ITパスポート 用語集

ITパスポートの学習で出てくる用語408語の意味を、分野別にまとめました。用語を選ぶと、関連する用語やその用語が出てくる問題へ進めます。

ストラテジ系（159語）

A/Bテスト

A/Bテストは，2つのパターン（新デザインと従来デザインなど）を実際に並行稼働させ，どちらがより高い成果（申込率など）につながるかを比較・検証する手法である。

ABC分析

ABC分析は，商品などを金額の大きい順に並べA・B・Cのグループに分類し，重点的に管理する手法である。

AI社会原則

AI社会原則（人間中心のAI社会原則）とは、AIを社会でより良く活用するために、社会や国、事業者などが留意すべき基本的な原則として、日本政府が2019年に取りまとめたものである。 基本理念として「人間の尊厳が尊重される社会」「多様な背景を持つ人々が多様な幸せを追求できる社会」「持続性ある社会」の3つを掲げ、人間中心、教育・リテラシー、プライバシー確保、セキュリティ確保、公正競争確保、公平性・説明責任及び透明性、イノベーションの7つの原則を示している。

AML

AML（Anti-Money Laundering）は，犯罪収益を正当な資金に見せかけるマネーロンダリングを防止するために，金融機関などが実施する取組である。

APIエコノミー

APIエコノミーは，公開されたAPIを通じて企業間でデータやソフトウェアを相互利用し，協業しながら新しいサービスを創出してビジネスを拡大していく仕組みである。

AR

AR（拡張現実）とは，現実の風景にデジタル情報を重ね合わせて表示する技術である。

BPMN

BPMN（Business Process Model and Notation）はOMGが維持し，ISO/IEC 19510として標準化されたビジネスプロセスのモデリング手法・表記法である。

BYOD

BYOD（Bring Your Own Device）とは、従業員が個人で所有するスマートフォンやパソコンなどを、会社の許可を得て業務に利用することである。 会社は端末の購入費を抑えられ、従業員は使い慣れた端末で仕事ができる。一方で、紛失や盗難による情報漏えい、マルウェア感染のリスクがあるため、業務データの管理方法や遠隔でのデータ消去などのルールを定める必要がある。

CIO

CIO（Chief Information Officer：最高情報責任者）とは、経営戦略に基づいて情報システム戦略を立案し、組織全体の情報システムやIT投資を統括する責任者である。経営の視点からITの活用を推進し、経営陣の一員として位置付けられることが多い。

CTO

CTO（Chief Technology Officer：最高技術責任者）とは、企業の技術戦略の策定や研究開発の推進など、技術に関する事項に責任を持つ役職である。技術を事業の成果に結び付ける技術経営（MOT）を担う。

DFD

DFD（Data Flow Diagram：データフロー図）とは、業務やシステムの中で、データがどこから来て、どのように処理され、どこへ流れていくかを図で表したものである。 データの発生源や行き先（外部実体）、処理（プロセス）、データの保管場所（データストア）、データの流れ（矢印）の4つの記号で描く。処理を行う順番や条件分岐といった制御の流れは表さない。

DX

DX（デジタルトランスフォーメーション）とは、企業などがデータとデジタル技術を活用して、製品やサービス、ビジネスモデル、業務や組織そのものを変革し、新たな価値を生み出して競争上の優位を確立する取組である。 紙の書類を電子化するといったデジタル化や、一部の業務の効率化だけにとどまらず、事業のあり方を変えるところまでを指す。IoTやAI、クラウドなどの技術が手段として使われる。

E-R図

E-R図とは、業務で扱う管理対象（エンティティ：実体）と、それらの間の関係（リレーションシップ：関連）を図で表したものである。 例えば「顧客」と「注文」というエンティティの間に、1人の顧客が複数の注文をするという関連（1対多）がある、といった関係を表す。データベースを設計する際に、どのような表を作るかを考える基礎となる。

EA

EA（Enterprise Architecture：エンタープライズアーキテクチャ）とは、組織全体の業務と情報システムを、統一的な方法でモデル化し、全体最適の観点から見直していくための手法である。 ビジネス、データ、アプリケーション、技術の4つの階層について、現状（As-Is）と理想像（To-Be）を描き、その差を分析して移行計画を立てる。部門ごとに作られたシステムの重複や不整合を解消するのに役立つ。

ERP

ERP（Enterprise Resource Planning）とは、企業の経理、人事、生産、販売、購買などの基幹業務の情報を統合して一元的に管理し、経営資源を有効に活用しようとする考え方、またはそれを実現する統合基幹業務システム（ERPパッケージ）のことである。 部門ごとに別々のシステムを使う場合に比べ、データの重複入力や不整合が無くなり、経営の状況を素早く把握できる。

EUC

EUC（エンドユーザコンピューティング）は，情報システム部門以外の利用者部門が自らシステムを操作・活用する考え方である。

FMS

FMS（Flexible Manufacturing System）とは、複数の工作機械やロボット、自動搬送装置などをコンピュータで結び付け、生産の工程全体を統合して制御することで、多品種の製品を柔軟に効率よく生産するシステムである。

FinTech

FinTechは金融（Finance）と技術（Technology）を組み合わせた革新的な金融サービスである。

HRTech

HRTechはHuman Resources（人事）とTechnologyを組み合わせた用語で，人事評価や採用などの人事業務にAIやIoTなどのITを活用する手法を指す。

IPO

IPO（Initial Public Offering）は，未公開だった企業の株式を証券取引所に新規に上場・公開することである。

IPランドスケープ

IPランドスケープとは、特許などの知的財産の情報と、市場や競合他社などの経営・事業の情報を組み合わせて分析し、その結果を経営戦略や事業戦略の立案に活かす取組である。

ISO/IEC 27017

ISO/IEC 27017は，ISMS規格であるISO/IEC 27002を基礎に，クラウドサービスに固有の情報セキュリティ管理策を追加で定めたガイドライン規格である。

ITU

ITU（国際電気通信連合）は電気通信分野の国際標準化機関である。

JANコード

JANコードとは、日本で使われている、商品を識別するための1次元のバーコードの規格である。メーカーや商品を表す13桁（短縮版は8桁）の数字を表し、小売店のPOSシステムで商品を読み取るのに使われる。2次元コードのQRコードと比べて記録できる情報は少ない。

KPI

KPI（Key Performance Indicator：重要業績評価指標）とは、目標の達成に向けた取組が順調に進んでいるかを測るために設定する、定量的な中間指標のことである。 例えば最終目標（KGI）が売上高の増加なら、新規顧客数や商談件数、成約率などをKPIとして定め、定期的に測定する。結果を見て施策を見直し、軌道修正するために使う。

M2M

M2M（Machine to Machine）は，人を介さず機械同士がネットワークで通信し，自律的に制御や動作を行う仕組みである。

MA

MA（Marketing Automation：マーケティングオートメーション）とは、見込み顧客の獲得から、情報提供による関心の育成、有望な顧客の選別までの一連のマーケティング活動を、ソフトウェアで自動化・効率化する仕組みである。有望な見込み顧客を営業部門へ引き渡し、営業活動の効率を高める。

NDA

NDA（Non-Disclosure Agreement）は秘密保持契約であり、契約当事者がもつ営業秘密などを特定し相手の秘密情報を管理する意思を合意する契約である。

PPM

PPM（Product Portfolio Management：プロダクトポートフォリオマネジメント）とは、企業が持つ複数の事業や製品を、市場成長率と市場占有率（シェア）の2つの軸で分類し、経営資源をどこへ配分するかを決める手法である。 成長率もシェアも高い「花形」、成長率は低いがシェアが高く資金を生む「金のなる木」、成長率は高いがシェアが低い「問題児」、どちらも低い「負け犬」の4つに分ける。金のなる木で得た資金を問題児や花形へ投じるといった判断に使う。

PoC

PoC（Proof of Concept：概念実証）は，新しいアイデアや技術が本当に実現可能か，想定した効果が得られるかを，本格導入の前に試行して検証することである。

QRコード

QRコードとは、縦と横の2方向に情報を持たせた2次元コードの一つで、1994年に日本のデンソー（現在はデンソーウェーブ）が開発したものである。 1次元のバーコードが数字を中心に十数桁程度の情報しか表せないのに対し、数千文字規模の数字や英数字、漢字なども記録できる。一部が汚れたり欠けたりしても読み取れる誤り訂正の機能を持ち、決済やWebサイトへの誘導などに広く使われている。

RFI

RFI（Request For Information：情報提供依頼書）とは、システムの調達や導入を検討する段階で、ベンダー（供給者）に対して、製品や技術の情報、導入事例などの提供を依頼する文書である。 集めた情報を基に要件や調達の方針を固め、次の段階で具体的な提案と見積りを依頼するRFP（提案依頼書）を作成する。

RPA

RPA（Robotic Process Automation）とは、人がパソコンで行っている定型的な操作を、ソフトウェアのロボットに覚えさせて自動で実行させる仕組みである。 交通費の区間と領収書のデータから精算伝票を作る、複数のシステムに同じデータを入力する、といった手順が決まっている繰り返しの事務作業に向く。判断が都度変わる業務や、手順が頻繁に変わる業務には向かない。

SCM

SCM（サプライチェーンマネジメント）は，原材料の調達から生産・在庫・販売までの一連の流れに関わる部門や企業間で情報を共有・管理し，流通在庫の削減や顧客満足の向上を図る仕組みである。

SFA

SFA（Sales Force Automation）とは、営業担当者の活動を支援し、効率化するための情報システムである。 顧客の情報や商談の進み具合、訪問の履歴などを記録して営業部門で共有し、営業活動の見える化や、成約につながる行動の分析に役立てる。顧客との関係全体を管理するCRMと組み合わせて使われることが多い。

SoE

SoE（Systems of Engagement）とは、顧客や利用者とのつながりを深めることを重視した情報システムのことである。SNSやスマートフォンのアプリなど、変化に合わせて素早く改善していくことが求められる。正確な記録を重視する基幹系システム（SoR）と対比される。

SoR

SoR（Systems of Record）とは，会計システムのように高い信頼性と安定稼働が求められ，記録を正確に保持する基幹系システムの概念である。

UML

UML（Unified Modeling Language：統一モデリング言語）とは、ソフトウェアの設計や業務の流れを図で表すための表記法を統一した規格である。クラス図、シーケンス図、アクティビティ図、ユースケース図など、目的に応じた多くの種類の図が定められている。

VR

VR（Virtual Reality：仮想現実）とは、コンピュータで作り出した仮想の空間を、あたかも現実であるかのように体験できるようにする技術である。 頭に装着するディスプレイ（ヘッドマウントディスプレイ）などで視界を覆い、頭や体の動きに合わせて映像を変化させることで没入感を生む。現実の風景にデジタル情報を重ねて表示するAR（拡張現実）とは区別される。

VRIO分析

VRIO分析は，経済価値（Value），希少性（Rarity），模倣困難性（Imitability），組織（Organization）の四つの観点で自社の経営資源を評価し，競争優位の源泉を分析する手法である。

かんばん方式

かんばん方式とは、トヨタ自動車が生み出した生産管理の方式で、後の工程が必要な部品を、必要なときに、必要な量だけ前の工程から引き取り、その情報を「かんばん」と呼ぶ札で伝える仕組みである。 ジャストインタイム（JIT）生産を実現する手段で、作り過ぎや中間在庫を減らせる。部品を外部から調達する場合は、取引先との間で情報を連携させる仕組みが必要になる。

アクセシビリティ

アクセシビリティは，年齢や身体的特性，能力の違いにかかわらず，誰もが機器やソフトウェア・情報を同様に操作・入手・利用できる状態や度合いを表す用語である。

アクティビティ図

アクティビティ図とは、UMLの図の一つで、業務や処理の流れ（手順）を、開始から終了まで順を追って表す図である。 処理の分岐や合流、並行して行う処理も表現できる。図を縦や横の帯（スイムレーン）で区切ると、各作業をどの担当者や組織が行うかという役割分担も示せる。業務プロセスの記述によく使われる。

アダプティブラーニング

アダプティブラーニングとは、学習者一人ひとりの理解度や学習の履歴をデータとして蓄積・分析し、その人に最適な教材や問題、学習の順序を自動で提供する学習の方法である。AIを使った教育サービスなどで取り入れられ、学習の効率と効果を高める。

アライアンス

アライアンスとは、複数の企業が、それぞれの独立性を保ちながら、共通の目的のために協力関係を結ぶことである。業務提携や資本提携などの形がある。 自社に無い技術や販売網、ノウハウを短期間で補い合え、単独で取り組むより開発費やリスクを抑えられる。企業同士が一つになる合併や買収（M&A）よりも、緩やかな結び付きである。

アーリーアダプタ

アーリーアダプタとは、イノベーション普及理論で、新しい製品や技術を、最初に飛びつくイノベータに次いで早い段階で採用する層のことである。流行に敏感で周囲への影響力が大きく、その後の多数派への普及に大きな役割を果たすとされる。

イノベーション普及理論

イノベーション普及理論とは、新しい製品や技術が社会に広まっていく過程を、採用する時期の早い順に、利用者を5つの層に分けて説明した理論である。米国の社会学者ロジャーズが提唱した。 イノベータ（革新者）、アーリーアダプタ（初期採用者）、アーリーマジョリティ（前期追随者）、レイトマジョリティ（後期追随者）、ラガード（遅滞者）の順に採用が進むとする。

インダストリー4.0

インダストリー4.0は，IoTやAIを活用して顧客ごとに異なる個別仕様の製品を，低コストかつ短納期で提供することを目指す取組（第4次産業革命）である。

インバウンド

インバウンドとは、外から内へ向かう流れのことで、観光の分野では外国から日本を訪れる旅行者や、その旅行者による国内での消費を指す。マーケティングでは、顧客の側から自社に関心を持って接触してもらう手法（インバウンドマーケティング）の意味でも使われる。

エンタープライズサーチ

エンタープライズサーチは，企業内の様々なシステムに蓄積された定型・非定型のデータを一元的に検索するための仕組みである。

オフィスツール

オフィスツールとは、文書作成、表計算、プレゼンテーション資料の作成、メールなど、事務作業で日常的に使うソフトウェアの総称である。表計算ソフトでデータを集計してグラフにするなど、特別なシステムを作らなくても実現できる業務が多い。

オプトアウト

オプトアウトとは、本人の事前の同意を得ずに情報の利用やメールの送信などを行い、本人から拒否や停止の申し出があった時点でやめる方式である。 個人情報保護法では、一定の条件を満たして個人情報保護委員会に届け出れば、本人が拒否するまで個人データを第三者に提供できるオプトアウトの手続が定められている（要配慮個人情報などは対象外）。事前に同意を得る方式はオプトインという。

オプトイン

オプトインとは、情報の利用やメールの送信などについて、本人からあらかじめ同意を得たうえで行う方式である。 特定電子メール法では、広告や宣伝のメールは原則として、事前に送信に同意した相手にだけ送ることができるオプトイン方式がとられている。同意を得ずに送り、拒否されたら止める方式はオプトアウトという。

オープンAPI

オープンAPIとは，自社システムの接続仕様（API）を外部事業者に公開し，連携を認めることである。

カンパニー制組織

カンパニー制組織は，一つの企業の中に事業領域ごとに独立採算のカンパニー（社内会社）を設置し，意思決定の迅速化と独立採算による責任の明確化を図る組織形態である。

クラウドファンディング

クラウドファンディングとは、インターネットを通じて、事業やプロジェクトの目的に共感した不特定多数の人から少額ずつ資金を集める仕組みである。見返りを求めない寄付型、商品やサービスを見返りとする購入型、事業の利益の分配などを見返りとする投資型などがある。

