令和7年度春期情報処理安全確保支援士（午後試験問1）解説

Last updated at 2026-10-30Posted at 2026-10-29

令和7年度春期情報処理安全確保支援士（午後試験問1）解説

テーマ: サプライチェーンリスク・セキュリティ・バイ・デザイン・再委託先管理・外部スクリプト・SBOM・アカウント管理・アクセスログ・SAST・CI/CD

この問題の全体像
本問は、システム開発企業L社がサプライチェーンリスク対策のガイドラインを作成し、過去のインシデントと開発中のシステムSを題材に、ガイドラインの有効性と実際の対策状況を確認する問題です。前半では、セキュリティ・バイ・デザイン、再委託先管理、外部スクリプトの管理を扱います。後半では、SBOM、アカウントの責任追跡性、アクセスログ、SASTとCI/CDを扱います。

表記について
「問題文からの引用」は、問題冊子の本文、表又は図から、解答根拠となる箇所を引用形式で示しています。引用後の「着眼点・注目ポイント」で読み方を整理し、その後に正解と解説を示します。

設問1 〔ガイドラインの作成〕について

1. (1) 下線①のセキュリティ・バイ・デザインについて

問題文からの引用

「①セキュリティ・バイ・デザインの考え方を一部取り入れました。」

表1の開発工程では、「システムの仕様、機能を精査し、不要な機能やセキュリティ上の欠陥がないことを設計書から確認すること」としている。

着眼点・注目ポイント
問われているのは、セキュリティ・バイ・デザインの一般的な定義です。「設計後に診断する」のではなく、企画・設計という上流工程からセキュリティを組み込む考え方を答えます。

正解: 企画・設計工程からセキュリティ対策を組み込むという考え方
解説: セキュリティ・バイ・デザインは、システムの企画・設計段階からセキュリティ要件や対策を組み込み、開発後に対策を付け足すのではなく、早い段階でリスクを洗い出して対策することで、後工程の手戻りや脆弱性の作り込みを抑える考え方です。本問の表1では、設計書を用いて不要な機能やセキュリティ上の欠陥がないことを確認する項番9が、具体的な取組に当たります。

不十分になりやすい解答: 「開発時にセキュリティを確認する」だけでは、企画・設計工程から組み込むという特徴が表れません。「上流工程」又は「企画・設計工程」を明記します。

2. (2) 下線②で契約書に明記すべき事項について

問題文からの引用

「項番5には、②業務委託先が再委託を行う場合に備えて、L社と業務委託先との間の契約書に明記すべき事項を具体的に示しておくとよいでしょう。」

表1の項番5：「業務委託先でのセキュリティ管理に関する要件を、業務委託先との契約に含めること」

着眼点・注目ポイント
再委託によって、L社が業務委託先へ要求した対策が途切れないようにする必要があります。解答条件は50字以内です。

正解: L社の業務委託先に要求する対策と同等のセキュリティ対策を再委託先にも要求させること
解説: 業務委託先だけが対策を実施しても、再委託先の管理が弱ければ、再委託先を起点としてサプライチェーン全体が侵害される可能性があります。そこで、L社が業務委託先に課すセキュリティ要件を、業務委託先から再委託先にも課すことを契約上の義務として明記します。

設問2 〔過去のインシデントの確認〕について

1. (1) 下線③の影響を受けない配置方法について

問題文からの引用

「スクリプトPは、T社が運営するサーバ（以下、サーバTという）に配置され、システムQにアクセスしたWebブラウザがスクリプトPを都度読み込むようにシステムQは構成されていました。」

「サーバTが乗っ取られてしまい、スクリプトPが改ざんされたことによって、システムQへの利用者のアクセスが悪意のあるWebサイトにリダイレクトされてしまいました。」

着眼点・注目ポイント
被害原因は、利用者のWebブラウザが、侵害されたサーバTからスクリプトPを都度読み込んだことです。実行時にサーバTから取得しない配置方法を答えます。

正解: スクリプトPをダウンロードしておき、システムQのサーバ上に配置する方法
解説: スクリプトPを事前に取得して、システムQの管理下にあるサーバから配信すれば、利用者のWebブラウザはサーバTへアクセスしません。そのため、その後にサーバT上のスクリプトPが改ざんされても、システムQのサーバに保存済みのスクリプトPは同時には書き換わりません。

