SC情報処理安全確保支援士試験午後Ⅱ

平成24年度秋期情報処理安全確保支援士午後Ⅱ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

Webサイトのセキュリティ対策については，ここ数年対応がとられてきているが，必ずしも万全とは言えない状況である。本問では，Webサイトの診断結果からセキュリティ対策の状況を確認し，見つかった脆ぜい弱性の修正方法，診断ツールの適切な利用方法，開発プロセスの改善方法を問う。

解き方のヒントを見る

問01：診断結果を直すだけで終わらせない、Webアプリの安全運用の考え方

セッションIDをURLに出したままにするのは、合鍵を玄関前に置いておくようなものだよ。だからクッキーで扱うように直すのは大事。ただし、自動診断ツールは万能ではなく、画面遷移や入力条件によって見逃しが出ることもあるんだ。さらに、OSやミドルウェアの脆弱性情報を集め続けたり、安全なコーディング規約を整えたりして、日々の開発・運用の仕組みに落とし込むことが重要だよ。

この問題で問われていること

一度診断して指摘を直すだけで満足せず、開発や運用のやり方そのものを安全寄りに改善し続けられるかが問われているよ。

Web Security Improvement Cycle

web-security improvement requires fixing session-ID handling、 understanding scanner limitations、 and institutionalizing vulnerability information gathering and coding standards

move session ID out of URL\nknow limits of automated scanners\ncollect vulnerability info continuously\nformalize coding rules

確認ポイント

診断結果を場当たり修正で終わらせない。
自動診断の限界を理解する。
運用ルールと規約整備まで進める。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002h5m-att/2012h24a_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002h5m-att/2012h24a_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002h5m-att/2012h24a_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成24年度秋期情報処理安全確保支援士試験午後Ⅱ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成24年度秋期 情報処理安全確保支援士 午後Ⅱ 問1

問題