SC情報処理安全確保支援士試験午後Ⅱ

平成25年度春期情報処理安全確保支援士午後Ⅱ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

ソフトウェアの開発に当たっては，要件定義からテストまでの全てのプロセスにおいて，ソフトウェアのセキュリティレベルを確保する方策が必要である。本問では，まず要件定義フェーズでの方策として，リスク分析及びセキュリティ要件定義の手法に関する知識と能力を問う。続いて，テストフェーズでの方策として，Javaマルチスレッドプログラミングにおけるレースコンディションを例にとり，発見された脆ぜい弱性の分析及び修正の方法についての知識と能力を問う。

解き方のヒントを見る

問01：開発の最初から最後までセキュリティを組み込もう

セキュリティ対策は、あとから鍵を付け足すようなものではなく、家を建てる前の設計図の段階から考えるものだよ。要件定義では、機密性などの観点から「どこが狙われそうか」「何が漏れると困るか」をリスク分析しよう。認証では、パスワードを総当たりで試されないように、失敗後に待ち時間を入れるなどの対策が大事だよ。実装や試験では、同時に処理が走ったときに起きるレースコンディションを再現して、競合更新を検知できる設計にする必要があるよ。

この問題で問われていること

開発ライフサイクル全体に、セキュリティ対策を自然に織り込めるかが問われているよ。

Secure Development Across Phases

secure software development spans risk analysis in requirements、 throttling during authentication、 and race-condition detection and prevention in implementation and testing

risk analysis in requirements\ninsert wait on authentication\ntest race conditions in parallel\ncheck record unchanged before update

確認ポイント

要件定義から対策を入れる。
認証時の待ち時間で総当たりを抑える。
更新前に他スレッド変更有無を確認する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002e6g-att/2013h25h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002e6g-att/2013h25h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000002e6g-att/2013h25h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成25年度春期情報処理安全確保支援士試験午後Ⅱ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成25年度春期 情報処理安全確保支援士 午後Ⅱ 問1

問題