コネクテッドカー

コネクテッドカーは，インターネットに常時接続する機能をもち，車載センサの情報をサーバへ送信し，サーバからのフィードバックを運転支援などに活用できる自動車である。

コンカレントエンジニアリング

コンカレントエンジニアリングは，設計・製作などの複数の工程を同時並行的に進めることで開発期間の短縮を図る手法である。

コーポレートガバナンス

コーポレートガバナンスは経営を監視・規律する仕組みで，独立社外取締役の増員が代表的な強化策。

サイバーセキュリティ

サイバーセキュリティとは、電子的に記録・送信される情報の漏えい・滅失・毀損の防止などの安全管理のために必要な措置と、情報システムや情報通信ネットワークの安全性・信頼性の確保のために必要な措置（不正な活動による被害の防止のための措置を含む）が講じられ、その状態が適切に維持管理されていることである。サイバーセキュリティ基本法でこのように定義され、国や地方公共団体、事業者などがそれぞれの立場で取り組むことが求められている。

サイバーセキュリティ基本法

サイバーセキュリティ基本法とは、サイバーセキュリティに関する施策を総合的かつ効果的に進めるため、基本理念を定め、国や地方公共団体の責務などを明らかにした法律である。2014年に制定された。 重要社会基盤事業者（インフラ事業者）やサイバー関連事業者の努力、国民がサイバーセキュリティの重要性への関心と理解を深めるよう努めることなども定めている。

サブスクリプション

サブスクリプションとは，定額の料金を支払い一定期間ソフトウェアを利用できる提供形態である。

サプライチェーン

サプライチェーンとは、原材料や部品の調達から、生産、物流、販売を経て消費者に届くまでの、複数の企業や部門にまたがる一連の流れのことである。 この流れ全体で情報を共有・管理し、在庫の削減や納期の短縮、顧客満足の向上を図る経営手法をサプライチェーンマネジメント（SCM）という。

サービスマーク

サービスマークは，輸送業者や金融業者などが提供する役務（サービス）を，他社の役務と区別するために表示する商標である。

シェアリングエコノミー

シェアリングエコノミーとは，個人や企業が保有する遊休資産をインターネットを介して貸し借りする経済の仕組みである。

システム

システムとは、複数の要素が互いに関係し合い、全体としてひとつの目的を果たすように組み立てられたまとまりのことである。 IT分野では、コンピュータ（ハードウェア）、プログラム（ソフトウェア）、データ、ネットワーク、それを使う人や業務手順を組み合わせて、受注管理や在庫管理などの目的を果たす仕組みを指すことが多い。部品の発注システムと在庫管理システムを連携させるように、複数のシステムをつなぐことで業務全体の効率を上げる。

システム化計画

システム化計画とは、情報システム戦略に基づいて、どの業務をシステム化するか、その範囲や開発の順序、全体のスケジュール、概算の費用と効果などを定める工程である。 システム開発の企画プロセスに当たり、ここで定めた計画を踏まえて要件定義に進む。業務用のパッケージソフトウェアを使う場合は、機能・性能・価格などの観点から候補を評価する。

シュリンクラップ契約

シュリンクラップ契約は、ソフトウェアパッケージの包装を開封した時点で使用許諾条件に同意したとみなし契約が成立する方式である。

ソーシャルメディア

ソーシャルメディアとは、利用者が情報を発信し、互いにやり取りすることで成り立つメディアの総称で、SNS、動画共有サイト、ブログなどが含まれる。組織では、情報漏えいや不適切な投稿を防ぐため、業務での利用ルールをソーシャルメディアポリシーとして定めることが多い。

テレワーク

テレワークは，ICTを活用して場所や時間にとらわれずに働く柔軟な働き方を指す。

デジタルディスラプション

デジタルディスラプションとは，デジタル技術による新たなサービスやビジネスモデルが従来のサービスを駆逐し，業界の既存構造を破壊する現象である。

データサイエンティスト

データサイエンティストとは、統計学や機械学習、プログラミングなどの知識を使ってビッグデータを分析し、ビジネスに役立つ知見を引き出して課題の解決につなげる専門家である。分析の技術に加え、事業への理解も求められる。

データ品質

データ品質とは、データが利用の目的に照らして正確で、欠けが無く、最新で、一貫しているかといった、データの良さの度合いのことである。AIの学習に使うデータの品質が低かったり偏っていたりすると、AIの判断にも誤りや偏りが生じる。

ニューラルネットワーク

ニューラルネットワークとは、人間の脳の神経細胞（ニューロン）のつながり方をまねて、コンピュータ上で数理的にモデル化したものである。 入力層・中間層（隠れ層）・出力層の各層にあるノードがつながり、つながりの重みを学習で調整することで、画像の認識や分類などができるようになる。中間層を何層にも重ねたものを使う学習をディープラーニング（深層学習）という。

ハッカソン

ハッカソンは，プログラマーやデザイナーなどから成る複数のチームが，与えられたテーマについて短期間でプロトタイプを開発し，その成果を発表して競い合うイベントである。

ハルシネーション

ハルシネーション（hallucination）は，生成AIが事実に基づかない，もっともらしく見える誤った内容を生成してしまう現象を指す用語である。

バイアス

バイアスとは、偏りのことである。AIでは、学習データに含まれる偏りや設計の偏りによって、特定の属性の人を不当に有利または不利に扱うといった、公平でない判断をしてしまうことを指す。学習データの見直しや結果の検証によって低減を図る。

バックキャスティング

バックキャスティングは，望ましい未来の姿を先に描き，その実現のために現在から何をすべきかを逆算して考える発想法である。

バブルチャート

バブルチャートとは、縦軸と横軸の値で位置を決めた点を円（バブル）で描き、円の大きさで3つ目の数量を表すグラフである。例えば市場成長率・市場シェア・売上高といった3つの数量の関係を、一つの図で見比べられる。

バランススコアカード

バランススコアカード（BSC）とは、企業の業績を、財務だけでなく、顧客、内部ビジネスプロセス、学習と成長の4つの視点からバランスよく評価し、戦略を具体的な目標と指標に落とし込んで管理する手法である。 視点ごとに目標とKPIなどの評価指標を設定し、戦略の実行状況を管理する。短期的な利益の指標だけに偏らず、将来の成長につながる取組も評価できる。

パレート図

パレート図とは、項目ごとのデータを件数や金額の多い順に棒グラフで並べ、その累積比率を折れ線グラフで重ねて示した図である。QC七つ道具の一つ。 不良の原因やクレームの種類など、どの項目が全体の大部分を占めているかが一目で分かるため、重点的に対策すべき項目を見極めるのに使う。この考え方に基づき、項目を重要度でA・B・Cに分けて管理する手法がABC分析である。

ビジネスモデル

ビジネスモデルとは、企業が誰にどのような価値を提供し、どのような仕組みで収益を得るのかという、事業の儲けの仕組みのことである。 基本機能を無料で提供して高度な機能を有料にするフリーミアム、一定期間の利用料を定額で受け取るサブスクリプション、個人の持つ資産やスキルを他者と共有・貸し借りするシェアリングエコノミーなどの型がある。

ビッグデータ

ビッグデータとは、従来の仕組みでは記録・保管・分析が難しいほど、量が膨大で、種類が多様で、発生する頻度や速度も高いデータのことである。 SNSへの投稿、Webの閲覧履歴、センサから送られるデータ、購買履歴などが例で、分析することで新たな傾向の発見や将来の予測、サービスの改善に役立つ。統計や機械学習を使って分析し、ビジネスに活かす専門家をデータサイエンティストという。

ファームウェア

ファームウェアとは、家電製品やゲーム機、ルータなどの機器に組み込まれ、ハードウェアの基本的な制御を行うソフトウェアである。機器の中のメモリに書き込まれており、不具合の修正や機能の追加、脆弱性の対策のために更新（アップデート）されることがある。

フィンテック

フィンテック（FinTech）は，Finance（金融）とTechnology（技術）を組み合わせた造語で，ITを活用して革新的な金融サービスを生み出す潮流を指す。

フォーラム標準

フォーラム標準は，特定分野に関心のある複数の企業などが集まって結成した組織（フォーラム）が定める規格。

フリーミアム

フリーミアムは，基本的な機能やサービスを無償で提供し，より高度な追加機能やサービスを有償（プレミアム）で提供することで収益を得るビジネスモデルである。

プロセスマイニング

プロセスマイニングは，一連の業務で実際に遂行したシステムの操作ログなどを収集し，現行の業務プロセスの可視化・分析・モニタリングを通じて業務上の課題を特定し改善を図る手法やツールである。

プロトタイプ

プロトタイプとは、製品やシステムの完成前に、機能や見た目を確かめるために作る試作品のことである。早い段階で利用者に実物を見せて意見を聞くことで、要求の食い違いを開発の初期に見つけて直せる。

プロバイダ責任制限法

プロバイダ責任制限法とは、インターネット上の掲示板などで他人の権利を侵害する情報が流された場合に、そのサービスを提供する事業者（プロバイダなど）の損害賠償責任の範囲を定め、被害者が発信者の情報の開示を請求できることを定めた法律である。 2024年5月に成立した改正法が2025年4月1日に施行されて名称が変わり、大規模なプラットフォーム事業者に削除の申出への迅速な対応などを求める規定が加わって、情報流通プラットフォーム対処法と呼ばれている。

ベンチャーキャピタル

ベンチャーキャピタルは，将来の株式公開や売却による利益（キャピタルゲイン）の獲得を目的に，新しい製品やサービスで市場参入を目指す企業へ出資などを行う投資企業である。

ポジショニング

ポジショニングとは、マーケティングで、狙う顧客層から見て、自社の製品やサービスが競合と比べてどのような独自の位置付けにあるかを明確にすることである。価格や品質などの軸で競合との違いを示し、差別化を図る。STP分析の「P」に当たる。

マイナンバー

マイナンバー（個人番号）とは、日本に住民票を持つすべての人に1人1つ割り当てられる12桁の番号で、社会保障、税、災害対策の分野で使われる。マイナンバー法で利用できる範囲が限定されており、原則として一生変わらず、漏えいして不正に使われるおそれがある場合などに限って変更できる。

マネーロンダリング

マネーロンダリング（資金洗浄）とは、犯罪などで得た不正な資金の出所を分からなくし、正当な取引で得た資金であるかのように見せかける行為である。金融機関などは、口座開設時の本人確認や疑わしい取引の監視・届出によって防止に取り組んでいる（AML）。

マーケティング

マーケティングとは、顧客が求めているものを調べ、それに応える製品やサービスを作り、価格を決め、届け方と知らせ方を工夫して、売れる仕組みをつくる活動全体のことである。 市場を分けて狙う顧客を決め、自社の立ち位置を定めるSTP（セグメンテーション・ターゲティング・ポジショニング）や、製品・価格・流通・販売促進を組み合わせる4Pなどの考え方がある。見込み顧客の獲得から育成までを自動化するマーケティングオートメーション（MA）も使われる。

マーチャンダイジング

マーチャンダイジングとは、店舗などで、顧客の求めに合った商品を、適切な品ぞろえ・価格・量・時期・場所で提供するために行う、商品の計画から販売までの一連の活動のことである。

ライフログ

ライフログとは、人の生活や行動を、移動の記録、購買の履歴、Webの閲覧・検索の履歴、健康の記録などとしてデジタルデータで記録したもの、またはその記録を残すことである。サービスの改善や個人に合わせた提案に活用される一方、プライバシーへの配慮が必要になる。

不正アクセス禁止法

不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）とは、ネットワークを通じたコンピュータへの不正なアクセスを禁止し、処罰を定めた法律である。 他人のIDやパスワードを無断で使ってログインする行為、セキュリティの弱点を突いて侵入する行為のほか、他人のIDやパスワードを不正に取得・保管する行為や、正当な理由なく第三者に提供する助長行為も禁止される。アクセス管理者には、不正アクセスを防ぐ措置に努めることが求められる。

不正競争防止法

不正競争防止法とは、事業者間の公正な競争を確保するために、不正な競争行為を禁止する法律である。 他社の営業秘密（秘密として管理され、有用で、公然と知られていない情報）を不正に取得・使用する行為、他社の有名な商品の表示をまねて混同させる行為、コピープロテクトなどの技術的制限手段を無効化する装置やプログラムを提供する行為などを規制している。

主成分分析

主成分分析は，多数の変数を相互の相関に基づいて情報の損失を抑えつつ少数の合成変数（主成分）に集約する手法。

予測

予測とは、過去や現在のデータを手がかりに、将来の値や出来事を見積もることである。売上や需要の予測には、変数間の関係を式で表す回帰分析、過去の値の移動平均、機械学習などが使われる。

偽装請負

偽装請負とは、契約の形式は請負や業務委託であるのに、実際には発注者が請負側の労働者に直接指揮命令をして働かせている状態のことである。実態は労働者派遣に当たり、労働者派遣法などの規制を逃れることになるため違法となる。

働き方

働き方とは、仕事をする時間・場所・雇用の形などのあり方のことである。ICTを使って場所や時間にとらわれずに働くテレワークや、フレックスタイム制などの柔軟な働き方が、働き方改革の一環として進められている。

全体最適化

全体最適化とは、部門ごとの都合ではなく、組織全体として最も良い状態になるように、業務やシステムを見直して整えることである。部門ごとに作られたシステムの重複や不整合を解消するために、EA（エンタープライズアーキテクチャ）などの手法が使われる。

内部ビジネスプロセス

内部ビジネスプロセスとは、バランススコアカードの4つの視点の一つで、顧客や株主の期待に応えるために、どのような業務の仕組みを改善・強化すべきかという観点である。業務の効率や品質、開発のスピードなどを評価の指標とする。

前払式支払手段

前払式支払手段は，あらかじめ対価を支払って発行され，商品やサービスの購入代金の支払いに使えるものである。

労働者派遣

労働者派遣とは、派遣元（派遣会社）が雇用している労働者を、派遣先の企業へ送り、派遣先の指揮命令を受けて働かせる形態である。労働者派遣法で規制されている。 雇用契約は派遣元と労働者の間にあり、派遣先と派遣元の間では労働者派遣契約を結ぶ。仕事の完成を約束する請負契約では、発注者は請負側の労働者に直接指揮命令できない点が異なる。

名寄せ

名寄せは，氏名や住所，生年月日などを手掛かりに，同一の顧客に属する複数のデータ（口座など）を集約し，顧客単位で一元管理する作業を指す。

品質マネジメント

品質マネジメントとは、顧客が求める品質の製品やサービスを安定して提供し、顧客満足を高めるために、組織の活動を計画・管理・改善していくことである。 その仕組みを品質マネジメントシステム（QMS）といい、国際規格としてISO 9001（国内ではJIS Q 9001）がある。PDCAサイクルで継続的に改善することが求められる。

回帰分析

回帰分析とは、2つ以上の変数の関係を数式で表し、ある変数の値から別の変数の値を予測する統計的な手法である。 例えば気温とアイスクリームの売上の関係を散布図に描き、それに最もよく当てはまる直線（回帰直線）を求めれば、気温から売上を予測できる。説明に使う変数が1つの場合を単回帰分析、複数の場合を重回帰分析という。

国際標準化

国際標準化とは、国際的に共通して使える規格（国際標準）を定めることである。工業製品全般はISO、電気・電子技術はIEC、電気通信はITU（国際電気通信連合）などの国際機関が規格を定めており、国を越えた製品の互換性や取引の円滑化に役立つ。

売上原価

売上原価とは、売れた商品や製品を仕入れたり作ったりするためにかかった費用のことである。 商品の販売業では「期首の在庫（棚卸高）＋当期の仕入高−期末の在庫（棚卸高）」で求める。期末の在庫を高い単価で評価すると売上原価は小さくなり、利益は大きくなる。売上高から売上原価を引いたものが売上総利益（粗利）である。

