ITパスポート 2013年 秋期 問75

情報セキュリティの機密性を直接的に高めるもの【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題の目的を確認する：機密性（Confidentiality）を「直接的に」高めるものを探す。
   • CIAトライアド：Confidentiality（機密性）、Integrity（完全性：改ざんされないこと）、Availability（可用性：使えること）
2. 各選択肢がどの性質に関係するかを分類する。
   • 防止（予防）か、検出（後から分かる）か、復旧（壊れたとき戻す）かを見分ける。
3. 「漏えいしても読めないようにする」方法は機密性の直接的な手段であると判断する。
4. よって暗号化であるエを選ぶ。

選択肢別の誤答解説

• ア: 一日の業務の終了時に機密情報のファイルの操作ログを取得し、漏えいの痕跡がないことを確認する。
  → 操作ログ（操作履歴を記録するもの）は、後から「誰が何をしたか」を分かるようにする検出・追跡の手段です。漏えいを未然に防ぐというより、漏えい後の追及や原因特定に役立ちます。機密性を「直接的に」高めるものではありません。
• イ: 機密情報のファイルにアクセスするときに、前回のアクセス日付が適正かどうかを確認する。
  → 前回アクセス日付の確認は、不審なアクセスの兆候を見つけるための検査です（不正利用の発見）。やはり検出的な対策であり、情報を他人の手で読めなくする直接的手段ではありません。
• ウ: 機密情報のファイルはバックアップを取得し、情報が破壊や改ざんされてもバックアップから復旧できるようにする。
  → バックアップは可用性（Availability：利用可能であること）や完全性（改ざんからの復旧）を高めます。情報が漏れる（外部に出る）ことを防ぐ手段ではなく、漏えい後の防御にも直結しません。
• エ: 機密情報のファイルを暗号化し、漏えいしても解読されないようにする。
  → 暗号化は第三者がデータを読めなくするため、機密性を直接的に高める手段です。正解となる根拠です。ただし鍵管理が重要で、鍵が漏れると効果が無くなる点に注意します。

よくある誤解

1. 「バックアップを取っておけば安全（＝機密性が高まる）」
   • バックアップはデータを失わないための対策です。バックアップ自体が適切に保護されていなければ、かえって漏えいリスクが増えます。機密性向上には暗号化やアクセス制御が必要です。
2. 「ログを取れば漏えいしない」
   • ログは発生後に原因を追えるようにするもので、漏えいそのものを防ぐわけではありません。監査や追跡には有効ですが、未然防止策とは別物です。
3. 「暗号化すれば全部安心」
   • 暗号化は非常に有効ですが、鍵管理（鍵の保管・配布・更新）を怠ると意味がありません。また、端末の不正アクセスや操作する正規ユーザーの不注意は防げない場合があります。多層防御（暗号化＋アクセス制御＋ログ監視等）が重要です。

補足コラム

• 暗号化の基本種類（簡単な違い）
  • 対称鍵暗号（symmetric key encryption）：同じ鍵で暗号化と復号を行う方式。処理が速く、ファイル暗号化で多く使われます。例：AES（Advanced Encryption Standard）。
  • 公開鍵暗号（asymmetric key encryption）：公開鍵と秘密鍵のペアを使う方式。公開鍵で暗号化し、対応する秘密鍵で復号します。鍵の配布が比較的安全に行える利点があります。例：RSA。
• 実務での注意点
  • 暗号化は「鍵が安全に管理されること」が前提です。鍵をUSBに置きっぱなしにしたり、メールで送ったりすると意味がありません。
  • ファイルの暗号化は、保存（ディスク）と転送（ネットワーク）それぞれで適用できます。両方を保護するとより安全です。
• 身近な例
  • スマホのロック画面は一種の暗号化代替で、端末を盗まれても中身を見られないようにする仕組みです。ただしロック解除のパスワード（＝鍵）を他人に教えないことが重要です。

FAQ