補足: 自組織側に配置すれば全て安全になるわけではありません。取得したファイルの完全性確認、更新管理、脆弱性情報の監視は別途必要です。本設問では「サーバTの侵害による改ざんの影響を受けない配置」が論点です。

2. (2) 下線④でソースコードに加えた変更について

問題文からの引用

「Webブラウザ開発元での古いWebブラウザの公式サポートが終了していたことから、当社の対策としては、④システムQのソースコードに変更を加えて、古いWebブラウザのサポートを終了しました。」

着眼点・注目ポイント
スクリプトPは、古いWebブラウザをサポートするために読み込まれていました。サポートを終了するには、その読込み処理を削除します。

正解: スクリプトPを読み込む箇所をソースコードから削除する。
解説: システムQがスクリプトPを読み込まなければ、スクリプトPの改ざんによる影響を受けません。古いWebブラウザの公式サポートが終了していることから、互換性維持のための外部スクリプト自体を不要と判断した対策です。

3. (3) 下線⑤で修正した項番と修正内容について

問題文からの引用

「開発対象のSBOM作成機能でSBOMを作成していたとしても、スクリプトPはSBOMに含まれないので、インシデントは防げなかったでしょう。」

「⑤SBOM以外の手段で、システムが利用している外部のスクリプトを把握できるよう、案の項目を一つ修正した。」

着眼点・注目ポイント
表1の項番1は、システムに関連する情報資産を一覧化する項目です。スクリプトPはプラットフォームGのリポジトリ内の構成要素ではなく、外部サービスから都度読み込まれるため、開発対象のSBOMだけでは把握できません。

正解:
- 項番: 1
- 修正内容: 連携している外部サービスを管理対象に含める。
解説: 項番1の情報資産一覧へ、システムが依存する連携している外部サービスを追加します。これにより、サーバTの侵害情報が公表された際に、システムQが当該サービスを利用していることを特定し、影響調査につなげられます。

SBOMとの役割の違い: 本問のSBOM作成機能は、プラットフォームG上のリポジトリ内のソースコードとライブラリを一覧化します。一方、外部サーバから実行時に読み込むスクリプトは対象外です。そのため、SBOMだけに依存せず、外部連携先も資産・依存関係として管理する必要があります。

設問3 〔ガイドラインを用いた点検の実施〕について

1. (1) 表2のア～エに入る図1の項番について

問題文からの引用

表2では、表1の項番2、5、9、15について、図1のどの項番を確認したかをア～エに記入する。

着眼点・注目ポイント
表1の対策内容と、図1の説明を対応付けます。単語の一致だけでなく、「アカウント」「委託契約」「設計時の確認」「インシデント対応手順」という役割で照合します。

正解: ア：10、イ：4、ウ：5、エ：11

空欄	表1の項番	図1の項番	対応する確認内容
ア	2	10	踏み台サーバのアカウントと利用者の特定
イ	5	4	業務委託先との契約に含めるセキュリティ要件
ウ	9	5	脅威モデリングと設計書の確認
エ	15	11	インシデント対応手順書と連絡フロー

対応関係の解説

ア：10: 表1の項番2は、必要な利用者だけにアカウントを発行し、アカウントの利用者を特定できるようにする対策です。図1の項番10には、踏み台サーバで会社ごとの共用アカウントを使用し、ログインごとに利用記録簿へ記載する運用が示されています。
イ：4: 表1の項番5は、業務委託先のセキュリティ管理要件を契約に含める対策です。図1の項番4には、派遣元・業務委託先との契約内容に加え、N社の契約順守状況を定期監査することが示されています。
ウ：5: 表1の項番9は、仕様・機能を精査し、不要な機能やセキュリティ上の欠陥がないことを設計書から確認する対策です。図1の項番5には、要件定義段階の脅威モデリングと設計段階の設計書確認が示されています。
エ：11: 表1の項番15は、インシデント対応手順書を作成する対策です。図1の項番11には、インシデント発生時の連絡フローと、システムSの担当者がハンドリングすることが示されています。

