SC情報処理安全確保支援士試験午後Ⅱ

令和5年度春期情報処理安全確保支援士午後Ⅱ 問2

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

近年，クラウドサービスへの移行が加速する中で，セキュリティについてオンプレミスとは異なる知見が求められている。また，外部サービスとの連携が増加しているが，セキュアではない設定がされるケースも散見される。本問では，Webサイトのクラウドサービスへの移行と機能拡張を題材として，自社システムからクラウドサービスへの移行時及び移行後におけるセキュリティに関わる設定と，外部サービスと連携する際の認可，権限設定についての分析能力を問う。

解き方のヒントを見る

問02 OAuth連携は“合言葉の照合”と“権限の絞り込み”がカギだよ

認可コード `code` は、入場券をもらっただけの状態だよ。すぐにアクセストークンがもらえるわけではなく、事前に用意した秘密の合言葉 `code_verifier` と、その SHA-256 ハッシュを base64url 形式にした `code_challenge` がちゃんと対応しているかを確認する必要があるんだ。さらに、X トークンの権限はダウンロード専用に絞る、ソースコード承認を開発リーダだけに任せない、というように、クラウド移行後は外部連携の権限と開発時のチェック体制をまとめて見直そう。

この問題で問われていること

OAuth を設定値の暗記で済ませるのではなく、PKCE で“本人が持っている合言葉”を検証する仕組み、必要最小限の権限設定、そしてソースコード承認の流れまでセットで設計できるかが問われているよ。

Designing Secure External-Service Integration

secure cloud integration requires PKCE validation between code_verifier and code_challenge、 minimal token scope、 and code-review governance that does not rely on a single approver

authorization code alone is insufficient\nverify SHA-256(code_verifier) against challenge\nlimit token scope to required actions\navoid single-person approval in source review

確認ポイント

`code` だけでは不十分と理解する。
PKCE 検証式を言葉で説明できるようにする。
トークン権限と承認統制を最小化する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和5年度春期情報処理安全確保支援士試験午後Ⅱ 問2（公式資料：問題冊子（PDF）／解答例／採点講評）

令和5年度春期 情報処理安全確保支援士 午後Ⅱ 問2

問題