平成22年度 秋期 情報セキュリティスペシャリスト試験 午後II 過去問・解説

大問1　安全なWebアプリケーションの開発（勤怠管理マルチテナントシステム）（配点50点）

問1 安全なWebアプリケーションの開発に関する次の記述を読んで，設問1〜5に答えよ。 X社は，従業員数500名のソフトウェア会社で，10本程度の人事関連のソフトウェアパッケージ（以下，パッケージという）を開発，保守している。X社は，顧客から，パッケージを購入せず，利用料を払ってアプリケーションサービス（以下，サービスという）を受けられるようにしてもらえないかという問合せが増えている…

設問

• 〔コーディングルールの作成〕について，図4中の a ， b に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 〔プロジェクト計画の策定〕について，本文中の下線①でF主任が，問題があると指摘した理由を，35字以内で述べよ。
• 本文中の下線②でP課長が，設計工程（基本設計，詳細設計）に追加したレビューの内容を，40字以内で具体的に述べよ。
• 本文中の下線②でP課長が，製造・単体テスト工程に追加したレビューの内容を，50字以内で具体的に述べよ。
• 〔アプリケーション設計のレビュー〕で発見された，勤務実績表示の処理の問題について，本文中の下線④の指摘は，具体的にどのようなHTTPリクエストによって閲覧できると指摘したものか。55字以内で述べよ。
• 下線④の問題を避けるためには，データの型をチェックした後，どのようなチェック処理を行うべきか。60字以内で述べよ。
• SQLインジェクション脆弱性の対策について，SQLインジェクションが発生したときでも，ほかの顧客のデータをSQLで操作されにくいようにするために，本文中の下線③の方式をどのように変更すべきか。45字以内で述べよ。
• 本文中の下線⑤の開発委託先管理の問題点を解決するために，X社が行うべきことを50字以内で述べよ。
• ミドルウェアの脆弱性発見時の対応について，図8中の c に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 図8中の d に入れる適切な実施済対策の内容を，50字以内で述べよ。
• 本文中の下線⑥の問題点に対する解決策を，今後の開発プロジェクトの在り方の観点から，40字以内で述べよ。

大問2　組織内の認証システムの統合と情報システム部門の課題（配点50点）

問2 社内認証システムの統合に関する次の記述を読んで，設問1〜5に答えよ。 A社は，従業員数700名の業務用ソフトウェアパッケージの開発販売会社である。都心に本社を構えるA社は，営業部，人事部，経理部，総務部，情報システム部，製品サポート部，製品開発部及び研究部から構成されている…

設問

• 本文中の b ～ e に入れる適切な字句を解答群の中から選び，記号で答えよ。
• 本文中の下線①の疑似乱数の生成方法に問題があり，同じ乱数が生成される場合，どのような脅威が考えられるか。攻撃の手段とともに，50字以内で具体的に述べよ。
• 本文中の下線②を実現するために， a に入れる適切な字句を10字以内で答えよ。
• 図1中の(5)の脆弱性は何か。セキュリティ管理の現状とA-SSOシステムの仕様から判断して，45字以内で述べよ。
• 本文中の下線③の技術的課題について，SAML型SSOシステムではどのように対処しているか。図9の字句を用いて，70字以内で具体的に述べよ。
• 統合認証システムにおいて，図1中の(2)の指摘にどのように対処しているか。60字以内で述べよ。
• 本文中の下線④にあるA社にとっての運用管理上のメリットとは何か。SAML型SSOシステムの特徴に基づいて60字以内で述べよ。
• 本文中の f に入れる適切な年を答えよ。また，Sチームがそのように判断する理由を40字以内で具体的に述べよ。
• 本文中の g に入れる適切な理由を45字以内で具体的に述べよ。

この回の出題傾向と学習ポイント

平成22年度秋期の午後IIは、マルチテナント型勤怠管理システムの安全な開発と、社内認証システムの統合という2問構成の選択制です。問1は開発プロセスにセキュリティをどう組み込むか、問2はSAML型SSOへの統合設計と、いずれもWeb技術を土台にした設計・計画寄りの出題で、長い本文から前提条件を拾い上げる持久力が要求されます。

問1　安全なWebアプリケーションの開発（勤怠管理マルチテナントシステム）

パッケージ開発専業だった会社が、初めてインターネット公開のマルチテナントサービスを開発する過程が題材です。コーディングルールの穴埋め、設計・製造工程に追加すべきレビューの内容、他の顧客のデータを閲覧できてしまうHTTPリクエストの指摘、SQLインジェクション対策としての接続方式の変更、開発委託先管理やミドルウェア脆弱性発見時の対応まで、開発工程全体を縦断して35〜60字の記述が続きます。

問2　組織内の認証システムの統合と情報システム部門の課題

ソフトウェア会社が独自開発のSSOシステムを含む複数の認証システムをSAML型SSOへ統合する計画が題材です。字句選択のほか、疑似乱数の生成方法に問題がある場合の脅威、独自SSOの脆弱性の指摘、SAML型SSOにおける技術的課題への対処や運用管理上のメリットを45〜70字で記述します。SSOの方式の違いを仕組みから説明できる知識が直接得点につながります。

午後IIは1問を深く掘る形式なので、選択する大問の題材（開発プロセスか認証基盤か）と自分の得意分野の相性を意識しましょう。設問が本文の節見出しに対応しているため、節単位で読み進めると迷いにくくなります。