SC情報処理安全確保支援士試験午後Ⅱ

令和3年度秋期情報処理安全確保支援士午後Ⅱ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

最近のクロスサイトスクリプティング（XSS）対策は，XSSフィルタからContent-Security-Policy（CSP）に移行しているが，Webサイトを作成する技術者にはその状況があまり知られていないのが現状である。また， Webアプリケーションプログラムの脆ぜい弱性対策の負荷を避けるためSaaSの利用が進んでいるが，利用に当たっては事前のリスク分析が重要である。本問では，Webアプリケーションプログラムを題材に，CSPを利用した脆弱性対策の能力を問う。また， SaaSへの移行に当たってのリスク分析の能力とリスク対策の立案能力について問う。

解き方のヒントを見る

問01：XSS対策をCSPへ切り替えつつ、SaaS利用時のリスクも整理しよう

この問題のポイントは、昔ながらのXSSフィルタからCSPへ対策を切り替えるときに、何を見直すべきかを理解することだよ。たとえるなら、玄関に置いていた簡単な防犯グッズを、家全体の入退室ルールに変えるようなもの。単に道具を交換するだけではなく、「どのスクリプトを許可するのか」「どこから読み込んでよいのか」といったルール作りが大事になるんだ。さらにSaaSを使えば脆弱性対応の負担は一部軽くなるけれど、全部お任せで安全になるわけではないよ。利用前に、どんな脅威が残るのかをきちんと整理しておこう。

この問題で問われていること

Webアプリの脆弱性対策とSaaS移行時のリスク分析を、別々の話として見るのではなく、ひとつの設計課題として考えられるかが問われているよ。

Connecting CSP and SaaS Risk Analysis

this problem combines CSP-based XSS defense with the risk analysis that must precede SaaS migration、 rather than treating them as separate topics

understand CSP as modern XSS control\nreassess implementation burden\nanalyze SaaS migration risks in advance\nlink web defense with service selection

確認ポイント

CSP を XSS 対策として捉える。
SaaS 移行前のリスク分析を忘れない。
二つの論点を一体で考える。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000apad-att/2021r03a_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000apad-att/2021r03a_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000apad-att/2021r03a_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和3年度秋期情報処理安全確保支援士試験午後Ⅱ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

令和3年度秋期 情報処理安全確保支援士 午後Ⅱ 問1

問題