[https://www.youtube.com/playlist?list=PLBEf19yigdPtrQ1um6eA-miw3AhBMN1hx:embed:cite]
この試験全体を貫く最大の特徴は、「個別技術の知識量」よりも「技術を組み合わせて合理的に説明する力」が重視されている点にあります。午後問題、とりわけ午後Ⅰ・午後Ⅱでは、特定の脆弱性名や規格名を答えるだけではほとんど得点にならず、その技術がなぜ必要なのか、どのような攻撃を前提に導入され、導入しなかった場合に何が起こるのかを、状況設定に即して説明できるかが問われてきました。
Webアプリケーションセキュリティは、ほぼ全期間を通じて最重要分野として扱われています。SQLインジェクションやXSS、CSRFといった古典的な攻撃が繰り返し出題されている理由は、これらが「今なお実務で頻発している」からであり、単なる歴史的知識ではないからです。特に近年は、DOM Based XSSのようにサーバ側だけでは防げない脆弱性や、SameSite属性やHttpOnly属性のようなブラウザ側制御を含めた多層防御が前提とされる問題が増えています。これは、Webセキュリティがもはやアプリケーション単体では完結せず、ブラウザ、フレームワーク、インフラ設定まで含めた総合設計の問題になっていることを反映しています。
OAuth 2.0やOpenID Connect、SAMLといった認証・認可連携技術も、近年の午後問題では定番となりました。ここで試験が問うているのは、規格書レベルの詳細暗記ではありません。認可と認証の違いを理解しているか、トークンがどの経路を通ってどの主体に渡るのか、stateやnonceが欠けた場合にどのような攻撃が成立するのか、といった「設計上の因果関係」を説明できるかどうかです。特にSAMLでは、IdPとSPが直接通信しないにもかかわらず、なぜブラウザを介して認証連携が成立するのかを理解していないと、通信経路遮断の設問やFW設定の設問で破綻した解答になりがちでした。
認証・ID管理の分野では、「パスワードの限界」が繰り返し問題文中で強調されています。ICカードとPKI、クライアント証明書、FIDOやWebAuthnといった技術が出題される背景には、パスワードが漏えいすること自体を前提にしたセキュリティ設計が必要になっている現実があります。FIDOやWebAuthnでは、秘密鍵がサーバに存在しない点、チャレンジレスポンスによってフィッシングが成立しない点が重要であり、単に「生体認証だから安全」という説明では不十分です。TPMについても、秘密鍵の保管場所としてだけでなく、起動プロセスの信頼性を担保する基盤としての役割を理解しているかが問われています。
メールセキュリティ分野では、SPF、DKIM、DMARCの三点セットが定着しました。試験では、それぞれが検証している対象が異なる点、どれか一つだけではなりすましを防ぎ切れない点が重要視されています。SPFが送信元IPとエンベロープFROMを検証し、DKIMが電子署名によって改ざん検知を行い、DMARCがそれらの結果を統合して受信側の処理方針を決める、という役割分担を理解していないと、なぜDMARCが必要なのかを説明できません。これは実務においても非常に重要な観点です。
ネットワークおよびインフラセキュリティでは、DNSと無線LANが繰り返し題材にされています。DNSキャッシュポイズニングについては、なぜ推測困難なトランザクションIDやソースポートランダム化が有効なのか、DNSSECがどのように署名検証を行うのかといったプロトコル理解が前提になります。DoHやDoTのような暗号化DNSは、直接の出題対象ではない年もありますが、DNS通信が盗聴・改ざんされ得るという前提を理解しているかどうかは、午後問題全体の理解度に大きく影響します。無線LANでは、KRACKsやWPA3の話題を通じて、「安全だと思われていた仕組みでも前提条件が崩れると脆弱になる」というセキュリティの本質が問われています。
クラウド、コンテナ、開発セキュリティの分野は、比較的新しいテーマですが、重要度は年々増しています。CI/CDパイプラインへの攻撃やコンテナイメージの脆弱性は、単一システムではなく「開発から運用までの流れ全体」を攻撃対象とする点が特徴です。試験では、コンテナが軽量であることの裏返しとして、ホストOSとの境界が弱くなり得る点や、特権モードの危険性など、利点と欠点を同時に説明できるかが問われています。CASBについても、単なるツール名ではなく、シャドーIT対策やクラウド利用統制という管理的視点を理解しているかが重要です。
マルウェアとインシデント対応は、午後Ⅱ問題の中心テーマの一つです。ランサムウェア、C&C通信、フォレンジックといったキーワードは、ほぼ全ての年度で形を変えて登場しています。ここで問われるのは、マルウェアの種類そのものよりも、感染後に何を優先して対応すべきか、どのログをどの順序で確認すべきか、証拠保全と業務継続をどう両立させるかといった実務的判断力です。フォレンジックにおいても、HDDイメージ取得やメモリダンプ取得の意味を理解せずに用語だけを書いても評価されません。
低レイヤーのメモリ脆弱性については、バッファオーバーフローを起点に、DEPやASLR、ROPといった攻防が繰り返し扱われてきました。重要なのは、「この対策があるから安全」と単純化せず、その対策がどの前提に依存しており、どのように回避され得るのかを説明できることです。DEPがコード実行を防ぐだけでデータ改ざん型攻撃は防げない点などは、典型的な出題ポイントでした。
総じて、この試験が一貫して受験者に求めているのは、個々の技術を点として覚えることではなく、それらを線や面として結び付け、「このシステム、この脅威、この制約条件の下では、なぜこの対策が妥当なのか」を論理的に説明する能力です。城を守るという比喩で言えば、門番、城壁、監視兵、補給路の管理まで含めた全体設計を理解しているかが問われてきました。情報処理安全確保支援士試験は、まさにそのような総合的視点を持つ専門家を選抜するための試験であると言えるでしょう。
