令和4年度 春期 情報処理安全確保支援士試験 午後II 過去問・解説

大問1　Webサイトのセキュリティとアジャイル開発（配点50点）

問1 Webサイトのセキュリティに関する次の記述を読んで，設問1〜6に答えよ。 A社は，従業員1,500名の中堅システム開発会社である。A社は，セキュリティ品質の高いWebサイトを開発するために，表1に示すWebセキュリティ管理基準を定めて運用している…

設問

• 本文中の下線①における診断用リクエストの構成要素を，解答群の中から選び，記号で答えよ。
• 本文中の下線②について，考えられる再発防止策を，35字以内で述べよ。
• 本文中の a ， b に入れる適切な字句を答えよ。
• 本文中の c ～ h に入れる適切な字句を，それぞれの解答群の中から選び，記号で答えよ。
• 本文中の i ， j に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線③について，図4のリクエスト中のどの値をどのような値に変更したか。45字以内で具体的に述べよ。
• 表4中の k に入れる適切な字句を，15字以内で答えよ。
• 本文中の下線④について，別の対策とは何か。B社で実施することが望ましい対策を，25字以内で述べよ。
• 本文中の下線⑤について，該当する脆弱性を二つ挙げ，それぞれ15字以内で答えよ。
• 本文中の下線⑥について，専門技術者による脆弱性診断が長期間行われないことを避けるためには，どのような時期に実施すればよいか。改良リリースの実施に影響を与えないことを前提に，20字以内で答えよ。
• 本文中の下線⑦について，専門技術者による脆弱性診断が長期間行われないことを避けるためには，開発プロセスをどのように見直せばよいか。アジャイル開発の継続を前提に，40字以内で述べよ。
• 本文中の下線⑧について，CSRF脆弱性の場合では，どのような処理を行う機能が考えられるか。その処理を，55字以内で具体的に述べよ。

大問2　クラウド移行と各種認証(SAML/OAuth/OIDC)（配点50点）

問2 クラウドサービスへの移行に関する次の記述を読んで，設問1～5に答えよ。 X社は，従業員500名の情報サービス会社であり，5年前から動画投稿配信サービス（以下，動画サービスという）を提供している。動画サービスは，アカウント登録した会員が動画を投稿したり，投稿された動画を視聴して評価したりすることができるサービスである…

設問

• 本文中の a に入れる適切な字句を，5字以内で答えよ。
• 本文中の b に入れる適切な字句を，英字5字以内で答えよ。
• 図4，図5中及び本文中の c に入れる適切な字句を，英字5字以内で答えよ。
• 本文中の下線①について，Y-CDN-U-FQDNを名前解決したIPアドレスを宛先とする通信をFWで拒否した場合に閲覧できなくなるWebサイトの範囲を，60字以内で具体的に述べよ。
• 本文中の d に入れる適切な字句を，20字以内で答えよ。
• 本文中の下線②について，認証サーバ側で検知することができない理由を，30字以内で述べよ。
• 本文中の下線③について，対策にならない理由を，35字以内で述べよ。
• 表2中の e に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 表2中の f に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 表2中の g に入れる適切な字句を，5字以内で答えよ。
• 本文中の h ～ j に入れる適切な数字を，それぞれ答えよ。
• 図9中の k ～ m に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 図9中の n に入れる適切な流れを解答群の中から選び，記号で答えよ。
• 本文中の o ， p に入れる適切な字句を，図9中の(1)～(10)から選び，番号で答えよ。
• 本文中の q に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 図10中の r ～ t に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の u に入れる適切な通信を，図10中の(1)～(8)から選び，番号で答えよ。
• 本文中の v に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の w ， x に入れる適切な字句を，それぞれ10字以内で答えよ。

この回の出題傾向と学習ポイント

令和4年度春期の午後IIは、Webサイトのセキュリティとアジャイル開発、クラウド移行と各種認証（SAML・OAuth・OIDC）の2問から選ぶ構成です。前者は脆弱性対応と開発プロセスの見直し、後者は認証連携のシーケンス読解と、長文の中でそれぞれ異なる力を試す回です。

問1　Webサイトのセキュリティとアジャイル開発

子会社化したITサービス会社のWebサイト群で検出されたXSS・CSRF・クリックジャッキング・SSRFへの対応と、アジャイル開発における脆弱性診断のタイミングの見直しが題材です。SSRF攻撃でリクエスト中の値をどう変更したかを45字で書かせるなど攻撃の具体記述に加え、診断を開発プロセスへどう組み込むかを問う設問もあり、技術と管理の両面が問われます。

問2　クラウド移行と各種認証(SAML/OAuth/OIDC)

動画投稿配信サービスのクラウド移行を題材に、CDNの利用検討からSAMLによるSSO、OAuth・OIDCの連携フローまでを扱います。シーケンス図の穴埋めが多数を占め、図中の番号や字句を解答群から選ばせる形式が中心です。SAML・OAuth・OIDCそれぞれで登場する役割と、やり取りの順番を自分の手で描けるようにしておくことが最大の対策です。

どちらも本文量が多く、図表との往復回数が得点を左右します。問1なら脆弱性ごとの対策の整理、問2なら認証フローの図を自分の手で再構成する演習が、選択後の完答力につながります。