情報セキュリティマネジメント試験情報＆徹底解説

WebサービスでのWebアプリケーションソフトウェア開発委託に関する次の記述を読んで，設問1～4に答えよ。

　P社は，従業員数1,200名の大学受験及び高校受験のための大手予備校である。先日開催した経営会議において，次年度から中学受験向けコースの事業部(以下，C事業部という)を新たに立ち上げることが決まり，現在，開講に向けた準備作業を進めている。C事業部は，教務部，営業部，総務部，マーケティング部の計4部で構成され，マーケティング部は，市場調査，広報活動，外部公開のWebサービスの企画，導入，運用などを担当している。

〔情報セキュリティ管理規程〕
　P社の情報セキュリティ管理規程では，次を規定している。

• 情報セキュリティ委員会は，最高情報セキュリティ責任者(CISO)と各事業部の事業部長，各部の部長によって構成される。
• 情報セキュリティ委員会は，P社の情報セキュリティに関する意思決定を行う。
• 上記の意思決定には，"暫定策を適用する際のリスク評価結果や残留リスクの承認"，"リスク評価結果などを踏まえた，新規事業又はサービスの開始の可否判断"などを含む。
• 各部には，情報セキュリティの推進者として情報セキュリティリーダーを配置する。

〔情報セキュリティの重点方針〕
　現在，P社のCISOは，情報セキュリティ活動を推進し情報を守ることと，情報を活用しビジネスを成長させることの両立が必要不可欠であると考えている。そこで，P社の情報セキュリティの重点方針として，"個人情報の漏えい防止"と"Webサービスの継続性確保"の2点を定めて，情報セキュリティ委員会のメンバーに通知している。

〔Webサービスの仕様〕
　C事業部のマーケティング部では，模擬試験の結果速報，成績推移などを，P社の中学受験向けコースに通う児童(以下，児童という)，及び児童の保護者(以下，保護者という)が閲覧できるように，ログイン機能を有したWebサービス(以下，Wサービスという)をWebアプリケーションソフトウェア(以下，Webアプリという)として開発し，提供することを検討している。マーケティング部のNさんは，Wサービスの企画を担当している。図1は，Nさんが作成したWサービスの仕様案である。　マーケティング部の情報セキュリティリーダーであるS主任は，Nさんが作成したWサービスの仕様案を情報セキュリティの観点からレビューした。
　次は，S主任とNさんとの会話である。

S主任：

模擬試験の結果などが児童本人及びその保護者以外に閲覧されるリスク(以下，閲覧リスクという)を減らすために，Wサービスはログイン機能を実装することになっていたね。

Nさん：

はい。児童でも覚えやすい数字4桁のパスワードを用いる仕様です。

S主任：

料金の自動引落し明細メニューのログインについても教えてくれないか。

Nさん：

こちらは，保護者がアクセスします。児童が閲覧する必要はないことから，英数記号8文字以上の保護者用パスワードで追加ログインする仕様です。また，パスワードの入力間違いを減らすために，保護者がパスワード入力内容を表示に切り替えて，入力内容を確認することができます。

S主任：

よく分かった。この仕様案では，ブルートフォース攻撃のリスクが大きいね。また，児童の場合，自分専用のPCをもっているケースは少ないと思うよ。図書館，学校などの共用PCを利用することが多く，そこでログアウトを忘れることもあるので，閲覧リスクが大きいね。

　S主任は，レビュー後に，次の2点の変更，追加をNさんに指示した。

• ①ブルートフォース攻撃のリスクを低減するために認証機能の仕様を変更する。
• ②共用PCにおける閲覧リスクを低減するために機能を追加する。

〔委託仕様書の検討〕
　近年，Webアプリの脆弱性を悪用した攻撃が増えている。脆弱性の代表的な例としては，SQLインジェクションやクロスサイトスクリプティングが知られている。
　S主任は，Webアプリの開発を外部に委託するに当たり，情報システム部のU課長に相談し，委託仕様書はIPAが公開している"ウェブ健康診断仕様"を参考にすることにした。また，検収の際はセキュリティ専門会社のY社に脆弱性診断を依頼することにした。"ウェブ健康診断仕様"とは，元々は地方公共団体が運営するWebサイトの基本的な対策状況を診断するための仕様であり，低コストで診断できるように，必要かつ最小限の診断項目，検査パターンを採用している。したがって，Webアプリの一般的な脆弱性診断サービスと比較すると簡素な診断項目となっている。
　"ウェブ健康診断仕様"の診断項目を表1に示す。　S主任は，表1を基に対処の必要な脆弱性を委託仕様書に列挙した。また，③情報セキュリティを向上させる上で有効かつ適切な他の事項についても，委託仕様書に盛り込み，情報システム部のレビューを受けてから，開発会社のZ社にWebアプリの開発を委託した。

