基本情報技術者 試験情報＆徹底解説 -新制度に完全対応-

　セキュリティ事故の対応に関する次の記述を読んで，設問1～4に答えよ。

　自転車用品の中堅通信販売会社のD社では，顧客からの注文を郵便及び電話で受け付けていた。顧客へのサービスの拡大を目的として，インターネットを利用した会員制のサービスを開始することとした。
　会社の紹介だけを掲載していた従来のWebサイトを改修し，Webサイトでの会員情報の登録及び修正，会員に対するWebサイトでの商品の販売並びに会員向けのメールマガジン送付の登録を行う。
　なお，Webサイトでの商品の販売における決済手段はクレジットカードだけとする。
　改修後のWebサイトは，D社のDMZ上に設置されたWebサーバと，社内LAN内に設置されたデータベースサーバで構成される。データベースサーバのデータは平文で保存しており，会員情報の登録及び修正，商品の販売並びに会員向けのメールマガジン送付の登録を行う際には，SSLによってネットワーク経路の暗号化を行う。

〔会員情報の登録〕
　D社では，Webサイトで取得する個人情報の利用目的を，注文の受付，決済，商品の配送，及びメールマガジンの送付に限定し，会員登録の希望者に対し，登録時に利用目的を通知して同意を得ることとした。同意を得た会員に対しては，会員情報として次の情報を登録してもらうこととした。

【全員に登録してもらう情報】

利用者ID，パスワード，メールアドレス，メールマガジン送付の有無

【任意に登録してもらう情報】

性別，生年月日

【商品を購入する会員に登録してもらう情報】

氏名，配送先住所，電話番号，クレジットカードの発行会社名，
クレジットカード番号，クレジットカードの有効期限

〔セキュリティ事故の発生〕
　複数の会員から，"D社のサービスに登録したメールアドレス宛てに迷惑メールが大量に送られてくるようになった"との連絡がお客様相談窓口に入った。さらに，連絡があった会員のうち数名については，迷惑メールの宛先メールアドレスはD社以外のサービスでは利用していないことが分かった。
　この報告を受けてD社の情報システム部のY部長は，会員情報が漏えいしている可能性があると判断した。また，会員情報として登録されているクレジットカード情報が漏えいしていることも考えられると判断した。そこで，情報システム部のWebサイト担当者Z氏に対し，Webサイトを停止して調査するよう指示した。
　Z氏の調査の結果，D社のWebサイトにおいて，会員が利用者IDとパスワードの入力を行うログインの処理に不備があり，外部からSQLインジェクション攻撃を受けていたことが判明した。

〔セキュリティ事故への対応〕
　Z氏は，一般的なWebサイトにおけるセキュリティ事故に関して考えられる対策と対応を調査し，今回のセキュリティ事故において会員とWebサイトに対して必要と思われる対策と対応を表1にまとめて，Y部長に報告した。　Y部長は，表1の⑦は実施を見合わせ，Z氏に①～⑥の実施を急がせるとともに，更なる情報セキュリティ対策の実施を指示した。

今回受けたSQLインジェクション攻撃に関する記述として適切な答えを，解答群の中から選べ。

表1中の③に関して，今回のセキュリティ事故の対応として適切な答えを，解答群の中から選べ。

表1中の⑦に関して，Y部長が実施を見合わせた理由として適切な答えを，解答群の中から選べ。

Y部長は，Z氏に事故の再発防止のために更なる情報セキュリティ対策の実施を指示した。次の記述中の　に入れる適切な答えを，解答群の中から選べ。

〔SQLインジェクション攻撃への追加対策〕
　SQLインジェクション攻撃は，システム開発の際にセキュリティを考慮した設計及び実装を行うことで回避できる。例えば，aことで，アプリケーション開発時に脆(ぜい)弱性が作り込まれる可能性を減らすこととする。

〔会員情報に対するその他のセキュリティ対策〕
　会員情報を格納したデータベースサーバへの不正アクセス対策として，bこととする。また，情報漏えいが発生した場合の原因の分析や犯人の追跡を行うための証拠の確保には，cを行うこととする。