データベースとSQL で SQL 計算の演習
統計学の基礎で統計計算の演習

過去問マッピングで Trap-D 関連問題を集中的に解く（正答率80%以上を目標）

Step 3：応用フェーズ（Tier 3）— 1-2週間

目標: 最新技術と複合論点に対応し、80点以上を目指す

IT 戦略と DX を読む — デジタルガバナンス、DX 認定

AI と機械学習の基礎を読む — 生成AI, ファインチューニング

情報セキュリティガイドラインと関連法規で最新脅威情報を確認 — ランサムウェア, ゼロトラスト

外部資源活用と意思決定支援で BI/OLAP を習得

DWH / データマート / データレイク / データクレンジング の役割分担まで確認する

過去問マッピングで総復習（正答率85%以上を目標）

学習チェックリスト

以下のテーマについて、「説明できるか」を自問して、Tier 分けを検証してください。

Tier 1 の確認（これが説明できなければ不合格）

TCP と UDP の違いと使い分けが説明できる

LAN、WAN、VPN の違いと、DHCP / ARP / ping / traceroute の役割が説明できる

共通鍵暗号と公開鍵暗号の役割が説明できる

正規化の必要性と第1〜第3正規形の違いが説明できる

マスタデータとトランザクションデータの違いが説明できる

SQL の WHERE, GROUP BY, HAVING の役割と、AND / OR の読み方が説明できる

ウォーターフォール型とアジャイル型の選択基準が説明できる

マイルストーン、成果物、ワークパッケージ、WBS 辞書の違いが説明できる

ITIL のインシデント管理と問題管理の違いが説明できる

CIA（機密性・完全性・可用性）と対策が説明できる

Tier 2 の確認（これで合否が分かれる）

IaaS/PaaS/SaaS の責任分界点が説明できる

RAID 0/1/5 の冗長性と速度トレードオフが説明できる

スタック / キューと LIFO / FIFO の対応が説明できる

BIOS / ファームウェア / デバイスドライバ / ミドルウェアの違いが説明できる

IPv4 アドレスとサブネットマスクが説明できる

OLAP と OLTP の違いが説明できる

バーンダウンチャートと EVM の違いが説明できる

平均、分散、相関係数の意味が説明できる

Tier 3 の確認（80点以上を狙う）

生成AI の仕組みと注意点が説明できる

ゼロトラストセキュリティの考え方が説明できる

ランサムウェア対策が説明できる

デジタルガバナンス・コードの要件が説明できる

データウェアハウス、データマート、データレイク、データクレンジングの役割分担が説明できる

誤答パターン別の対策

Trap-D（類似概念混同、45%）の克服戦略

このトラップが試験の最大の敵

45%の誤答が「似た用語を混同する」パターンです。つまり、試験の半分近くの落ちは「実は理解不足」ではなく「似た概念の違いが曖昧」という理由です。

対策：比較表の作成と反復

ノートに3色ボールペンで表を書く

赤：「共通点」（両方ある性質）
青：「異な点」（片方だけの特徴）
黒：「用途」（どう使い分けるか）

毎日3分間の音読

比較表を見て、「TCP は○○だから、UDP との違いは×××」と声に出す
脳が「違いに注目する習慣」を身につける

過去問で「正答」「不正答」の両方を読む

「○は正しい」だけでなく「なぜ×は誤りか」を説明できるか確認

Trap-B（条件見落とし、26%）の克服戦略

対策：問題文の「ボックス化」

問題文を読む際、「前置き」「条件」「質問」を分ける

【前置き】ある企業の情報部門では...
【条件】「要件が頻繁に変わる」「顧客の要望が不確定」
【質問】どの開発モデルを選ぶべきか

条件を下線で囲む（条件見落とし防止）

選択肢を読む前に「答え」を予想する（条件を踏まえた予想が立つか）

一次情報（学習時に確認推奨）:

IPA: 情報セキュリティ10大脅威 2026

METI: デジタルガバナンス・コード 3.0

METI: AI 事業者ガイドライン

IPA: 中小企業の情報セキュリティ対策ガイドライン

JIPDEC: ISMS 認証基準

経営情報システムの学習指針 — 19年分の過去問から見えること

関連マップ

このページは役に立ちましたか？

On this page