ITパスポート 2013年 春期 問80

盗難にあったPCからの情報漏えいを防止するための対策【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題の脅威を明確にする：盗難によりPCが物理的に外部へ持ち去られる状況。
2. 物理的アクセスに対して何が有効かを考える：データそのものを読み取れないようにすること（データ「at rest＝保存時」の保護）が必要。
3. 各選択肢がその脅威をどう防ぐかを検証する：
   • BIOSパスワード：起動制御はするが、ディスクを別装置で読み取られれば無効。
   • IDS（侵入検知）：ネットワーク上の攻撃検知であり物理盗難には無関係。
   • パーソナルファイアウォール：ネットワーク通信の制御。物理的なドライブ読み取りは防げない。
   • ハードディスク暗号化：ディスク内のデータが暗号化され、正しい鍵がなければデータを読めない（これが有効）。
4. よって最も適切なのは エ。

選択肢別の誤答解説

• ア: BIOSパスワードの導入
  BIOS（Basic Input/Output System：コンピュータ起動時の基本ソフト）やUEFI（新しい起動環境）でパスワードをかけると、通常の起動や外部メディアからの起動を制限できます。しかし、盗んだ相手がハードディスクを取り出して別のPCに接続すれば中身は読めます。したがって物理的なディスク読み取りを根本的に防げません。
• イ: IDS（Intrusion Detection System：侵入検知システム）の導入
  IDSはネットワークやシステム上の不正アクセスや攻撃を検知する仕組みです。PCを盗んだ後の「物理的にディスクを盗む」行為には無関係で、盗難そのものや直接的な情報漏えい防止にはならないため不適切です。
• ウ: パーソナルファイアウォールの導入
  パーソナルファイアウォールはPCのネットワーク通信を制御し、不正な接続を遮断するものです。盗難でPC本体が持ち去られディスクが読み取られる場合、ネットワーク防御は役に立ちません。
• エ: ハードディスクの暗号化
  ハードディスクを暗号化すると、正しい鍵なしにデータの中身を復元できません。たとえPCが盗まれても、ディスクを別の環境で読み取っても暗号化された状態のままなので情報漏えいを防げます。これが最も有効な対策です。

よくある誤解

1. 「OSのログインパスワードが強ければ大丈夫」
   → OSログインは重要ですが、攻撃者がディスクを物理的に取り出して別の機器で読み取ればそのパスワードを経由せずデータにアクセスできます。暗号化はこれを防ぎます。
2. 「BIOS/UEFIパスワードをかければ安全」
   → 起動時の保護にはなりますが、ディスクを取り出して別の端末で読み取られると意味がありません。暗号化と組み合わせるのが有効です。
3. 「ファイアウォールやIDSで盗難対策ができる」
   → これらはネットワーク上の防御であり、物理的な盗難やディスク抜き取りには効果がありません。

補足コラム

• TPM（Trusted Platform Module：信頼できるプラットフォームモジュール）という小さな専用ハードウェアを使うと暗号鍵を安全に保管できます。WindowsのBitLockerはTPMと組み合わせることで、起動時の自動復号や安全な鍵管理が可能です。
• 暗号化の方式：フルディスク暗号化（FDE）はOSやスワップ領域も含めて全体を保護します。ファイル単位の暗号化は選んだファイルだけ保護します。盗難対策としてはFDEが分かりやすく有効です。
• 運用上の注意：暗号鍵や回復キーを安全にバックアップしておくこと（会社ならキー管理ポリシー）。また、紛失・盗難発生時は端末の遠隔消去（MDM＝Mobile Device Management：モバイル端末管理）や速やかな報告・対応が必要です。

FAQ