売掛金

売掛金は売上計上済みで未回収の金額である。

契約

契約とは、当事者同士の申込みと承諾という意思の合致によって成立する、法的な約束のことである。システム開発の委託では、成果物の完成を約束する請負契約や、作業の遂行を約束する準委任契約が使われる。提案書や見積書は契約を結ぶ前の書類で、契約そのものではない。

官民データ活用推進基本法

官民データ活用推進基本法とは、国や地方公共団体、独立行政法人、事業者などが持つデータ（官民データ）の適正で効果的な活用を推進するため、基本理念や国などの責務を定めた法律である。行政手続のオンライン化や、国や地方公共団体が持つデータを誰もが使えるように公開するオープンデータの推進などを定めている。

定型業務

定型業務とは、手順や判断の基準があらかじめ決まっていて、同じやり方で繰り返し行われる業務のことである。データの入力や転記、帳票の作成などが例で、RPAなどによる自動化に向いている。

定量発注方式

定量発注方式とは、在庫が決められた量（発注点）まで減ったときに、あらかじめ決めた一定の量を発注する在庫管理の方式である。発注の時期は在庫の減り方によって変わる。発注にかかる費用と在庫の保管にかかる費用の合計が最小になる量を、経済的発注量として発注量にすることが多い。

実用新案

実用新案は複数の物品を組み合わせて考案した新たな製品（物品の形状・構造・組合せの考案）が対象。

役務

役務とは、他人のために行う労働や便宜のことで、サービスとほぼ同じ意味である。輸送や金融、教育などがその例で、商標法では、役務に使う商標をサービスマークという。

情報システム

情報システムとは、組織の業務や意思決定を支えるために、情報の収集・蓄積・処理・提供を行う仕組みのことである。コンピュータやネットワークといったITだけでなく、それを使う人や業務の手順も含めて捉える。経営戦略に沿って整備することが求められる。

情報システム戦略

情報システム戦略とは、経営戦略を実現するために、情報システムをどのように整備・活用するかを定めた中長期の計画である。経営戦略と整合させ、全体最適の観点から作成し、通常はCIO（最高情報責任者）が責任を持つ。これを基にシステム化計画が立てられる。

情報リテラシー

情報リテラシーとは、必要な情報を自ら探し出し、その信頼性を見極めて取捨選択し、目的に合わせて活用・発信する能力のことである。コンピュータやネットワークなどのITを使いこなす能力を含めて捉えることも多い。

情報公開法

情報公開法（行政機関の保有する情報の公開に関する法律）とは、誰でも行政機関に対して、その行政機関が作成・保有する行政文書の開示を請求できることを定めた法律である。個人情報など、開示しないことが認められる情報も定められている。

情報提供依頼

情報提供依頼とは、システムの調達を検討する段階で、ベンダーに製品や技術、事例などの情報の提供を求めることで、その文書をRFI（情報提供依頼書）という。集めた情報を基に要件を固めてから、提案依頼書（RFP）で具体的な提案を求める。

技術ロードマップ

技術ロードマップは，横軸に時間，縦軸に市場・商品・技術などの要素を配置し，研究開発成果の商品化や事業化の方向性を要素間の関係として時系列で表したものである。

技術経営

技術経営（MOT：Management of Technology）とは、技術を経営資源の中心に置き、研究開発の成果を事業の成功や利益に結び付けるための経営の考え方や手法である。技術戦略の策定や研究開発の管理、知的財産の活用などが含まれ、最高技術責任者（CTO）が責任を持つことが多い。

投資

投資とは、将来の利益や効果を得ることを目的として、現在の資金や資源を事業や設備、株式などに投じることである。企業のIT投資では、投資額に対してどれだけの効果が得られるかを、投資利益率（ROI）や回収期間などで評価する。

拡張現実

拡張現実（AR：Augmented Reality）とは、カメラで写した現実の風景などに、コンピュータで作った画像や文字の情報を重ねて表示し、現実の世界を拡張する技術である。 スマートフォンの画面越しに家具を部屋に置いた様子を見る、作業現場で手順を重ねて表示する、といった使い方がある。全体を仮想の空間に置き換えるVR（仮想現実）とは区別される。

提携

提携とは、複数の企業が共通の目的のために協力関係を結ぶことである。販売や開発、生産などで協力する業務提携と、株式を持ち合うなど資本の関係も伴う資本提携がある。企業同士の協力関係はアライアンスとも呼ばれる。

新規事業

新規事業とは、企業がこれまで手がけていなかった分野で、新たに始める事業のことである。不確実性が高いため、小さく試して顧客の反応から仮説を検証し、改善を繰り返す進め方（リーンスタートアップ）や、事前に実現性を確かめるPoCなどが活用される。

本人確認

本人確認とは、取引や手続の相手が、名乗っているとおりの本人であることを、身分証明書などで確かめることである。金融機関では、マネーロンダリングを防ぐために口座開設時などに法律で本人確認が求められ、オンラインで完結する方法（eKYC）も使われている。

業務プロセス

業務プロセスとは、組織が目的を達成するために行う一連の仕事の流れのことである。受注、在庫確認、出荷、請求のように、作業とそのつながりとして捉える。 業務プロセスを見える化するために、データの流れを表すDFD、処理の手順を表すアクティビティ図、業務の流れを記述する標準的な表記法BPMNなどが使われる。プロセスを抜本的に見直して再設計することをBPR（ビジネスプロセスリエンジニアリング）という。

概念実証

概念実証（PoC：Proof of Concept）とは、新しいアイデアや技術、システムについて、本格的に導入する前に小規模に試して、実現できるか、期待した効果が得られるかを確かめることである。 AIやIoTなどの新技術を業務に取り入れる場合に、実際のデータや環境で試験的に動かし、課題を洗い出したうえで導入の判断をするのに使う。失敗した場合の損失を小さく抑えられる。

標準化

標準化とは、製品の仕様や作業の手順、用語などについて共通のルール（標準）を決め、誰もが同じように使えるようにすることである。 互換性が確保されて製品同士を組み合わせやすくなり、品質の安定やコストの削減にもつながる。ISOやJISのように公的な機関が定めるデジュール標準、市場で広く使われた結果として標準となるデファクト標準、複数の企業などが集まって定めるフォーラム標準がある。

法律

法律とは、国会の議決を経て制定される、国が定めるきまりのことである。ITパスポート試験では、著作権法や特許法などの知的財産に関する法律、不正アクセス禁止法や個人情報保護法などのセキュリティ関連の法律、労働者派遣法などの労働関連の法律が扱われる。

特定電子メール法

特定電子メール法（特定電子メールの送信の適正化等に関する法律）とは、広告や宣伝のための電子メールの送信を規制する法律である。原則として、あらかじめ同意した相手にだけ送ることができるオプトイン方式をとり、送信者の名称や受信拒否の連絡先などの表示を義務付けている。

特許

特許とは、新しい技術的なアイデア（発明）を公開する代わりに、その発明を一定期間独占的に利用できる権利（特許権）を国が与える制度、またはその権利のことである。 特許庁に出願し、審査を経て登録されることで権利が生まれる。企業は、自社の製品を守るだけでなく、他社にライセンスを与えて使用料を得たり、他社と互いに使用を認め合ったり（クロスライセンス）、他社の参入を防いだりするために特許を活用する。

特許ポートフォリオ

特許ポートフォリオは、企業が保有や出願している特許を、事業への貢献や特許間のシナジー、今後適用が想定される分野などの観点で分析するためにまとめたものである。

特許権

特許権とは、新規性や進歩性のある発明を、出願から原則20年間、独占的に実施できる権利である。特許法で定められている。 特許庁に出願し、審査を経て登録されることで発生する。同じ発明について複数の出願があった場合は、先に出願した者に権利が与えられる（先願主義）。創作と同時に自動的に発生する著作権とは異なる。

独立採算

独立採算とは、組織の中の事業部門などが、自らの収入でその費用をまかない、利益に責任を持つ運営の仕方のことである。カンパニー制組織などで採用され、部門の責任を明確にし、意思決定を速める効果がある。

生成AI

生成AIとは、学習した大量のデータを基に、文章、画像、音声、プログラムなどの新しいコンテンツを作り出すAIのことである。 利用者が自然な言葉で指示（プロンプト）を与えると、それに応じた内容を生成する。業務の効率化に役立つ一方、事実と異なるもっともらしい内容を出力するハルシネーション、著作権の侵害、入力した機密情報の漏えいなどに注意が必要である。

用語

用語とは、特定の分野や業界の中で、決まった意味で使われる言葉のことである。IT分野では、英語の略語やカタカナ語が多く、同じ言葉でも分野によって意味が変わることがあるため、正確な定義と使われる場面をセットで覚えることが大切になる。

秘密保持契約

秘密保持契約（NDA：Non-Disclosure Agreement）とは、取引や共同開発などで相手に開示する秘密の情報について、目的外に使わないことや第三者に漏らさないことなどを、当事者の間で取り決める契約である。 業務の委託先を検討する段階など、本格的な契約の前に結ぶことが多い。対象となる秘密情報の範囲、利用目的、管理の方法、契約期間などを定める。

競争優位

競争優位とは、企業が、価格、品質、技術、ブランドなどの面で、競合他社よりも有利な立場にあることである。長く続く競争優位を築くには、他社にまねされにくい経営資源を持つことが重要で、それを評価する手法としてVRIO分析がある。

第4次産業革命

第4次産業革命とは、IoT、ビッグデータ、AI、ロボットなどの技術の進展によって起きている、産業や社会の大きな変革のことである。蒸気機関による機械化、電力による大量生産、コンピュータによる自動化に続く4番目の産業革命と位置付けられ、ドイツのインダストリー4.0もこの流れの一つである。

組織形態

組織形態とは、企業などの組織をどのように部門に分け、権限と責任をどう配置するかという組織の構造の型のことである。機能ごとに分ける職能別組織、事業ごとに分ける事業部制組織、社内に独立採算の会社を置くカンパニー制組織、職能と事業を組み合わせるマトリックス組織などがある。

経営資源

経営資源とは、企業が事業を行うために使う資源のことで、一般にヒト（人材）、モノ（設備・製品）、カネ（資金）、情報（技術・ノウハウ・ブランド）の4つを指す。 限られた経営資源をどの事業に配分するかを決めるのにPPMが使われ、自社の経営資源が競争上の強みになるかを、経済価値・希少性・模倣困難性・組織の4つの観点で評価するのにVRIO分析が使われる。

統計

統計とは、集団についてのデータを集めて整理し、平均や分散などの数値やグラフで全体の傾向や特徴をつかむこと、またその手法のことである。データ間の関係を調べる相関分析や回帰分析、標本から全体を推し量る推定なども含まれる。

自然言語処理

自然言語処理は，人間が使う言葉（テキストや音声の言語）をコンピュータが解析・理解する技術。

著作権

著作権とは、思想や感情を創作的に表現した著作物について、その作者（著作者）に認められる権利である。 小説や音楽、写真のほか、コンピュータのプログラムも著作物として保護される。ただし、プログラムを作るためのプログラム言語や規約、アルゴリズム（解法）そのものは保護の対象外。特許権と違い、登録や届出の手続は不要で、著作物を創作した時点で自動的に権利が発生する。

著作権法

著作権法とは、小説や音楽、絵画、プログラムなどの著作物について、著作者の権利（著作権と著作者人格権）を定めて保護する法律である。 権利は創作と同時に発生し、登録などの手続は要らない。プログラムは著作物として保護されるが、プログラムを作るためのプログラム言語、規約（通信プロトコルなど）、解法（アルゴリズム）は保護の対象外とされている。

要件定義

要件定義とは、システム開発の初期の工程で、利用者や関係者がシステムに求める機能や性能などを明確にし、関係者の間で合意する作業である。 業務で何ができる必要があるかという機能要件と、応答時間や可用性、セキュリティなどの非機能要件を整理する。システム化計画を踏まえて行い、ここでの合意が後の設計・開発・テストの基準になる。要件の漏れや誤りは後工程ほど修正の手間が大きくなる。

要配慮個人情報

要配慮個人情報とは，本人の人種，信条，社会的身分，病歴，犯罪の経歴など，不当な差別や偏見が生じないよう特に配慮を要する個人情報である。

調達

調達とは、業務に必要な製品やサービス、システムなどを、外部の供給者から購入したり委託したりして手に入れることである。 システムの調達では、まずベンダーに情報提供を依頼するRFI（情報提供依頼書）で技術や事例を集め、次に要件を示して提案を求めるRFP（提案依頼書）を出し、提案書と見積書を比較して供給者を選び、契約を結ぶ、という流れで進めるのが一般的である。

請負契約

請負契約とは、請け負った側が仕事を完成させることを約束し、注文した側がその成果に対して報酬を支払うことを約束する契約である。 システム開発を外部に委託する場合などに使われる。作業の進め方や労働者への指揮命令は請け負った側が行い、発注者が請負側の労働者に直接指示を出すと、実態は労働者派遣である偽装請負とみなされるおそれがある。

資金調達

資金調達とは、企業が事業を行うために必要なお金を集めることである。銀行などからの借入れ、社債の発行、新株の発行や株式の新規公開（IPO）、ベンチャーキャピタルからの出資、インターネットで多数の人から資金を集めるクラウドファンディングなどの方法がある。

金融

金融とは、お金に余裕のある人や組織から、お金を必要とする人や組織へ資金を融通することである。銀行による預金・貸付、株式や債券の売買、保険、決済などのサービスが含まれる。ITを使った新しい金融サービスはフィンテック（FinTech）と呼ばれる。

限定提供データ

限定提供データとは、不正競争防止法で保護される情報の一つで、事業として特定の相手に提供するために、電磁的な方法で相当量を蓄積・管理している技術上または営業上の情報のうち、秘密として管理される営業秘密を除いたものをいう。不正な取得や使用は不正競争に当たる。

雇用関係

雇用関係とは、労働者が使用者のもとで働き、使用者がその対価として賃金を支払うという、雇用契約に基づく関係のことである。労働者派遣では、派遣労働者は派遣元と雇用関係を結び、派遣先とは雇用関係が無く、指揮命令を受ける関係だけがある。

マネジメント系（72語）

DevOps

DevOpsは開発（Development）と運用（Operations）が密接に連携し，自動化ツールなどを活用して機能の導入や更新を迅速かつ継続的に進める考え方・手法である。

ITIL

ITILは，ITサービスの提供とサポートに関する成功事例（ベストプラクティス）を体系的にまとめたものである。

ITへの対応

ITへの対応とは、内部統制の基本的要素の一つで、組織の目標を達成するために、組織の内外のITに適切に対応し、業務の中でITを有効かつ効率的に利用し、統制することをいう。 新しいITの導入を一律に求めるものではなく、既存のITの使い方を工夫することも含まれる。IT環境への対応と、ITの利用及び統制から成る。

ITガバナンス

ITガバナンスとは，経営陣が組織の価値を高めるために実践する行動であり，情報システム戦略の策定及び実現に必要な組織能力のことである。

ITサービスマネジメント

ITサービスマネジメントとは、利用者や事業のニーズを満たすITサービスを提供するために、人材・プロセス・技術を組み合わせて、サービスを計画・提供・改善し続ける活動である。 サービス内容と品質を合意するSLA、問合せ窓口となるサービスデスク、障害からの迅速な復旧を図るインシデント管理、根本原因を除く問題管理、変更を安全に行う変更管理などのプロセスがある。ベストプラクティスとしてITILがよく知られている。

