情報セキュリティ監査・法務・先端技術監査重要度:★★★出題: AM2・PM1・PM2

外部公開Web・オープンAPI連携のセキュリティ監査

がいぶこうかいゑぶおーぷんえーぴーあいれんけいのせきゅりてぃかんさ / Public Web Application and Open API Security Audit

インターネット上に公開するWebシステムや外部事業者と連携するオープンAPIについて、認証・認可（OAuth 2.0等）、通信暗号化、入力値検証、レート制限、および脆弱性診断の実施状況を検証する監査です。

3行速習ポイント

インターネット上に公開するWebシステムや外部事業者と連携するオープンAPIについて、認証・認可（OAuth 2.0等）、通信暗号化、入力値検証、レート制限、および脆弱性診断の実施状況を検証する監査です。
平成31年問1（オープンAPIのセキュリティ監査）や令和4年問3（Webサーバのセキュリティ監査）で出題された実践的テーマです。
試験対策：午後I・午後IIにおいて、外部とのデジタルエコシステム連携（API公開）を進める際の「ビジネス利便性とセキュリティ統制の両立」を監査する視点として重要です。

図解

図外部公開Web・オープンAPIにおける多層セキュリティ監査の構造階層・レイヤ構造

接続審査・認証認可から入力制御・レート制限・脆弱性診断・ログ監視まで

診断・常時監視

第3層：公開前脆弱性診断と稼働後の不正通信モニタリング

専門診断による脆弱性潰し込みとAPIゲートウェイログの異常検知

リリース前の脆弱性診断報告書と改修結果を確認し、稼働後はAPIゲートウェイやWAFのログから不審な大量呼び出しや認可エラー急増を監視しているか検証する。

⇅ レイヤ間連携・制御境界

認証・流量統制

第2層：認証・認可（最小スコープ）とレート制限の実装

OAuth 2.0トークン制御・オブジェクト単位認可・スロットリング

API設計書とゲートウェイ設定を閲覧し、連携先ごとに必要最小限のデータのみ参照できる認可制御と、単位時間あたり呼び出し上限（レート制限）を確認する。

⇅ レイヤ間連携・制御境界

事業者審査・契約

第1層：連携先事業者のセキュリティ審査とAPI利用規約・契約

接続先におけるトークン・取得データの管理体制と利用停止権限

連携先事業者のセキュリティ水準審査記録、秘密保持契約、および不正利用検知時に即座にAPIトークンを失効・遮断できる規約条項が整備されているか確認する。

💡 午後I平成31年問1では、オープンAPI公開に伴う「連携先事業者の審査」「アクセス制御・認証方式」「不正アクセス・異常トラフィックの監視」が問われました。

概要と本質

インターネット上に公開するWebシステムや外部事業者と連携するオープンAPIについて、認証・認可（OAuth 2.0等）、通信暗号化、入力値検証、レート制限、および脆弱性診断の実施状況を検証する監査です。平成31年問1（オープンAPIのセキュリティ監査）や令和4年問3（Webサーバのセキュリティ監査）で出題された実践的テーマです。

重要ポイント・コア概念

API連携におけるクライアント認証・認可スコープの最小化、アクセストークンの有効期限管理、通信のTLS暗号化、および過剰リクエストを防ぐレートリミット設定の確認
公開前および大幅改修時における第三者専門機関等によるWeb/API脆弱性診断（ペネトレーションテスト）の実施と、検出された脆弱性の改修完了確認
定量的効果・監査目標例：外部連携APIの公開前ゲート審査に「認可スコープ検証・レート制限設定・脆弱性診断のCritical/Highゼロ確認」を必須化し、API経由の情報漏えい・DoS被害を0件に抑止