SC情報処理安全確保支援士試験午後Ⅰ

令和4年度春期情報処理安全確保支援士午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

システム開発においては，要件定義からテストまでの全てのプロセスでセキュリティ対策が必要であることは広く認識されている。一方で，アクセス制御における設計上の考慮不足や実装の不備による情報流出の被害事例が後を絶たない。たとえアクセス制御が単純なものであっても，問題が発生しているのが現実である。本問では，情報共有用Webアプリケーションプログラム開発のセキュリティ対策を題材として，システム開発の設計，実装，テストの各プロセスにおける脆ぜい弱性の分析及び修正に関わる能力を問う。

解き方のヒントを見る

問01：SQLとアクセス制御の“通り道”を安全にする問題だよ

SQLは、プレースホルダを使って形を固定しておくのが大事だよ。たとえるなら、注文用紙の記入欄だけを埋めてもらって、用紙そのものを書き換えられないようにする感じだね。さらに、改行コードの扱いも見直して、想定外の入力で処理が崩れないようにしよう。プロジェクトIDはURLのクエリ文字列みたいに外から自由に指定させず、ログイン中のセッション情報から取得するのが安全だよ。そのうえで、SQLには `情報番号 = ? AND プロジェクト ID = ?` のように条件を入れて、『その人が参加しているプロジェクトの情報だけ見られる』という境界をしっかり反映させる必要があるよ。

この問題で問われていること

一見シンプルなアクセス制御でも、設計・実装・テストのそれぞれで『外から勝手に指定できないか』『SQL条件に権限チェックが入っているか』を漏れなく確認できるかがポイントだよ。

Designing Access Control Into the Query Path

secure design for a sharing web app removes externally controlled project identifiers、 uses placeholders、 and binds authorization conditions directly into the query

use placeholders\ncontrol line-break handling\nget project ID from session\nfilter by both info ID and project ID

確認ポイント

外部指定パラメタを減らす。
セッションから権限情報を取る。
認可条件を SQL へ入れる。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和4年度春期情報処理安全確保支援士試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

令和4年度春期 情報処理安全確保支援士 午後Ⅰ 問1

問題