SC情報処理安全確保支援士試験午後Ⅱ

令和元年度秋期情報処理安全確保支援士午後Ⅱ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

本問では，Webアプリを開発し運用する現場における，セキュリティインシデント対応及びセキュリティ対策についての能力を問う。また，従来型のウォーターフォール型の開発ではなく，いわゆるDevOpsを実践する企業における対応力を問う問題である。高度化する開発及び運用においては，営業的に求められる機能の開発だけに注力するのではなく，DevOpsに伴うリスクを認知し，それらへ対処することが必要となるので，その能力を問う。

解き方のヒントを見る

問01：穴をふさがないと、また別のマルウェアに入られるよ

マルウェアに感染した端末をネットワークから切り離すだけでは、家に入ってきた泥棒を追い出しただけで、壊れた窓をそのままにしているようなものだよ。同じ脆弱性が残っていれば、別のマルウェアにまた侵入される可能性があるんだ。だから、DBMS や OSS のバージョン情報をこまめに確認して最新化し、外部に公開しているポートや通信経路も整理しよう。さらに、対策が一回きりで終わらないように、レビューや第三者確認も含めて継続的に回る仕組みにすることが大切だよ。

この問題で問われていること

DevOps のスピード感を落としすぎずに、脆弱性の管理や対策の確認を開発・運用の流れに自然に組み込めるかがポイントだよ。

Secure DevOps Response Loop

in DevOps、 incident response must combine re-infection prevention、 version visibility、 network exposure review、 and continuous verification through reviews or third-party checks

prevent re-infection\nkeep runtime versions current\nreview exposed ports and paths\nverify fixes through review and third-party checks

確認ポイント

単発駆除で終わらせない。
構成情報を常に最新に保つ。
対策確認を継続プロセスに入れる。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000dict-att/2019r01a_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000dict-att/2019r01a_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000dict-att/2019r01a_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和元年度秋期情報処理安全確保支援士試験午後Ⅱ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

令和元年度秋期 情報処理安全確保支援士 午後Ⅱ 問1

問題