2019/10/09 開催の 第25回 セキュリティ共有勉強会（テーマ:災害対策） (https://intra-security.connpass.com/event/147430/) のLT資料です。

1. Webアプリケーションエンジニアが「ウェ
ブ・セキュリティ基礎試験」（通称：徳丸基
礎試験）を受けてみた
第25回セキュリティ共有勉強会（テーマ:災害対策）／@okashoi

2. お前だれ？

3. ウェブ・セキュリティ基礎試験？
https://peatix.com/event/857251

4. ウェブ・セキュリティ基礎試験？
基礎的な知見を問う試験
受けたのはベータ試験
ベータでも合格者は正式に認定される
受験料が安い（1万円→5千円）
通称：徳丸基礎試験
そうです、あの徳丸さんです
https://www.phpexam.jp/news/tokumarushiken/

5. きっかけ
https://twitter.com/ockeghem/status/1148857551959646208

6. きっかけ
友人「徳丸試験やて、ほら、申し込むぞ！」

7. きっかけ
私 「アッハイ」

8. 自分のセキュリティに関する知識レベル
セキュリティに関する基礎概念はわかっている
SQLインジェクション、XSS、CSRF、CORSなど
新規開発における方針の策定などを業務で経験してはいる
実装レベルの話はフレームワークにおまかせ

9. やっとこと
対策期間1ヶ月も無い
申し込み日7月10日
試験日8月4日
他にもやることがあったので、正味使える時間はもっと少ない
→本で網羅的に知識をさらう

10. やったこと
20時間も満たない
業務時間後に友人とあつまってもくもく（2～3時間×3）
当日試験開始まで（5時間）
あとはこれまでの実務経験に頼る

11. 読んだ本1
『徳丸浩のWebセキュリティ教室』
とりあえず網羅的にサクッと知りたかった
事例ベース
試験対策の知識としては深さが足りないと感じた
エンジニア以外（事業責任者とか）にもおすすめできる

12. 読んだ本2
『体系的に学ぶ安全なWebアプリケーションの作り方第2版脆弱性が生
まれる原理と対策の実践』
Webセキュリティといったらこれ
出題範囲として明記されている
時間的に端から端まできちんと目を通すのは無理
持っている知識と照らし合わせながら網羅性を優先して読んだ

13. 試験の様子
https://twitter.com/_yoshimasa/status/1157904225600303104

14. 試験の様子
4択問題40問
70%正解で合格
試験時間2時間

15. 試験結果
まだ（LTまでに結果くると期待してたが、まだ）

16. 所感
セキュリティが大切なのは理解していても、体系的な知識を包括的
に身につけられているかは疑問に思っていた
それに一定の指標を与えてくれるのはありがたい
もちろん資格をとったから実務ができるというわけではない
「徳丸本を通して読む（エネルギーが要る）」きっかけになった

17. 徳丸基礎試験はいいぞ！
感想ブログ
https://blog.okashoi.net/entry/2019/08/04/200635