〔脆弱性診断結果〕
　3か月後，S主任は，Z社が開発したWebアプリの検収に当たって，Y社に脆弱性診断を依頼した。Y社の脆弱性診断では，情報処理安全確保支援士が，"ウェブ健康診断仕様"に比べて診断項目が多い詳細な診断を実施する。
　Y社の診断での"危険度基準"を表2に，"総合判定基準"を表3に示す。　Y社がWebアプリの脆弱性診断を行ったところ，c検出されたので，総合判定所見は，"要治療・精密検査(優先度:高)"であった。
　次は，診断報告会でのS主任とY社の診断担当T氏との会話である。

S主任：

脆弱性診断で脆弱性が検出された場合，Webアプリを改修する以外の代替手段はあるのですか。

T氏：

WAFを導入することによって，パラメータ操作による攻撃などを防御することができます。ただし，認証やセッション管理の不備を悪用する攻撃の中には，防御できない攻撃もあるので，WAFは，Webアプリに対する攻撃によるリスクを低減するための対策と考えてください。

S主任：

なるほど，対策として不十分なので，Webアプリを改修するよりも残留リスクが大きくなるのですね。それでは，Webアプリを改修する場合であれば，WAFの導入は不要ですか。

T氏：

いいえ，そうとも限りません。Webアプリの改修が完了するまでの間，Webサービスを停止する代わリに，④WAFを暫定策として活用することも可能です。

S主任：

分かりました。Webアプリの情報セキュリティ対策では他にも注意すべきことはありますか。

T氏：

Webアプリの脆弱性を突く攻撃とは別に，パスワードリスト攻撃のような利用者側の管理面の脆弱性を突く攻撃が，最近，増えています。

　S主任は，今回の脆弱性診断で検出された脆弱性については，Z社に対してWebアプリの改修を求めることにした。また，パスワードリスト攻撃については，⑤児童や保護者に対する注意喚起を行うために，児童にも分かりやすい情報セキュリティのしおりを作成し，配布することにした。
　Z社は，Webアプリを改修した上でP社に納品した。数日後，S主任は，Wサービス開始に向けて情報セキュリティ委員会に報告した。

〔Wサービス開始とその後〕
　情報セキュリティ委員会には，脆弱性診断結果と，その後のWebアプリの改修対応が報告され，Wサービス開始に向けて問題ないと判断された。情報セキュリティ委員会の終了後，S主任は，情報システム部に対して，Wサービス提供開始後に新たな脆弱性が発見される可能性，及び，⑥P社の情報セキュリティの重点方針を実現する上でWAF導入によって期待できるメリットを説明した。情報システム部は，WAFを導入することを決定し，その後，C事業部のWサービスは，予定どおりサービス提供を開始した。
　Wサービスの提供開始から数か月後，S主任は，Z社に対して，⑦パスワードリスト攻撃などによる不正ログインの発生状況に利用者側でも気付くための機能などの追加を依頼した。
　その結果，P社はWサービスをより安全に提供することができるようになった。

設問1

〔Webサービスの仕様〕について，(1)，(2)に答えよ。

(1) 本文中の下線①の仕様変更について，Wサービスの仕様案よりもリスクを低減できる変更内容を，解答群の中から二つ選べ。

設問2

〔委託仕様書の検討〕について，(1)～(3)に答えよ。

(1) 表1中のa1，a2に入れる字句はどれか。aに関する解答群のうち，最も適切なものを選べ。

設問3

〔脆弱性診断〕について，(1)～(3)に答えよ。

(1) 本文中のcに入れる字句はどれか。解答群のうち，最も適切なものを選べ。

設問4

〔Wサービスの開始とその後〕について，(1)，(2)に答えよ。

(1) 本文中の下線⑥のメリットはどれか。解答群のうち，最も適切なものを選べ。