セキュリティは製品名を覚える問題ではありません。まず守りたい情報やサービスを決め、想定する脅威と、対策が直接防ぐことを対応させます。認証と認可、機密性と可用性のように似た言葉を「何を確認するか」で分けると、事例問題を読みやすくなります。
この分野で身に付けること
- 認証と認可の違いを、画面とAPIの両方で説明できる。
- 機密性、完全性、可用性のどれを主に守る対策か考えられる。
- インシデント事例で、原因に直接効く対策を選べる。
1. 認証の後にも、認可が必要になる
認証は利用者が誰かを確認することです。パスワードや多要素認証などを使って本人性を確かめます。一方で認可は、確認できた利用者に、そのデータの閲覧や変更を許すかを決めることです。ログイン済みであっても、他人の申請書を読めてよいとは限りません。
画面でボタンを隠すだけでは、直接APIを呼び出す経路を防げません。対象のデータを返す側で、利用者と対象の関係を確認する必要があります。問題では「誰がログインしたか」と「何を操作できるか」が別に書かれていないかを探してください。
2. 何を守るための対策かを言葉にする
機密性は、許可されていない相手に情報を見せないことです。完全性は、情報が勝手に変えられず正しい状態を保つこと、可用性は、必要なときに利用できることです。一つの対策が複数の性質に役立つ場合もありますが、設問では最も直接の目的を問うことが多いです。
暗号化は盗み見への対策になっても、バックアップの削除まで防ぐとは限りません。バックアップを取っても、同じ管理権限で消せる場所にしか置かれていなければ、ランサムウェア被害から復旧できないことがあります。対策の名前ではなく、攻撃の経路と影響範囲を対応させます。
3. ログは、原因と影響を確かめる材料になる
インシデント対応では、慌てて設定を変える前に、いつ、誰が、どの操作をしたのかを確認する必要があります。ログは、調査、検知、再発防止のための手掛かりです。ただし、必要なログを取ることと、個人情報や秘密情報を無制限に保存することは別であり、目的と保管方法を考えます。
設問の対策を選ぶときは、発生前の予防、発生中の検知、発生後の復旧のどの段階かも確認します。多層的な対策が必要な実務でも、問題では「この直接原因を減らすには何が必要か」という問いに戻ると選択肢を絞れます。
用語・考え方の比較
| 用語 | 確認すること | 例 |
|---|---|---|
| 認証 | 利用者は誰か | パスワードと追加要素で本人を確認する |
| 認可 | その利用者に何を許すか | 本人の申請だけを閲覧できるようにする |
| 監査 | 誰が何をしたかを追えるか | 操作ログを記録して調査に使う |
例：同じログイン状態でも、申請の所有者が変われば拒否する
社内の学習用申請システムに、申請A101（所有者u17・金額6,000円）と申請A102（所有者u42・金額9,000円）があるとします。閲覧できるのは申請の所有者本人だけで、管理者の例外はありません。利用者u17がログイン中です。この架空のシステムを題材に、画面の一覧だけでなくデータを返すサーバ側の判定を考えます。
- 本人確認の結果は、サーバが検証したログインセッションからu17と確定します。要求に書かれたuserIdをそのまま信用してはいけません。認可の条件は「ログイン利用者ID = 取得した申請の所有者ID」です。
- 自分の申請A101への要求では、u17 = u17が真なので許可します。この例の応答はHTTP 200で、A101のデータだけを返します。
- 対象IDをA102に変えた要求では、ログイン済みでもu17 = u42は偽です。この例ではHTTP 403で拒否し、A102の金額・所有者情報を返しません。権限のない対象の存在を隠すため404を返す設計もありますが、データを返さないという条件は同じです。
- 未ログインの要求は、所有者との比較に進む前に本人確認ができず、この例ではHTTP 401で拒否します。「未ログイン」「本人の申請」「他人の申請」の3ケースをそれぞれ確かめます。
- A102を表示しない画面にしても、要求の送信先でこの判定が抜けていれば情報漏えいを防げません。データを返す各経路で権限を確認し、許可条件を満たさない場合は拒否する設計にします。
ここで確認：u17としての本人確認は成功していても、A102の閲覧は不許可です。ログインできること、一覧に見えること、対象データを読めることを分け、利用者と対象の組合せで許可を判断します。
確認してから、演習へ進む
間違えやすいポイント
- HTTPSを、利用者の権限を判定する仕組みだと考えない。
- 暗号化だけで削除・改ざん・停止の全てを防げると考えない。
- ランダムなIDを使うことを、認可の代わりにしない。
自分で確かめる三つの手順
- 事例ごとに、守る対象、脅威、直接の対策を三列で書く。
- 認証、認可、監査のどれが欠けているかを短い文章で答える。
- 予防・検知・復旧のいずれかを、各対策に一つずつ付ける。
具体的なデータで、手を動かしてみよう
途中の表と解答を照合できる実習です。まず紙に自分の考えを書き、確認問題で条件を変えた場合も考えてみましょう。
この分野の演習問題
ガイドを読んだ後は、対応する10問で、理由を説明しながら理解を確かめましょう。 正答率は振り返りのための記録であり、本試験の評価点や合否を予測するものではありません。
範囲と参照資料
このページは本サイト独自の学習用解説です。試験範囲や用語の最終確認には、IPA：試験要綱・シラバス ↗を確認してください。制度や出題範囲は変更されることがあります。