Webアプリケーションの脆弱性対策とECサイト決済保護

Webの弱点を防ぐでは、SQLi・XSS・CSRFの違いと、決済情報を扱う範囲を確認します。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

SQLi・XSS・CSRFの違いと、決済情報を扱う範囲を確認します。比較表と事例問題で確認した後は、正解以外の選択肢が条件に合わない理由も説明してみてください。

1. 三大Webアプリケーション脆弱性と根本対策

脆弱性	起きること	基本対策
SQLインジェクション	入力がSQLの構文として解釈され、意図しない処理を行う	値にはバインド機構を使う。列名等は許可リストなどで選ぶ
XSS	入力等がブラウザでスクリプトとして実行される	出力先の文脈に合ったエンコード、安全なDOM操作。必要なHTMLの許可範囲も制御する
CSRF	ログイン中のブラウザから、意図しない操作を送信する	CSRFトークン等の検証、適切なSameSite設定、重要操作の再確認

2. ECサイトにおける「クレジットカード情報の非保持化」

カード情報を自社で保存・処理・通過させない構成を採ると、自社が直接扱う範囲を減らせます。一方で、決済画面の改ざん、認証、注文情報やトークンの管理などの対策は引き続き必要です。非保持化だけで全ての事故を防ぐわけではありません。

トークン決済（JavaScript型）：顧客のブラウザから直接決済代行事業者のサーバへカード情報を送信し、代わりに無意味な文字列（トークン）を発行させて自社サーバで決済処理する仕組み。
リンク型決済（リダイレクト型）：決済画面自体を決済代行事業者のセキュアな画面にリダイレクトし、自社システムを完全にバイパスする方式。
PCI DSS（Payment Card Industry Data Security Standard）：カード情報を保持する事業者に課される国際的な厳格基準。

3. 科目B形式オリジナル実戦シナリオ演習

演習1：ECサイト構築における決済方式の選定

〔背景・企業概要〕A社はアパレル通販サイトを新規構築している。クレジットカード決済を導入するにあたり、セキュリティリーダーの甲さんは情報漏えいリスクを最小化する決済方式を検討している。

〔設問〕クレジットカード・セキュリティガイドラインが要求する「クレジットカード情報の非保持化」を満たす実装方式として、最も適切なものはどれか。

ア：顧客のカード番号と有効期限を自社のデータベースに暗号化せず平文で保存し、毎月末に社員が手動で決済端末に入力する。
イ：決済代行事業者が提供するトークン決済（またはリンク型決済）を採用し、自社サーバにカード情報を一切保存・処理・通過させないアーキテクチャを構築する。
ウ：カード番号の下4桁だけを紙のノートにメモしておき、残りの桁は破棄する。
エ：クレジットカードの代わりに、現金書留のみで決済を受け付ける。

正解：イ
根拠：顧客のカード情報を決済代行事業者へ直接送る構成は、自社サーバでカード番号を扱う範囲を減らします。具体的な非保持化の条件は実際の連携方式で確認します。自社ページを改ざんしてカード情報を盗む攻撃等にも対策が必要です。
確認する点：自社でカード情報を保持する構成を、単に暗号化したという理由で非保持化とは呼びません。

演習2：Webサイト改ざん・不正侵入を防ぐWAFの導入

〔背景・企業概要〕B社のコーポレートサイトでは、オープンソースのCMS（コンテンツ管理システム）を利用している。

〔課題〕CMS本体やプラグインに未知またはパッチ未適用の脆弱性が存在する可能性があり、外部からのSQLインジェクションや不正アクセスをネットワーク層だけでなくアプリケーション層でも防御したい。

〔設問〕B社がWebサーバの前段に導入すべきセキュリティ製品として、最も適切なものはどれか。

ア：パケットのポート番号のみを監視する従来のパケットフィルタ型ファイアウォール
イ：HTTP/HTTPS通信の内容（ペイロード）を解析し、SQLiやXSSなどの攻撃パターンを遮断するWAF（Web Application Firewall）
ウ：PCのディスプレイに貼る覗き見防止フィルター
エ：無停電電源装置（UPS）

【正解】：イ
【正解の理由】：WAFはOSI参照モデルのアプリケーション層（L7）でHTTP/HTTPSリクエストの中身を検査し、SQLインジェクションやXSS等のWeb攻撃を遮断する専用防御装置です。
【誤答解説】：アはポート80/443を通過するWeb攻撃を防げない。ウは物理セキュリティ。エは電源冗長化装置です。

4. まとめと重要チェックリスト

SQLiは構文と値の分離、XSSは出力先に合う処理、CSRFは意図した要求かの検証。
WAFは追加の防御策。更新や安全な実装の代わりにはならない。
非保持化しても、自社のページ、認証、注文情報等の保護は必要。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験シラバス Ver.4.1