令和8年度情報システム何が出る？合否分ける「定番」のおさらいと、4点積む「トレンド」の予想です byすーじー

ざっくり一言：1つの表に何でもかんでも詰め込むと、同じことを何度も書くハメになり、直し忘れや食い違いが起きます。正規化は、表を用途ごとに分けて「同じことは1か所だけ」にする整理術です。

先に「主キー」だけ押さえます。主キーとは、その1行を1つに特定できる“見出し番号”のこと。たとえば「受注番号」を見れば、どの受注の行かが1つに決まります。1つの列で決まらないときは、列の組み合わせが主キーになります（例：受注番号＋商品コード）。

たとえば、こんな“ごちゃ混ぜ表”があるとします。1件の受注で商品を2つ買っていて、1マスに詰め込んでいます。

問題は2つ。①1マスに商品が2つ入っている。②同じ「田中」を何度も書くことになり、名前を直すとき直し忘れが起きる。これを3段階で整理します。

ステップ1（第1正規形）＝「1マスに1つだけ」。1マスに2つ以上入れず、行を分けて1マス1つにします（商品2つ→2行に）。

ステップ2（第2正規形）＝「主キーの“一部”で決まるものを追い出す」。主キーが「受注番号＋商品コード」の組み合わせのとき、商品コードだけで決まる「商品名・単価」を、別の表（商品マスタ）へ引っ越しさせます。

ステップ3（第3正規形）＝「主キー以外の列で決まるものを追い出す」。主キー（受注番号）ではなく顧客番号で決まる「顧客名」を、別の表（顧客マスタ）へ引っ越しさせます。

※試験では、第2正規形＝「部分関数従属の除去」、第3正規形＝「推移的関数従属の除去」という言葉で問われます。意味は上の表と同じです（一部で決まる＝部分、キー以外で決まる＝推移的）。

覚えること：第1＝1マスに1つ。第2＝主キーの“一部”で決まるものを別表へ。第3＝主キー“以外”で決まるものを別表へ。合言葉は「一部で決まる→第2、キー以外で決まる→第3」。

ざっくり一言：データベースから必要なデータを取り出す命令文。特に「グループごとの集計」がよく出ます。

「商品ごとの販売個数の合計」を出すSQLの例です。

SELECT 商品ID, SUM(販売個数) AS 合計
FROM 取引記録
GROUP BY 商品ID
ORDER BY 商品ID;

ポイントは GROUP BY。商品IDが同じ行をまとめ、SUM() で合計します。2つの表をくっつける「結合（JOIN）」と組み合わせる形も頻出です。

覚えること：GROUP BY＝グループ化、SUM／COUNT＝集計、ORDER BY＝並べ替え。INNER JOIN＝両方にある行だけ、LEFT OUTER JOIN＝左の表は全部残す。

ざっくり一言：プロジェクトの「進み具合」と「お金の使い具合」を数値で管理する手法です。英語の略語が並びますが、意味とセットで覚えれば大丈夫です。

まず基本の3つ。

• PV（Planned Value＝計画上の出来高）：予定では今どこまで進んでいるはずか
• EV（Earned Value＝出来高）：実際にどこまで進んだか
• AC（Actual Cost＝実コスト）：実際にいくら使ったか

ここから2つを計算します。

• CPI（Cost Performance Index＝コスト効率指数）＝ EV ÷ AC。1より小さいと予算オーバー気味。
• EAC（Estimate At Completion＝完成時総コスト予測）＝ BAC ÷ CPI。ここで BAC（Budget At Completion＝完成時総予算）は、最初に見込んだ総額のこと。

覚えること：CPI＝EV÷AC、EAC＝BAC÷CPI。この2式で過去問のEVM計算は解けます（EACは「いまのコスト効率がこの先も続く」前提の式）。

ざっくり一言：システムが止まらず動き続ける確率（稼働率）と、止まりにくくする設計の考え方です。

• 直列（両方動かないとダメ）：稼働率を掛け算。例）0.9×0.9＝0.81
• 並列（どちらか動けばOK）：1－(1－a)×(1－b)。例）1－(0.1×0.1)＝0.99

設計用語も頻出です。フェイルオーバ＝故障時に待機系へ切り替える、フォールトトレランス＝故障しても動き続ける、フェイルセーフ＝故障時に安全側で止まる。

この科目は、用語（前半）と説明（後半）をワザと入れ替える選択肢を好みます。完璧に覚えていなくても「この説明はこの用語のはず」と崩せば、正解の確率を上げられます。

覚えること：直列＝掛け算、並列＝1－(1－a)(1－b)。用語は「フェイル◯◯／フォールト◯◯」を意味とセットで区別。

ざっくり一言：弱点や対応体制を表す略語の意味です。1つずつ覚えましょう。

• CVE（Common Vulnerabilities and Exposures）：見つかった弱点（脆弱性）に付ける背番号。
• CVSS（Common Vulnerability Scoring System）：その弱点がどれくらい危険かを点数で表す。
• CSIRT（Computer Security Incident Response Team）：事故が起きたときに対応するチーム。

