SC情報処理安全確保支援士試験午後Ⅱ

令和5年度春期情報処理安全確保支援士午後Ⅱ 問3

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問3 〔サービスTとの連携の検討】について答えよ。 (1) 本文中、図3中及び図4中の| m |] | o | に入れる適切な字句を、 "新日記サービス"又は "サービス T” から選び答えよ。 (②) 表8中の[| p |]、| q | に入れる適切な番号を、図3中の番号から選び答えよ。ー23一 (3) 本文中の下線@について、 CRYPTRECの“電子政府推奨暗号リスト (令和4年3月39日版)" では利用を推奨していない了暗号技術が含まれるTLS 1.2の暗号スイートを、解答群の中から全て選び、記号で答えよ。解答群アTLS_DHE_RSA_WITH AES 128_GCM_SHA256イTLS_DHE_RSA_WITH AES_256 CBC_SHA256ウTLS RSA_WITH 3DES EDE CBC_SHAエTLS RSA WITH RC4128_MD5設

解き方のヒントを見る

問03

クラウドの設定ミスと、開発・運用で権限を広く渡しすぎることが、それぞれ別ルートでセキュリティ事故につながるよ、という点がポイントだよ。たとえるなら、玄関の鍵をかけ忘れるミスと、必要以上に合鍵を配ってしまうミスは別物だけど、どちらも侵入される原因になる、というイメージだね。

この問題で問われていること

外部サービスとの連携とクラウドの権限設定をセットで見て、誰に何を許可するのかという認可の考え方と、開発・運用で権限をきちんと管理する統制の考え方の両方から対策を考えられるかが問われているよ。

Cloud and External Service Authorization

secure cloud migration with external services requires correct authorization settings、 PKCE、 deletion auditing、 minimal token scopes、 and separated approval authority for source uploads

authorization design\nPKCE\naudit object deletion\nleast-privilege tokens

確認ポイント

クラウド設定と開発運用を分けて考えない。
トークン権限を最小化する。
承認権限の分離が必要です。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ps6vr70000010d6y-att/2023r05h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）令和5年度春期情報処理安全確保支援士試験午後Ⅱ 問3（公式資料：問題冊子（PDF）／解答例／採点講評）

令和5年度春期 情報処理安全確保支援士 午後Ⅱ 問3

問題

問03