午後II 問1 協力会社とのファイルの受渡し

最近のクロスサイトスクリプティング（XSS）対策は，XSSフィルタからContent-Security-Policy（CSP）に移行しているが，Webサイトを作成する技術者にはその状況があまり知られていないのが現状である。また，Webアプリケーションプログラムの脆弱性対策の負荷を避けるためSaaSの利用が進んでいるが，利用に当たっては事前のリスク分析が重要である。 本問では，Webアプリケーションプログラムを題材に，CSPを利用した脆弱性対策の能力を問う。また，SaaSへの移行に当たってのリスク分析の能力とリスク対策の立案能力について問う。

問1では，Webアプリケーションプログラムを題材に，Content-Security-Policy（CSP）を利用した脆弱性対策と，SaaSに移行するときのリスク分析について出題した。全体として，正答率は平均的であった。 設問2(2)及び(3)では，CSPがクロスサイトスクリプティング（XSS）脆弱性を防ぐ仕組みを理解できていないと思われる解答が一部に見られた。従来型のコンテンツにCSPを適用するためにはコンテンツの修正が必要ではあるが，XSSによって被害が発生する可能性は著しく低くなる。CSPの適用は，有効な手段であるので，この仕組みを理解しておいてほしい。 設問5(2)は，全体的に正答率が高かったが，FIDO認証器の利用状況を想定できていないと思われる解答が一部に見られた。リスク分析は，対象となる情報システムの利用状況に基づいて行うものであり，あらかじめよく整理しておくことを心掛けてほしい。