セキュリティ実装技術・評価

問題

1. SQLインジェクション対策会員向けWebサイトの改修を外部に委託している。納品前の確認で、検索機能が入力値を文字列連結してSQL文を組み立ててい…
2. 共通脆弱性評価システム（CVSS）社内で使っている業務ソフトウェアについて、ベンダーからCVE番号付きの脆弱性情報が届いた。情報セキュリティ担当者が、自…
3. 脆弱性診断（1）公開前の新しいWebシステムについて、外部の専門事業者に検査を依頼する。目的は、作り込まれた脆弱性をできるだけ漏れなく…
4. RAG用のデータ及びデータストアへのアクセス制御全部署の社内文書を検索用のデータストアに取り込み、生成AIが根拠を引いて回答する社内チャット（RAG）を全社員に公開す…
5. JC-STAR事業所に設置するネットワークカメラを新たに調達する。総務部の担当者から、候補製品のJC-STARのラベルをどう読めばよ…
6. AI for Security（1）AIとセキュリティが関わる次の事例のうち、AIを使ったセキュリティ技術（AI for Security）にあたるものは…
7. クロスサイトスクリプティング対策社内掲示板の改修で、開発担当者から「投稿は登録時に入力チェックしているので、データベースから読み出した本文は、そのまま…
8. バッファオーバーフロー対策C言語で書かれた部品を含むWebアプリケーションを改修する。IPA「安全なウェブサイトの作り方」で、バッファオーバーフ…
9. セキュアプログラミング社内システムの開発部門に、セキュアプログラミングの徹底を求めることになった。セキュアプログラミングの説明として、最も適…
10. 安全なウェブサイトの作り方会員がプロフィールに登録したURLを、他の会員向けにリンクとして表示する機能がある。出力時のエスケープは実施済みだが、…
11. CVSS社内で使っている製品に、CVSSの基本評価の値が同じ脆弱性AとBが見つかった。Aは攻撃コードが公開され悪用も確認されて…
12. ペネトレーションテストクラウドサービス上で運用している自社の顧客管理システムについて、外部の専門事業者にペネトレーションテストを委託すること…
13. 脆弱性診断（2）自社の会員向けWebサイトの脆弱性診断で指摘された脆弱性について、開発部門から「すべて修正した」と報告があった。情報セ…
14. JVN自社が販売するソフトウェア製品の脆弱性について、発見者からIPAへ届出があり、JPCERT/CCから調整の連絡を受けた…
15. AI for Security（2）社内の端末監視に、AIで不審な振る舞いを検知し、対処まで自動で行える製品を導入する。対処には端末のネットワーク隔離やア…
16. 誤検知AIでメールの不審さを点数化し、しきい値を超えたものを隔離する仕組みを使っている。正常なメールの隔離が多いため、しきい…
17. プロンプトインジェクション対策社外のWebページを読んで要約し、内容に応じて社内の問合せチケット起票やメール送信まで行うAIエージェントを導入する。…
18. RAGのアクセス制御RAG用に社内文書を埋込み（ベクトル）に変換して格納したデータベースを、開発チームが検証のため全社員が読み取れる設定に…
19. IoTのセキュリティ事業所に設置したネットワークカメラ20台が外部の攻撃者に乗っ取られ、他組織への大量の通信に使われていた。調べると、全台…
20. 制御システムのセキュリティ工場の生産ラインを制御するPCのOSに脆弱性が公表された。制御用ネットワークはインターネットに直接つながっていないが、…

この中分類の出題範囲

シラバスの小分類と項目です。数字は収録している問題数。

セキュア開発・実装

• セキュリティに配慮したシステムアーキテクチャ及びシステム構築3問
• AIシステムを守るための対策（Security for AI）3問
• アプリケーション開発のセキュリティ5問
• IoT・制御システムのセキュリティ3問

セキュリティ評価

• 脆弱性評価6問