覚えること：CVE＝弱点の背番号、CVSS＝危険度の点数、CSIRT＝対応チーム。

ざっくり一言：AIモデルの「当たり具合」を測るものさしです。2年連続で出て定番化しました。用途で2グループあります。

分類（陽性か陰性かを当てる）で使う指標：

• 適合率：「陽性と予測したもの」のうち、本当に陽性だった割合（＝言ったことの正確さ）
• 再現率：「本当に陽性のもの」のうち、陽性と当てられた割合（＝取りこぼさなさ）

回帰（数値を当てる）で使う指標：

• MSE（平均二乗誤差）／RMSE（MSEの平方根）／MAE（平均絶対誤差）

覚えること：適合率＝「言ったうちの正解率」、再現率＝「拾えた率」。分母が「予測した中」か「正解の中」かで区別。

ざっくり一言：システムを作る進め方。短く作って改善を繰り返すアジャイル、その代表がスクラムです。

スクラムの役割：プロダクトオーナー＝何を作るか優先順位を決める人、スクラムマスター＝チームの障害を取り除く人、開発者＝実際に作る人。ほかにDevOps（開発と運用の一体化）、ローコード開発も出ました。

覚えること：スクラムの3役割。DevOps＝開発と運用の一体化。ローコード＝少ないコードで開発。

ざっくり一言：身近な機器や接続規格の仕組み。毎年“第1問の定位置”です。

R7はUSB Type-C（上下どちらでも挿せる／1本で電力も映像も）、R6はタッチパネル（指の電気を捉える静電容量方式と、赤外線をさえぎる赤外線方式）でした。

覚えること：USB Type-C＝上下どちらでも挿せる・1本で電力も映像も。タッチパネルは「静電容量＝指の電気」「赤外線＝光をさえぎる」。

ざっくり一言：分析のためにデータをためる仕組み。後の【第3章】データマネジメントの入口でもあります。

• データウェアハウス（DWH）：整えたデータをためる倉庫。
• データマート：倉庫から用途別に切り出した小部屋。
• データレイク：未加工のまま、何でもためる湖。
• ETL（Extract・Transform・Load）：取り出し→整え→ためる、取り込み処理。

覚えること：データウェアハウス＝整えた倉庫、データマート＝用途別の小部屋、データレイク＝未加工の湖、ETL＝取り込み処理。

ざっくり一言：クラウドは「どこに置くか（実装形態）」と「どこまで借りるか＋誰が守るか（サービスモデルと責任共有）」の2つの切り口で問われます。令和6年度はこの2つが別々の問題（第6問・第11問）で出ました。

①どこに置くか（実装形態）＝R6第6問。置き場所の違いで4種類あります。

②どこまで借りるか（サービスモデル）＋誰が守るか（責任共有モデル）＝R6第11問。まず、利用者が自分で触る範囲が広い順に、次の3つがあります。

• IaaS（Infrastructure as a Service）＝基盤（サーバやネットワーク）だけ借りる。上に載せるOSやアプリは自分で用意。
• PaaS（Platform as a Service）＝OSや開発環境まで用意された土台を借りる。
• SaaS（Software as a Service）＝完成したソフトをそのまま使う（例：Web会議やメールのサービス）。

その上で、責任共有モデル＝「事業者が守る部分」と「利用者が守る部分」を分担する考え方です。ポイントは、SaaSであっても、自分が入力・作成したデータの管理は利用者の責任という点。IaaSに近づくほど、利用者が守る範囲（OSやミドルウェアなど）は広がります。

覚えること：実装形態＝パブリック／プライベート／コミュニティ／ハイブリッド（＝どこに置くか）。サービスモデル＝IaaS→PaaS→SaaS（下へ行くほど「完成品を使う」寄り）。責任共有＝入れたデータは、いつでも利用者持ち。

ざっくり一言：ランサムウェアは、データを勝手に暗号化して使えなくし、元に戻す代わりに身代金（ransom＝ランサム）を要求する不正プログラムです。中小企業が主な標的で、令和6年のランサムウェア被害222件のうち中小企業が140件を占めました（警察庁）。守りの中心になるのが、次の「2枚看板」です。

• EPP（Endpoint Protection Platform）＝入口で防ぐ（感染を未然に防止する）。従来のウイルス対策ソフトの発展形。
• EDR（Endpoint Detection and Response）＝入られた後に見つけて対応する（侵入後の不審な動きを検知して対処する）。

