応用情報技術者 試験情報＆徹底解説

令和7年春期試験 午後問8(情報システム開発)についての投稿を受け付けるスレッドです。

設問4が分かりませんでした。
とりあえず出力自体は2択だなと思って消しゴム転がして「ログ出力」にしました笑

問5は「個人情報流失を防ぐため」で良いのか…？

ログ出力にしました。

設問4はエラーメッセージに、エラーの詳細出してるので、
それを出さないようにしたんだと思ってます。

問5は同じ感じで書きました

1  a継承
 bID 
   c ログイン認証の判定結果
2d 運用担当者、開発担当者
3 システム障害 イ
 システムエラー エ
4 入力情報を出力しないようにした
5 e抽象クラス
 f オーバーライド
 秘匿情報や個人情報の保護の観点

↑で回答したのですが、皆さんどのような回答されましたか？

1 a:継承
b:ID
c:ログイン検証の判定結果
2 運用担当者、開発担当者
3イ、エ
4エラーメッセージ表示
エラーの詳細を表示しない
5e CaseService
f メソッド名
悪意のある人にログを見られる可能性があるから

正直システム監査ムズすぎてしょうがなく解いたのであまり自信ないですが一応貼っときます！

1 a:汎化
b:ID
c:ログイン認証の判定結果
2 運用担当者、開発担当者
3イ、ア
4エラーメッセージ表示
エラーの詳細情報を表示しない
5e AbstractController
f メソッド
B社の従業員以外に見られないようにするため

汎化と5は自信ないです

1  a継承
 b ID,Password
   c ログイン認証の判定結果
2d 運用担当者、開発担当者
3 システム障害 イ
 システムエラー ア
4 機能 エラーメッセージ機能
4 変更内容エラーの詳細表示をしないよう変更した
5 e AbstractController
 f メソッドメイ
 秘匿情報や個人情報の保護のため

設問1：a：継承、b：ID、c：ログイン認証の結果
設問2：運用担当者、開発担当者
設問3：システム障害：イ(データベース接続確認の結果)
     システムエラー：ア(画面に表示されたエラーメッセージ)
設問4：出力機能：ログ出力
     変更内容：DEBUGのログ種別は出力しない
設問5(1)：e：AbstractController
       f：クラス名
設問5(2)：関係者がログから見られないようにするため

設問5(1)：e：AbstractController
       f：メソッド名
設問5(2)：「開発担当者が顧客情報を参照できないようにする」（完全な解答は忘れたがニュアンスはこんな感じ）

にしました
最後の問題はよく分かりませんが、表１の開発担当者の項目を見てギャンブルしました

顧客情報を出力しないのは、表1に「顧客に連絡するためだけに利用する」と書かれてあったんでこれが出さない理由かなと思いました

システムエラー エ(ログの文字列)にしました。ユーザーよりも早くなら画面でない方がいいのかと思いまして。アとエどちらにされました？

最後、ログを扱うのがQ社の従業員だから
は違いますか？

↓これで回答しました
1  a継承
 b ID,Password
   c ログイン認証の判定結果
2d 運用担当者、開発担当者
3 システム障害 イ
 システムエラー エ
4 機能 ログ出力
4 利用者情報や画面遷移の成功ログを追加。
5 e AbstractController
 f クラス名とメソッド名
 開発担当者から見えないようにするため。

システムエラーは エにしたな

>刃牙道テイ
直前に「秘匿情報や個人情報保護の観点から」とあるので、セキュリティの観点に言及していれば問題ないと思います。
刃牙道テイさんのご回答だと良くて正解、悪くて減点かな～と思います

これで回答しました。

1  具象
 b ID
   c ログイン認証の判定結果
2d 運用担当者、開発担当者
3 システム障害 イ
 システムエラー ア
4 エラーメッセージ表示：エラーの詳細情報を表示しない
5 e AbstractController
 f クラス名
 顧客の氏名と連絡先が含まれうるため

fをクラス名にしたんですが、クラス名では駄目でメソッド名になる根拠ってありますか？

ありがとうございます！

ちなみにログイン認証の判定結果のところは
認証結果にしたんですけど、大丈夫ですかね？
みなさん全く同じなようですが、文中にログイン認証の判定結果って明記されてましたっけ？

>刃牙道テイ
47ページ中部あたりから「AuthServiceは,取得した利用者情報を用いてログイン認証の判定を行い,結果を返す」と記載があります。
私はそこを根拠に回答しました。
文章題の色が強い問は見落とすと正答から遠ざかるので厳しいですよね…

前回の情報システムは難化してたからビビってたが、今回は例年並みのような気がする

設問1 a：継承
    b：ID
    c：認証の判定結果
設問2 d：運用担当者、開発担当者
設問3 システム障害：イ
    システムエラー：オ
設問4 変更した出力内容：エラーメッセージ表示
    変更の内容：エラーの詳細情報を表示しない
設問5 （1）e：AbstractController
      f：クラス名、メソッド名
    （2）開発担当者に顧客情報を見せないため

>takaさま
じゃあ不正解ですかね、、、？

設問5の(2)について、表1中の
「調査に必要な最小限の情報(中略)を受け取る」
「CRMシステムへの入力情報を、直接参照することはできない」
に注目し、
「顧客情報は調査に必要な情報ではないため」
としました。

