個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第42問: SQLインジェクションの説明として、最も適切なものはどれか。

正解: 2. 入力値に不正なSQL文を混入させ、データベースを不正に操作する攻撃

SQLインジェクションは、Webアプリケーションの入力値に不正なSQL文を混入させ、データベースの内容を不正に取得・改ざん・削除する攻撃です。個人データを保持するデータベースが標的となるため、大規模な漏えいにつながりやすい典型的な脅威です。対策としてはプレースホルダ（バインド機構）の使用や入力値の検証が有効で、ガイドライン別添の技術的安全管理措置（3）が求める保護の仕組みに含まれます。

根拠法令: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: SQLインジェクション・データベース・プレースホルダ