個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第44問: IPA「安全なウェブサイトの作り方」は、脆弱性を作り込まない「根本的解決」と、攻撃による影響を軽減する「保険的対策」を併せて採用することが有効な場合もあるとして

正解: 2. HTTPヘッダ・インジェクション対策として、外部からの入力の全てについて改行コードを削除する

IPA「安全なウェブサイトの作り方」は、脆弱性を作り込まない実装を根本的解決、攻撃による影響を軽減する対策を保険的対策とし、保険的対策のみに頼る設計は推奨されないとしたうえで、根本的解決の実装に漏れが生じた場合のセーフティネットとして、両者を併せて採用することが有効な場合もあるとしています。対策を重ねるという点で多層防御の考え方に通じます。HTTPヘッダ・インジェクションでは、ヘッダ出力用APIを使用すること（7-(i)-a）などが根本的解決で、外部からの入力の全てについて改行コードを削除すること（7-(ii)）は保険的対策です。1のプレースホルダ（SQLインジェクション、1-(i)-a）、3の出力する全ての要素へのエスケープ処理（クロスサイト・スクリプティング、5-(i)）、4のセッションIDを推測が困難なものにすること（セッション管理の不備、4-(i)）は、いずれも根本的解決とされています。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: 安全なウェブサイトの作り方・根本的解決・保険的対策・多層防御