「秘匿情報や個人情報保護の観点」は、これじゃねーの…と思いつつ記載があまりに直前だったためきな臭く感じて避けたのですが、よくあるパターンなのですか？

f.
実装にできるだけ制約を設けないように、とあり、クラス名やメソッド名の文字列を条件にできるとあったので「クラス名」にしました。

↑追記
全てのメソッドのログを出力する、ともあったので、さすがにメソッド名に必ず含める文字を決めるのは実装制約キツすぎぃぃと判断しました。

こむさん、調査には顧客情報だってあった方が良いはずです。
表1の開発担当者の欄にある「運用中のCRMシステムへの入力情報を、直接参照することはできない」の記述から、”開発担当者へ顧客情報を見せないこと”が理由と思います。

ryoさん
レスありがとうございます！

顧客情報が調査に役立つケースってあるんでしょうか？？考えにくいような気がします…。
でも、回答を「開発担当者へ顧客情報を見せないため」とするのは守備範囲が広くて良いですね！
「調査に必要ではないため」を根拠にするにしても、そのように回答するべきだったなと思いました。

こむさん、確かに顧客情報が調査に役に立つかどうかは書かれてないですね。
「運用中のCRMシステムへの入力情報を、直接参照することはできない」の記述が、開発担当者に個人情報を見せない運用を意図していると推察しました。

ryoさん
その点は自分も同意です！
そこが根拠になりそうな気がしますね。

1  a継承
 b ID
   c ログイン認証の判定結果
2d 運用担当者、開発担当者
3 システム障害 イ
 システムエラー エ
4 機能 ログ出力
4 ログに詳細を出力しないよう変更した
5 e AbstractController
 f メソッド
 情報漏えいのリスクがあるから。

上記のようにしました。4は間違えました。。
利用者向けのエラーのメッセージにエラー個所のソースファイル名を出力するのは一般的ではないですよね。内部の詳細を表示するのは周囲に人がいれば見られる可能性があります。終わってから気づきました。。5の最後は直前に記載されているようにセキュリティ観点について何かしら言及していればいいのかと。
実際にオブジェクト指向開発やってる身としても考えさせられる良い問題でした。

1のbは、「ID」か、「ID,Password」かわれていますね。
私は、後者にしましたが、正直問題文だけでは、どちらが正しいか判断付かないような気がしています。
みなさんはどう思われますか？？

1.bは「ID」だと思います。
Authserviceは取得した利用者情報を用いてログイン認証の判定を行っているので
利用者情報のパスワードと比較を行うのはデータ取得後ですね。

問4ってログかエラーメッセージかどちらなんでしょうか。。

>>34
パスワードだとユーザを一意に特定できないと思います。
IDはその定義上、対象を一つに限定するものですので、検索に適しているため答えはIDになるはずです。

>>36
おそらくですが、ログ出力と思われます。
メソッドの呼び出し履歴を出力するとありますが、冒頭のシーケンス図の通り、パスワードを扱うのでそれがログに出るのはセキュリティ上よろしくないと思われます。変更については、ユーザ情報は出さないようにする等ですかね。分からないですが。。

問4について、そもそもパスワードがログに表示されるって記載されてますか？
また、ログ出力を参照する関係者が「開発者および運用保守担当」なのに対し、エラーメッセージ表示の方は「利用者」なので、後者にソースの内容を見せる方がリスクが高いような気がしてます...。

一般的にログに秘密情報を記録しないのって単純に不正なアクセスで流出することを忌避するからじゃないかなあ
今回もコマンドインジェクションの問題が午前にあったけどアプリにセキュリティ上の問題がある場合にコマンドインジェクションでログを読みだされることもあるわけで。

開発者が直接入力情報を参照できないっていうのは、単に本番サーバーに入る権限がないってことを言ってると思います。
あくまで一般論としてNDAも結ぶだろうし。

>>39
私もそう思います。
利用者にエラーの詳細を見せるシステムって普通ありますかね…？
利用者にとっては不要な情報だし提供側にとってリスクしか生み出しませんよね。
普通は出してもエラーの概要までだと思います。

設問4本当の答えもらうまで自分は分からないや。自分の意見としては、
・利用者が顧客情報を入力することもあるって書いてある
・業務エラーの所にも入力値の修正を利用者がするって書いてある
この2つがあるため、利用者にはある程度は見せていいが、運用者又開発者には必要なところだけしか見せたくないと判断しました。
そのため、ログ出力にしました。
あってて欲しいな

けどちゃんと見ると、電話番号と顧客名の登録だけって書いてあるから。
他の情報利用者に見せちゃいけないのかな。って思ってきてる不安だ

最初の問題は具象でもいいかな…

解答速報が出始めましたね。
fがメソッド名なのがちょっと納得出来ない…。
メソッド名だとしたら、命名規則厳しすぎませんか…？

5(1)e AbstractControllerクラス
って答えたら不正解なんですかね、、
クラスまで書いてしまいました、、、

5.(1).fですが、
「利用者が行った操作内容」をログに出したい、と記載があるので、メソッド名だと思います。

クラス名を指定すると、
「〇〇画面表示」のような操作でない内部の処理も全てログに出力されてしまうので、よくない気がします。

（顧客情報云々の話は一旦置いておいて）LoginControllerクラスで言えば、ログに出すのは「ログイン実行」メソッドのみで良い、というイメージで考えてました。

最初の設問、「特化」と書いたのですが間違っていますか？？

>>47
eの空欄の前に、「全てのメソッドについて」と記載があるので、ログを出すのは全部のメソッドだと思っています。

国家試験で、解答が両方ありえる問題でこっちはバツであっちはマルみたいなことはしないと思うけど、どうなんだろ