問3 継続的インテグレーションサービスのセキュリティ

クラウドサービスが広く浸透している。様々なクラウドサービスの活用は，組織に多くの利便性をもたらす一方で，クラウドサービスで発生したインシデントが，自組織にも影響を及ぼし得る。このようなインシデントが発生した場合，迅速に状況を把握し，影響を考慮して対処することが重要である。 本問では，継続的インテグレーションサービスを提供する企業とその利用企業におけるインシデント対応を題材に，攻撃の流れと波及し得る影響を推測し，対策を立案する能力を問う。

問3では，継続的インテグレーションサービスを提供する企業とその利用企業におけるセキュリティインシデント対応を題材に，クラウドサービスを使ったシステムで起こりうる攻撃手法とその防御について出題した。全体として正答率は平均的であった。 設問1は，正答率がやや低かった。コンテナにおけるシステムの動作は，仮想化技術の基本である。どのような権限や仕組みによって実行されるか，コンテナを使ったシステムの構成及び特性をよく理解してほしい。 設問2(5)は，正答率が低かった。WebAuthnをクライアント証明書認証やリスクベース認証などほかの認証方法と誤認した解答が多かった。WebAuthnはフィッシング耐性がある認証方法である。Passkeyという新たな方式も登場し，普及し始めている。ほかの認証方法とどのように異なるのか，技術的な仕組みを含め，よく理解してほしい。 設問3(3)は，正答率がやや低かった。“電子署名を暗号化できる”，“秘密鍵が漏えいしても安全である”などといった，暗号技術の利用方法についての不正確な理解に基づく解答が散見された。HSMを使うセキュリティ上の利点に加えて，暗号技術の適正な利用方法についても，正確に理解してほしい。