プログラムは出てきません。指摘された場所がB社のPaaS（土台）なのか、その上で動くプログラム（C社に委託）なのか ── これを分けられれば、3つの項番はすべて決まります。
難易度 ★★（当サイトの目安）── PaaS の管理範囲（科目Aの用語）と、委託契約の1文を突き合わせる。4段階の決め方は科目B 最短合格の戦略にあります。
出題
出典：基本情報技術者試験 科目B サンプル問題 問17
製造業のA 社では，EC サイト（以下，A 社のEC サイトをA サイトという）を使用し，個人向けの製品販売を行っている。A サイトは，A 社の製品やサービスが検索可能で，ログイン機能を有しており，あらかじめA サイトに利用登録した個人（以下，会員という）の氏名やメールアドレスといった情報（以下，会員情報という）を管理している。A サイトは，B 社のPaaS で稼働しており，PaaS 上のDBMS とアプリケーションサーバを利用している。
A 社は，A サイトの開発，運用をC 社に委託している。A 社とC 社との間の委託契約では，Web アプリケーションプログラムの脆弱性対策は，C 社が実施するとしている。
最近，A 社の同業他社が運営しているWeb サイトで脆弱性が悪用され，個人情報が漏えいするという事件が発生した。そこでA 社は，セキュリティ診断サービスを行っているD 社に，A サイトの脆弱性診断を依頼した。脆弱性診断の結果，対策が必要なセキュリティ上の脆弱性が複数指摘された。図1 にD 社からの指摘事項を示す。
項番1 A サイトで利用しているアプリケーションサーバのOS に既知の脆弱性があり，脆弱性を悪用した攻撃を受けるおそれがある。
項番2 A サイトにクロスサイトスクリプティングの脆弱性があり，会員情報を不正に取得されるおそれがある。
項番3 A サイトで利用しているDBMS に既知の脆弱性があり，脆弱性を悪用した攻撃を受けるおそれがある。
図1 D 社からの指摘事項
設問
図1 中の各項番それぞれに対処する組織の適切な組合せを，解答群の中から選べ。
解答群
ア 項番1：A 社 項番2：A 社 項番3：A 社
イ 項番1：A 社 項番2：A 社 項番3：C 社
ウ 項番1：A 社 項番2：B 社 項番3：B 社
エ 項番1：B 社 項番2：B 社 項番3：B 社
オ 項番1：B 社 項番2：B 社 項番3：C 社
カ 項番1：B 社 項番2：C 社 項番3：B 社
キ 項番1：B 社 項番2：C 社 項番3：C 社
ク 項番1：C 社 項番2：B 社 項番3：B 社
ケ 項番1：C 社 項番2：B 社 項番3：C 社
コ 項番1：C 社 項番2：C 社 項番3：B 社
答えだけ先に見る
正解は カ（項番1：B 社／項番2：C 社／項番3：B 社）です。
Aサイトは「土台」と「その上のプログラム」でできている
問題文から、Aサイトを受け持っている会社は2つ読み取れます。
土台 ＝ B社 …「A サイトは，B 社のPaaS で稼働しており，PaaS 上のDBMS とアプリケーションサーバを利用している」
その上のプログラム ＝ C社 … 委託契約で「Web アプリケーションプログラムの脆弱性対策は，C 社が実施する」
PaaS は、プログラムを動かすための土台 ── OS、アプリケーションサーバ、DBMS など ── をまとめて貸すサービスです。借りた側が載せるのは自分のプログラムだけで、土台の手入れ（弱点の修正も）は貸している会社がします。C社は「A 社は，A サイトの開発，運用をC 社に委託している」とも書かれていますが、脆弱性（弱点）の対策で受け持つのは、契約のとおりWeb アプリケーションプログラムだけです。
3つの指摘を、受け持ちに当てる
指摘された場所と、対処する組織
緑＝対処する組織
項番1 アプリケーションサーバのOS
アプリケーション
サーバのOS
PaaSの土台
B社
指摘 …「アプリケーションサーバのOS に既知の脆弱性」
問題文 …「A サイトは，B 社のPaaS で稼働しており，PaaS 上のDBMS とアプリケーションサーバを利用している」
だから B社。OS はアプリケーションサーバを動かしている土台で、PaaS では一般に貸している側が手入れします。運用を任されたC社の受け持ちではありません。
項番2 クロスサイトスクリプティング
Webアプリケーション
プログラム
委託契約
C社
指摘 …「A サイトにクロスサイトスクリプティングの脆弱性」
問題文 …「Web アプリケーションプログラムの脆弱性対策は，C 社が実施する」
だから C社。クロスサイトスクリプティングは、入力された文字をそのまま画面に出してしまうWebアプリケーションプログラムの作りの弱点です。
項番3 DBMS
DBMS
PaaSの土台
B社
指摘 …「DBMS に既知の脆弱性」
問題文 …「A サイトは，B 社のPaaS で稼働しており，PaaS 上のDBMS とアプリケーションサーバを利用している」
だから B社。DBMS も、B社のPaaS が用意しているものをAサイトが使っています。
土台（OS・DBMS）はB社、その上のプログラムはC社。
答え合わせ
正解は カ
項番1：B 社／項番2：C 社／項番3：B 社。この並びは解答群のカだけです。
ほかの選択肢は、次の3つのどれかで外れます。
- A社を入れている（ア・イ・ウ）── Aサイトの持ち主はA社ですが、開発と運用はC社に、土台はB社に任せています。A社が自分で直す場所は、3つの指摘のどこにもありません。
- 項番1・項番3 に C社を入れている（イ・オ・キ・ク・ケ・コ）── C社は運用も任されていますが、OS とDBMS はB社のPaaS の中です。契約でC社が受け持つ脆弱性対策も、Web アプリケーションプログラムまでです。
- 項番2 に B社を入れている（ウ・エ・オ・ク・ケ）── B社が貸しているのは土台だけです。その上に載せたプログラムの弱点は、B社の受け持ちではありません。
次に読む
この記事で引用した資料
いずれも独立行政法人情報処理推進機構（IPA）が公表したものです。IPAは公表済みの試験問題について、教育目的での使用に許諾および使用料を不要としていますが、著作権は放棄していません。本記事では問題文を改変せずに引用しています。
