ITパスポート 2018年 春期 問98

顧客名簿の電子データの情報漏えいを防ぐ方法【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題の目的を確認する：「情報漏えいを防ぐ」＝機密性を保つこと。
2. 各選択肢がどのセキュリティ目標に対応するか考える：
   • 機密性（confidentiality）＝情報を見られないようにする
   • 完全性（integrity）＝改ざんされていないことを示す
   • 可用性（availability）＝データが利用できることを保つ
3. 機密性を提供する手段を選ぶ：暗号化が該当する。
4. よって、情報漏えい防止にはエが最も適切。

選択肢別の誤答解説

• ア: データにディジタル署名を付与する。
  ディジタル署名（電子署名）は「そのデータが改ざんされていない」「作成者が確かである」ことを示す手段です。内容を隠す（機密化）する機能はありません。改ざん検出や認証には有効ですが、漏えい防止にはならないため不適切です。
• イ: データのバックアップを頻繁に取得する。
  バックアップはデータ消失（例：誤削除、故障、災害）に備える対策で、可用性や復旧を高めます。バックアップ先が安全でない場合、そこから情報が漏れるリスクもあります。単独では「漏えい防止」になりません。バックアップ自体も暗号化して保存するのが望ましいです。
• ウ: データをRAIDのディスクに保存する。
  RAID（Redundant Array of Independent Disks：複数のディスクを組み合わせて冗長化する技術）は、ディスク故障時の可用性向上が目的です。ディスクが盗まれたりアクセスされた場合でもデータの可読性はそのままなので、情報漏えい防止にはなりません。
• エ: データを暗号化して保存する。
  暗号化はデータの機密性を直接保護します。正しく実装された暗号化（例：AESなど）と適切な鍵管理があれば、仮にファイルやディスクが流出しても中身を読み取られにくくなります。

よくある誤解

1. 暗号化すればそれだけで安全と思う
   • 暗号化は重要ですが、鍵（復号用のキー）を安全に管理しなければ意味がありません。鍵が漏れると暗号化は無力になります。
2. RAIDやバックアップはセキュリティ対策になると考える
   • これらは主に可用性や復旧の対策です。情報漏えい対策としては、保存先の暗号化やアクセス制御が必要です。
3. ディジタル署名と暗号化を混同する
   • ディジタル署名は「正当性・改ざん検出」、暗号化は「機密保持」。両方使う場面もありますが目的は異なります。

補足コラム

• 暗号化の種類
  • 対称鍵暗号（例：AES）：同じ鍵で暗号化・復号する。処理が速く、大量データに向く。
  • 公開鍵暗号（非対称暗号、例：RSA）：公開鍵で暗号化、秘密鍵で復号する。鍵配布の仕組みに優れるが処理は遅い。
• 実務でのポイント
  • 「暗号化（保存時の暗号化＝encryption at rest）」に加え「通信中の暗号化（encryption in transit）」も必要です。
  • 鍵管理が最重要：鍵を安全な場所（鍵管理サービス＝KMS、またはハードウェアセキュリティモジュール＝HSM）で保管する。
  • バックアップも暗号化して保存する。暗号化だけでなくアクセス制御（誰が見られるか）や監査ログ（いつ誰がアクセスしたか）の記録も併用する。
• 実例（コマンド）
  • openssl を使った簡単なファイル暗号化（例）:

    openssl enc -aes-256-cbc -salt -in customers.csv -out customers.csv.enc
    

    ※パスワードの取り扱いに注意してください。実務ではより安全な鍵管理を用います。

FAQ