令和7年度春期 情報処理安全確保支援士 午前Ⅱ 問22

書いたプログラムを自動で読み込み、バグや「汚い書き方（重複）」をチェックしてくれるツール

SonarQube（ソナーキューブ）は、プログラムを実行せずにソースコードを読み取って（静的解析）、セキュリティの穴（脆弱性）や、バグ、コピペで重複したコードなどを自動で検知して品質を採点してくれる便利ツールだよ。

この問題で問われていること

プログラムのバージョン管理（Git）や、自動ビルド（Jenkins）、セキュリティ監視（Snort）とは分けて、「プログラムのコード品質を自動スキャンして高めるもの」としてSonarQubeを覚えよう。

SonarQube

CI と連携してソースコードを静的に分析する。

static analysis\n-> bugs / duplication / vuln code

確認ポイント

• Git はバージョン管理です。
• Jenkins は CI/CD、Snort は IDS/IPS です。
• SonarQube を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

Gitは不正解だよ。Gitはコードの変更履歴を残す道具で、たとえるなら作文の下書きを何版も保存しておくノートみたいなもの。誰がいつ何を直したかは分かるけど、文章の誤字や危ない表現を自動で探す先生役ではないんだ。

選択肢イ

Jenkinsは不正解だよ。Jenkinsはビルド、テスト、デプロイなどの作業を自動で流す道具で、たとえるなら工場のベルトコンベアみたいなもの。SonarQubeを呼び出してチェックを走らせることはできるけど、Jenkins自身がコードの重複や脆弱性を見つける専門ツールではないよ。

選択肢ウ

Snortは不正解だよ。Snortはネットワークを流れる通信を見張って、不審な動きを見つける道具なんだ。たとえるなら建物の外を見張る警備員で、ソースコードという設計図そのものを読んで品質チェックする役ではないよ。

選択肢エ（正解）

SonarQubeは正解だよ。表記に余計な文字が混ざっていても、SonarQubeのことなら、コードを読んでバグっぽい所、重複、脆弱性につながりそうな書き方を見つける道具だよ。たとえるなら、提出前の作文を赤ペンでチェックしてくれる先生みたいな存在だね。