Webアプリケーションとは？うぇぶあぷりけーしょん
Webアプリケーションとは、利用者はブラウザから操作し、処理とデータの保持はサーバ側で行う形式のアプリケーション。社内システムも社外向けサービスもこの形が主流で、インターネットに面する分だけ攻撃を受けやすい。SQLインジェクションやクロスサイトスクリプティングのように、作りの不備がそのまま脆弱性になる攻撃が代表的で、開発時の作り込みと公開後の脆弱性対応の両方が管理側に求められる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
かつては業務ソフトを端末ごとに配布・更新する必要があり、社外からは使えず、更新漏れの端末が残った。サーバ側に処理を集めてブラウザだけで使える形にすると、配布も更新も一か所で済み、場所を選ばず使える。その代わり、外から誰でも到達できる入口が常時開いている状態になり、守るべき対象が「端末」から「公開されたアプリケーション」へ移った。委託開発が多い読者にとっては、発注時にセキュリティ要件を書けるかが問われる。
具体例
自社の問い合わせフォームを外部に委託して作るとき、入力値の検証をサーバ側で行うこと、公開前に脆弱性診断を実施することを要件として契約に含めておく。あわせて、公開後も利用しているソフトウェアの脆弱性情報を追い、修正プログラムを適用する責任がどちらにあるかを取り決めておく。
試験での引っ掛け
「社内向けだから対策は不要」は誤り。内部不正や、侵入された端末を足がかりにした横展開の入口になる。またブラウザ側の入力チェックは利用者の手元で回避できるため、検証はサーバ側で行わなければ意味がない。この二点は科目Bのケース問題でそのまま論点になる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問13（IPA）解説で登場
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問21（IPA）解説で登場
クロスサイトスクリプティングに該当するものはどれか。
正解：攻撃者が罠を仕掛けたWebページを利用者が閲覧し、当該ページ内のリンクをクリックしたときに、不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ、レスポンスに埋め込まれた不正スクリプトの実行によって、情報漏えいをもたらす。
要点：XSSは応答に埋め込まれた不正スクリプトが閲覧者側で実行される
クロスサイトスクリプティングは、Webアプリケーションが利用者からの入力を適切にエスケープせずに応答へ埋め込んでしまう脆弱性を突く攻撃である。攻撃者が仕込んだスクリプトが被害者のブラウザ上で実行され、クッキーの窃取などの被害につながる。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問20（IPA）
WAFの説明として，適切なものはどれか。
正解：特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な通信を遮断する。
要点：WAFはWebアプリあての通信内容を検査し不正な要求を遮断する
WAF（Web Application Firewall）は、Webアプリケーションあての通信内容を検査し、攻撃に特徴的なパターンを含む不正なリクエストを遮断する。ネットワーク層で通す・通さないを決める従来のファイアウォールでは防げない攻撃に対応する。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問29（IPA）解説で登場
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。