MTBSI

MTBSI（Mean Time Between Service Incidents）とは、ITサービスでインシデント（サービスの停止など）が発生してから、次のインシデントが発生するまでの平均の間隔である。値が大きいほどサービスが止まりにくく、サービスの信頼性を表す指標として使われる。

SLA

SLA（Service Level Agreement：サービスレベル合意書）とは、ITサービスの提供者と利用者の間で、サービスの内容と品質の水準を取り決めて文書にしたものである。 稼働率、障害時の復旧時間、問合せの受付時間や応答時間などを、できるだけ数値で合意する。合意した水準を達成できているかを監視・報告し、改善していく活動をサービスレベル管理（SLM）という。

SLM

SLM（サービスレベルマネジメント）は，SLAで合意した定量的目標の達成状況を，サービス提供状況のモニタリングやレビューを通じて確認し，継続的に改善していく活動である。

UPS

UPS（Uninterruptible Power Supply：無停電電源装置）とは、停電や瞬間的な電圧の低下が起きたときに、内蔵の蓄電池からコンピュータなどへ一定時間電力を供給する装置である。 供給できる時間は限られるため、その間にデータを保存してシステムを安全に停止させたり、自家発電装置に切り替えたりするために使う。サーバの可用性を高める物理的な対策の一つ。

WBS

WBS（Work Breakdown Structure：作業分解構成図）とは、プロジェクトで作る成果物とそのための作業を、管理しやすい大きさになるまで階層的に細かく分解した図である。 最下層の作業の単位をワークパッケージといい、これを基に担当や費用、期間を見積もり、スケジュールを作る。スコープに変更があった場合は、WBSを更新してから費用などを見積もり直す。

WBS辞書

WBS辞書とは、WBSに付随する補助的な文書で、WBSで定義した各作業（ワークパッケージ）について、作業の内容や成果物、担当、完了の基準などを詳しく説明したものである。作業の範囲の解釈の食い違いを防ぐ。

XP

XP（エクストリームプログラミング）は，要求の変化に対応した高品質なソフトウェアを短いサイクルでリリースする，アジャイル開発のアプローチの一つである。

けん制

けん制とは、内部統制で、複数の人や部門が互いにチェックし合うことで、不正や誤りが起きにくくなるようにすることである。営業担当者が出した精算書類を経理部門が審査・承認するように、職務を分けて別の担当者に確認させる職務分掌によって働かせる。

アクセス制御

アクセス制御とは、情報やシステムに対して、誰がどのような操作をしてよいかを決め、許可された利用者が許可された操作だけを行えるように制限する仕組みである。 IDとパスワードなどで本人を確かめ、その利用者に与えられた権限（閲覧のみ、更新可能など）に従って利用を許可する。業務に必要な最小限の権限だけを与えることが基本である。

アジャイル

アジャイルとは、短い期間で設計・開発・テストを繰り返しながら、動くソフトウェアを少しずつ作り、変化する要求に柔軟に対応するソフトウェア開発の考え方や手法の総称である。 最初に全体の要件を確定させて工程を順に進めるウォーターフォールモデルの課題を改善する形で広まった。代表的な手法にスクラムやXP（エクストリームプログラミング）がある。

アジャイル開発

アジャイル開発とは、開発するシステムを小さな機能の単位に分け、1〜4週間程度の短い期間（イテレーション）ごとに設計・開発・テストを繰り返して、動くソフトウェアを少しずつ作っていく開発手法の総称である。 利用者の意見を反映しながら進めるため、要求の変化に柔軟に対応できる。代表的な手法にスクラムやXP（エクストリームプログラミング）がある。

イテレーション

イテレーションとは、アジャイル開発で、設計・開発・テストを行って動くソフトウェアを作り上げる、1〜4週間程度の短い開発期間の単位のことである。これを繰り返しながら機能を少しずつ追加していく。スクラムではスプリントと呼ぶ。

インシデント管理

インシデント管理とは、ITサービスの停止や品質の低下などの出来事（インシデント）が起きたときに、できるだけ早くサービスを通常の状態に回復させ、事業への影響を最小限に抑える活動である。 インシデントの記録、影響度と緊急度による優先度付け、回避策による暫定的な復旧などを行う。発生の根本原因を突き止めて再発を防ぐことは、問題管理という別のプロセスで扱う。

ウォーターフォール

ウォーターフォールモデルとは、要件定義、設計、プログラミング、テストといった開発の工程を上流から下流へ順番に進め、原則として前の工程に戻らないソフトウェア開発のモデルである。水が上から下へ流れ落ちる様子にたとえた名前。 工程ごとに成果物を確定させるため、進捗や品質を管理しやすい。一方で、後から要求が変わった場合の手戻りが大きいという欠点があり、その改善策としてアジャイル開発などが広まった。

エスカレーション

エスカレーションとは，サービスデスクで対応しきれないインシデントを，専門技術をもつ二次サポートなど上位の担当へ引き継ぐことである。

オブジェクト指向

オブジェクト指向は，クラスや継承といった概念を用いてソフトウェアを部品化し再利用することで生産性向上を図る開発手法である。

クリティカルパス法

クリティカルパス法とは、プロジェクトのスケジュールを作成・管理する手法で、作業のつながりのうち、最も時間がかかる経路（クリティカルパス）を求めて重点的に管理するものである。クリティカルパス上の作業が遅れると、プロジェクト全体の完了が遅れる。

サービスデスク

サービスデスクとは、ITサービスの利用者からの問合せや障害の連絡、要望などを一元的に受け付ける窓口である。窓口を一つにまとめる考え方を、単一窓口（SPOC：Single Point Of Contact）という。 受け付けた内容を記録し、その場で解決できるものは対応し、解決できないものは専門の担当者などへ引き継ぐ（エスカレーション）。よくある質問に自動で答えるチャットボットやFAQを用意して負荷を減らすことも多い。

サービスマネジメント

サービスマネジメントとは、顧客や利用者に価値のあるサービスを提供するために、サービスの計画、設計、提供、改善を組織的に管理する活動のことである。ITサービスを対象とする場合は、ITサービスマネジメントと呼ぶ。サービスの品質は、提供者と利用者の間でSLAとして合意する。

システム監査

システム監査とは、情報システムが組織の目的に沿って有効かつ効率的に使われ、安全に運用されているかを、独立した専門家（システム監査人）が点検・評価し、保証や助言を行うことである。 監査計画の策定、予備調査と本調査、監査報告、指摘事項の改善状況を確かめるフォローアップの順で進める。判断の尺度には経済産業省のシステム管理基準などを使うが、監査の目的に応じて社内規程や他のガイドラインを使うこともできる。

システム監査人

システム監査人とは、情報システムが適切に整備・運用されているかを点検・評価する監査を行う専門家である。 監査計画を立て、証拠を集めて評価し、結果を監査報告書にまとめて改善を提言し、その実施状況を確かめる。監査の結果が信頼されるよう、監査対象の部門から独立した立場にいること（外観上の独立性）と、公正で客観的な態度で判断すること（精神上の独立性）が求められる。

システム管理基準

システム管理基準とは、経済産業省が公表している、組織が情報システムを適切に管理するための実践的な規範で、システム監査で判断の尺度として使われるものである。監査の目的によっては、ほかのガイドラインや社内規程を判断尺度に使うこともできる。

スケジュール

スケジュールとは、作業をいつ始めていつ終えるかを時間軸に沿って並べた予定のことである。プロジェクトでは、WBSで洗い出した作業の順序と所要期間からスケジュールを作り、アローダイアグラムやガントチャートで表し、クリティカルパスに注目して管理する。

スコープ

スコープとは、プロジェクトで作る成果物と、それを作るために行う作業の範囲のことである。何を作り、何を作らないかを明確にしておくことで、作業の漏れや範囲の膨張を防ぐ。スコープを変えるとコストやスケジュールにも影響するため、変更は手続に従って評価・承認する。

スコープマネジメント

スコープマネジメントとは、プロジェクトで作る成果物と必要な作業の範囲（スコープ）を定め、過不足なく実行されるように管理することである。 要求の収集、スコープの定義、WBSの作成を行い、実行中はスコープの変更を管理する。変更が承認されたら、作業範囲を反映してWBSを更新し、コストの見積りなどへ引き継ぐ。

ステークホルダ

ステークホルダは，発注側の経営者や利用部門，受注側の責任者や協力会社など，プロジェクトの成否に関わる利害関係者すべてを指す。

ソフトウェア保守

ソフトウェア保守とは、運用を開始した後のソフトウェアに対して、不具合の修正、法律や制度の改正への対応、利用環境の変化への対応、機能の改良などを行う活動である。 本番環境で使われているシステムを対象とするため、修正による影響を調べ、テストを行ってから反映する。保守のしやすさ（保守性）は、設計の段階から考慮しておく必要がある。

ソフトウェア導入

ソフトウェア導入は，開発が完了したソフトウェアを本番環境にインストールする手順を明確にし，それを実施する工程である。

チャットボット

チャットボットとは、利用者が入力した質問などに対して、ソフトウェアが自動で応答する対話型のプログラムである。チャット（会話）とボット（ロボット）を組み合わせた言葉。 Webサイトやメッセージアプリで、よくある問合せに24時間自動で答えることができ、オペレーターの負担軽減や受付時間の拡大に役立つ。AIを使って自然な文章で回答するものも増えている。

テスト

テストとは、作ったプログラムやシステムが仕様どおりに正しく動くかを、実際に動かして確かめる作業である。 開発では、部品ごとの単体テスト、部品をつないだ結合テスト、システム全体のシステムテスト、利用者が実際の業務で使えるかを確かめる運用テスト（受入れテスト）の順に進める。内部構造を見ないブラックボックステストと、内部構造に基づくホワイトボックステストという分け方もある。

ファシリティマネジメント

ファシリティマネジメントは建物や設備などの物理的環境を最適な状態に維持・管理する活動である。

フリーアクセスフロア

フリーアクセスフロアとは、床の下に配線のための空間を設け、その上に取り外しのできるパネルを並べて床にしたものである。サーバ室やオフィスで使われ、ケーブルを床下に通すことで配線を保護し、レイアウトの変更にも対応しやすくなる。

ブラックボックステスト

ブラックボックステストは，プログラムの内部構造を考慮せず，仕様に基づいて入力と出力の関係に着目して行うテストである。

プロジェクトコストマネジメント

プロジェクトコストマネジメントとは、プロジェクトを承認された予算の範囲内で完了させるために、費用を見積もり、予算を設定し、実績を監視して管理することである。プロジェクトマネジメントの知識体系（PMBOK）の知識エリアの一つで、WBSを基に作業ごとの費用を見積もる。

プロジェクトスコープマネジメント

プロジェクトスコープマネジメントは成果物の範囲を定義し管理する活動である。

プロジェクト統合マネジメント

プロジェクト統合マネジメントとは、プロジェクトマネジメントの各分野（スコープ、スケジュール、コスト、品質など）の活動を、全体として整合がとれるように調整し、まとめ上げる活動である。 プロジェクト憲章の作成、全体計画の作成、作業の指揮、変更の統合管理、プロジェクトの終結などを行う。終結の際には、得られた知識や教訓を記録し、組織の資産として以後のプロジェクトに活かす。

プロトタイピング

プロトタイピングは，開発の早い段階で試作品（プロトタイプ）を作成し，利用者に目に見える形で確認してもらうことで要求の食い違いを早期に解消する開発モデルである。

マネジメント

マネジメントとは、組織の目標を達成するために、人や資金、時間などの資源を計画的に配分し、活動を指揮・調整・管理することである。経営層が方針やルールを定めるガバナンスに対して、そのルールに従って実際に組織を動かすのがマネジメントという関係にある。

リスクマネジメント

リスクマネジメントとは、組織に影響を与える不確かな出来事（リスク）を洗い出して評価し、対応を決めて実行し、その効果を監視するという、組織的・継続的な活動である。 リスクの特定・分析・評価をまとめてリスクアセスメントといい、その結果に基づいて低減・回避・移転（共有）・保有（受容）などのリスク対応を選ぶ。情報セキュリティ監査では、リスクマネジメントが効果的に行われているかを独立した立場から評価する。

リバースエンジニアリング

リバースエンジニアリングとは、完成したソフトウェアや製品を分解・解析して、その構造や設計、仕様を明らかにする手法である。 設計書が残っていない既存システムのプログラムから仕様を読み取って保守や再開発に役立てる、といった目的で使われる。他社のソフトウェアを解析する場合は、ライセンス契約で禁止されていることもあるため注意が必要である。

リファクタリング

リファクタリングは，ソフトウェアが提供する機能仕様（外部から見た振る舞い）を変えずに，保守性や可読性を高めるため内部構造を改善する作業。

会計監査

会計監査とは、企業の財務諸表（決算書）が、会計の基準に従って適正に作られているかを確かめる監査である。日常の取引の記録から決算の報告に至るまで、不正や誤りの無い処理が行われていることを確認する。上場企業などでは公認会計士や監査法人による監査が義務付けられている。

使用性

使用性とは、ソフトウェアやシステムの品質特性の一つで、利用者にとって分かりやすく、覚えやすく、使いやすいかどうかの度合いのことである。ユーザビリティとも呼ばれる。ATMの操作画面のように、利用者が直接触れる部分で特に考慮が必要になる。

内部統制

内部統制とは、組織が業務を適正かつ効率的に進めるために、組織の内部に設けてすべての人が守る仕組みやルールのことである。 目的は、業務の有効性と効率性、財務報告の信頼性、事業活動に関わる法令等の遵守、資産の保全の4つ。基本的要素として、統制環境、リスクの評価と対応、統制活動、情報と伝達、モニタリング、ITへの対応の6つがある。担当者の職務を分けて互いにチェックする職務分掌は、代表的な仕組みである。

判断尺度

判断尺度とは、監査で、監査対象が適切かどうかを判断するよりどころとなる基準のことである。システム監査では経済産業省のシステム管理基準が代表的だが、監査の目的や対象に応じて、ほかのガイドラインや社内規程を選んでもよい。

利用者マニュアル

利用者マニュアルとは、システムを使う利用者が業務を行えるように、機能の使い方や操作の手順を説明した文書である。システムの本番稼働の前に作成し、利用者への教育にも使う。

受入れ検収

受入れ検収とは、委託して開発されたシステムや納品物を、発注者が契約や要件どおりにできているかを確認して受け取ることである。発注者自らがテストを行い、問題が無ければ検収を完了して、その後の支払いなどへ進む。

可用性

可用性とは、許可された利用者が、必要なときに情報やシステムを使える状態にあることである。情報セキュリティの3要素（機密性・完全性・可用性）の一つ。 システムが24時間365日止まらずに使えること、障害が起きてもすぐに復旧できることが可用性の高さに当たる。装置の二重化、バックアップ、無停電電源装置（UPS）の設置などが可用性を守る対策の例である。

品質特性

品質特性とは、ソフトウェアやシステムの品質を評価するための観点のことである。 JIS X 25010:2013（ISO/IEC 25010:2011）では、機能適合性、性能効率性、互換性、使用性、信頼性、セキュリティ、保守性、移植性の8つの特性が示されている。例えば、利用者にとっての分かりやすさや使いやすさは使用性、障害の起きにくさは信頼性に当たる。なお、国際規格は2023年に改訂（ISO/IEC 25010:2023）され、安全性（Safety）が加わって9特性になった（使用性は「相互作用性」、移植性は「柔軟性」に名称変更）。JIS X 25010:2013は8特性のままである。

変更管理

変更管理とは、システムやプロジェクトに対する変更を、決められた手続に従って記録・評価・承認し、管理された形で実施する活動である。 ITサービスマネジメントでは、変更による障害のリスクを抑えながら必要な変更を行うことを目的とする。プロジェクトでは、変更要求がコスト・スケジュール・スコープに与える影響を変更管理委員会などが評価し、承認するか却下するかを決める。

