SC情報処理安全確保支援士試験午後Ⅱ

令和2年度10月情報処理安全確保支援士午後Ⅱ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

情報システムの構築時にはリスク分析を行うが，運用開始後の改修時やほかのシステムとの機能統合時にはリスク分析が行われていない場合が見受けられる。リスク分析は，システムのセキュリティを確保するための重要な工程の一つであり，ここで不備があると後続の工程に悪影響を及ぼす。本問では，企業の合併に伴う複数のWebサイトの統合を題材に，リスク分析を行う能力，及びWebアプリケーションプログラムにおけるセキュアプログラミングの能力を問う。

解き方のヒントを見る

問01：サイト統合では「つなぐ」だけじゃなく、個人情報とログイン周りの安全確認が大事だよ

会社が合併してサイトをまとめるときは、LDAP-P/Q/R を連携させたり、共通 LDAP を使ったりするだけでは足りないよ。たとえるなら、別々の会員名簿を一つの受付で使えるようにするようなものだけど、もともと約束していた利用目的を超えて個人情報を使ってはいけない、というルールは必ず守ろう。さらに、childChecked の扱い、本人以外のメールアドレスにパスワードを送れてしまう危ない作り、登録済みメールアドレスだけにリセットURLを送る設計、SP と IdP の役割分担まで、ログインの入口から裏側の仕組みまでまとめて見直す必要があるよ。

この問題で問われていること

機能を統合するときにリスク分析が甘いと、個人情報の扱いだけでなく、パスワード再発行や認証の流れにも危険が広がるよ、という点を押さえよう。

Risk Analysis for Website Integration

web-site integration after a merger requires fresh risk analysis across personal-data purpose limits、 LDAP federation、 password-reset flow、 and SP or IdP responsibility boundaries

review purpose limitation for personal data\nre-evaluate LDAP integration\nfix reset-mail misdelivery risk\nseparate SP and IdP roles clearly

確認ポイント

統合前提で再リスク分析する。
個人情報利用目的制限を落とさない。
パスワードリセット導線を重点確認する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000d05l-att/2020r02o_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和2年度10月情報処理安全確保支援士試験午後Ⅱ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

令和2年度10月 情報処理安全確保支援士 午後Ⅱ 問1

問題