あわせて、次の2点も令和7年度で問われました。

• 主な侵入経路＝VPN機器、リモートデスクトップ、不審メールやその添付ファイル。
• 感染に気づいたら＝まず端末をネットワークから切り離す（有線ならLANケーブルを抜く／無線ならWi-Fiを切る）。バックアップを保存した機器は、普段からネットワークと分離しておく（常時つなぎっぱなしにしない）。

覚えること：EPP＝入口で防ぐ（事前）、EDR＝入られた後に対応（事後）。侵入経路は「VPN・リモートデスクトップ・不審メール」。バックアップはネットワークから離して保管。

ざっくり一言：生成AIには「勝手に間違える現象」と「悪意ある攻撃」があります。令和6年度は前者（ハルシネーション）、令和7年度は後者（AIへの攻撃）が問われました。

まず、生成AIの落とし穴＝R6第24問。

• ハルシネーション＝事実に基づかない、それらしい情報をAIが作り出す現象。

令和6年度は、これとよく似た別の現象（AIが自分の生成物を学習して精度が落ちる「モデル崩壊」、学習時と本番でデータの傾向がズレる「データドリフト」など）を混ぜて、区別させる出題でした。ハルシネーション＝「それらしい嘘をつくこと」と、まず1つ確実に押さえます。

次に、AIを狙う攻撃＝R7第20問。4つが問われました。

覚えること：ハルシネーション＝それらしい嘘。データポイズニング＝学習データを汚す。敵対的サンプル＝入力に微小ノイズ。モデル反転＝出力から学習データを推測。プロンプト・インジェクション＝悪意の指示文。

ざっくり一言：パスキーは、パスワードを使わず、指紋・顔などの生体認証やデバイスのロック解除で本人確認する仕組みです。土台はFIDO（Fast IDentity Online）という国際規格。パスワード自体が存在しないので、流出や使い回しのリスクをなくせるのが利点です。

令和6年度で問われた要点は、「同じパスキー（FIDOの認証情報）を、複数のデバイスの間で共有して使える」という点でした。

混同注意（ここがトラップ）：

• 一度の認証で複数のサービスをまとめて使えるのはシングルサインオン（SSO）で、パスキーとは別物。
• 電話番号にワンタイムのコードを送る方式（SMS認証）とも別物。

覚えること：パスキー＝パスワードを使わない認証（生体・デバイス）、土台はFIDO。複数デバイスで同じパスキーを使える。「一度で複数サービス」はSSOで別物。

ざっくり一言：1台のコンピュータを、あたかも複数台のように分けて使う技術です。分け方に2タイプあり、その「重い／軽い」の違いが要点です。

令和7年度は、この2つの説明を入れ替えた選択肢（コンテナの説明にハイパーバイザの名前を付ける、など）で問われました。正しかったのは「ハイパーバイザは、1台の物理マシン上に1つ以上の仮想マシンを動かす技術」という記述です。

なお、コンテナは、第3章で扱う「サーバレス」「オーケストレーション（コンテナの自動管理）」につながる入口でもあります。

覚えること：ハイパーバイザ型＝ゲストOSごと（重い・独立性が高い）、コンテナ型＝ホストOS共有（軽い・速い）。名前と説明の入れ替えに注意。

ざっくり一言：ふつうの生成AIが「記憶だけ」で答えるのに対し、RAGは答える前に、信頼できる資料（社内文書など）を検索して、その中身を根拠にして答える仕組みです。“資料持ち込み可（オープンブック）”の生成AI、とイメージすると分かりやすいです。

最新の情報や社内固有の情報に強く、事実に基づいて答えるため、ハルシネーション（それらしい嘘。第2章③参照）を減らせるのが利点です。生成AIの落とし穴への対策の代表例として、実務でもよく使われます。

覚えること：RAG＝答える前に信頼できる資料を検索し、その内容を根拠に答える。ハルシネーションを減らせる。

ざっくり一言：集めたデータを「使える状態」に整え、管理し続ける活動の総称です。第1章⑨のデータウェアハウス（ためる箱）の“次の層”＝「ためたデータを、どう整え・守り・活かすか」にあたります。柱は次の3つです。

これらの知識をまとめた体系をDMBOK（データマネジメント知識体系）といいます。

覚えること：データ品質＝整える、データガバナンス＝使い方のルール、メタデータ管理＝所在の管理。体系＝DMBOK。

ざっくり一言：ゴールを伝えると、自分で段取りを考えて複数の作業を進めてくれるAIです。RPA（Robotic Process Automation＝決められた手順を機械的になぞる自動化）の発展形にあたります。