導入計画書

導入計画書とは、開発したソフトウェアやシステムを本番環境に導入する作業について、手順、日程、体制、移行の方法、問題が起きたときの対応などを定めた計画書である。事前に作成して関係者の合意を得てから導入作業を行う。

性能要件

性能要件は処理速度や応答時間などシステムの速さに関する要件である。

情報セキュリティ監査

情報セキュリティ監査は，組織の情報資産に関わるリスクマネジメントが効果的に実施されているかどうかを独立した立場で検証または評価し，保証や助言を行うものである。

散布図

散布図とは、2つの項目のデータを、縦軸と横軸にとって点として描き、両者の関係を見る図である。QC七つ道具の一つ。 点が右上がりに並べば正の相関、右下がりに並べば負の相関、ばらばらなら相関が無いと読み取れる。広告費と売上の関係など、一方が変わると他方がどう変わるかを調べるのに使う。

本番環境

本番環境とは、利用者が実際の業務やサービスで使っているシステムの稼働環境のことである。開発やテストを行う開発環境・テスト環境と分けて管理し、変更は手順を定めて慎重に反映する。開発したソフトウェアを本番環境に組み込む工程をソフトウェア導入という。

法令遵守

法令遵守とは、企業などが、法律や規則を守って活動することである。コンプライアンスとも呼ばれ、広い意味では社内規程や社会の倫理を守ることも含む。内部統制の目的の一つに「事業活動に関わる法令等の遵守」がある。

特性要因図

特性要因図とは、ある問題（特性）と、それに影響を与えている原因（要因）の関係を、魚の骨のような形に体系的に整理した図である。QC七つ道具の一つで、形からフィッシュボーン図とも呼ばれる。 右端に問題を書き、背骨から伸びる大骨に人・方法・材料・設備などの要因の分類を、小骨に具体的な原因を書き込んでいく。問題の根本的な原因を洗い出して検討するときに使う。

独立性

独立性とは、監査で、監査人が監査の対象から独立した立場で判断できることをいう。 監査対象の部門に属さず利害関係も無いという「外観上の独立性」と、偏りなく公正で客観的に判断する「精神上の独立性」の両方が求められる。監査対象の業務に自ら関わっていると、独立性が損なわれる。

監査

監査とは、対象の業務や記録が、法令や基準、社内規程などに沿って適切に行われているかを、独立した立場の者が証拠に基づいて調べ、意見を述べることである。財務諸表を対象とする会計監査、情報システムを対象とするシステム監査、業務全般を対象とする業務監査などがある。

監査計画

監査計画とは、監査の目的や対象、範囲、実施時期、手順、担当者などを、監査を始める前に定めた計画である。システム監査は監査計画に基づき、予備調査、本調査、評価と結論の順で進める。監査計画は状況の変化に応じて見直す。

管理図

管理図とは、製造工程などの品質を測ったデータを時系列の折れ線グラフで表し、中心線と上下の管理限界線を引いた図である。QC七つ道具の一つ。 データが管理限界線の外に出たり、中心線の片側に連続して偏ったりした場合に、工程に何らかの異常が起きていると判断する。工程が安定した状態にあるかどうかを監視するのに使う。

経営

経営とは、企業などの組織が目的を達成するために、ヒト・モノ・カネ・情報といった経営資源を活用して、事業の方針を決め、継続的に運営していくことである。ITパスポート試験のストラテジ系では、経営戦略や経営管理、IT活用の位置付けとして扱われる。

経営者

経営者とは、企業などの組織の経営に責任を持ち、方針を決めて組織を率いる立場の人である。ITガバナンスでは、現在と将来のIT利用を評価し、指示し、その状況をモニタリングして、IT利用が事業の目的に合うようにする役割を担う。

職務分掌

職務分掌とは、組織の中で、各部署や担当者が担う職務の内容と責任・権限を明確に分けて定めることである。 内部統制では、申請と承認、発注と検収、記帳と現金の管理のように、互いにチェックすべき職務を別々の担当者に割り当て、一人だけで不正や誤りを完結できないようにする（相互けん制）ことが重要である。

自動応答

自動応答とは、問合せや入力に対して、人が介さずにコンピュータが自動で返答することである。電話の自動音声案内や、Webサイトのチャットボットなどが例で、受付時間の拡大や窓口担当者の負担軽減に役立つ。

試作

試作とは、本格的に作る前に、機能や使い勝手を確かめるために試しに作ってみることである。試しに作ったものを試作品（プロトタイプ）といい、システム開発では早い段階で利用者に確認してもらい、要求の食い違いを見つけるのに使う。

配線

配線とは、電源や通信のケーブルを機器の間に張り巡らせてつなぐこと、またはそのケーブルのことである。サーバ室などでは、配線を床下に通せるフリーアクセスフロアを使うことで、ケーブルを保護し、機器の配置換えにも対応しやすくなる。

テクノロジ系（177語）

ACID特性

ACID特性とは、データベースのトランザクションが満たすべき4つの性質の頭文字をとったものである。 Atomicity（原子性：処理がすべて実行されるか、全く実行されないかのどちらかになる）、Consistency（一貫性：データの整合性が保たれる）、Isolation（独立性：同時に実行される他の処理の影響を受けない）、Durability（耐久性：確定した結果は障害が起きても失われない）の4つである。

AI

AI（Artificial Intelligence：人工知能）とは、学習・推論・判断など、人間の知的な働きをコンピュータで実現しようとする技術やその研究分野のことである。 大量のデータから規則性を学ぶ機械学習、その中でも多層のニューラルネットワークを使うディープラーニングが現在の中心的な技術である。画像認識や音声認識、需要予測、文章や画像を作り出す生成AIなどに活用されている。結果に偏り（バイアス）が生じることや、判断の根拠を説明しにくいことが課題とされ、人間中心のAI社会原則のような利用の原則も示されている。

Android

Androidとは、Googleが中心となって開発している、スマートフォンやタブレット向けのOS（オペレーティングシステム）である。基盤部分はオープンソースソフトウェアとして公開されており、多くのメーカーの端末に搭載されている。

BLE

BLE（Bluetooth Low Energy）とは、近距離無線通信の規格Bluetoothのバージョン4.0で追加された、消費電力を大幅に抑えた通信方式である。 少量のデータを間欠的に送る用途に向き、ボタン電池でも長期間動作できるため、ウェアラブル機器やIoTのセンサ、位置を知らせる発信機（ビーコン）などで使われる。受信した電波の強さから、機器同士のおおよその距離を推定することにも利用される。

Bcc

Bcc（Blind carbon copy）とは、電子メールの宛先の指定方法の一つで、Bccに入れたメールアドレスは、ほかの受信者には表示されない。 To（主な宛先）やCc（写しの送付先）に入れたアドレスは全員に表示されるため、互いに面識の無い多数の相手へ一斉に送るときは、アドレスの漏えいを防ぐためにBccを使う。Bccへの入れ間違いで他人のアドレスを漏らしてしまう事故も多い。

Bluetooth

Bluetoothとは、数メートルから数十メートル程度の近い距離にある機器同士を、電波でつなぐ無線通信の規格である。イヤホンやキーボード、マウスとパソコンやスマートフォンの接続などに使われる。消費電力を抑えた方式としてBLE（Bluetooth Low Energy）がある。

CPU

CPU（Central Processing Unit：中央処理装置）とは、プログラムの命令を読み取って解釈し、演算やほかの装置の制御を行う、コンピュータの中心となる装置である。 内部には高速な記憶場所であるレジスタがある。処理の速さは、動作のタイミングを決めるクロック周波数や、一度に処理できるデータの長さ（32ビット、64ビットなど）、内部の処理装置（コア）の数などで変わる。

CRL

CRL（証明書失効リスト）は，認証局が発行したデジタル証明書のうち，有効期間内であるにもかかわらず秘密鍵の漏えいなどの理由で失効させられた証明書の情報を一覧にして公開するものである。

CSIRT

CSIRT（Computer Security Incident Response Team）は，セキュリティ事故（インシデント）の発生時に影響範囲を調査し，被害拡大を防止するための対策実施を支援する組織である。

CSV

CSV（Comma-Separated Values）とは、データの項目をコンマ（,）で区切り、1件のデータを1行で表す、テキスト形式のファイルの形式である。単純な構造で、表計算ソフトやデータベースなど異なるソフトウェアの間でデータをやり取りするのによく使われる。

DBMS

DBMS（DataBase Management System：データベース管理システム）とは、データベースを作成・運用し、データの追加・検索・更新・削除を効率よく安全に行うためのソフトウェアである。 複数の利用者が同時に更新しても矛盾が生じないようにする排他制御、障害時にデータを回復する機能、利用者ごとのアクセス権の管理、データの複製を別のコンピュータへ同期するレプリケーションなどの機能を持つ。

DMZ

DMZ（DeMilitarized Zone：非武装地帯）とは、ファイアウォールによって、インターネット（外部）とも社内ネットワーク（内部）とも分けて設けたネットワークの区域である。 外部に公開する必要があるWebサーバやメールサーバなどを置く。公開サーバが攻撃を受けて乗っ取られても、DMZから内部ネットワークへの通信はファイアウォールで制限されているため、被害が内部に広がりにくい。

DNS

DNS（Domain Name System）とは、「example.co.jp」のような人が覚えやすいドメイン名と、コンピュータが通信に使うIPアドレスとを対応付ける仕組みである。この対応付けを名前解決という。 世界中のDNSサーバが階層的に分担して情報を管理している。問合せの結果を一時的に保存（キャッシュ）しておき、同じ問合せに素早く答える。このキャッシュに偽の情報を記憶させて利用者を偽サイトへ誘導する攻撃を、DNSキャッシュポイズニングという。

DNSキャッシュポイズニング

DNSキャッシュポイズニングとは、DNSサーバのキャッシュ（一時的に保存した名前解決の結果）に、偽のドメイン名とIPアドレスの対応を記憶させ、利用者を攻撃者が用意した偽のサイトへ誘導する攻撃である。 利用者が正しいドメイン名を入力しても偽サイトへ接続されるため気づきにくい。対策として、DNSサーバの設定の見直しや、応答の正当性を電子署名で確かめるDNSSECの導入などがある。

DVD

DVDとは、レーザー光を使ってデータを読み書きする光ディスクの規格の一つで、CDと同じ直径12cmでより多くのデータを記録できる。読出し専用のDVD-ROM、1回だけ書き込めるDVD-R、書換えできるDVD-RWやDVD-RAMなどの種類がある。

FTP

FTP（File Transfer Protocol）は，TCP/IPネットワークでファイルをPC間で転送するためのプロトコルである。

GPU

GPU（Graphics Processing Unit）は，3次元画像処理の高速化や動画の滑らかな描画など，描画処理を専門に行うためのハードウェアである。

HTML形式

HTML形式とは、電子メールの本文をHTMLで記述する形式のことで、文字の大きさや色を変えたり、画像を表示したり、文字列にリンクを設定したりできる。文字だけのテキスト形式に比べて表現力が高い一方、表示上の文字と実際のリンク先を変えて偽サイトへ誘導する悪用もあるため注意が必要である。

HTTP

HTTP（HyperText Transfer Protocol）とは、WebブラウザとWebサーバの間で、HTMLの文書や画像などをやり取りするための通信プロトコルである。 ブラウザがページを要求（リクエスト）し、サーバが内容を返す（レスポンス）という手順で通信する。HTTPの通信をSSL/TLSで暗号化したものをHTTPSといい、パスワードなどの入力を伴うページでは欠かせない。

IDS

IDS（Intrusion Detection System：侵入検知システム）は，ネットワークやホストを監視して不正アクセスや不審な通信を検知し管理者に報告する仕組みである。

IMAP

IMAPはメールをサーバ上のメールボックスで管理する受信プロトコルで，複数フォルダの作成や複数端末からの同一メールボックス参照が可能である。

IPアドレス

IPアドレスとは、インターネットなどのIPネットワークで、通信相手のコンピュータや機器を識別するための番号である。 IPv4では32ビットで表し、8ビットずつ区切って「192.168.1.1」のように10進数で書く。アドレスの不足に対応するため、128ビットで表すIPv6も使われている。インターネットで重複なく割り当てられるグローバルIPアドレスと、組織内で自由に使えるプライベートIPアドレスがある。人が覚えやすいドメイン名との対応付けはDNSが行う。

ISMS

ISMS（Information Security Management System：情報セキュリティマネジメントシステム）とは、組織が情報セキュリティを確保するために、方針を定め、リスクを評価して対策を決め、運用・評価・改善を継続的に行う仕組みである。 規格としては JIS Q 27001（ISO/IEC 27001）があり、第三者機関の審査によるISMS認証制度もある。PDCAサイクルで運用し、情報セキュリティ方針には継続的に改善するという経営層の意思表明を含める。

IoT

IoT（Internet of Things：モノのインターネット）とは、家電や自動車、工場の設備、センサなど様々なモノをインターネットにつなぎ、データを集めたり遠隔から操作したりできるようにする仕組みである。 センサで集めたデータをネットワーク経由でサーバに送って分析し、その結果に応じてアクチュエータ（モーターなど動きを生む装置）を動かす、といった形で使われる。電池で長期間動く機器が多いため、LPWAやBLEのような省電力の無線通信が使われる。

JavaScript

JavaScriptはWebブラウザ上で動作し、ページに動的な振る舞いを組み込めるスクリプト言語。

LPWA

LPWA（Low Power Wide Area）とは、消費電力を低く抑えながら、数kmから数十kmといった広い範囲で通信できる無線通信技術の総称である。 通信速度は低いが、少量のデータを送るIoT機器に向いており、電池で長期間動かせる。水道やガスのメーターの検針、農地や河川のセンサなど、広い地域に機器を分散して設置する用途で使われる。

OCR

OCR（Optical Character Recognition：光学的文字認識）は，スキャナーで読み取った画像中の印刷文字や手書き文字を認識してテキストデータに変換する技術である。

OSS

OSS（Open Source Software：オープンソースソフトウェア）とは、ソースコードが公開されており、利用者がライセンスの条件の範囲で自由に利用・改変・再配布できるソフトウェアである。 無料で使えるものが多いが、著作権が放棄されているわけではなく、ライセンスの条件（著作権表示の維持、改変版のソースコード公開など）に従う必要がある。OSSを基にした有償サポート付きの製品やサービスも提供されている。LinuxやApache HTTP Serverなどが代表例である。

PCI DSS

PCI DSS（Payment Card Industry Data Security Standard）は，クレジットカード会員データを安全に取り扱うために策定された，クレジットカード業界の情報セキュリティ基準である。

PDCA

PDCAとは、Plan（計画）、Do（実行）、Check（評価）、Act（改善）の4段階を繰り返して、業務や管理の仕組みを継続的に良くしていく考え方である。 ISMSでは、方針と計画を定め（Plan）、対策を導入・運用し（Do）、監視・測定や内部監査、マネジメントレビューで評価し（Check）、見つかった問題を是正して改善する（Act）、という形で回す。品質管理や情報セキュリティ管理など幅広い分野で使われる。

PIN

PIN（Personal Identification Number）は、情報システムが利用者の本人確認に用いる数字から成る暗証番号。

PKI

PKI（Public Key Infrastructure：公開鍵基盤）とは、公開鍵暗号を安全に使うために、公開鍵とその持ち主の対応を第三者が保証する仕組みの全体である。 中心となる認証局（CA）は、本人確認のうえで公開鍵に署名したデジタル証明書（公開鍵証明書）を発行し、不要になった証明書は失効させてCRL（証明書失効リスト）で公開する。WebサイトのHTTPS通信や電子署名などに使われる。

