令和4年度春期 情報処理安全確保支援士 午後Ⅱ 問1

問01：急いで出すときこそ、セキュリティ確認をセットで考えよう

短い期間でリリースしたいときでも、セキュリティ対策は後回しにしちゃだめだよ。たとえば、外から持ってくるライブラリは「便利な道具を借りる」ようなものだから、既知の脆弱性がないか確認し、どこから入手してよいかのルールもはっきり決めておこう。`returnURL` は利用者が自由に変えられる形にすると、別の危ないサイトへ誘導されるオープンリダイレクトにつながるので、固定値にして防ごう。さらに、CSRF対策では、本人確認用の合い言葉のようなトークンを発行し、画面に埋め込み、利用者のセッションとひも付けて、送信時に正しいか検証する処理が必要だよ。専門技術者による診断が必要な状態なら、無理に改良版を出さず、リリースを見送る判断も大事だよ。

この問題で問われていること

アジャイル開発でも、脆弱性対策を最後の片付けみたいに後工程へ押し込まず、開発の流れの中にどう自然に組み込むかがポイントだよ。

Security Work Embedded in Agile Delivery

secure agile delivery requires vulnerability checks on dependencies、 fixed redirect targets、 CSRF token handling、 and release planning that allows time for specialized security review

check downloaded libraries\nfix returnURL\nimplement CSRF token lifecycle\ndelay feature release if review is needed

確認ポイント

• ライブラリ管理を軽視しない。
• returnURL 固定を押さえる。
• CSRF トークンの一連処理を書く。

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。