2. (2) 表2のa～cに入る確認結果又は問題点について

問題文からの引用

図1の項番10：「踏み台サーバには、L社、業務委託先など会社ごとに発行した共用アカウントでログインするが、ログインごとに、利用記録簿に記載する。」

図1の項番5：「要件定義段階での脅威モデリング及び設計段階での設計書の確認を行い、不要な機能やセキュリティ上の欠陥がないことを確認する。」

図1の項番11：「インシデント発生時にL社のシステムSの担当者に連絡するための業務フローがインシデント対応手順書に定められている。」

着眼点・注目ポイント
表1の要求と図1の実態を比較します。項番2では、アカウントだけから利用者を特定できるかがポイントです。項番9と15は、図1の記載で要求を満たしています。

正解:

空欄	確認結果又は問題点
a	開発環境の踏み台サーバで共用アカウントを利用している。
b	問題なし。
c	問題なし。

解説: aについて、利用記録簿はありますが、踏み台サーバ上では会社ごとの共用アカウントを使用しています。表1の項番2が求める責任追跡性の観点では、アクセスログに記録される共用アカウントだけでは、実際に操作した個人を直接特定できないことが問題です。利用記録簿との突合せが必要になるため、責任追跡性が弱くなります。一方、bは脅威モデリングと設計書確認、cはインシデント対応手順書及び担当者への連絡フローが記載されているため、問題なしと判断します。

「問題なし」の意味: 対策が完全無欠という意味ではなく、表1の該当項番について、図1の記載から要求を満たしていると判断できるという意味です。

設問4 〔SBOMによる脆弱性管理〕について

1. 下線⑥で脆弱性管理がしやすくなる理由について

問題文からの引用

「SBOMを利用すると、⑥将来、脆弱性管理がしやすくなります。」

「開発対象のSBOM作成機能はプラットフォームG上のリポジトリサーバ内のソースコード及びライブラリをシステム構成要素として一覧化する。」

着眼点・注目ポイント
SBOMによって何が明確になるか、その情報が脆弱性情報との照合にどう役立つかを答えます。

正解: 利用しているソフトウェアやそのバージョンが明確になり、脆弱性の影響有無を容易に把握できるから
解説: SBOMには、システムを構成するソフトウェアやライブラリ、そのバージョンを記録します。特定の製品・バージョンに脆弱性が公表されたとき、SBOMと照合することで、システムSが対象の構成要素を利用しているかを確認しやすくなります。

注意: SBOMを作成するだけで、脆弱性が自動的に修正されるわけではありません。SBOMを最新に保ち、公表された脆弱性情報と照合し、影響調査と対応判断へつなげる運用が必要です。

設問5 〔開発工程のセキュリティ対策〕について

1. (1) 空欄dに入る図2中の名称について

問題文からの引用

「オフショア拠点から開発LANへのアクセスについてはVPN-GWでアクセスログを取得できているものの、社内からのアクセスについては取得できていません。」

「アクセスログは図2中の [ d ] で取得するのがよいでしょう。」

着眼点・注目ポイント
社内の従業員LAN・パートナーLAN、及びオフショア拠点から開発LANへ入る際に共通して通過し、利用者がログインする装置を図2から選びます。

正解: 踏み台サーバ
解説: 開発LAN上のサーバには、製品仕様上アクセスログを取得できないものがあります。一方、開発LANへのアクセス時には踏み台サーバへログインする構成です。踏み台サーバでアクセスログを取得すれば、従業員LAN、パートナーLAN、オフショア拠点のいずれから開発LANへアクセスする場合でも、共通の記録点を設けられます。

2. (2) 図3の（あ）でツールFを実行する利点について

問題文からの引用

ツールFは、「コンパイルエラーが解消されたソースコードに対してだけ正常な検査が可能」である。

図3の（あ）は、開発者の端末で「コンパイルの実行(1)」を行った後、「開発者によるテスト」を行う前に位置する。

着眼点・注目ポイント
（あ）は開発者の端末上で、リポジトリへアップロードする前です。エラーを早い段階で発見できる点が利点です。解答条件は40字以内です。

正解: ツールFで検知できるエラーをより早く発見することができる。
解説: 開発者がソースコードを修正してコンパイルを通した直後にSASTを実行すれば、リポジトリへのアップロードや後続工程へ進む前に問題を発見できます。修正担当者がすぐ対応しやすく、手戻りを小さくできます。