PLC

PLC（Power Line Communication）は，電力を供給する電力線に高周波の通信信号を重畳させ，電力線を通信の伝送路として利用する技術である。

PSK

PSK（Pre-Shared Key：事前共有鍵）とは、無線LANのアクセスポイントと端末にあらかじめ同じパスフレーズを設定しておき、それを使って接続を認証する方式である。WPA2などで使われ、このパスフレーズを基に端末ごとに通信の暗号化に使う鍵が作られる。

RAID5

RAID5とは、複数のハードディスクやSSDを組み合わせて1台のように扱うRAIDの方式の一つで、データと、誤りを訂正するための情報（パリティ）を分散して記録するものである。 3台以上で構成し、そのうち1台が故障しても残りのデータとパリティから元のデータを復元できる。全体の容量のうち、ディスク1台分がパリティに使われるため、データに使えるのは残りの容量となる。

RSS

RSSとは、Webサイトの更新情報（見出し、要約、リンクなど）を配信するために、XMLを基に決められたデータの形式である。ニュースサイトやブログが公開するRSSを専用のソフトウェアで取り込むと、複数のサイトの新着情報をまとめて確認できる。

S/MIME

S/MIME（Secure/Multipurpose Internet Mail Extensions）とは、電子メールの本文や添付ファイルを暗号化したり、デジタル署名を付けたりするための規格である。 公開鍵暗号とデジタル証明書を使い、送信者から受信者まで一貫してメールの内容を保護できる。途中のメールサーバで内容を見られるおそれがある場合や、送信者が本人であることと改ざんが無いことを証明したい場合に使う。

SSD

SSD（Solid State Drive）とは、フラッシュメモリなどの半導体メモリにデータを記録する補助記憶装置である。 円盤を回転させて読み書きするHDDと違って機械的に動く部品が無いため、読み書きが速く、消費電力が小さく、衝撃にも強い。書換え回数に上限があるため、特定の場所に書込みが集中しないように制御している。廃棄の際は、ファイルの削除だけでは復元できる可能性があるため、専用の消去機能などを使う。

SSL/TLS

SSL/TLSとは、インターネット上の通信を暗号化し、通信相手の正当性の確認や改ざんの検知を行うためのプロトコルである。SSLは古い規格で、現在はその後継のTLSが使われているが、慣習的にまとめてSSL/TLSと呼ばれる。 WebブラウザとWebサーバの間の通信全体を暗号化するHTTPSで使われ、サーバ証明書によって接続先が正規のサーバであることも確かめる。無線LANの区間だけを守るWPA2とは、守る範囲が異なる。

TCO

TCO（総所有コスト）は導入から運用・保守・廃棄までの総費用を表す。

TCP/IP

TCP/IP は，HTTP や SMTP などアプリケーション層のプロトコルの下位にあり，インターネットの基本的な通信機能を実現する共通の通信プロトコルである。

VoIP

VoIP（Voice over IP）は，音声をデジタルデータ化してIPネットワーク（インターネット）上で送受信し，音声通話を実現する技術である。

WAF

WAF（Web Application Firewall）とは、Webアプリケーションへの通信の内容を検査し、脆弱性を突く攻撃（SQLインジェクションやクロスサイトスクリプティングなど）を検知・遮断する仕組みである。 IPアドレスやポート番号で通信を制限する通常のファイアウォールでは防げない、HTTPの通信内容に含まれる攻撃に対応できる。

WPA2

WPA2（Wi-Fi Protected Access 2）とは、無線LANの通信を暗号化し、接続できる端末を認証するためのセキュリティ規格である。 脆弱性が見つかった古いWEPに代わって普及し、暗号方式にAESを使う。家庭や小規模な環境では事前に共有したパスフレーズ（PSK）で認証する。暗号化されるのは端末とアクセスポイントの間の無線区間だけで、Webサーバまでの通信全体を守るにはSSL/TLSを使う。後継としてWPA3がある。

Web

Web（ウェブ、World Wide Web）とは、インターネット上で、文書や画像などの情報をハイパーリンクで互いに結び付け、ブラウザで閲覧できるようにした仕組みである。 Webページは主にHTMLで書かれ、WebサーバとWebブラウザの間でHTTP（暗号化する場合はHTTPS）という手順でやり取りされる。ページの場所はURLで指定する。利用者を識別するためにcookieが使われることもある。

Webサービス

Webサービスとは、インターネットを通じて、ほかのプログラムからも呼び出して使えるように提供される機能やデータのことである。地図情報や天気予報、決済などの機能がAPIとして公開されており、複数のWebサービスを組み合わせて新しいサービスを作ることをマッシュアップという。

XML

XML（Extensible Markup Language）とは、タグを使って文書やデータの意味や構造を記述するマークアップ言語である。利用者が独自にタグを定義できるため、異なるシステムの間でデータをやり取りする形式として広く使われる。

cookie

cookie（クッキー）とは、Webサイトがアクセスしてきた利用者を識別するために、Webブラウザを通じて利用者の端末に保存させる小さなデータ、またはその仕組みのことである。 次に同じサイトへアクセスしたとき、ブラウザが保存しているcookieを自動的にサーバへ送るため、ログイン状態の維持や、買い物かごの中身、表示設定の記憶などに使われる。閲覧の履歴を追跡して広告に使われることもあり、プライバシーへの配慮が求められる。

アドホックネットワーク

アドホックネットワークはアクセスポイントを介さず端末同士が直接通信する無線ネットワーク。

インクジェットプリンタ

インクジェットプリンタは，液体インクの微細な粒子をノズルから用紙に直接吹き付けて印字する方式である。

インデックス

インデックス（索引）は，DBMSにおいてデータの検索を高速化する目的で，必要に応じて列などに設定して利用する情報である。

エッジコンピューティング

エッジコンピューティングは，端末（デバイス）に近い場所で可能な限りデータ処理を行うことで，サーバの負荷や通信遅延を軽減する考え方である。

オートラン

オートラン（自動実行）とは、USBメモリやCDなどの外部記憶媒体をコンピュータに接続したときに、媒体の中のプログラムを自動的に実行する機能である。媒体に仕込まれたマルウェアに感染する原因になるため、機能を無効にしておくことが対策として推奨される。

クラウドセキュリティ

クラウドセキュリティとは、クラウドサービスを提供・利用する際に、そこで扱うデータやシステムを守るためのセキュリティ対策のことである。事業者と利用者で責任を分担して対策を行う。ISMS認証の追加認証として、クラウドサービス固有の管理策を対象にするISMSクラウドセキュリティ認証がある。

クラウドセキュリティ認証

クラウドセキュリティ認証（ISMSクラウドセキュリティ認証）とは、ISMS認証を取得した組織が、クラウドサービスに固有の情報セキュリティの管理策を適切に導入し実施していることを、追加で認証する制度である。 クラウドサービスのための管理策の指針である ISO/IEC 27017 に基づいて審査が行われる。クラウドサービスを提供する事業者と、利用する組織の両方が対象となる。

クラスタリング

クラスタリングは複数のコンピュータを連携させて全体を1台のシステムのように動作させ，信頼性と処理能力（負荷分散）を高める技法である。

クリアデスク

クリアデスクとは、離席するときや退社するときに、机の上に機密情報を記した書類や記録媒体を放置せず、鍵のかかる場所に片付けておくことである。盗み見や持ち去りによる情報漏えいを防ぐ管理策で、画面をロックするクリアスクリーンとあわせて行う。

クレジットカード

クレジットカードとは、カード会社が会員の信用に基づいて発行し、代金を後払いで支払えるようにするカードである。カード番号などの会員データを扱う事業者には、業界の安全基準であるPCI DSSへの準拠が求められる。

クロック

クロックとは、CPUなどの回路が動作するタイミングをそろえるために、一定の間隔で発生させる周期的な信号のことである。 1秒間に発生するクロック信号の回数をクロック周波数といい、GHz（ギガヘルツ）などで表す。クロック周波数が高いほど、一定時間に実行できる命令の数が増え、処理が速くなる傾向がある。

コミット

コミットとは、データベースで、一連の処理（トランザクション）がすべて正常に終わったときに、その更新内容を確定させる操作である。 コミットした後の内容は、障害が起きても失われないように保証される。途中で処理が失敗した場合は、更新を取り消して処理前の状態に戻すロールバックを行う。

コンピュータ

コンピュータとは、プログラムに従ってデータの計算や処理を自動で行う電子機器である。入力・記憶・演算・制御・出力の5つの機能（五大装置）から成り、CPU（演算と制御）、主記憶装置、補助記憶装置、入出力装置で構成される。複数台を連携させて処理能力を高める方式もある。

サイバー攻撃

サイバー攻撃とは、ネットワークやコンピュータを通じて、情報の窃取・改ざん・破壊やシステムの停止などを狙って行われる攻撃の総称である。 特定の組織を狙う標的型攻撃、大量の通信で機能を止めるDoS攻撃、マルウェアの感染、なりすましメールによる詐欺などがある。攻撃の流れを偵察から目的の実行までの段階に分けてモデル化したものをサイバーキルチェーンといい、各段階で防御策を考えるのに使われる。

サブネットマスク

サブネットマスクとは、IPアドレスのうち、先頭から何ビットがネットワークを表す部分（ネットワーク部）で、残りが個々の機器を表す部分（ホスト部）かを示すための値である。 例えば 255.255.255.0 は先頭24ビットがネットワーク部であることを示し、「/24」とも書く。大きなネットワークを小さなサブネットワークに分けて管理するのに使う。

サムネイル

サムネイルとは，画像や文書ファイルの内容が一目で分かるように縮小して表示した小さな見本画像のことである。

サーバ

サーバとは、ネットワークを通じて、他のコンピュータ（クライアント）からの要求を受けて、データや機能などのサービスを提供するコンピュータまたはソフトウェアである。 Webページを返すWebサーバ、メールを中継・保管するメールサーバ、ファイルを共有するファイルサーバ、ドメイン名とIPアドレスを対応付けるDNSサーバなど、提供するサービスごとに呼び分ける。1台の物理的なコンピュータの上で、仮想化技術を使って複数のサーバを動かすこともある。

シグニファイア

シグニファイアとは、物の形や見た目などによって、利用者がどう操作すればよいかを自然に分からせる手がかりのことである。ボタンが押せるように見える立体的な表示や、引くことを示すドアの取っ手の形などが例で、使いやすいデザインのために重視される。

シャドーIT

シャドーITとは，企業が許可・管理していないIT機器やサービスを，従業員が業務で無断利用することをいう。

スマートメーター

スマートメーターは住宅などに設置され，電気やガスなどの使用量を自動計測し，携帯電話回線などを利用して供給事業者にそのデータを送信するIoT機器である。

セキュリティ

セキュリティとは、情報やシステム、施設などを、盗難・破壊・不正な利用といった脅威から守ることである。 IT分野では主に情報セキュリティを指し、情報の機密性（許可された人だけが見られる）、完全性（正確で改ざんされていない）、可用性（必要なときに使える）を保つことを目的とする。技術的な対策だけでなく、規程の整備や教育といった人的・組織的な対策、入退室管理などの物理的な対策を組み合わせて守る。

セキュリティパッチ

セキュリティパッチとは、ソフトウェアに見つかったセキュリティ上の弱点（脆弱性）を修正するために、開発元が提供するプログラムである。 脆弱性を放置するとマルウェアの感染や不正アクセスに悪用されるおそれがあるため、提供されたら速やかに適用することが基本の対策となる。OSの自動更新の機能を使って適用することも多い。

セキュリティ基準

セキュリティ基準とは、情報やシステムを守るために、満たすべき対策や要件を定めた基準のことである。クレジットカード業界のPCI DSSのように業界で定めたものや、組織の情報セキュリティポリシの中で守るべき事項を定めた対策基準などがある。

ソフトウェア

ソフトウェアとは、コンピュータに処理の手順を指示するプログラムと、それに関連するデータや文書の総称である。物理的な装置であるハードウェアと対比される。 コンピュータ全体を管理するOS（基本ソフトウェア）、OSとアプリケーションの間で共通機能を提供するミドルウェア、文書作成や会計など特定の目的に使うアプリケーションソフトウェアに分けられる。利用にはライセンス（使用許諾）の条件を守る必要がある。

ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、コンピュータの技術を使わずに、人の心理的な隙や行動のミスを突いて、パスワードなどの重要な情報を盗み出す手口の総称である。 上司やシステム管理者になりすまして電話で聞き出す、操作中の画面やキー入力を後ろから盗み見る（ショルダーハッキング）、捨てられた書類をあさる（トラッシング）などがある。社員教育や、書類の確実な廃棄、本人確認の手順の徹底などで防ぐ。

ダークウェブ

ダークウェブとは、通常の検索エンジンでは見つからず、Torなどの特殊なソフトウェアを使わないとアクセスできない、匿名性の高いWebサイト群のことである。盗まれた個人情報や認証情報が売買されるなど、犯罪に利用されることが多い。

テレマティクス

テレマティクスは，テレコミュニケーション（通信）とインフォマティクス（情報処理）を組み合わせた造語で，自動車などの移動体に通信機能を持たせ，運転者へリアルタイムに各種情報を提供するサービスを指す。

ディープラーニング

ディープラーニングは多層のニューラルネットワークを用い，大量のデータから特徴量を自動的に抽出して学習・識別する機械学習の技術である。

デジタルフォレンジックス

デジタルフォレンジックスとは，コンピュータ犯罪や法的紛争の際に，削除された電子メールの復元などにより法的証拠となる電子データを収集・保全・分析する技術や活動を指す。

デジタル署名

デジタル署名とは、電子データが確かに本人によって作られ、途中で改ざんされていないことを確かめるための技術である。 送信者はデータから求めたメッセージダイジェスト（ハッシュ値）を自分の秘密鍵で暗号化して署名とし、データに付けて送る。受信者は送信者の公開鍵で署名を復号し、受け取ったデータから求めたハッシュ値と一致するかを確かめる。一致すれば、送信者の本人性と内容の完全性が確認できる。データそのものは暗号化されないため、内容を秘密にする効果は無い。

デジタル証明書

デジタル証明書とは、公開鍵とその持ち主の対応を、認証局（CA）が保証するために発行する電子的な証明書である。 持ち主の名前、公開鍵、有効期限、発行した認証局の情報などが記載され、認証局の秘密鍵による署名が付いている。Webサーバの身元を証明するサーバ証明書などがあり、有効期限内でも失効した証明書はCRL（証明書失効リスト）で確認できる。

データベース

データベースとは、複数の利用者やアプリケーションが共有して使えるように、データを一定の形式で整理して蓄積したものである。 表の形でデータを管理する関係データベースが広く使われ、データの追加・検索・更新はデータベース管理システム（DBMS）が受け持つ。DBMSは、複数の処理が同時に行われても矛盾が生じないようにする排他制御や、障害時にデータを回復する機能を持つ。一連の処理をまとめて扱う単位をトランザクションという。

データベース設計

データベース設計とは、業務で必要なデータを洗い出し、それらの関係を整理して、データベースの表の構成や項目、主キーなどを決める作業である。E-R図で関係を整理し、データの重複や矛盾を無くすために表を分割する正規化を行う。

データ分析

データ分析とは、集めたデータを整理・加工し、統計的な手法などを使って傾向や関係性を読み取り、判断や意思決定に役立てることである。データベース設計の工程では、業務で必要なデータ項目を洗い出し、項目同士の関連を整理する作業を指すこともある。

トランザクション

トランザクションは，データベースに対する一連の処理が全て成功したら変更結果を確定（コミット）し，途中で失敗したら処理前の状態に戻す（ロールバック）という原子性をもつ処理単位である。

