個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第68問: IPA「中小企業の情報セキュリティ対策ガイドライン（第4.0版）」は、WAFについて、ある場所に設置することで、ウェブアプリケーションがやり取りするデータを監視

正解: 1. ファイアウォールやIDS/IPSとウェブサーバーの間

同ガイドライン第2部4.(2)①は、WAF（Web Application Firewall）を、ウェブアプリケーションの脆弱性を悪用した攻撃からウェブアプリケーションを保護する技術とし、例えばファイアウォールやIDS/IPSとウェブサーバーの間に設置することで、ウェブアプリケーションがやり取りするデータを監視して攻撃を検出できると説明しています（肢1）。外部との境界にはファイアウォールを置いて不正なアクセスを遮断し、WAFはその内側でウェブサーバーに届く通信の中身を検査する位置付けです。肢2〜4の場所は、同ガイドラインが示す設置の例ではありません。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: WAF・ファイアウォール・ウェブアプリケーション・IDS