3. (2) 図3の（い）でツールFを実行する利点について

問題文からの引用

「プラットフォームGのCI/CDパイプラインの管理機能で、ツールFでのチェックを自動的に行うようなワークフローを構成することができる。」

図3の（い）は、プラットフォームG上の「コンパイルの実行(2)」後に位置する。

着眼点・注目ポイント
（い）はプラットフォームG上なので、CI/CDパイプラインの管理機能を利用できます。解答条件は40字以内です。

正解: CI/CDパイプラインの管理機能を使って自動実行することができる。
解説: プラットフォームGでは、複数の開発者の変更を反映したソースコードをコンパイルした後、ワークフローの一部としてツールFを自動実行できます。担当者の実行忘れを防ぎ、複数の開発者による変更を反映した統合後のソースコードへ、一貫して検査を適用できます。

（あ）と（い）の比較: どちらも「コンパイルエラー解消後」というツールFの実行条件を満たします。主な違いは、（あ）が早期発見を重視し、（い）が自動化と統合後の検査を重視する点です。

実行位置	主な利点	留意点
（あ）開発者の端末	リポジトリへアップロードする前に問題を発見しやすい	各開発者が確実に実行する運用が必要
（い）プラットフォームG	CI/CDパイプラインで自動実行できる	開発者端末での実行より発見時点は後になる

問題全体のつながり

L社は、調達・開発・リリース／デプロイ・運用の工程に沿ってガイドラインを作成します。
再委託先までセキュリティ要件を伝達し、サプライチェーン全体を管理します。
過去のインシデントから、SBOMだけでなく、外部で連携するサービスも管理対象に含めます。
システムSを点検し、OSSライブラリの台帳未登録、共用アカウント、SBOM未作成などの問題を把握します。
踏み台サーバでアクセスログを取得し、責任追跡性を高めます。
SASTを人手レビューと組み合わせ、開発者端末での早期発見又はCI/CDでの自動実行につなげます。

学習上の重要ポイント

1. サプライチェーン管理は再委託先までつなげる

直接の業務委託先だけを管理しても、再委託先の対策が弱ければ侵害経路が残ります。契約を通じて、同等の要件を再委託先へ伝達します。

2. SBOMと外部サービス管理は補完関係にある

SBOMはソフトウェア構成要素の把握に有効ですが、本問の外部スクリプトのように、リポジトリ外から実行時に読み込む依存先を含まない場合があります。外部サービスや外部スクリプトも別途管理します。

3. 共用アカウントは責任追跡性を弱める

会社単位の共用アカウントでは、ログ上のアカウントと実際の利用者が一対一で対応しません。利用記録簿だけに頼らず、個人ごとのアカウントを用いることが基本です。

4. SASTの実行位置にはトレードオフがある

開発者端末で早く実行すれば、早期修正が可能です。CI/CDパイプラインに組み込めば、統合後のコードへ自動・継続的に適用できます。

解答一覧

設問1 (1): 企画・設計工程からセキュリティ対策を組み込むという考え方
設問1 (2): L社の業務委託先に要求する対策と同等のセキュリティ対策を再委託先にも要求させること
設問2 (1): スクリプトPをダウンロードしておき、システムQのサーバ上に配置する方法
設問2 (2): スクリプトPを読み込む箇所をソースコードから削除する。
設問2 (3): 項番1、連携している外部サービスを管理対象に含める。
設問3 (1): ア 10、イ 4、ウ 5、エ 11
設問3 (2): a 開発環境の踏み台サーバで共用アカウントを利用している、b 問題なし、c 問題なし
設問4: 利用しているソフトウェアやそのバージョンが明確になり、脆弱性の影響有無を容易に把握できるから
設問5 (1): d 踏み台サーバ
設問5 (2): （あ）ツールFで検知できるエラーをより早く発見できる、（い）CI/CDパイプラインの管理機能を使って自動実行できる

参照資料

IPA「令和7年度春期情報処理安全確保支援士試験午後試験問1」（問題文）
IPA「令和7年度春期情報処理安全確保支援士試験解答例」（問1の解答例・出題趣旨）

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up

令和7年度春期 情報処理安全確保支援士（午後試験 問1）解説