個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第42問: IPA「安全なウェブサイトの作り方」で、保険的対策の一つとして「エラーメッセージをそのままブラウザに表示しない」ことが示されている脆弱性はどれか。

正解: 2. SQLインジェクション

IPA「安全なウェブサイトの作り方」は、SQLインジェクションの保険的対策として、エラーメッセージをそのままブラウザに表示しないこと（1-(iii)）を挙げています。エラーメッセージにデータベースの種類やエラーの原因、実行エラーを起こしたSQL文などが含まれると、攻撃の手がかりを与え、攻撃の結果を表示する情報源にもなるためです。SQLインジェクションは、データベースに保存された個人データの大量漏えいにつながる典型的な脆弱性で、その根本的解決には、SQL文の組み立てを全てプレースホルダで実装すること（1-(i)-a）などがあります。ほかの肢の根本的解決には、クロスサイト・スクリプティングではウェブページに出力する全ての要素へのエスケープ処理（5-(i)）など、OSコマンド・インジェクションではシェルを起動できる言語機能の利用を避けること（2-(i)）、クリックジャッキングではX-Frame-Optionsヘッダによる他ドメインのサイトからの読み込みの制限（9-(i)-a）などがあります。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: 安全なウェブサイトの作り方・保険的対策・根本的解決・エラーメッセージ・プレースホルダ