ITパスポート 2014年 秋期 問80

物理的セキュリティ対策の不備が原因となって発生するインシデントの例【ITパスポート 解説】

正解の理由

用語メモ：サーバ室（サーバを置く専用の部屋）、物理的セキュリティ（ロックや入退室管理など、実際の場所や機器を守る対策）

解法ステップ

1. 「物理的セキュリティ対策」の意味を確認する
   • 「物理的」＝実際の場所や機器そのものを守ること（鍵、出入り口、監視カメラ、警備員など）。
2. 各選択肢がどの種類の原因かを整理する
   • ネットワーク攻撃、マルウェア感染、人的ミス、物理的侵入のどれかに分類する。
3. 物理的原因に該当する選択肢を選ぶ
   • 「第三者がサーバ室へ侵入し、データを盗み出す」は物理的侵入そのものなので正解と判断する。

選択肢別の誤答解説

• ア: DoS攻撃を受け、サーバが停止する。
  • DoS（Denial of Service：サービス不能攻撃）はネットワークやサーバの資源を過剰に使わせる攻撃で、主に通信やソフトウェア側の対策（ファイアウォール、負荷分散）が必要です。物理的な侵入ではなく論理的／ネットワークの問題です。
• イ: PCがコンピュータウイルスに感染し、情報が漏えいする。
  • コンピュータウイルス（悪意あるプログラム）はメールや外部媒体、ウェブ経由で広がることが多く、ウイルス対策ソフトや適切な設定、教育といった論理的対策が中心です。物理的セキュリティの不備が直接の原因とは言えません（ただし、物理的に感染メディアを放置されると関係することはある）。
• ウ: 社員の誤操作によって、PC内のデータが消去される。
  • これは人的ミス（オペレーショナルリスク）です。教育、作業手順、バックアップによって防ぐもので、鍵や入退室管理といった物理的対策が主原因ではありません。
• エ: 第三者がサーバ室へ侵入し、データを盗み出す。
  • 実際の場所へ不正に入ることで機器や媒体を直接奪う典型的な物理的セキュリティ侵害です。したがって物理的対策の不備が原因として最も適切です。

よくある誤解

1. 「物理的＝鍵だけ」の誤解
   • 物理的セキュリティは鍵だけでなく、入退室ログ、IDバッジ、監視カメラ、警報、機器の盗難防止（ラッチやラックの施錠）など多層的な対策を含みます。
2. 「すべての情報漏えいはネット経由だ」と考える誤解
   • USBやハードディスクの持ち出し、サーバの盗難など、直接持ち出されるケースもあります。オフィスやサーバ室の管理が甘いと簡単に持ち出されます。
3. 「人的ミスは物理的対策で防げない」という誤解
   • 完全には防げませんが、入退室管理で誰がいつ入ったかを記録することは、内部犯行や誤操作の原因追及や抑止に役立ちます。

補足コラム

• 入退室管理：IDカードや生体認証で入室を制限する。
• 監視カメラ（CCTV）：不審な行動を記録・監視。CCTVは Closed-Circuit Television の略で監視用のビデオシステムです。
• 鍵と施錠：サーバラックや部屋の施錠。鍵の管理ポリシーも重要。
• 環境管理：温度・湿度管理、消火設備（火災対策）で機器の故障を防ぐ。
• 持ち出し管理：USBや外付け機器の使用制限、媒体の持ち出し手続き。
• バックアップと暗号化：万が一盗難が起きてもデータを守る。物理的盗難に対する最後の防壁になります。

FAQ