令和5年度 春期 情報処理安全確保支援士試験 午後II 過去問・解説

大問1　Webサイトの脆弱性診断（配点50点）

問1 Webセキュリティに関する次の記述を読んで，設問に答えよ。 A社グループは，全体で従業員26,000名の製造業グループである。技術開発や新製品の製造・販売を行うA社のほか，特化型の製品の製造・販売を行う複数の子会社（以下，グループ各社という）がある。A社及びグループ各社には，様々なWebサイトがある。A社では，資産管理システムを利用し，IT資産の管理を効率化している…

設問

• 表2中の下線①について，別の方法を，30字以内で答えよ。
• 表3中及び本文中の a ， b に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の c に入れる適切な機能を，図1中の(1-1)〜(8-1)から選び記号で答えよ。
• 本文中の下線②について，どのような設定が必要か。設定の内容を，図2中の画面名を用いて60字以内で答えよ。
• 本文中の下線③について，keywordの初期値をどのような値に設定する必要があるか。初期値が満たすべき条件を，40字以内で具体的に答えよ。
• 本文中の下線④について，URLが登録されなかった画面名を，解答群の中から全て選び，記号で答えよ。
• 本文中の下線⑤について，該当する画面遷移とエラーになってしまう理由を二つ挙げ，画面遷移は図4の(A)〜(F)から選び，理由は40字以内で答えよ。
• 本文中の d に入れる適切な字句を，30字以内で答えよ。
• 本文中の下線⑥について，攻撃の手口を，40字以内で答えよ。
• 本文中の下線⑦について，リクエストの内容を，30字以内で具体的に答えよ。
• 本文中の e ， f に入れる適切なパラメータ名を，図5中から選び，それぞれ15字以内で答えよ。
• 診断開始までに要する時間の課題について，A社で取り入れている管理策を参考にした対策を，40字以内で具体的に答えよ。
• 8社のサポート費用の課題について，8社に対して同じ問合せを行わず，問合せ件数を削減するために，A社グループではどのような対策を実施すべきか…

大問2　クラウド移行と外部サービス連携(OAuth/PKCE)（配点50点）

問2 Webサイトのクラウドサービスへの移行と機能拡張に関する次の記述を読んで，設問に答えよ。 W社は，従業員100名のブログサービス会社であり，日記サービスというWebサービスを10年前から提供している。日記サービスの会員は，自分の食事に関する記事の投稿及び摂取カロリーの管理ができる。日記サービスは，W社のデータセンター内で稼働している。ハードウェアの調達には1か月程度を要する…

設問

• 表2中の a ～ i に入れる適切な内容を，「○」又は「×」から選び答えよ。
• 表7中の j ～ l に入れる適切な字句を，解答群の中から選び，記号で答えよ。
• 本文中の下線①のイベント検知のルールを，JSON形式で答えよ。ここで，D社の利用者IDは，1110〜1199とする。
• 本文中，図3中又は図4中の m ～ o に入れる適切な字句を，「新日記サービス」又は「サービスT」から選び答えよ。
• 表8中の p ， q に入れる適切な番号を，図3中の番号から選び答えよ。
• 本文中の下線②について，CRYPTRECの「電子政府推奨暗号リスト（令和4年3月30日版）」では利用を推奨していない暗号技術が含まれるTLS 1.2の暗号スイートを，解答群の中から全て選び，記号で答えよ。
• 本文中の下線③について，アクセストークンの取得に成功することが困難である理由を，40字以内で具体的に答えよ。
• 本文中の下線④について，認可サーバがチャレンジコードと検証コードの関係を検証する方法を，「ハッシュ値を base64url エンコードした値」という字句を含めて，70字以内で具体的に答えよ…
• 本文中の下線⑤について，第三者がXトークンを取得するための操作を，40字以内で答えよ。
• 本文中の下線⑥について，権限管理の変更内容を，50字以内で答えよ。
• 本文中の下線⑦について，見直し後の設定を，40字以内で答えよ。

この回の出題傾向と学習ポイント

令和5年度春期の午後IIは、Webサイトの脆弱性診断と、クラウド移行と外部サービス連携（OAuth・PKCE）の2問から選ぶ構成です。どちらも長文の中に表・図・画面遷移が多数登場し、診断や設定の手順を細部まで読み込ませるタイプの回で、選んだ題材への深い理解が試されます。

問1　Webサイトの脆弱性診断

製造業グループのWebサイト診断体制づくりが題材です。診断ツールの選定から診断手順の制定までをフェーズごとに追い、ログイン状態を維持するための設定を画面名を用いて60字以内で書かせるなど、診断実務に踏み込んだ記述が特徴です。XSSの攻撃の手口やアクセス制御回避のリクエスト内容も問われるため、診断ツールの動きと手動診断の観点の両方を知っておくと有利です。

問2　クラウド移行と外部サービス連携(OAuth/PKCE)

ブログサービスのクラウド移行が題材で、IaaS・PaaS・SaaSの管理範囲を○×で整理する表に始まり、クラウドの権限設計、イベント検知ルールのJSON記述、アクセストークン取得の流れとPKCE（S256）の検証方法の説明へ進みます。チャレンジコードと検証コードの関係を70字以内で説明させる設問が象徴的で、認可の流れを図なしで再現できる理解が求められます。

午後IIは1問にじっくり取り組む形式です。問1なら診断の手順、問2なら認可フローと、選んだ題材の「手順を順番どおり説明できるか」が問われるので、演習後に流れを白紙に書き出す復習が効果的です。