重要度：B
問36：Webアプリケーションで、利用者が入力した氏名を検索条件としてSQL文を実行する。SQLインジェクション対策として、最も適切なものはどれか。
- A：入力値をSQL文字列へそのまま連結し、エラーだけを非表示にする。
- B：プレースホルダを使い、アプリ用DBアカウントの権限も最小限にする
- C：データベースの管理者アカウントを全利用者で共有する。
- D：SQL文をできるだけ長く複雑にして、攻撃者に読みにくくする
【第36問：正解と解説】
正解：B
・A
エラー非表示だけでは、入力によるSQL文の構造変更を防げない。
・B
正しい。値とSQL構造を分離するパラメータ化クエリを用い、侵害時の影響を権限制限で抑える。
・C
管理者権限の共有は、被害拡大と責任追跡性の低下を招く。
・D
文字列の長さや読みにくさは、SQLインジェクション対策にならない。
重要度：B
問37：掲示板に利用者の投稿を表示する機能で、クロスサイトスクリプティングを防ぐ方法として、最も適切なものはどれか。
- A：投稿内容を確認せず、そのままHTMLとして出力する。
- B：全利用者へブラウザの警告を無視するよう指示する。
- C：データベースへ保存すれば、自動的に安全な形式へ変換されるとみなす
- D：出力先に応じたエスケープ処理を行い、許可するHTMLも限定する
【第37問：正解と解説】
正解：D
・A
未処理の入力をHTMLへ出力すると、スクリプトを実行される可能性がある。
・B
警告無視は、攻撃を受ける可能性を高める。
・C
データベースへの保存は、出力時の安全性を保証しない。
・D
正しい。出力時の文脈に応じたエンコードを中心に、入力制限やCSPなどを組み合わせる。
重要度：C
問38：会社支給スマートフォンを紛失した場合の情報漏えいを抑えるため、導入すべき対策として最も適切なものはどれか。
- A：画面ロックの設定は行わず、拾得者が連絡先を確認しやすい状態にしておく
- B：全データを暗号化せず、個人用クラウドへ自動保存する。
- C：MDMで暗号化と遠隔ロック・消去を行い、紛失時の報告手順を定める
- D：OSの更新を停止して、管理の状態を変化させないようにする
【第38問：正解と解説】
正解：C
・A
画面ロックを禁止すると、端末内情報を容易に閲覧される。
・B
未承認クラウドへの保存は、別の漏えいリスクを生む。
・C
正しい。技術的な端末管理と、迅速な報告・遠隔対応の手順を組み合わせる。
・D
更新停止は、既知の脆弱性を放置することになる。
重要度：C
問39：開発の委託先へアプリケーションのテスト用データを渡すことになったが、元データには顧客の氏名と口座番号が含まれている。適切な対応はどれか。
- A：氏名や口座番号を別の値へ置き換えるマスキングを施して渡す
- B：本番データをそのまま渡し、取扱いは委託先の判断に任せる
- C：データの入ったファイルの名称を変更してから、そのまま渡す
- D：口座番号の列の文字色を背景と同じにして、見えないようにして渡す
【第39問：正解と解説】
正解：A
・A
正しい。マスキングにより、テストに必要な形式を保ったまま実データを見せずに渡せる。復元困難な置換、必要最小限の項目、契約やアクセス制御、利用後の返却・消去を組み合わせ、マスキング後も再識別のリスクに留意する。
・B
実データの提供は漏えいの範囲を広げる。委託先任せは自社の管理責任の放棄になる。
・C
ファイル名を変えても中身の実データはそのまま残る。
・D
表示上の細工はデータとしては残っており、コピーすれば読める。
重要度：C
問40：オフィスの無線LANを構築する。通信の保護として最も適切な構成はどれか。
- A：MACアドレスフィルタリングを設定すれば、無線区間の暗号化は省略できる
- B：WPA3と組織に適した認証方式を設定し、業務用と来訪者用のネットワークを分離する
- C：SSIDを非公開（ステルス）に設定すれば、暗号化を設定する必要はない
- D：WPA3を設定した上で、来訪者用と業務用は同じネットワークに収容して運用する
【第40問：正解と解説】
正解：B
・A
MACアドレスは偽装が可能であり、フィルタリングは無線区間の暗号化の代わりにならない。
・B
正しい。現行の暗号化規格であるWPA3と組織に適した認証方式を用い、業務用と来訪者用を分離する。規模や要件によっては、利用者・端末ごとに認証するWPA3-Enterpriseも検討する。なお、無線区間の保護と、Webサービスまでのエンドツーエンドの保護（TLS）は別に考える。
・C
SSIDの非公開化は接続先を隠す程度の効果しかなく、盗聴や不正接続を防ぐ暗号化の代わりにはならない。
・D
来訪者端末と業務端末の混在は内部への侵入経路を作る。WPA3を用いても、ネットワークの分離は別途必要である。
コメント