応用情報 セキュリティ管理 3 — Questions and Answers
Question 1: クラウドセキュリティの「責任共有モデル」においてSaaSでユーザが責任を持つ範囲はどれか。
- データとアクセス管理（誰にアクセスを許可するか） (Correct answer)
- OS・ミドルウェアのパッチ適用
- 物理インフラのセキュリティ
- ネットワーク機器の設定
Correct answer: データとアクセス管理（誰にアクセスを許可するか）
SaaSの責任共有モデルではプロバイダがインフラからアプリまで管理し、ユーザはデータの管理とアクセス権限の設定（IAM）のみを責任として持つ。IaaSではOSより上をユーザが管理する。
Question 2: 脆弱性管理プロセスにおいてCVSSスコアの用途はどれか。
- 脆弱性の深刻度を数値化して対応優先度を決定する (Correct answer)
- パッチの適用コストを見積もる
- 攻撃者の身元を特定する
- システムの稼働率を計算する
Correct answer: 脆弱性の深刻度を数値化して対応優先度を決定する
CVSS（Common Vulnerability Scoring System）は脆弱性の深刻度を0〜10のスコアで標準化する指標。スコアに基づいて修正対応の優先順位を決定する。スコア9以上はCritical。
Question 3: Webアプリのセキュリティ対策におけるコンテンツセキュリティポリシー（CSP）の役割はどれか。
- ブラウザが読み込み可能なリソースの発信元を制限してXSSを緩和する (Correct answer)
- Webアプリへのログインに必要な認証を定義する
- HTTPSへの強制リダイレクトを設定する
- Cookieの有効期限を管理する
Correct answer: ブラウザが読み込み可能なリソースの発信元を制限してXSSを緩和する
CSPはHTTPレスポンスヘッダで設定し、JavaScriptや画像などのリソースをどのオリジンから読み込めるかを宣言する。XSS攻撃で挿入されたスクリプトの実行を防ぐ効果的な対策。
Question 4: インシデント対応のフォレンジック調査において最初に行うべき作業はどれか。
- 揮発性の高いメモリ・実行中プロセス情報から順に証拠を保全する (Correct answer)
- すぐにシステムをシャットダウンする
- 感染したファイルを削除する
- システムを再起動して状態をリセットする
Correct answer: 揮発性の高いメモリ・実行中プロセス情報から順に証拠を保全する
デジタルフォレンジックでは証拠保全の優先度は揮発性の高いもの順（RAM→ネットワーク接続→実行プロセス→ディスク）。シャットダウンすると揮発性データが失われる。
Question 5: OWASP Top 10に含まれる「アクセス制御の不備」の代表的な攻撃例はどれか。
- 他ユーザのリソースURLを推測してアクセスする水平権限昇格 (Correct answer)
- パスワードのブルートフォース攻撃
- サーバへのDDoS攻撃
- Cookieの盗用によるなりすまし
Correct answer: 他ユーザのリソースURLを推測してアクセスする水平権限昇格
アクセス制御の不備（Broken Access Control）は他ユーザのIDや連番URLを推測して本人以外のデータにアクセスできる問題。OWASP Top 10 2021で1位。認可チェックの実装漏れが原因。
Question 6: セキュリティのDevSecOpsの考え方として正しいものはどれか。
- 開発・セキュリティ・運用を統合しCI/CDパイプラインにセキュリティを組み込む (Correct answer)
- セキュリティチームのみが全セキュリティ対策を担当する
- 開発完了後にセキュリティ検査をまとめて実施する
- 外部の専門会社に全セキュリティ対策を委託する
Correct answer: 開発・セキュリティ・運用を統合しCI/CDパイプラインにセキュリティを組み込む
DevSecOpsはDevOpsのパイプラインにセキュリティを統合する考え方。SASTs・DASTsツールをCI/CDに組み込み、開発早期から継続的にセキュリティチェックを行う（Shift Left）。
応用情報 セキュリティ管理 3
クラウドセキュリティの「責任共有モデル」においてSaaSでユーザが責任を持つ範囲はどれか。