情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問05

可用性の向上対策【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題のキーワード「可用性（availability）」の意味を確認する。
   • 可用性：必要なときにサービスやデータが利用可能である状態。
2. 各選択肢がどのセキュリティ要素に関係するかを分類する。
   • 機密性（confidentiality）／真正性や認証（authentication）／可用性（availability）など。
3. 可用性に直接貢献するものを選ぶ。
   • 冗長化やフェイルオーバーなど「障害に強くする」対策が該当する。

選択肢別の誤答解説

• ア：ストレージを二重化し、耐障害性を向上させる。
  → 正解。冗長化（同じデータを複数に持つこと）で、1つが壊れても別の装置でサービスを継続できるため可用性が上がる。
• イ：ディジタル証明書を利用し、利用者の本人確認を可能にする。
  → 間違い。ディジタル証明書（digital certificate：公開鍵を使って本人やサービスの正当性を確認する仕組み、PKI＝Public Key Infrastructure（公開鍵基盤）で運用されることが多い）は、認証や真正性を確保するための対策で、主に「誰がアクセスしているか」を確認するため、可用性の直接改善にはならない。
• ウ：ファイルを暗号化し、情報漏えいを防ぐ。
  → 間違い。暗号化は機密性（confidentiality：情報が外部に漏れないこと）を高める対策であり、可用性を高めるための手段ではない（むしろ鍵を失えばアクセスできなくなり可用性を損なう可能性がある）。
• エ：フォルダにアクセス権を設定し、部外者の不正アクセスを防止する。
  → 間違い。アクセス権設定はアクセス制御によって不正利用を防ぎ、機密性や適切な利用を目的とする対策であり、これ自体は可用性向上策ではない。ただし、誤設定がなければ可用性を間接的に保つ役割もあるが、主目的は違う。

よくある誤解

1. 「暗号化やアクセス制御は可用性も高める」
   • 誤り。暗号化は主に機密性、アクセス制御は主に統制（誰が見られるか）を目的とします。可用性は障害対策（冗長化、フェイルオーバー、レプリケーションなど）。
2. 「バックアップがあれば可用性は確保できる」
   • 誤り。バックアップはデータを復旧（リカバリ）するための手段で、障害直後の継続利用（ダウンタイムを短縮）には限界があります。冗長化は即時の継続性を提供します。

補足コラム

• 冗長化の具体例：
  • RAID（Redundant Array of Independent Disks：複数のディスクで冗長性を持たせる技術）。RAID1（ミラーリング）は同じデータを2台で保持するため単一ディスク故障に強い。RAID5/6はパリティ（誤り訂正情報）で耐障害性を確保する方式です。
  • サーバクラスタやフェイルオーバー：一台が落ちても別のサーバが役割を引き継ぐ方式。
  • レプリケーション（複数拠点でデータを同期）：拠点障害でも別拠点でサービス継続可能。
• 実運用での注意点：
  • 冗長化しても設定ミスやソフト側の障害（設定ミス、データ破損）があれば可用性は保てないため、定期的なフェイルオーバーテストや監視（監視ツール・アラート）が重要です。
  • コストと可用性のトレードオフを考える。ビジネス側と協議して可用性目標（RTO：Recovery Time Objective、RPO：Recovery Point Objective）を決め、それに見合った対策を採ると良いです。

FAQ