はじめに：Web問題を「難しそう」で捨てていませんか？
情報処理安全確保支援士（SC）の午後試験。問題冊子を開いたとき、HTTPリクエストの長い羅列や、<script>タグが混じったWebアプリケーションの問題を見て、そっとページを閉じてしまう受験生は少なくありません。
「Web系は開発経験がないと解けない」「ネットワークや組織管理の問題のほうが、これまでの経験を活かせそう」。そう考えてWeb問題を回避することが、実は合格への遠回りを生んでいる可能性があります。
実は、Webセキュリティの問題は、試験において最も「対策のコスパ」が良く、かつ「得点が安定する」ボーナスステージです。なぜWeb問題から逃げるべきではないのか、その論理的な理由と具体的な攻略法を解説します。
Web問題が「実は解きやすい」3つの論理的理由
実務経験がない学生や若手が、支援士試験で高い合格率を叩き出せる最大の要因の一つは、このWeb問題に正面から取り組んでいることにあります。
① 攻撃と対策が「1対1」でガチガチに固定されている
ネットワーク構成を問う問題では、攻撃の経路やFWの設定箇所に複数の解釈が生まれる余地があり、思考の迷路に迷い込みがちです。しかし、Web問題で問われる脆弱性は、対策が数学の公式のように決まっています。
- XSS（クロスサイトスクリプティング）：対策は「出力時のサニタイズ（エスケープ処理）」
- SQLインジェクション：対策は「プレースホルダ（バインド機構）の利用」
- CSRF（クロスサイトリクエストフォージェリ）：対策は「秘密情報のトークン照合」
これらはセキュリティの基本中の基本であり、IPAが求める解答もこのテンプレートから外れることはありません。用語を覚えるだけで得点に直結する、非常に効率的な分野なのです。
② 解答の根拠が「HTTPリクエスト」に漏れている
Web問題には、必ずと言っていいほど「ブラウザとサーバのやり取り（HTTPリクエスト/レスポンス）」の具体例が掲載されます。これが、実は「答えのカンニングペーパー」です。
例えば、「セッションIDがどこで受け渡されているか」を問われたら、リクエストヘッダのCookie:行を見るだけです。また、「不審な入力がどこにあるか」を問われたら、URLのパラメータやPOSTデータを一瞥するだけで特定できます。ネットワーク問題のような抽象的な推論を必要とせず、目の前の文字を読み解くだけで点数になるのがWeb問題の強みです。
③ 実務知識が「ノイズ」になりにくい
ネットワークやOSの管理問題では、自分の職場の独自ルールや特殊な機器構成がバイアス（代表性ヒューリスティック）となり、IPAの理想解からズレてしまうことがあります。しかし、Webプロトコル（HTTP）は世界共通の標準規格です。誰が解いてもルールは同じであり、先入観が入り込む余地が少ないため、素直に問題文に従う未経験者ほど高得点を出しやすい傾向にあります。
Web問題を得点源に変える「三種の神器」
Web問題を攻略するために、プログラミングの深い知識は不要です。以下の3つのポイントを重点的に押さえるだけで、得点効率は飛躍的に高まります。
① Cookieの3大属性（HttpOnly, Secure, SameSite）
これらはセッション管理の安全性を高めるための必須知識です。
- HttpOnly：JavaScriptからのアクセスを禁止し、XSSによるセッション奪取を防ぐ。
- Secure：HTTPS通信時のみ送信を許可し、盗聴を防ぐ。
- SameSite：クロスサイトでの送信を制限し、CSRFを防ぐ。 午後問題では、これらの属性が「設定されているか、いないか」が直接の設問になることが非常に多いです。
②「ステートレス」と「セッション」の関係
HTTPは本来、一往復ごとにやり取りが完結する（状態を持たない）プロトコルです。それを「セッション」で維持する際に、どのような脆弱性が生まれるのか（セッション固定攻撃やセッションハイジャック）を理解しておけば、記述問題の背景が見えてきます。
③ ブラウザ側の防御機能（セキュリティヘッダ）
最近のトレンドは、サーバ側でガチガチに対策するだけでなく、レスポンスヘッダでブラウザに「こう守れ」と指示を出す手法です。
- HSTS（常時HTTPSの強制）
- CSP（スクリプトの読み込み元制限） これらは用語自体が解答キーワードになることが多いため、暗記のコスパが最高です。
記述のハックをWeb問題で実践する
先日の記事で解説した通り、Web問題こそ「問題文の言葉の再利用」が最も効果を発揮する場面です。
例えば、「なぜこの攻撃が成立したのか？」という設問に対し、自分でゼロから文章を組み立ててはいけません。
- 問題文のリクエスト例にある「パラメータ名」を抜き出す。
- 問題文の説明文にある「チェック処理が行われていない」という記述を探す。
- これを組み合わせて、「〇〇というパラメータに対して、××のチェック処理が行われていないため」と答える。
これだけで、実務未経験の学生と同じように、100点満点の解答構成が完成します。
まとめ：食わず嫌いをやめ、戦略的に「Web」を獲る
支援士試験の午後は、どの問題を選ぶかで合否が決まると言っても過言ではありません。Webアプリケーションの問題は、最初はとっつきにくく見えますが、実は「最も対策が裏切らない分野」です。
「Webは開発者の領分だ」という思い込みを捨て、まずは過去問のWeb問題を3年分、じっくりと「解答解説」から読んでみてください。そこで問われていることが、驚くほどパターン化されていることに気づくはずです。
Web問題を得点源に据える。その決断が、あなたの合格率を55点から65点へと引き上げる決定打になるでしょう。
記述試験全般で「あと数点」をもぎ取るための、問題文のキーワード活用術については、こちらの記事でさらに詳しく解説しています。
コメント