ドメイン名

ドメイン名はIPアドレスに対応付けられ、コンピュータやネットワークを人間に分かりやすく識別するための名前。

ネットワーク

ネットワークとは、複数のコンピュータや機器を通信回線でつなぎ、データをやり取りできるようにした仕組みである。 建物の中など限られた範囲を結ぶLAN、離れた拠点同士を結ぶWAN、世界中のネットワークを相互に接続したインターネットなどがある。通信の手順はプロトコルとして決められており、インターネットではTCP/IPが使われる。社内ネットワークとインターネットの境界には、ファイアウォールやプロキシサーバを置いて安全を確保する。

ハイブリッド暗号

ハイブリッド暗号とは、共通鍵暗号方式と公開鍵暗号方式を組み合わせた暗号化の方式である。 処理の速い共通鍵暗号でデータ本体を暗号化し、その共通鍵を受信者の公開鍵で暗号化して一緒に送る。受信者は自分の秘密鍵で共通鍵を取り出し、その共通鍵でデータを復号する。両方式の長所（速さと鍵配送のしやすさ）を活かせるため、SSL/TLSなどで使われている。

ハードウェア

ハードウェアとは、コンピュータを構成する物理的な装置や部品のことである。プログラムなどのソフトウェアと対比される。 演算と制御を行うCPU、データを一時的に記憶する主記憶装置（メモリ）、データを長く保存する補助記憶装置（SSDやHDD）、キーボードやディスプレイなどの入出力装置、画像処理を専門に行うGPUなどがある。

バックアップ

バックアップとは、データの消失や破損に備えて、データの複製を別の媒体や場所に保存しておくことである。 障害や誤操作、災害、ランサムウェアなどでデータが失われても、バックアップから復元できる。ランサムウェアは接続中の保存先のデータまで暗号化することがあるため、バックアップをネットワークから切り離して保管したり、世代を分けて複数保存したりすることが重要である。

バックドア

バックドアは，攻撃者が一度侵入した後に再侵入を容易にするために設置する不正な侵入経路（裏口）のことである。

バブルソート

バブルソートとは、隣り合う2つの要素を比べて、順序が逆なら入れ替える操作を繰り返し、データを並べ替えるアルゴリズムである。 昇順に並べる場合、1回の走査で最も大きい値が末尾へ移動する。泡が浮かび上がる様子に似ていることからこの名前が付いた。仕組みは単純だが、データが多いと比較の回数が増えて時間がかかる。

パスワードリスト攻撃

パスワードリスト攻撃は，他サイトから流出した利用者IDとパスワードのリストを別のサイトのログインに使い回し，不正侵入を試みる攻撃である。

ファイアウォール

ファイアウォールとは、社内ネットワークとインターネットの境界などに置き、あらかじめ決めたルールに従って通信を許可したり遮断したりすることで、外部からの不正なアクセスを防ぐ仕組みである。 送信元や宛先のIPアドレス、ポート番号などで通過させる通信を判断する。外部に公開するWebサーバなどを置くための、内部ネットワークとも外部とも分けた区域（DMZ）を作るのにも使われる。

フォント

フォントとは、画面表示や印刷に使う、一定のデザインでそろえた文字の形のひとそろいのことである。文字ごとに幅が異なるプロポーショナルフォントと、すべての文字の幅が同じ等幅フォントがあり、点の集まりで表すビットマップフォントや、輪郭を数式で表すアウトラインフォントといった形式の違いもある。

フールプルーフ

フールプルーフとは、利用者が誤った操作をしても、事故や被害が起きないように、あらかじめ設計で防ぐ考え方である。ファイルを削除する前に確認の画面を出す、蓋を閉めないと動かない洗濯機などが例で、故障時に安全側に倒すフェールセーフとは区別される。

ブラウザ

ブラウザ（Webブラウザ）とは、Webサーバから受け取ったHTMLなどのデータを解釈して、Webページを画面に表示するソフトウェアである。リンクをたどった閲覧、フォームの送信、JavaScriptの実行などを行い、cookieの保存やHTTPSによる暗号化通信にも対応する。

ブレードサーバ

ブレードサーバとは、CPUやメモリ、記憶装置などを1枚の薄い基板（ブレード）にまとめたサーバを、専用の箱（筐体）に複数枚差し込んで使う形式のサーバである。電源や冷却装置を共有でき、省スペースで多くのサーバを設置できる。

ブロックチェーン

ブロックチェーンとは、取引などのデータをブロックという単位にまとめ、前のブロックのハッシュ値を含めて鎖のようにつなげて記録し、ネットワーク上の多数のコンピュータで同じ記録を共有・検証する技術である。分散型台帳技術とも呼ばれる。 過去のブロックを書き換えると後続のブロックとの整合がとれなくなるため、改ざんが極めて困難である。特定の管理者に頼らずに記録の正しさを保てるため、暗号資産の基盤技術として使われているほか、契約や物流の記録への応用も進んでいる。

プロキシサーバ

プロキシサーバとは、社内の端末などに代わってインターネット上のWebサーバへ接続し、送受信するデータを中継するサーバである。プロキシは「代理」という意味。 一度取得したWebページを保存（キャッシュ）して応答を速くしたり、閲覧できるWebサイトを制限したり、通信の記録を残したりできる。内部の端末が外部から直接見えなくなる効果もある。

プロトコル

プロトコルとは、ネットワークでコンピュータ同士が通信するために決められた手順や約束事のことである。 インターネットではTCP/IPが基本となり、その上で用途ごとのプロトコルが使われる。Webページの送受信はHTTP（暗号化はHTTPS）、メールの送信はSMTP、受信はPOP3やIMAP、ファイル転送はFTP、時刻合わせはNTPといった具合である。

ポート番号

ポート番号とは、TCPやUDPの通信で、1台のコンピュータの中のどのアプリケーション（サービス）にデータを届けるかを区別するための番号である。 IPアドレスがコンピュータを特定するのに対し、ポート番号はその中のサービスを特定する。Webサーバ（HTTP）は80番、HTTPSは443番、メール送信（SMTP）は25番のように、よく使うサービスには標準の番号が決められている。

マクロ

マクロは，文書作成ソフトや表計算ソフトで一連の操作手順を記録・定義しておき，必要なときにまとめて実行できる機能である。

マッシュアップ

マッシュアップとは、インターネット上で公開されている複数のWebサービスやAPIを組み合わせて、新しいサービスやコンテンツを作る手法である。地図情報のサービスと店舗の情報を組み合わせて、地図上に店舗を表示するといった例がある。

マルウェア

マルウェアとは、利用者に害を与える目的で作られた不正なソフトウェアの総称である。英語の malicious software を縮めた言葉。 コンピュータウイルス、ワーム、トロイの木馬、スパイウェア、ファイルを暗号化して身代金を要求するランサムウェア、遠隔から端末を操作できるようにするRATなどが含まれる。対策ソフトの導入と更新、OSやソフトウェアの修正プログラムの適用、不審なメールの添付ファイルを開かないことなどが基本となる。

マルチホップ

マルチホップは、IoTデバイスからの無線通信を他のデバイスが次々に中継（ホップ）してリレーすることで、電波の届きにくい広範囲まで通信を届ける技術である。

メッセージダイジェスト

メッセージダイジェストとは、元のデータからハッシュ関数を使って計算した、決まった長さの短い値（ハッシュ値）のことである。 元のデータが少しでも変わると全く異なる値になり、値から元のデータを求めることはできない。送信前と受信後のメッセージダイジェストを比べることで、データが改ざんされていないかを確かめられ、デジタル署名の仕組みにも使われる。データ自体を暗号化するものではない。

メール

メール（電子メール）とは、ネットワークを通じて、文章やファイルを特定の相手に送受信する仕組みである。 送信や中継にはSMTP、受信にはPOP3やIMAPというプロトコルが使われる。文字以外の画像などを扱うためにMIMEという拡張規格がある。宛先にはTo・Cc・Bccがあり、Bccに入れた宛先は他の受信者に表示されない。本文の暗号化や送信者の確認にはS/MIMEなどが使われる。

ライセンス

ライセンスとは、ソフトウェアなどの著作物の利用を、権利者が一定の条件のもとで認めること（使用許諾）や、その条件を定めたものである。 ソフトウェアは購入しても著作権が移るわけではなく、ライセンスで決められた台数や用途の範囲で使う。OSS（オープンソースソフトウェア）も、ソースコードの公開や再配布に関するライセンス条件に従って利用する必要がある。

ランサムウェア

ランサムウェアとは、感染したコンピュータのファイルを暗号化したり画面をロックしたりして使えなくし、元に戻すことと引換えに金銭（身代金）を要求するマルウェアである。 近年は、データを盗んだうえで「公開する」と脅す二重の脅迫も見られる。身代金を払っても復旧できる保証は無いため、定期的にバックアップを取り、ネットワークから切り離して保管しておくことが重要な対策となる。

リスクアセスメント

リスクアセスメントとは、リスクを見つけ出し、その大きさを見積もって、対応が必要かどうかを判断するまでの一連のプロセスのことである。 リスクを洗い出す「リスク特定」、発生の可能性と影響の大きさからリスクの程度を求める「リスク分析」、その結果を基準と比べて対応の要否や優先順位を決める「リスク評価」の3つから成る。その結果に基づいてリスク対応を行う。

リスク共有

リスク共有（リスク移転）は，保険加入や外部委託などによってリスクによる損失を他者と分担する対応である。

リスク分析

リスク分析は，特定したリスクについて発生可能性や影響度を見積もり，受容基準と比較できるよう各リスクのレベルを決定するプロセスである。

リスク対応

リスク対応とは、評価したリスクに対して、どのように扱うかを決めて実行することである。 主な選択肢は、対策を講じて発生の可能性や影響を小さくする「リスク低減」、リスクの原因となる活動自体をやめる「リスク回避」、保険への加入や外部委託によって損失を他者と分け合う「リスク移転（共有）」、影響が小さいなどの理由で対策をとらずに受け入れる「リスク保有（受容）」の4つである。

レコード

レコードとは、データベースやファイルで、ひとまとまりとして扱うデータの単位のことである。関係データベースでは表の1行に当たり、社員番号・氏名・所属といった複数の項目（フィールド）で構成される。

レジスタ

レジスタとは、CPUの内部にある、非常に高速で容量の小さい記憶回路である。演算の対象となるデータや演算結果、次に実行する命令の場所などを一時的に保持するのに使われる。主記憶装置やキャッシュメモリよりも高速に読み書きできる。

レプリケーション

レプリケーションは，あるデータベースの内容を他のコンピュータのデータベースへ複製し，両者の内容が一致するように同期させるDBMSの機能である。

ログ

ログとは、コンピュータやネットワーク機器が、いつ、誰が、何をしたかといった動作や出来事を時系列に記録したものである。 データベースでは、更新前後の内容を記録したログを障害時の復旧に使う。セキュリティの分野では、アクセスログや操作ログを残しておくことで、不正アクセスの発見や原因の調査に役立てる。改ざんされないように保管し、時刻を正しくそろえておくことが重要である。

並列システム

並列システムとは、同じ働きをする装置を並列に接続し、すべての装置が同時に故障しない限り、全体として動き続けられるようにしたシステムである。 稼働率は「1−（各装置が停止している確率の積）」で求められ、各装置の稼働率よりも高くなる。例えば停止確率0.1の装置をn台並列にすると、システム全体が止まる確率は0.1のn乗になる。

主キー

主キーとは、関係データベースの表で、各行（レコード）を一つに特定するための列、または列の組合せのことである。 社員番号や商品コードのように、同じ値が二つ以上あってはならず（一意性）、値が空（NULL）であってもならない。ほかの表の主キーを参照する列を外部キーといい、表同士の関連付けに使う。

二段階認証

二段階認証は，認証を2つの段階に分けて順に行う方式である。

仮想記憶

仮想記憶とは、主記憶装置の容量が足りなくても、補助記憶装置の一部を利用して、主記憶よりも大きな記憶領域があるかのように見せる仕組みである。プログラムは実際の主記憶の容量に制約されずに実行でき、必要な部分だけが主記憶に読み込まれる。

低消費電力

低消費電力とは、機器が動作するのに必要な電力が少ないことである。電池で長期間動かす必要があるIoT機器では特に重視され、通信方式としてBLEやLPWAなど、消費電力を抑えた規格が使われる。

侵入検知

侵入検知とは、ネットワークやコンピュータを監視し、不正アクセスや攻撃の兆候となる不審な通信や動作を見つけて管理者に知らせることである。その仕組みをIDS（侵入検知システム）という。検知に加えて通信を遮断するものはIPS（侵入防止システム）と呼ぶ。

信頼性

信頼性とは、システムや装置が故障せずに、決められた機能を安定して果たし続けられる度合いのことである。 平均故障間隔（MTBF）が長いほど信頼性が高い。装置を二重化して片方が故障しても動き続ける並列構成や、複数のコンピュータを連携させるクラスタリングによって高めることができる。システム評価の観点RASISのRに当たる。

偏差値

偏差値とは、ある値が集団の中でどの位置にあるかを、平均が50、標準偏差が10になるように換算して表した数値である。「50＋10×（得点−平均点）÷標準偏差」で求める。平均点や点数のばらつきが異なる試験同士でも、成績の位置を比べることができる。

入退室管理

入退室管理とは、建物やサーバ室などの重要な区画について、出入りできる人を制限し、誰がいつ出入りしたかを記録・管理することである。物理的なセキュリティ対策の代表例。 ICカードや生体認証で本人を確かめてから扉を開け、出入りの記録を残す。認証した人に続いて別の人が入る共連れを防ぐため、一人ずつしか通れないゲートなども使われる。

公開鍵

公開鍵とは、公開鍵暗号方式で使う一対の鍵のうち、誰にでも公開してよい方の鍵である。対になるもう一方の鍵（秘密鍵）は本人だけが持つ。 受信者の公開鍵で暗号化したデータは受信者の秘密鍵でしか復号できず、送信者の秘密鍵で作ったデジタル署名は送信者の公開鍵で検証できる。公開鍵が本当にその人のものかは、認証局（CA）が発行するデジタル証明書で確かめる。

公開鍵暗号方式

公開鍵暗号方式とは、暗号化と復号に、対になる異なる2つの鍵（公開鍵と秘密鍵）を使う暗号方式である。 公開鍵は誰にでも公開し、秘密鍵は本人だけが持つ。通信内容を秘密にするには、送信者が受信者の公開鍵で暗号化し、受信者が自分の秘密鍵で復号する。鍵を事前に共有しなくてよい一方、共通鍵暗号方式より処理が遅いため、両者を組み合わせたハイブリッド暗号が使われることが多い。

共通鍵

共通鍵とは、暗号化と復号に同じ鍵を使う共通鍵暗号方式で、送信者と受信者が共有する鍵のことである。 公開鍵暗号方式より処理が速く、大量のデータの暗号化に向く。ただし、相手と同じ鍵を安全に共有しておく必要があり、相手ごとに異なる鍵を用意すると、n人の間では n(n−1)/2 個の鍵が必要になる。鍵の受け渡しには公開鍵暗号方式を組み合わせる方法（ハイブリッド暗号）が使われる。

共連れ

共連れとは、入退室管理で、正規の利用者が認証して扉を開けた際に、認証していない別の人が一緒に通り抜けてしまうことである。 部外者の侵入につながるほか、入退室の記録が実態と食い違う原因になる。回転式のゲートなど一人ずつしか通れない設備や、入室の記録が無いと退室できない仕組みで防ぐ。

