ITパスポート 2020年 秋期 問94

IoTシステムのインシデントと機密性・完全性・可用性の対応【ITパスポート 解説】

正解の理由

• ① IoTデバイスが電池切れで動かなくなった → サービスや機能が使えない状態です。これは「可用性」（必要なときに使えること）が損なわれた例です。
  ※可用性＝必要なときにシステムやデータが利用できること。
• ② 通信を暗号化しておらず情報が漏えいした → 情報の秘密が第三者に知られてしまっています。これは「機密性」（情報が許可された人だけに知られること）が損なわれた例です。
  ※機密性＝情報が漏れないこと。暗号化（データを読めない形にする仕組み）が代表的対策です。
• ③ システムの不具合で誤ったデータが記録された → データの正しさや一致性が失われています。これは「完全性」（データが改ざんや破損されず正しいこと）が損なわれた例です。
  ※完全性＝データが正確で改ざんされていないこと。

解法ステップ

1. 「可用性」「機密性」「完全性」の意味を短く確認する。
   • 可用性：使えること。
   • 機密性：秘密が守られること。
   • 完全性：正しさが保たれること。
2. 各インシデントを「何が問題になっているか」で分類する。
   • 使えない＝可用性、情報漏えい＝機密性、誤データ＝完全性。
3. 選択肢の表と照らし合わせ、すべて一致する行を選ぶ。今回は イ が一致。

選択肢別の誤答解説

• ア（①：可用性、②：完全性、③：機密性）
  ②を「完全性」にしている点が誤りです。通信を暗号化していないことで起きる問題は「情報が読み取られる（漏える）」ことで、これは機密性の侵害です。完全性（データの正しさ）とは違います。
• イ（①：可用性、②：機密性、③：完全性）
  各インシデントの影響を正しく対応させています。電池切れ→使えない＝可用性、暗号化無しで情報漏えい→機密性、誤データ記録→完全性、で整合します。
• ウ（①：完全性、②：可用性、③：機密性）
  ①を完全性にしているのが誤りです。電池切れは「データの正しさ」ではなく「使えるかどうか」の問題なので可用性です。②を可用性にするのも誤りで、通信の暗号化不足は利用不能には直結せず機密性の問題です。
• エ（①：機密性、②：可用性、③：完全性）
  ①を機密性にした点が誤りです。電池切れで動かないことは秘密が漏れる問題ではなく、サービスが停止する問題＝可用性です。③は正しく完全性になっていますが、他が合っていないため不正解です。

よくある誤解

• 「暗号化すれば全部守れる」と思いがち
  暗号化は主に機密性（内容を読めないようにする）を守りますが、完全性（改ざん検出）や可用性（サービス停止対策）を自動で解決するわけではありません。完全性には署名やハッシュ、可用性には冗長化や電池監視が必要です。
• 可用性と完全性を混同しやすい
  「データが利用できるか」と「データが正しいか」は別です。例：データベースが落ちていて読めないのは可用性問題。読めるが数値が間違っているのは完全性問題です。

補足コラム

• CIAトライアドとは？
  「機密性（Confidentiality）」「完全性（Integrity）」「可用性（Availability）」の頭文字を取った情報セキュリティの基本概念です。英語名と意味を合わせて覚えると整理しやすいです。
• IoT（Internet of Things：モノのインターネット）特有の注意点
  • 電池や通信の制約があるため、可用性の問題（電池切れ、電波不良）が発生しやすい。対策としてはバッテリ監視、低電力設計、冗長配置（複数デバイスで代替）があります。
  • 通信の暗号化は TLS（Transport Layer Security：通信を暗号化する仕組み）などを使います。
  • 完全性対策にはデータのチェック（チェックサム、ハッシュ）やデジタル署名、入力検証が有効です。
• 具体的な対策例（簡単）
  • 可用性：電池残量監視（閾値で通知）、冗長化、フェイルオーバー。
  • 機密性：通信の暗号化（TLS）、認証（ID/パスワードや証明書）。
  • 完全性：データ検証、ログ監査、デジタル署名。

FAQ