平成24年度秋期 情報処理安全確保支援士 午前Ⅰ 問15

午前I 問15：誰が何を使うかを整理する図だよ

システムの中身の作りを細かく見るのではなく、「利用者がどの機能を使うのか」を地図みたいに整理するのがポイントだよ。

この問題で問われていること

クラス図は部品の設計図、シーケンス図はやり取りの流れを見る図。今回問われている図は、「誰がどの機能を使うか」に注目するものだと見分けよう。

Use Case Diagram

a use case diagram organizes requirements by showing actors and system functions from an external viewpoint

actors\nfunctions\nexternal view

確認ポイント

• 内部クラス構造図ではありません。
• 利用者視点で表す。
• アクタと機能の関係を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

本文が「攻撃対策」だけだと、選択肢の中身が欠けていて正誤を厳密には判断できないよ。これは、試験で『料理 方法』という見出しだけ見せられて、正しいレシピかどうか聞かれている状態なんだ。公式選択肢の本文を復元してから解説する必要があるよ。

選択肢イ

この本文どおり「SQL文の組立てに静的プレースホルダを使う」なら、SQLインジェクション対策として正しいよ。たとえると、窓口で渡されたメモをそのまま命令として読まず、「これはただの記入内容」と決めた専用欄に入れる感じ。悪い人が命令っぽい文字を混ぜても、SQLの命令として動きにくくなるんだ。なので、この内容を不正解扱いするのは不自然だよ。

選択肢ウ

「SQLインジェクションを使用する」という内容なら不正解だよ。これは対策ではなく攻撃そのものだね。泥棒対策を聞かれているのに「泥棒に入る」と答えているようなものだから、守る方法にはならないよ。もし本来の選択肢が別文なら、本文の取り違えを確認しよう。

選択肢エ

「任意の外部サイトのスタイルシートを取り込めるようにする」という内容なら不正解だよ。知らない人が持ってきた服を何でも会社の制服として使うようなもので、見た目の改ざんや情報をだまし取る入口になり得るんだ。クロスサイトスクリプティング対策としては、外部から自由に持ち込ませるのではなく、信頼できるものだけに制限する考え方が大事だよ。