違いは一点。「手順をなぞる」のがRPA、「自分で段取りを考えて進める」のがAIエージェントです。

覚えること：RPA＝手順をなぞる、AIエージェント＝自分で段取りして動く。

ざっくり一言：シャドーAIとは、会社が許可していない生成AIに、社員がこっそり業務データを入力してしまう問題です（情報漏えいの恐れ）。以前からある「シャドーIT（無断のIT利用）」の生成AI版、と考えると分かりやすいです。

国は、経済産業省・総務省が「AI事業者ガイドライン」（第1.0版、2024年4月）で、AIを安全に使う原則を示しています（出典：経済産業省 プレスリリース）。

なぜ候補か（すーじーの見立て・推論）：このガイドラインは2024年公表で、令和8年度の射程内です。生成AIの業務利用が広がるなか、ルールや体制を問う論点が出る余地がある、という見立てです。

覚えること：シャドーAI＝無断のAI利用（シャドーITのAI版）。国の指針＝AI事業者ガイドライン。

ざっくり一言：サプライチェーン攻撃とは、守りの堅い本命を直接狙わず、守りの弱い取引先・委託先を踏み台にして侵入する攻撃です。

SBOM（Software Bill of Materials＝ソフトウェア部品表）とは、ソフトが「どんな部品（もとになるソフト）でできているか」の一覧です。弱点（脆弱性）が公表されたとき、「自社の製品は影響を受けるか」を素早く確認できるのが役割です。

なぜ候補か（すーじーの見立て・推論）：IPA「情報セキュリティ10大脅威 2025」でも上位で、中小企業も無関係ではありません（出典：IPA 情報セキュリティ10大脅威 2025）。ただし、この“順位”そのものが試験に出るわけではなく、あくまで用語として問われる余地がある、という見立てです。

覚えること：サプライチェーン攻撃＝弱い取引先を踏み台。SBOM＝ソフトの部品表（弱点発見時に、影響を素早く確認するため）。

ざっくり一言：ゼロトラストとは、「社内だから安全」という前提をやめ、利用者も機器もネットワークも信頼せず、アクセスのたびに厳格に認証・確認する考え方です（従来の“城壁（境界防御）型”の逆）。

SASE（Secure Access Service Edge）とは、その認証やネットワークの機能を、クラウドでまとめて提供する形です。

正確を期すための注意：ゼロトラストは、令和3年度 第21問で既に出題されています（＝厳密には“初登場”ではありません）。令和6・7年度では出ていないため、手を変えて再登場する可能性がある、という位置づけです（出典：令和3年度 経営情報システム 問題PDF・第21問）。

覚えること：ゼロトラスト＝信頼せず、毎回確認（城壁型の逆）。SASE＝それをクラウドでまとめて提供。

ざっくり一言：第2章⑤のコンテナの“一段先”です。

• サーバレス＝サーバの管理を意識せず、必要なときだけ処理を動かす方式（裏ではサーバが動いていますが、利用者は意識しません）。
• オーケストレーション＝増えたコンテナを、自動でまとめて管理する仕組み。

覚えること：サーバレス＝サーバを意識しない、オーケストレーション＝コンテナの自動管理。

ざっくり一言：PQC（Post-Quantum Cryptography＝耐量子計算機暗号）とは、将来の量子コンピュータでも破られにくい、新世代の暗号です。

米国のNIST（国立標準技術研究所）が、2024年8月に標準（FIPS 203／204／205）を確定しました。いまは「将来に備えて準備する」段階です（出典：NIST CSRC（PQC標準化））。

なぜ“可能性・中”か（すーじーの見立て・推論）：新顔のため令和9年度以降寄りとみています。出るとしても“概念だけ”を問う想定です。

覚えること：PQC＝量子コンピュータでも破られにくい暗号。NISTが2024年8月に標準確定。

ざっくり一言：AIを社会で安全・公正に使うためのルールづくりです。偏った判断、フェイク、責任の所在などに対応する枠組みを指します。

例として、日本では経済産業省・総務省の「AI事業者ガイドライン」（2024年4月）、国際的にはG7の「広島AIプロセス」があります（出典：経済産業省 プレスリリース（AI事業者ガイドライン））。

覚えること：AIガバナンス＝AIを安全・公正に使うルールづくり。国内の指針＝AI事業者ガイドライン、国際枠組みの例＝広島AIプロセス。

ざっくり一言：これまで生成AIは“現象（ハルシネーション）・攻撃・評価指標”が問われてきました。一方で「そもそも生成AIとは何か」「LLM（Large Language Model＝大規模言語モデル）の仕組み」といった基礎は手薄で、穴埋め的に出る余地があります。

あわせて押さえたいのがマルチモーダル＝文章だけでなく、画像・音声・動画など複数の種類の情報をまとめて扱うAIです。

覚えること：マルチモーダル＝複数種類の情報（文章・画像・音声・動画）をまとめて扱うAI。LLM＝大規模言語モデル。