【IPシラバス6.3】(7) アプリケーションソフトウェア・IoT システムのセキュリティ

正解
2. システム設計の初期段階からセキュリティを考慮すること

解説
セキュリティバイデザインはシステムやサービスの設計段階からセキュリティを組み込むアプローチです。これにより開発後に追加するよりも効果的かつ経済的にセキュリティ対策を実現できます。セキュリティをユーザーの責任にするのではなく、初期から設計に組み込むことで全体の安全性を高めます。

後から追加するセキュリティ対策は脆弱性を完全にカバーするのが難しいです。

正解
2. セキュリティの専門知識を持つチームの設立

解説
セキュリティバイデザインの実践ではセキュリティの専門知識を持つチームを設立し、設計から運用までの全段階で関与させることが重要です。

定期的なセキュリティパッチの適用やシステム完成後のセキュリティ評価も必要ですが、設計段階から専門チームが関与することでより効果的なセキュリティ対策が可能となり、初期から一貫したセキュリティ管理が行えます。

正解
3. ユーザーの使い勝手を無視すること

解説
セキュリティバイデザインはコスト削減やセキュリティ脆弱性の低減といった利点を持ちますが、ユーザーの使い勝手を無視することはありません。

逆に使い勝手とセキュリティのバランスを取ることが求められます。ユーザーエクスペリエンスを考慮しつつセキュリティを確保することが重要です。

使い勝手を無視したセキュリティ設計はユーザーの満足度を下げシステムの利用に影響を及ぼします。

正解
2. プライバシー保護をシステム設計段階から組み込むこと

解説
プライバシーバイデザインはシステムやサービスの設計段階からプライバシー保護を組み込むアプローチです。これによりユーザーのデータが常に保護されるようになります。

プライバシー設定をユーザーに任せるのではなく、設計から一貫してプライバシー保護を確保します。データ収集の最小化も重要ですが、主な目的は設計段階からのプライバシー保護の確立です。

正解
3. データの収集を可能な限り多くすること

解説
プライバシーバイデザインの原則に基づく活動にはデータの匿名化やプライバシー影響評価の実施が含まれます。

一方でデータの収集を可能な限り多くすることはプライバシーバイデザインの原則に反します。プライバシーバイデザインでは必要最低限のデータ収集を行い、ユーザーのプライバシーを守ることが求められます。過剰なデータ収集はプライバシー侵害のリスクを高めます。

正解
3. プライバシー保護をデフォルトで組み込む

解説
プライバシーバイデザインはプライバシー保護をデフォルトで組み込むことを特徴とします。これによりユーザーが特別な設定をしなくてもプライバシーが守られるようになります。

法律遵守だけを目的とするのではなく、より広範なプライバシー保護を目指します。システム開発後に対策を追加するのではなく、設計段階から一貫してプライバシーを確保することが重要です。

正解

1. ユーザー入力のエスケープ処理を行うこと

解説
クロスサイトスクリプティング（XSS）攻撃は悪意のあるスクリプトがウェブページに挿入され、ユーザーがそのページを表示すると実行される攻撃です。

これを防ぐためにはユーザー入力を適切にエスケープ処理することが重要です。

パスワードポリシーやシステムの再起動はXSS攻撃の防止には直接関係しません。エスケープ処理を行うことで、スクリプトが実行されることを防ぎます。

正解
2. サーバーの物理的破壊

解説
クロスサイトスクリプティング（XSS）攻撃はユーザーのクッキー情報を盗んだり、フィッシング詐欺を実行したりすることができますが、サーバーの物理的破壊は攻撃の影響には含まれません。

XSS攻撃はウェブアプリケーションのセキュリティホールを利用してユーザーに対する様々な悪意のある行動を実行しますが、物理的な破壊には至りません。したがって、XSS攻撃の影響として適切でないものはサーバーの物理的破壊です。

正解
3. セッションハイジャック

解説
クロスサイトスクリプティング（XSS）攻撃にはストアドXSSとリフレクトXSSの2種類があります。

ストアドXSSは悪意のあるスクリプトがサーバーに保存され、他のユーザーがそのデータを取得するときに実行されます。リフレクトXSSは悪意のあるスクリプトがユーザーの入力としてサーバーに送信され、即座に返されて実行されます。

セッションハイジャックはユーザーのセッション情報を盗む攻撃であり、XSSの一種ではありません。したがってセッションハイジャックはXSS攻撃の種類として適切ではありません。

正解
2. ユーザー入力をプレースホルダやプリペアドステートメントで処理すること

解説
SQLインジェクション攻撃は悪意のあるSQLコードがデータベースに挿入される攻撃です。

これを防ぐ最も効果的な方法はユーザー入力をプレースホルダやプリペアドステートメントで処理することです。これによりユーザー入力がSQLクエリの一部として実行されることを防ぎます。

データベースのバックアップや強力なファイアウォールは重要ですが、SQLインジェクション防止の直接的な対策ではありません。

正解
3. ハードウェアの物理的損傷

解説
SQLインジェクション攻撃の影響にはデータベースのデータ漏洩やデータの改ざん、削除が含まれます。これらは攻撃者が不正なSQLクエリを実行することで発生します。

しかし、SQLインジェクション攻撃が直接ハードウェアの物理的損傷を引き起こすことはありません。攻撃の影響はデータベースに限定され、物理的な損傷は含まれません。したがってハードウェアの物理的損傷はSQLインジェクション攻撃の影響として適切ではありません。

正解

1. ブラインドSQLインジェクション

解説
SQLインジェクション攻撃の種類にはブラインドSQLインジェクションが含まれます。これはエラーメッセージが表示されない場合でも、データベースの情報を引き出すために使用されます。

ローカルファイルインクルージョンやサービス拒否（DoS）攻撃は、SQLインジェクションとは異なる攻撃手法です。

ブラインドSQLインジェクションは攻撃者がデータベースの構造や内容を推測するために用いる一般的な手法です。