SC情報処理安全確保支援士試験午後Ⅱ

令和4年度春期情報処理安全確保支援士午後Ⅱ 問6

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問6 [開発プロセスの見直し〕について、 ①~ー(④に答えよ。 Q) 本文中の下線⑥について、該当する脆弱性を二つ挙びげ、それぞれ15字以内で答えよ。 (⑫) 本文中の下線⑥について、専門技術者による脆弱性診断が長期問行われないことを避けるためには、どのような時期に実施すればよいか。改良リリースの実施に影響を与えないことを前提に、 20字以内で答えよ。 (3) 本文中の下線のについて、専門技術者による脆弱性診断が長期問行われないことを避けるためには、開発プロセスをどのように見直せばよいか。アジャイル開発の継続を前提に、 40字以内で述べよ。 (④ 本文中の下線@について、 CSRF脆弱性の場合では、どのような処理を行う機能が考えられるか。その処理を、 55字以内で具体的に述べよ。ー12一

解き方のヒントを見る

問06：配布されたイメージに問題があったときの初動を考えよう

この問題では、怪しいイメージをどう削除・再配布するか、攻撃の痕跡をどう切り分けるか、さらにゼロデイ攻撃みたいに「まだ対策情報が出そろっていない攻撃」も想定して手順を用意できるかがポイントだよ。

この問題で問われていること

サプライチェーンから入り込んだインシデントを、火事の現場を片付ける前に証拠写真を残すように、証拠保全をしながら復旧計画まで考えられるかが問われているよ。

OSS Supply-Chain Incident Handling

for OSS supply-chain incidents、 responders must identify malicious downloads、 registry-specific evidence、 zero-day characteristics、 and then contain and replace compromised images

malicious download\nregistry evidence\nzero-day awareness\ncontain and replace

確認ポイント

単なる脆弱性対応ではありません。
証拠と復旧計画を同時に扱う。
サプライチェーン起点の可能性を見る。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt80000009sgk-att/2022r04h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和4年度春期情報処理安全確保支援士試験午後Ⅱ 問6（公式資料：問題冊子（PDF）／解答例／採点講評）

令和4年度春期 情報処理安全確保支援士 午後Ⅱ 問6

問題