個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第70問: IPA「安全なウェブサイトの作り方（改訂第7版）」が、SQLインジェクションの脆弱性への対策のうち「根本的解決」として挙げているものはどれか。

正解: 2. データベースへの命令文は全てプレースホルダを用いて組み立て、値は機械的な処理で割り当てる

同書は脆弱性対策を、脆弱性を作り込まない実装である「根本的解決」と、攻撃による影響を軽減する「保険的対策」に分けています。1.1 SQLインジェクションでは、根本的解決として、SQL文の組み立ては全てプレースホルダで実装すること（肢2）や、文字列連結で組み立てる場合はエスケープ処理等を行うデータベースエンジンのAPIで正しくリテラルを構成することを挙げています。エラーメッセージをそのままブラウザに表示しないこと（肢1）と、データベースアカウントに適切な権限を与えること（肢3）は保険的対策です。WAF（肢4）は、同書2.6で実装面とは別の運用面の対策とされています。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: SQLインジェクション・根本的解決・保険的対策・WAF