ECサイトの脆弱性に対処する組織｜科目B情報セキュリティを解くための重要用語

問題（出典：2022年12月公開サンプル問題セット問17）

製造業のA社では，ECサイト（以下，A社のECサイトをAサイトという）を使用し，個人向けの製品販売を行っている。
Aサイトは，A社の製品やサービスが検索可能で，ログイン機能を有しており，あらかじめAサイトに利用登録した個人（以下，会員という）の氏名やメールアドレスといった情報（以下，会員情報という）を管理している。Aサイトは，B社のPaaSで稼働しており，PaaS上のDBMSとアプリケーションサーバを利用している。

A社は，Aサイトの開発，運用をC社に委託している。A社とC社との間の委託契約では，Web アプリケーションプログラムの脆弱性対策は，C社が実施するとしている。

最近，A社の同業他社が運営しているWebサイトで脆弱性が悪用され，個人情報が漏えいするという事件が発生した。そこでA社は，セキュリティ診断サービスを行っているD社に，Aサイトの脆弱性診断を依頼した。脆弱性診断の結果，対策が必要なセキュリティ上の脆弱性が複数指摘された。図1にD社からの指摘事項を示す。

【設問】
図1中の各項番それぞれに対処する組織の適切な組合せを，解答群の中から選べ。

【解答群】

ECサイト

意味「EC（Electric Commerce＝電子商取引）サイト」は、自社の製品やサービスをインターネット上で販売するためのWebサイトです。この問題では、ECサイトであることは、設問には関係ありません。

脆弱性

意味「脆弱性」は、プログラムに欠陥や不具合があることが原因で、外部からの攻撃を防げないことです。「セキュリティホール（セキュリティ上の欠陥）」とも呼ばれます。この問題では、OS、DBMS、Aサイトに脆弱性があります。

OS

意味「OS（Operating System）」は、コンピュータを操作するための基本機能を提供するソフトウェアです。OSの上で動作するソフトウェアをアプリケーションと呼びます。この問題では、OSがPaaSとして提供されています。したがって、OSの脆弱性は、PaaSを提供している組織が対処するべきです。PaaSという用語の意味は、後で説明します。

DBMS

意味「DBMS（Data Base Management System）」は、データベースの機能を提供するソフトウェアです。DBMSは、OSでもなく、アプリケーションでもなく、それらの間に存在するものなので、「ミドルウェア」と呼ばれます。この問題では、DBMSがPaaSとして提供されています。したがって、DBMSの脆弱性は、PaaSを提供している組織が対処するべきです。

アプリケーションサーバ

意味「アプリケーションサーバ」は、アプリケーションを実行する機能を持ったサーバです。DBMSと同様に、アプリケーションサーバもミドルウェアです。この問題では、アプリケーションサーバがPaaSとして提供されています。したがって、アプリケーションサーバの脆弱性は、PaaSを提供している組織が対処するべきです。

PaaS

意味「PaaS（Platform as a Service）」は、アプリケーションを実行するための土台となるハードウェア、OS、ミドルウェア（DBMSやアプリケーションサーバなど）を、ネットワーク上のサービスとして提供します（アプリケーションは提供しません）。この問題では、B社のPaaSを使って、A社のECサイト（Webアプリケーション）を稼働させています。したがって、PaaSに関する脆弱性は、PaaSを提供しているB社が対処するべきです。

クロスサイトスクリプティング

意味「クロスサイトスクリプティング」は、悪意のあるWebサイトを経由して、脆弱性のあるWebサイトに接続し、そこで悪意のあるスクリプト（HTMLやプログラム）を実行する攻撃です。この問題では、Aサイト（アプリ）にクロスサイトスクリプティングの脆弱性があります。