内部監査

内部監査とは、組織が自ら、業務や管理の仕組みが規程や基準どおりに運用され、有効に機能しているかを確かめる監査である。外部の第三者が行う外部監査と対比される。 ISMSでは、あらかじめ定めた間隔で内部監査を行い、自組織の要求事項や JIS Q 27001 に適合しているか、有効に実施・維持されているかを確認することが求められる。監査員は、自分が担当する業務を監査しないなど、客観性と公平性を保つ必要がある。

制度

制度とは、社会や組織の中で定められた仕組みやきまりのことである。情報セキュリティの分野では、中小企業が自ら対策に取り組むことを宣言する SECURITY ACTION や、ISMS適合性評価制度、プライバシーマーク制度などが例として挙げられる。

半導体メモリ

半導体メモリとは、半導体の集積回路を使ってデータを記憶する装置のことである。 電源を切ると内容が消える揮発性のメモリ（主記憶に使うDRAM、キャッシュメモリに使うSRAMなど）と、電源を切っても内容が残る不揮発性のメモリ（SSDやUSBメモリ、SDカードに使うフラッシュメモリなど）がある。CDやDVDのような光ディスクは半導体メモリではない。

名前解決

名前解決とは、ネットワーク上の機器を指す名前（ホスト名やドメイン名）から、それに対応するIPアドレスを求めること、またはその逆を行うことである。インターネットでは主にDNSが名前解決を担い、利用者は覚えやすい名前でWebサイトなどにアクセスできる。

周波数

周波数とは、電波や音などの波が1秒間に繰り返す振動の回数のことで、単位はヘルツ（Hz）である。電波は周波数が高いほど多くの情報を運べる一方、波長が短くなり障害物の裏側へ回り込みにくくなる。周波数が低いほど遠くまで届きやすい。

基本方針

基本方針とは、情報セキュリティポリシの最上位に位置付けられる文書で、経営層が、組織として情報セキュリティにどのように取り組むかという方針や意思を示したものである。これを受けて、具体的な対策基準や実施手順が定められる。

基盤モデル

基盤モデル（ファウンデーションモデル）とは，広範囲かつ大量のデータで事前訓練され，ファインチューニングによって文章生成など様々な用途に適応できるAIモデルのことである。

完全性

完全性はデータの正確性・矛盾のなさを指す。

射影

射影とは、関係データベースの操作の一つで、表から特定の列（項目）だけを取り出して新しい表を作る操作である。 条件に合う行を取り出す「選択」、複数の表を共通の列で結び付ける「結合」とともに、関係データベースの基本的な操作である。SQLでは、SELECT文で取り出す列を指定することで射影を行う。

帰納推論

帰納推論とは、多くの個別の事例や観察結果から、それらに共通する一般的な規則や法則を導き出す推論の方法である。一般的な法則から個別の結論を導く演繹推論と対比される。機械学習が多くのデータから規則性を学ぶのも、帰納的な考え方に基づく。

情報セキュリティ

情報セキュリティとは、情報の機密性・完全性・可用性を維持することである。この3つを情報セキュリティの3要素（CIA）と呼ぶ。 機密性は許可された人だけが情報を使えること、完全性は情報が正確で改ざんされていないこと、可用性は必要なときに情報を使えることを指す。これに真正性、責任追跡性、否認防止、信頼性を加えて考えることもある。組織的に継続して取り組む仕組みを、情報セキュリティマネジメントシステム（ISMS）という。

情報セキュリティポリシ

情報セキュリティポリシとは、組織が情報セキュリティを確保するための方針やルールをまとめた文書の総称である。 一般に、経営層が組織の考え方や取組の姿勢を示す最上位の「基本方針」、基本方針を受けて守るべき規則を定める「対策基準」、具体的な手順を示す「実施手順」の3階層で構成される。基本方針と対策基準を合わせて情報セキュリティポリシと呼ぶことも多い。

情報セキュリティ方針

情報セキュリティ方針とは、組織が情報セキュリティにどのように取り組むかについて、トップマネジメント（経営層）が示す基本的な方針である。 ISMSでは、組織の目的に適していること、情報セキュリティ目的やその設定の枠組みを示すこと、要求事項を満たすことと継続的に改善することへの約束（コミットメント）を含めることが求められる。文書化し、組織内に伝達して、必要に応じて利害関係者が入手できるようにする。

探索

探索とは、多数のデータの中から、目的のデータを探し出す処理のことである。 先頭から順に一つずつ調べる線形探索は、データが並んでいなくても使える。データが整列されていれば、中央の値と比べて探す範囲を半分ずつに絞る2分探索が使え、データが多いほど少ない比較回数で見つけられる。

推論

推論とは、すでに分かっている事実や前提から、新しい結論を導き出すことである。 多くの具体的な事例から共通する一般的な規則を導くのが帰納推論、一般的な法則や前提から個別の結論を導くのが演繹推論である。AIでは、学習済みのモデルを使って新しいデータに対する予測や判断を行うことも推論と呼ぶ。

揮発性

揮発性とは、電源の供給が無くなると、記憶している内容が消えてしまう性質のことである。主記憶装置に使われるDRAMなどが揮発性のメモリで、電源を切っても内容が残るフラッシュメモリなどは不揮発性という。

整列

整列とは、データを大きさや文字の順など一定の基準に従って並べ替えることで、ソートとも呼ばれる。バブルソートなどのアルゴリズムがある。デザインの原則では、画面や資料の要素を揃えて配置し、まとまりと読みやすさを生む「整列」の意味でも使われる。

文字認識

文字認識とは、紙に印刷・手書きされた文字や画像の中の文字を読み取り、コンピュータで扱える文字データに変換する技術である。スキャナなどで読み取った画像から文字を認識するOCR（光学的文字認識）が代表で、AIの活用で手書き文字の認識精度も高まっている。

暗号

暗号とは、第三者に内容が分からないように、決まった規則と鍵を使って情報を別の形に変換したもの、またはその技術のことである。暗号化と復号に同じ鍵を使う共通鍵暗号方式と、公開鍵と秘密鍵の対を使う公開鍵暗号方式があり、両方を組み合わせたハイブリッド暗号も使われる。

暗号化

暗号化とは、鍵を使ってデータを第三者には読めない形に変換することである。元に戻すことを復号という。 暗号化する範囲によって使う技術が異なり、無線LANの端末とアクセスポイントの間はWPA2・WPA3、ブラウザとWebサーバの間はSSL/TLS（HTTPS）、メールを送信者から受信者まで一貫して保護するにはS/MIMEなどが使われる。パソコンやUSBメモリの紛失に備えて、保存しているデータ自体を暗号化することも有効である。

暗号資産

暗号資産とは、インターネット上でやり取りできる財産的価値で、ブロックチェーンなどの技術を基盤に、特定の国家による価値の裏付けを持たないもののことである。かつては仮想通貨と呼ばれ、ビットコインが代表例。 日本では資金決済法で定義され、暗号資産と法定通貨などとの交換を業として行うには、暗号資産交換業者として登録が必要である。2026年7月に成立した金融商品取引法等の改正で、暗号資産の規制は金融商品取引法へ移る（原則、公布から1年以内に政令で定める日に施行）。

標的型攻撃

標的型攻撃とは、特定の組織や個人を狙って、その組織の情報を盗むことなどを目的に行われるサイバー攻撃である。 取引先や公的機関を装い、業務に関係がありそうな内容のメールに不正な添付ファイルやリンクを付けて送り、開かせてマルウェアに感染させる手口が代表的である。感染した端末を遠隔操作して組織の内部に入り込み、長期間にわたって情報を盗み出すこともある。

機械学習

機械学習とは、コンピュータに大量のデータを与え、その中の規則性やパターンを自動的に学習させて、予測や分類に使えるようにする技術である。AIを実現する代表的な方法の一つ。 正解（ラベル）付きのデータで学ぶ教師あり学習、正解の無いデータからまとまりや構造を見つける教師なし学習、試行錯誤を通じて報酬が最大になる行動を学ぶ強化学習がある。多層のニューラルネットワークを用いる機械学習をディープラーニングという。

活性化関数

活性化関数は，一つのニューロンにおいて入力された値を基に計算し，次のニューロンに渡す値を出力する関数である。

測位

測位とは、人や物がいる位置（緯度・経度など）を測ることである。人工衛星からの電波を使うGPSなどの衛星測位システムが代表的で、スマートフォンの地図アプリやカーナビゲーションなどに使われている。

準天頂衛星

準天頂衛星とは、特定の地域のほぼ真上（天頂付近）に長い時間とどまるように軌道を工夫した人工衛星のことで、日本の準天頂衛星システムは「みちびき」と呼ばれる。米国のGPSと組み合わせて使うことで、ビルの谷間や山間部でも測位の精度を高められる。

無線LAN

無線LANとは、ケーブルを使わず、電波で端末とアクセスポイントの間を接続するLANである。Wi-Fiはその相互接続を認証したブランド名として広く使われている。 電波は周囲に広がるため、通信の暗号化が欠かせない。古いWEPには脆弱性があり、現在はWPA2やWPA3が使われる。ネットワークを識別する名前をESSID（SSID）といい、来客用に別のSSIDを用意して社内ネットワークと分けるといった運用も行われる。

無線通信

無線通信とは、ケーブルを使わず、電波や赤外線などを使って情報をやり取りする通信である。無線LAN、Bluetooth、携帯電話の通信網、IoT向けのLPWAなど、通信距離や速度、消費電力が異なる様々な方式がある。

画像

画像とは、写真やイラストなど、目で見る視覚的な情報をデジタルデータとして表したものである。点（画素）の集まりで表すラスタ形式と、図形を数式で表すベクタ形式があり、JPEG・PNG・GIFなどのファイル形式がある。画素数や色数が多いほどデータ量は大きくなる。

稼働率

稼働率とは、システムが正常に動いている時間の割合のことである。MTBF（平均故障間隔）とMTTR（平均修復時間）を使って、MTBF÷（MTBF＋MTTR）で求められる。 装置を直列につないだシステムでは、全体の稼働率は各装置の稼働率の積になり、どれか一つが止まると全体が止まる。並列につないだシステムでは、全部が同時に止まらない限り動くため、1−（各装置が止まっている確率の積）で求め、直列より高くなる。

管理策

管理策とは、情報セキュリティのリスクを低減するために講じる対策のことである。ISMSでは JIS Q 27001 の附属書に管理策の一覧があり、組織はリスクアセスメントの結果に基づいて必要なものを選ぶ。机上に書類を放置しないクリアデスクなども一例である。

組織

組織とは、共通の目的を達成するために、複数の人が役割を分担し、指揮命令の関係などで結び付いた集団のことである。企業の部門の分け方（職能別組織、事業部制組織、マトリックス組織など）は、試験でも組織形態として扱われる。

結合

結合（join）は，二つの表からフィールドの値によって関連付けし，一つの表を作る操作である。

耐タンパ性

耐タンパ性とは、機器やソフトウェアの内部にある情報が、外部から不正に読み出されたり改ざんされたりしにくい性質のことである。タンパは「勝手にいじる」という意味。 ICカードで、分解されると内部のデータが消える構造にする、プログラムを難読化して解析に時間がかかるようにする、といった方法で高める。

脅威

脅威とは、情報資産に損害を与える原因となるもののことである。 不正アクセスやマルウェアといった意図的な脅威、操作ミスや紛失といった偶発的な脅威、地震や火災などの環境的な脅威がある。脅威が情報システムの弱点（脆弱性）に付け込むことで、実際の被害が生じる。脅威と脆弱性の組合せから、リスクの大きさを評価する。

脆弱性

脆弱性とは、ソフトウェアの欠陥や設定の誤り、管理の不備など、脅威に付け込まれて被害が生じる原因となる弱点のことである。 例えば、入力データの長さを確認しないプログラムの欠陥はバッファオーバーフロー攻撃に悪用される。開発元が配布する修正プログラム（セキュリティパッチ）を速やかに適用することが基本の対策となる。修正が公開される前の脆弱性を突く攻撃を、ゼロデイ攻撃という。

計算量

計算量とは、アルゴリズムが処理を終えるまでに必要な手間（主に比較や計算の回数）を、データの量に応じて見積もったものである。例えばn件のデータの線形探索では最大n回、2分探索ではおよそ log₂n 回の比較が必要で、データが多いほど2分探索のほうが効率がよい。

記憶装置

記憶装置とは、プログラムやデータを記録しておくコンピュータの装置である。 CPUが直接読み書きする主記憶装置（メモリ）と、電源を切ってもデータが消えない補助記憶装置がある。補助記憶装置には、回転する円盤に記録するHDDと、フラッシュメモリを使うSSDなどがあり、SSDは機械的に動く部品が無いため高速で衝撃に強く、消費電力も小さい。

認証

認証とは、利用者や機器が、名乗ったとおりの本人や正規の相手であるかを確かめることである。 確かめる手がかりには、パスワードなど本人が知っているもの（知識）、スマートフォンやICカードなど本人が持っているもの（所有物）、指紋や顔など本人の身体的特徴（生体）がある。異なる要素を2つ以上組み合わせる方式を多要素認証といい、例えばパスワードとスマートフォンに届くSMSのコードを組み合わせる。

認証局

認証局（CA：Certification Authority）とは、公開鍵とその持ち主の対応を保証するデジタル証明書（公開鍵証明書）を発行する、信頼できる第三者機関である。 申請者の本人確認を行ったうえで、公開鍵などの情報に認証局の秘密鍵で署名した証明書を発行する。有効期限内でも秘密鍵の漏えいなどで無効になった証明書は失効させ、CRL（証明書失効リスト）で公開する。PKIの中心的な役割を担う。

誤り率

誤り率とは、全体のうちで誤りが発生する割合のことである。データ通信では送ったデータのうち誤って届いたビットの割合、AIの判定では誤った判定の割合などを指し、品質や性能を評価する指標として使われる。

通信サービス

通信サービスとは、電話やインターネット接続、データ通信など、情報を離れた場所へ伝える手段を利用者に提供するサービスのことである。自社で無線設備を持つ移動体通信事業者（MNO）のほか、他社の設備を借りて自社ブランドで提供する仮想移動体通信事業者（MVNO）もある。

配列

配列とは、同じ種類のデータを連続して並べ、番号（添字、インデックス）で個々の要素を指定して扱えるようにしたデータ構造である。 例えば配列aの3番目の要素をa[3]のように表す（添字が0から始まるか1から始まるかは言語や問題の約束による）。繰返し処理と組み合わせて、全要素を順に調べたり並べ替えたりするのに使う。

関係データベース

関係データベース（リレーショナルデータベース）とは、データを行と列から成る表（テーブル）の形で管理し、表同士を共通の項目で関連付けて扱うデータベースである。 表の1行をレコード、1列をフィールド（項目）といい、各行を一意に識別する列を主キーという。表から条件に合う行を取り出す「選択」、必要な列だけを取り出す「射影」、複数の表を共通の列で結び付ける「結合」といった操作を、SQLという言語で行う。

電波

電波とは、空間を伝わる電磁波のうち、無線通信などに使われる比較的周波数の低いものである。日本では電波法で300万メガヘルツ以下の電磁波と定められている。周波数が低いほど波長が長く、障害物の裏側に回り込みやすい。

静電容量方式

静電容量方式とは、タッチパネルの方式の一つで、指が画面に触れたり近づいたりしたときに生じる静電容量（電気をためる量）の変化を検出して、触れた位置を求めるものである。複数の点を同時に検出でき、スマートフォンなどで広く使われている。

音声認識

音声認識とは、人の音声を聞き取ってテキストデータに変換する処理を指す。

音声通話

音声通話とは、離れた相手と声でやり取りする通信のことである。従来の電話網に加え、音声をデジタルデータにしてインターネットなどのIPネットワークで送るVoIPの技術を使った、インターネット電話やアプリによる通話も広く使われている。